Die Berliner Stadtverwaltung hat einen Erpressungsversuch nach einem Ransomware-Angriff bestätigt. Auslöser der Bestätigung war ein Eintrag auf der Leak-Seite der Gruppe Rhysida, die den Angriff am 28. August öffentlich für sich reklamierte. Entdeckt worden war der Vorfall bereits Mitte August.
Rhysida beziffert die Beute auf 5,79 Terabyte, verteilt auf etwa 1,44 Millionen Dateien aus dem Verwaltungsnetz der Hauptstadt. Um den Druck auf die Berliner Behörden zu erhöhen, verweisen die Angreifer auf mögliche Verstöße gegen die DSGVO. Zum Zeitpunkt der Meldung blieben der Stadt nach Darstellung der Täter vier Tage, um zu zahlen, bevor die Dateien veröffentlicht werden sollen.
Bürgermeister Kai Wergner stellte klar, dass Berlin auf die Forderung nicht eingehen wird. Mit dem Fall befassen sich das Landeskriminalamt, die Staatsanwaltschaft sowie Sicherheitsbehörden des Bundes.
Forensische Ermittler stellten fest, dass die Angreifer auch Daten aus der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt abgezogen haben, wahrscheinlich zwischen dem 7. und dem 12. August. Am 14. August wurden die betroffenen Senatsverwaltungen vom Landesnetz getrennt. Die Untersuchung läuft weiter; wie groß der Datenabfluss tatsächlich ist, steht laut der Mitteilung noch nicht fest.
Einen wichtigen Punkt adressierte Senatorin Iris Spranger: Nach bisherigem Erkenntnisstand gibt es keine Hinweise darauf, dass Wahldaten kompromittiert wurden. Die technische Umgebung für die bevorstehende Wahl zum Berliner Abgeordnetenhaus werde als sicher eingestuft.
Wie Rhysida in die Systeme gelangte, ist bislang nicht bekannt. In einer früheren Kampagne, die Microsoft unterbunden hatte, nutzten die Betreiber der Ransomware manipulierte Teams-Installationsprogramme, um in Zielnetze einzudringen.
Rhysida ist seit Mitte 2023 aktiv. Zu den bevorzugten Zielen der Gruppe zählen Einrichtungen des Gesundheitswesens, Landesverwaltungen, Bildungseinrichtungen und Betreiber kritischer Infrastruktur.