Einen Sinn für Dramaturgie haben sie ja, die Erpresser des Landes Berlin: Am vergangenen Wochenende kam der nächste Schlag. Die kriminelle Hackertruppe legte nach, um den Berliner Senat erneut vorzuführen und veröffentlichte weitere Datenpakete darunter offenbar sehr sensible Passwörter und Zugangsdaten. Dies bestätigte die Berliner Senatskanzlei am 6. September ausdrücklich.

Um das Desaster vollständig zu machen, kann die Landesverwaltung auch Wochen nach dem dramatischen Einbruch in Berliner IT-Systeme immer noch nicht sagen, was eigentlich genau gestohlen wurde, wie viel und wen es betrifft. Zwischen dem 7. und 12. August wurden – wie wir ausführlich im TE Wecker und auf der TE-Seite berichteten – nach Angaben der Berliner Datenschutzbeauftragten erhebliche Datenmengen aus Verwaltungsnetzen kopiert. Betroffen sind Bereiche der Senatsverwaltungen für Bauen und Wohnen sowie für Verkehr, Umwelt und Klimaschutz. Am 14. August wurden die beiden Verwaltungen vom Landesnetz getrennt. Die Öffentlichkeit erfuhr drei Tage später von dem Angriff.

Während die Täter längst Daten eingesammelt hatten, begann für Bürger und Beschäftigte das Warten auf belastbare Auskünfte. Währenddessen gingen Kanzler Merz und der Regierende Bürgermeister Kai Wegner mit ihrem untrüglichen Gespür für deplazierte Kommunikation ein Baskettballspiel ansehen, wobei vermutlich das für die in den Fall Involvierten die beste Lösung gewesen sein dürfte. So konnten die zumindest versuchen, sich einen Überblick zu verschaffen. Wegner ließ verlauten, er werde natürlich voll informiert.

Die Erpressergruppe Rhysida forderte 30 Bitcoin, damals ungefähr zwei Millionen Euro. Der Berliner Senat zahlte bekanntlich nicht. Am vergangenen Freitag wurden nach Ablauf des Ultimatums große Datenpakete zum Herunterladen veröffentlicht. Auch ein überwiesenes Lösegeld hätte keine Garantie geboten, dass die Täter ihre Kopien löschen.

Mehr als eine Million Dateien aus der Landesverwaltung stehen jetzt im Netz. Wochen nach dem Einbruch kann der Senat noch immer nicht vollständig sagen, was gestohlen wurde und wen es trifft. Betroffen sind offenbar Bereiche der Senatsverwaltungen für Bauen und Wohnen sowie für Verkehr, Umwelt und Klimaschutz. Diese beiden Verwaltungen vertrauten ihre Datensicherheitsangelegenheiten nicht jenem IT-Dienstleistungszentrum Berlin ITDZ an, das für den gesamten Senat arbeitet, sondern betreiben Teile in eigener Verantwortung außerhalb des zentralen IT-Dienstleisters ITDZ.

Am 14. August wurden die beiden Verwaltungen vom Landesnetz getrennt. Die Öffentlichkeit erfuhr drei Tage später von dem Angriff.

Die kriminelle Hackergang Rhysida hatte zunächst 5,79 Terabyte geklauter Daten angekündigt. Der Tagesspiegel bezifferte den tatsächlich bereitgestellten Bestand auf 5,26 Terabyte und exakt 1.439.893 Dateien. Eine gewaltige Menge: rechnerisch entspricht dies etwa 41 Speichern mit jeweils 128 Gigabyte. Anschaulicher die notwendige Arbeitszeit: Wer jede Datei nur eine Minute ansieht, benötigt knapp 24.000 Stunden. Bei angenommenen 1.600 Arbeitsstunden jährlich wären das rund 15 Arbeitsjahre für einen einzigen Prüfer. Und eine Minute reicht kaum, um eine umfangreiche Akte zu bewerten.

Die Brisanz liegt allerdings weniger in der Speichermenge als im Inhalt. Medienrecherchen beschreiben Personalunterlagen, private Kontaktdaten, Verträge, Verwaltungsdokumente und Informationen zur kritischen Infrastruktur. Hinzu kommen Unterlagen zur zivilen Verteidigung und zu Einrichtungen, die im Krisenfall geschützt werden müssen. Der Tagesspiegel berichtete über Vorsorgeplanungen für den Verteidigungsfall. Ein solcher Bestand kann Zusammenhänge sichtbar machen, die aus einer einzelnen Datei nicht hervorgehen: Zuständigkeiten, Ansprechpartner, Abläufe und Abhängigkeiten.

Allerdings stammen die Angaben über Tausende Passwörter, Zehntausende Verträge oder betroffenen Personen meist von den Erpressern selbst und sind keine amtlich geprüfte und bestätigte Schadensbilanz. Sie sind also mit Vorsicht zu genießen. Ein dramatisch klingender Ordnername beweist noch nicht, dass sein Inhalt aktuell oder sicherheitskritisch sein muss.

