Nach Hackerangriff und Passwortklau: Zwei Berliner Senatsverwaltungen stoppen Homeoffice

Sieben Tage lang saugten die Hacker im August 5,79 Terabyte an Daten aus den beiden Senatsverwaltungen für Verkehr und Bauen ab – zwei Wochen später wurde nun der Homeoffice-Zugang für die Mitarbeiter erneut gekappt. Am Montag erfuhren die Mitarbeiter der beiden Verwaltungen per E-Mail davon, wie dem Tagesspiegel aus den Häusern bestätigt wurde.

Senatssprecherin Christine Richter teilte dem Tagesspiegel mit, dass „kein externer Zugriff über eine bestimmte Software auf die IT-Infrastruktur“ der beiden Senatsverwaltungen mehr möglich sei. Der Empfang und das Versenden von Mails sei auch mobil aber weiterhin möglich.

Das bedeutet: E-Mails können die Mitarbeiter zu Hause auf ihren Geräten noch lesen. Doch in die internen Netze ihrer Ressorts können sie sich nicht mehr über sogenannte VPN-Tunnel einwählen. Fachprogramme ihrer jeweiligen Häuser können sie aus dem Homeoffice also nicht mehr nutzen. Die Arbeit mit den Fachanwendungen ist damit vorerst nur direkt am Arbeitsplatz im Büro möglich.

Tagesspiegel veröffentlicht am Montag zwei gestohlene Passwörter

Der Vorgang ist insofern bemerkenswert, als der Senat nach Bekanntwerden des Hackerangriffs vor zwei Wochen den Zugriff aus dem Homeoffice zunächst eingeschränkt und vor einer Woche wieder zugelassen hatte. Nun wurde erneut der Riegel vorgeschoben.

Senatssprecherin Christine Richter teilte auf Anfrage mit, die beiden Senatsverwaltungen hätten sich „zu weiteren Sicherheitsmaßnahmen entschieden und am Montagmorgen die Beschäftigten darüber informiert“. Grund seien „bekannt gewordene Erkenntnisse“, dass durch den Hackerangriff „einzelne Passwörter für Fachverfahren veröffentlicht wurden“.

Der Tagesspiegel hatte am Montagmorgen eine umfangreiche Recherche zu dem geklauten Datensatz veröffentlicht. „Passwort.docx“ heißt eine von mehreren Dateien, in denen persönliche Zugangsdaten von Mitarbeitern unverschlüsselt niedergelegt worden sind. Manche der dort aufgelisteten Passwörter wie „Sonnenschein13“ oder „Ahabostsee123“ entsprechen nicht den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Die Hacker der Gruppe „Rhysida“ hatten vom 7. bis 14. August unbemerkt Zugriff auf die Netze der beiden Senatsverwaltungen. Im Internet fordern sie für den erbeuteten Datensatz 30 Bitcoin. Nach dem gegenwärtigen Kurs der Cyberwährung sind das etwas mehr als zwei Millionen Euro.

Bankdaten von Spitzenpersonal erbeutet

Es handelt sich um den größten Datendiebstahl in der Geschichte der Berliner Landesverwaltung. Der Regierende Bürgermeister Kai Wegner (CDU) hat sich eindeutig positioniert: „Das Land Berlin wird sich nicht erpressen lassen.“ Erbeutet worden sein sollen teils brisante, teils als Verschlusssache deklarierte Unterlagen, aber auch neben Passwörtern heikle Personalakten bis hin zu Bankdaten aus der höchsten Führungsebene.

Die Hackergruppe, die in den vergangenen Jahren wiederholt zugeschlagen hat, über die aber wenig bekannt ist, bietet die Daten im Darknet zum Kauf an. Also in einem abgeschirmten Teil des Internets, der nur über einen speziellen Browser zugänglich ist. Bis kommenden Freitagnachmittag können Gebote abgegeben werden – auch durch den Berliner Senat, der mit der Datensammlung erpresst werden soll.

Das Portal „ransomlook.io“ hat dokumentiert, was die Gruppe alles zu besitzen vorgibt – und mit welchen Auszügen aus Behördendokumenten das unterfüttert wird. Rund 1,44 Millionen Dateien wollen die Hacker nach eigenen Angaben abgezapft haben. Diese verteilen sich unter anderem auf:

124.823 Dateien mit Kartenmaterial oder Geodaten

77.939 Ordnungswidrigkeitsverfahren, Klagen, Rechtsgutachten

55.553 Haushaltsunterlagen, Rechnungen, Forderungen

46.522 Verträge

27.299 Personalakten und Gehaltsabrechnungen

11.777 als vertraulich oder geheim gekennzeichnete Ordner oder Dokumente

8110 Dokumente, Risikoanalysen, Notfallpläne der sogenannten Kritischen Infrastruktur

5941 Dateien mit Zugangsdaten

Wie die wenigen Screenshots von Dateien zeigen, mit denen die Echtheit des Materials belegt werden soll, stammt dieses aus einem recht großen Zeitraum – mindestens von 2014 bis 2026.

Vom aktuellen Datenklau sollen den Angaben von Rhysida zufolge 12.076 Menschen persönlich betroffen sein. Entwendet wurden demnach 16.389 E-Mails, 11.963 Telefonnummern und 148 IBANs. Auch private Daten des Spitzenpersonals sollen darunter sein: Kontonummern genauso wie Personalausweis-Informationen.

Mehrere Tausend Unterlagen aus dem Datenschatz sollen sich um Verfahren zu Ordnungswidrigkeiten drehen. Und auch die angeblich mehr als 5000 Dokumente aus Personalakten enthalten offenbar einige Vorgänge, die zumindest verwaltungsintern Unruhe auslösen könnten: In ihrem Schaufenster zeigen die Hacker Auszüge aus Disziplinarverfahren.