|
Bremen (ots) - Zwischen dem 7. und 12. August 2026 kopierten Angreifer der
Ransomware-Gruppe Rhysida unbemerkt Daten aus zwei Berliner Senatsverwaltungen,
bevor der Angriff auf das Landesnetz BeLa am 14. August entdeckt wurde. Nachdem
das Land Berlin die geforderte Lösegeldzahlung von rund 2 Millionen Euro
verweigerte, veröffentlichte Rhysida den gesamten Datenbestand - 5,79 Terabyte,
1,44 Millionen Dateien - am 4. September im Darknet. Betroffen sind
personenbezogene Daten von mehr als 12.000 Menschen sowie Notfallpläne für
kritische Infrastruktur. Für die IT-Sicherheitsberatung von team neusta und den
Krisenkommunikationsspezialisten NetFed ist der Fall exemplarisch für ein
Risiko, dem Unternehmen jeder Größe ausgesetzt sind.
Aus Sicht von team neusta zeigt der Berliner Fall exemplarisch drei technische
Versäumnisse, die weit über die öffentliche Verwaltung hinaus verbreitet sind:
Zugangsdaten lagen im Klartext in Office-Dateien, der Datenabfluss blieb mehrere
Tage lang unerkannt, und eine unzureichende Netzwerksegmentierung ermöglichte
offenbar den Zugriff auf sensible Bestände einer anderen Verwaltung. Ähnlich
fehleranfällig war die Krisenkommunikation: Die erste Pressemitteilung folgte
erst vier Tage nach der Netztrennung und blieb mit Formulierungen wie
"ermittlungstaktische Gründe" vage; eine frühe Entwarnung des Regierenden
Bürgermeisters Kai Wegner, wonach keine sensiblen Daten betroffen seien, musste
Tage später korrigiert werden; und es gab keinen zentralen Kanal, über den sich
Bürger:innen und Medien zum aktuellen Stand informieren konnten. Für die
Bürger:innen hatte das handfeste Folgen: Über eine Woche lang konnten rund
50.000 Haushalte kein Wohngeld beantragen, beide Verwaltungen waren zeitweise
nur noch telefonisch erreichbar.
team neusta sieht darin ein Problem, das weit über Berlin hinausreicht.
Cyberangriffe auf deutsche Organisationen seien "längst Alltag, nicht Ausnahme",
sagt Tascha Schnitzler, Business Development Public Sector bei team neusta.
"Trotzdem haben wir das Gefühl, dass dieses Thema noch immer nicht mit der
Ernsthaftigkeit behandelt wird, die es verdient", so Schnitzler weiter. Das
betreffe auch das gesellschaftliche Vertrauen in staatliches Handeln:
Wahlbeteiligung und Stimmung bei den jüngsten Wahlen in Sachsen-Anhalt zeigten,
wie fragil dieses Vertrauen bereits sei und Vorfälle wie der Hackerangriff in
Berlin trügen nach Schnitzlers Einschätzung nicht dazu bei, es zu stärken.
Digitale Souveränität, Resilienz und Sicherheit seien dabei "keine Kür, sondern
Grundlage, die wir nur gemeinsam schaffen", so Schnitzler; als neusta wolle man
dazu seinen Teil beitragen, für Verwaltungen, Unternehmen und Bürger:innen
gleichermaßen.
Von der Aufklärungsarbeit zum Angriffswerkzeug
Nach Einschätzung von team neusta liegt eine besondere Gefahr des Falls darin,
dass sich aus vielen für sich genommen harmlosen Informationen - Organigrammen,
Rufnummern, Dienstleisterverträgen, Zugangsdaten, Notfallprozessen - in ihrer
Gesamtheit ein detailliertes Lagebild einer Organisation ergibt. Diese
Aufklärungsarbeit muss ein Angreifer normalerweise mühsam über OSINT, Scanning,
Phishing und interne Reconnaissance zusammentragen; ein geleaktes internes
Dokumentenarchiv nimmt einen Teil davon vorweg.
Besonders unmittelbar wirkt sich das beim Social Engineering aus: Eine
Phishing-Mail mit echten Namen, echten Vorgängen und dem tatsächlichen
Dienstleister ist deutlich schwerer zu erkennen als eine generische Massen-Mail
- ein Risiko, das nicht auf Berlin begrenzt bleibt, sondern jedes Unternehmen
betrifft, das mit den betroffenen Stellen zusammenarbeitet. Sollten sich
außerdem Berichte über Unterlagen mit Bezug zu Gesamtverteidigung und
ziviler-militärischer Zusammenarbeit im veröffentlichten Datenbestand
bestätigen, wäre ein solches Material nach Einschätzung von
Sicherheitsfachleuten auch für staatliche Akteure von Interesse, etwa zur
Vorbereitung hybrider Aktivitäten. Belastbare Aussagen dazu, welche Dokumente
konkret enthalten und wie aktuell sie sind, lassen sich nach heutigem Stand
allerdings nicht treffen.
