Nach Darstellung der Datenschutzaufsicht könnten Namen, Adressen, Geburtsdaten, Bankdaten, E-Mail-Adressen und Telefonnummern betroffen sein, ebenso Korrespondenz mit Behörden und Kopien von Dokumenten, die der Verwaltung eingereicht wurden. Wegen des Datenvolumens ist die Prüfung der veröffentlichten Dateien noch nicht abgeschlossen. Berlin hat eine zusätzliche Task Force eingerichtet, die das geleakte Material auswertet und ermittelt, wer betroffen sein könnte.
Die Senatsverwaltung für Stadtentwicklung hat die nach dem ersten Datenleck eingeführten Sicherheitsmaßnahmen verschärft. Das könne, so die Verantwortlichen, den Zugriff auf einzelne Anwendungen zeitweise einschränken.
„Hier ist eine sehr schwere Straftat gegen das Land Berlin begangen worden", sagte der Regierende Bürgermeister Kai Wegner am Samstag. Die Behörden arbeiteten daran, Betroffene zu identifizieren und zu unterstützen. Zahlen will das Land nicht: Wegner hatte im vergangenen Monat erklärt, Berlin werde die Angreifer nicht bezahlen. „Das Land Berlin lässt sich nicht erpressen", sagte Berlins Chief Digital Officer Florian Hauer.
Rhysida behauptete Ende August, unter den 5,79 Terabyte befänden sich Zehntausende Verträge, E-Mails, Passwörter und Verschlusssachen. Berlin hat weder die Gruppe offiziell als Täter benannt noch Umfang oder Inhalt der Beute bestätigt.
Die betroffenen Systeme wurden am 14. August vom weiteren Berliner Verwaltungsnetz getrennt. Beide Verwaltungen arbeiteten weiter, doch fehlten Beschäftigten teils E-Mail- und Internetzugang; auch Dienstleistungen für Bürger, die auf diesen Systemen aufsetzen, waren zeitweise beeinträchtigt.
Parallel warnte das Bundesamt für Sicherheit in der Informationstechnik (BSI) am Freitag vor einer Angriffskampagne, die es derselben finanziell motivierten Gruppierung hinter Rhysida zuordnet. Berlin nannte die Behörde nicht ausdrücklich als Opfer, teilte aber mit, im August über die Kompromittierung einer Regierungsinstitution informiert worden zu sein.
Die Kampagne gleicht laut BSI den von Microsoft kürzlich dokumentierten TerminalFix-Angriffen: Die Täter kompromittieren Webseiten und zeigen gefälschte CAPTCHA-Prüfseiten an, die Besucher dazu verleiten, schädliche Befehle manuell auf ihrem Rechner auszuführen. Eingegangene Meldungen deuteten darauf hin, dass die Angreifer sowohl Daten stehlen als auch Ransomware installieren wollten, um Opfer mit der Drohung einer Veröffentlichung unter Druck zu setzen. Eingesetzt werde die Schadsoftware LoremIpsumLoader, auch als AxolotLoader bekannt.
„Nach derzeitigen Erkenntnissen wird die Kampagne von cyberkriminellen Akteuren durchgeführt", so das BSI. „Ein Zusammenhang mit staatlich gesteuerten oder politisch motivierten Akteuren ist bislang nicht feststellbar."
Rhysida ist seit 2023 aktiv und griff weltweit Regierungen, Krankenhäuser, Schulen und Unternehmen an. Nach BSI-Angaben zählen Behörden und öffentliche Verwaltung zu den fünf am häufigsten auf der Leak-Seite der Gruppe genannten Sektoren, Hauptziele bleiben jedoch Bildung und Gesundheitswesen. In 92 Prozent der Fälle, in denen Opfer dort genannt werden, würden die gestohlenen Daten letztlich veröffentlicht.
Der Vorfall fällt in die Zeit vor der Berliner Wahl am 20. September. Innensenatorin Iris Spranger hatte erklärt, es gebe keine Hinweise auf einen Datendiebstahl aus Wahlsystemen; das Wahlumfeld sei sicher.