Gesichert ist hingegen die jüngste Eskalationsstufe: In der Nacht zum Sonntag wurde ein weiteres Paket veröffentlicht eben auch jenes mit Zugangsdaten. Immerhin verschärfte die Bauverwaltung daraufhin ihre Sicherheitsmaßnahmen und kündigte mögliche Einschränkungen bei Fachverfahren an. Welche Anwendungen betroffen sind und welche konkreten Folgen Bürger erwarten müssen, bleibt bislang offen. Auch nennt die Mitteilung lediglich „die Täter“. Dass Rhysida selbst dieses zweite Paket eingestellt hat, ist damit nicht eindeutig bestätigt.

Am Montag versuchte Digitalstaatssekretär Florian Hauer, besonders alarmierende Berichte zu relativieren. Bislang seien keine Daten mit erhöhter Sicherheitsrelevanz für Bund, Bundeswehr oder nationale Sicherheit festgestellt worden, meinte er. Die gefundenen Verschlusssachen trügen lediglich die niedrigste Einstufung „VS – Nur für den Dienstgebrauch“. Unterlagen mit Bezug zum Militärischen Abschirmdienst hätten sich beispielsweise als Parkgenehmigungen erwiesen, so Hauer.
Selbst der Einbruchsweg ist weiterhin ungeklärt. Baustaatssekretär Alexander Slotty erklärte, man wisse noch nicht, wo und wie der Angriff begonnen habe. Phishing sei eine mögliche Erklärung, aber bislang kein nachgewiesener Ablauf.

KI-Werkzeuge sollen jetzt helfen, die Dateimassen nach Risiken zu sortieren. Das kann die Sichtung beschleunigen. Es ersetzt jedoch weder die Prüfung der Ergebnisse noch die Verantwortung, Betroffene zuverlässig zu informieren.

Deutlich wird, welches unglaubliche Chaos in Sachen IT-Sicherheit in der Berliner Landesverwaltung herrschen muss. Allein über die Frage, wer die verbliebenen Systeme untersuchen darf und welche Software für die Spurensuche eingesetzt werden solle, gibt es gepflegte Auseinandersetzungen zwischen Senat und Bezirken. Die Senatskanzlei hat das US-Unternehmen CrowdStrike beauftragt, die Berliner Verwaltungssysteme auf Spuren der Angreifergruppe Rhysida zu untersuchen. Der Senat erklärte diese Software des US-Konzerns für „alternativlos“. Zwei Bezirke verweigern oder stoppen allerdings zeitweise deren Einsatz.

Der Digitalstaatssekretär drohte daraufhin mit der Abkopplung ganzer Behördenbereiche. Inzwischen, am 8. September, hat der Bezirk Lichtenberg eingelenkt und will das US-Unternehmen auf seine Server lassen. Doch der Streit zeigt, weshalb Berlin bei der IT-Sicherheit seit Jahren nicht vorankommt: Es gibt zentrale Vorgaben, dezentrale Verantwortung, zahlreiche eigene Netze und Fachverfahren und im Ernstfall ist nicht einmal eindeutig geklärt, wer wem etwas anordnen darf.

Dafür soll auf Servern und Arbeitsrechnern der sogenannte „Falcon Agent“ installiert werden. Diese Software ist ein sogenanntes EDR-System – „Endpoint Detection and Response“. Sie beobachtet Vorgänge auf Rechnern und Servern, sucht nach verdächtigen Dateien, ungewöhnlichen Anmeldungen, manipulierten Systemeinstellungen und digitalen Hintertüren. Sie soll klären, auf welchen Geräten die Täter aktiv waren und ob sie weitere Zugänge hinterlassen haben.
Damit ein solches Programm Angriffe erkennen kann, benötigt es weitreichende Rechte. Es muss Prozesse, Benutzerkonten, Netzwerkverbindungen und Veränderungen am Betriebssystem kontrollieren können. Genau diese technisch notwendigen Befugnisse wurden zum politischen und datenschutzrechtlichen Streitpunkt.

CrowdStrike soll in erster Linie die noch betriebenen IT-Systeme auf Angriffsspuren untersuchen. Die Sichtung der bereits veröffentlichten 1,2 bis 1,4 Millionen Dateien ist eine andere Aufgabe. Dafür will Berlin zusätzlich KI-Werkzeuge verwenden, die Dokumente nach ihrem möglichen Risiko vorsortieren sollen. Welcher Anbieter dafür verwendet wird, wo diese Auswertung stattfindet und ob Daten dafür in eine Cloud übertragen werden, hat der Senat bislang nicht transparent erläutert.