Für André Conin, Key Account KI bei team neusta, markiert die Veröffentlichung
der gestohlenen Daten im Darknet einen Wendepunkt in der Bewertung solcher
Fälle. Die entscheidende Frage könne nicht mehr lauten, ob sich jeder
Cyberangriff verhindern lasse, sondern ob eine Organisation vorbereitet sei,
wenn er trotzdem eintrete: "Technische Sicherheit, Incident Response und
Krisenkommunikation müssen heute zusammengedacht werden", so Conin. "Systeme
lassen sich wiederherstellen, verlorenes Vertrauen deutlich schwerer." Im
schlimmsten Fall verliere eine Organisation bei einem Cyberangriff nicht nur
Daten, sondern etwas, das sich noch schwerer wiederherstellen lasse: Vertrauen.
Spätestens mit der Veröffentlichung gestohlener Informationen im Darknet werde
aus einem IT-Sicherheitsvorfall eine Vertrauenskrise. Cyber Resilience bedeute
deshalb nicht nur, Systeme zu schützen, sondern im Ernstfall handlungsfähig zu
bleiben, transparent zu kommunizieren und Vertrauen zu bewahren, erklärt Conin.
Strukturen statt Geheimnisse
Thorsten Greiten, Geschäftsführer des team-neusta-Partners NetFed, bringt den
Unterschied zwischen einem klassischen Datenschutzvorfall und dem Berliner Fall
auf eine einfache Formel: Ein Passwort lasse sich am Montag zurücksetzen, ein
Wasserwerk nicht. Die veröffentlichten 1,44 Millionen Dateien seien dabei "kein
Aktenstapel, sondern ein Datensatz", betont Greiten. Einzeln seien die meisten
Dokumente harmlos, zusammengesetzt ergäben sie jedoch ein Bild davon, wie eine
Organisation funktioniert und wo sie verwundbar ist. Die entscheidende
Sicherheitsbarriere müsse deshalb vor dem Datenabfluss stehen und nicht erst
hinterher vor der Suchmaschine ansetzen; auch der kommunikative Ernstfall
beginne nicht, wenn Systeme ausfallen, sondern wenn Daten veröffentlicht werden,
so Greiten. Löschaufforderungen an Plattformen oder Delisting-Anfragen an
Suchmaschinen, wie sie nach solchen Vorfällen häufig gefordert werden, stellten
dabei keine Vertraulichkeit wieder her - sie kommen für die eigentliche
Sicherheitsbarriere zu spät.
Fünf Bausteine für mehr Resilienz
team neusta und NetFed begleiten Unternehmen und Verwaltungen bereits seit
mehreren Jahren bei der Vorbereitung auf IT-Sicherheitsvorfälle. Aus der Analyse
des Berliner Falls leiten die beiden Unternehmen fünf Bausteine ab, die sich auf
Unternehmen jeder Größe übertragen lassen: ein dokumentierter und geübter
Incident-Response-Plan, der regelt, wer wann informiert wird und wer nach außen
kommuniziert; eine vorbereitete, juristisch geprüfte Darksite mit
Krisenkommunikationsvorlagen, die im Ernstfall innerhalb von Minuten aktivierbar
ist; regelmäßige, quartalsweise Sicherheitsaudits und Penetrationstests statt
einmaliger Prüfungen pro forma; eine Backup-Strategie nach der 3-2-1-Regel, um
im Fall einer Verschlüsselung handlungsfähig zu bleiben; sowie kontinuierliche
Mitarbeiterschulungen mit Phishing-Simulationen und einer Kultur, in der das
Melden eines Verdachts nicht sanktioniert wird.
Wichtig dabei: Der kommunikative Ernstfall endet nicht mit der Wiederherstellung
der Systeme, sondern beginnt häufig erst, wenn gestohlene Daten veröffentlicht
werden und sich Betroffene, Kundschaft, Aufsicht und Medien gleichzeitig melden.
Ziel ist eine Organisation, die technisch abgesichert und im Ernstfall
unmittelbar kommunikationsfähig ist - statt im Krisenfall tagelang zu
improvisieren.
Passende team neusta Deployed Blogs zum Thema: Ransomware-Angriff auf Berlin
(https://deployed-blog.de/ransomware-berlin-krisenkommunikation-unternehmen/)
und Berliner Datenleak, drei Wochen später
(https://deployed-blog.de/berliner-datenleak-kritis-informationssicherheit/)
IT-Sicherheit für Unternehmen - Penetrationstests und Sicherheitsberatung:
IT-Security | team neusta (https://www.team-neusta.de/de/was-wir-machen/services
/hosting-und-betrieb-security)
IT-Sicherheit speziell für Verwaltungen: eGovernment IT-Sicherheit | team neusta
(https://egovernment.team-neusta.de/de/Leistungen/IT-Sicherheit)
Andre Conin (team neusta): mailto:a.conin@neusta.de
Tascha Schnitzler (team neusta): mailto:t.schnitzler@neusta.de
Krisenkommunikation und Darksites: Beratung & Strategie | NetFed
(https://www.netfed.de/leistungen/beratung-strategie/)
Thorsten Greiten (NetFed): mailto:thorsten.greiten@net-federation.de
Pressekontakt:
Wiebke Jakob | Unternehmenskommunikation team neusta | Telefon: +49 421 20 696
512 |
E-Mail: presse@neusta.de
Weiteres Material: http://presseportal.de/pm/65484/6348928
OTS: team neusta SE
|
