Cyberangriff auf Berliner Behörden
Die Berliner Behörden haben sich geweigert, auf die angebliche Erpressungsforderung von 30 Bitcoin zu reagieren, nachdem ein Cyberangriff zwei staatliche Behörden getroffen hat. Die Beamten konnten bislang nicht bestätigen, wie viele Daten tatsächlich gestohlen wurden. Die Senatskanzlei Berlin erklärte, dass sie keine Details zu den Angreifern, ihren Forderungen oder den möglicherweise aus den Regierungssystemen entwendeten Informationen bekannt geben werde, solange die Untersuchung aktiv ist. Ein Sprecher des Senats sagte der deutschen Nachrichtenagentur dpa, dass die Beamten „aus ermittlungstechnischen Gründen“ zu diesem Zeitpunkt keine Kommentare abgeben konnten.
„Der Staat Berlin wird sich nicht erpressen lassen“,
bestätigte der Berliner Bürgermeister Kai Wegner nach einer Sondersitzung des Senats am Freitag. Er nannte die Angreifer nicht öffentlich und gab die geforderte Summe nicht bekannt. Innenministerin Iris Spranger schloss sich Wegner an, um die Öffentlichkeit nach der Sitzung zu informieren, während die Behörden weiterhin untersuchten, welche Informationen die Regierungssysteme verlassen hatten.
Details zum Angriff
Das deutsche Magazin Der Spiegel berichtete, dass Rhysida hinter dem Angriff steckte, und verwies auf Informationen, die die Ransomware-Gruppe auf ihrer Dark-Web-Leak-Website veröffentlicht hatte. Sicherheitsquellen identifizierten Berichten zufolge Rhysida als die Gruppe, die für den Erpressungsversuch verantwortlich ist. Die Angreifer forderten 30 BTC und drohten, die Informationen zu veröffentlichen, wenn Berlin nicht zahle, was etwa 2 Millionen Euro entsprach. Rhysida behauptete, fast sechs Terabyte Daten entwendet zu haben, darunter Informationen aus Zehntausenden von Verfahren wegen Verwaltungsverstößen, Verträge, Passwörter, Anmeldedaten, Notfallpläne und Dokumente zu kritischer Infrastruktur.
Die Berliner Behörden haben die Menge der von der Gruppe beanspruchten Daten oder die vollständige Liste der kompromittierten Aufzeichnungen nicht unabhängig bestätigt. Diese Unterscheidung ist für den offiziellen Bericht über den Vorfall wichtig geworden, da sich die Einschätzung der Regierung nach der Entdeckung des Angriffs änderte. Die Beamten hatten zunächst gesagt, dass nur öffentlich zugängliche Informationen entwendet worden seien, bevor die Senatskanzlei letzten Mittwoch anerkannte, dass auch nicht-öffentliche Daten betroffen waren.
Folgen des Angriffs
Der Angriff wurde am 14. August öffentlich und betraf das Berliner Senatsamt für Stadtentwicklung, Bauen und Wohnen sowie das Senatsamt für Mobilität, Verkehr, Klimaschutz und Umwelt. Beide Behörden wurden vorübergehend vom staatlichen Netzwerk Berlins getrennt, während die Beamten daran arbeiteten, den Vorfall einzudämmen. Die Trennung dauerte etwa eine Woche und störte einige Verwaltungsdienste. Deutsche Berichte besagten, dass die Bewohner vorübergehend nicht in der Lage waren, Wohnbeihilfen zu beantragen oder zu erhalten, während die betroffenen Systeme isoliert blieben.
Die Ermittler bestimmen weiterhin, wann der Eindringling begann und wie viele Informationen das Netzwerk verlassen haben. Berichte, die die Untersuchung zitieren, besagen, dass Daten möglicherweise zwischen dem 7. und 12. August extrahiert wurden, mehrere Tage bevor die Beamten den Angriff entdeckten. Das Berliner Landeskriminalamt und die Staatsanwaltschaft ermitteln den Vorfall.
Reaktionen und weitere Entwicklungen
Spranger sagte, der Angriff habe die Vorbereitungen für die Landtagswahl in Berlin am 20. September nicht beeinträchtigt und beschrieb die Wahlinfrastruktur als vollständig gesichert. Der Ransomware-Fall folgt einem weiteren Cyberangriff auf die Regierung, bei dem eine Bitcoin-Forderung im Juli gemeldet wurde. Hacker übernahmen die offizielle Website des kenianischen Präsidenten William Ruto und forderten 5 BTC, während sie drohten, nicht näher bezeichnete Informationen offenzulegen.
Rhysida trat 2023 in Erscheinung und wurde mit Angriffen auf Regierungsstellen, Gesundheitsorganisationen und andere Institutionen in mehreren Ländern in Verbindung gebracht. Die Gruppe hat zuvor Organisationen wie die British Library und die chilenische Armee ins Visier genommen. Ihre Operationen kombinieren in der Regel Netzwerk-Eindringlinge mit Zahlungsforderungen, während die Drohung, gestohlene Informationen zu veröffentlichen, genutzt werden kann, um Opfer unter Druck zu setzen.
Kryptowährungen und Ransomware
Bitcoin und andere Kryptowährungen sind in Ransomware-Fällen immer wieder aufgetaucht, da Angreifer Zahlungen an Blockchain-Adressen ohne die Verwendung herkömmlicher Bankkonten leiten können. Transaktionen auf der öffentlichen Blockchain können weiterhin verfolgt werden. Ein Bericht von crypto.news über Blockchain-Forensik erläuterte, wie Ermittler Kryptowährungsbewegungen zwischen Adressen zurückverfolgen und Transaktionsmuster sowie andere Informationen nutzen können, um Gelder mit Dienstleistungen oder Einzelpersonen zu verbinden.
Im August 2025 beschlagnahmten US-Behörden 1,09 Millionen Dollar in Kryptowährung, die mit der BlackSuit-Ransomware-Gruppe in Verbindung stand. BlackSuit war mit mehr als 450 bekannten US-Opfern und über 370 Millionen Dollar an Erpressungsforderungen seit 2022 in Verbindung gebracht worden. Ein Opfer zahlte 49,3 BTC im Jahr 2023 nach einem Angriff, wobei die Ermittler später einen Teil der Zahlung zurückgewannen.
Die Ermittlungen in Berlin konzentrieren sich weiterhin darauf, das Ausmaß des Vorfalls festzustellen, während die Regierung Details zurückhält, die, wie die Beamten sagen, die Untersuchung beeinträchtigen könnten. Die Ansprüche von Rhysida über das gestohlene Material stammen aus den Dark-Web-Kommunikationen der Gruppe und wurden von der Berliner Regierung nicht vollständig verifiziert. Die Beamten haben bestätigt, dass nicht-öffentliche Informationen betroffen waren, und damit die ursprüngliche Einschätzung umgekehrt, dass das kompromittierte Material auf öffentlich zugängliche Daten beschränkt war.