Das Bezirksamt Lichtenberg lehnte die Installation des Falcon Agent zunächst grundsätzlich ab. Nach einem internen Schreiben, über das zuerst der rbb berichtete, befürchtete der Bezirk einen „nahezu unbegrenzten Zugriff“ auf sämtliche Daten, einschließlich personenbezogener Angaben. Auch eine Überwachung der Arbeitsgeräte und damit des Verhaltens der Beschäftigten sei technisch möglich.
Lichtenberg behauptete außerdem, die Software lasse sich möglicherweise später nicht vollständig entfernen. Hinzu kamen Rückmeldungen aus anderen Bezirken, wonach Falcon zu schweren Störungen bei Fachverfahren und Programmen geführt habe. Der Bezirk verwies darauf, bereits ein Sicherheitsprodukt eines Konkurrenten einzusetzen und bei eigener Prüfung keine Hinweise auf Rhysida gefunden zu haben. Er wollte CrowdStrike zunächst nur zulassen, wenn die Senatskanzlei sämtliche Verantwortung, Kosten und Folgeschäden übernimmt. Dass ein Sicherheitsprogramm tief in Betriebssysteme eingreift, ist allerdings kein Skandal, sondern Voraussetzung seiner Funktion.

Beide Seiten führen damit vor, was Berlin seit Jahren kennzeichnet: Der Senat verlangt Einheitlichkeit, besitzt aber keinen klaren Durchgriff. Die Bezirke pochen auf Eigenständigkeit, verfügen jedoch über höchst unterschiedliche Sicherheitsstandards. Das ITDZ soll zentral schützen, betreibt aber nur Teile der Systeme. Fachverwaltungen verwenden eigene Verfahren, veraltete Programme und dezentrale Server.

Die Probleme waren bekannt. ITDZ-Chefin Maria Borelli warnte Ende 2024, Haushaltskürzungen gefährdeten die IT-Sicherheit. Beim Ausbau des Landesnetzes wurden 14 von 32 Millionen Euro gestrichen. Gleichzeitig musste das ITDZ Gewinne an den Landeshaushalt abführen. Borelli warnte vor veralteten Programmen, fehlender Investitionsplanung und dem Risiko, sicherheitsrelevante Probleme zu spät anzugehen.

Der Rechnungshof stellte 2025 im Bezirksamt Marzahn-Hellersdorf veraltete Technik, unzureichend gesicherte Serverräume und fehlende Sicherheits- und Notfallkonzepte fest. Ein ordnungsgemäßes IT-Notfallkonzept habe dort seit 2015 gefehlt. Die Verwaltung erfüllte weder die Vorgaben des Landes noch die Standards des BSI.

Auch bei der Schulung der Beschäftigten zeigt sich dasselbe Muster: Zwar verpflichtet das Berliner E-Government-Gesetz jede Behörde zu jährlichen Fortbildungen zur Informationssicherheit. Der Senat kontrollierte jedoch nicht systematisch, ob diese tatsächlich durchgeführt wurden, sondern ging schlicht davon aus. 2023 gab es nach einer parlamentarischen Anfrage keine dokumentierten Live-Hacking-Veranstaltungen, 2024 lediglich zwei mit insgesamt 280 Teilnehmern.

Steglitz-Zehlendorf hatte CrowdStrike installiert, entfernte die Software jedoch wieder. Als Grund wurden „Replikationsfehler“ bei der Reaktivierung von Benutzerkonten nach Passwortänderungen genannt. Hier handelte es sich offenbar weniger um einen grundsätzlichen Widerstand gegen ein US-Unternehmen als um konkrete technische Probleme.

Am Montag hatten zehn der zwölf Bezirke das Programm installiert. Andere hatten nur zögerlich reagiert, obwohl die erste Aufforderung bereits am 20. August ergangen war. Mehrere Bezirksbürgermeister konnten zwischenzeitlich nicht sicher sagen, ob die Installation in ihrem Bereich erfolgt war.

Immerhin kündigte der Senat eine zentrale Anlaufstelle für möglicherweise betroffene Bürger und Unternehmen an. Zunächst ist eine E-Mail-Adresse vorgesehen, möglicherweise später eine Hotline. Auf seiner Internetseite behauptet Berlin, zentrale und dezentrale Sicherheitskonzepte griffen „reibungslos ineinander“. Der Streit um CrowdStrike liefert dazu den unfreiwilligen Realitätscheck.

Nach dem Daten-GAU ist immer noch nicht sichtbar, was Hacker gestohlen haben. Sichtbar wird auch eine Verwaltungsstruktur, in der Zuständigkeit auf viele Schultern verteilt wird – bis kaum noch zu erkennen ist, wer die Verantwortung trägt. Das dürfte vermutlich auch Sinn der Verwirrung sein. Zuerst die Verantwortung vom eigenen Schreibtisch wegzuwischen ist schließlich oberste Beamtenpflicht.