BSI warnt nach dem Berliner Datenleck vor Phishing-Wellen und Hack-and-Leak

Einen Tag nachdem die Erpressergruppe Rhysida den erbeuteten Datensatz aus dem Berliner Landesnetz frei zugänglich ins Darknet gestellt hat, hat sich das Bundesamt für Sicherheit in der Informationstechnik zu Wort gemeldet. Das BSI warnt vor den Folgen der Veröffentlichung: gezielte Phishing-Angriffe, Identitätsdiebstahl und der Missbrauch echter Dokumente in einem falschen Zusammenhang. Der Ablauf des Angriffs und die Entscheidung des Senats gegen eine Zahlung sind hier nachgezeichnet.

Das BSI weist ausdrücklich darauf hin, dass sich aus der Veröffentlichung gestohlener Daten verschiedene Risiken für die Betroffenen und letztlich für die Gesellschaft ergeben können.

So fasste ein Sprecher der Behörde die Lage zusammen. Nach Angaben der Angreifer umfasst der Datensatz rund 5,8 Terabyte und etwa 1,44 Millionen Dateien. Das Land Berlin hat diese Zahlen bislang nicht bestätigt.

Warum Phishing nach so einem Leak besser funktioniert

Der praktische Wert der Daten für Angreifer liegt weniger in einzelnen Passwörtern als in der Vollständigkeit. Wer Organigramme, interne Vorgangsnummern, Telefonlisten und laufende Verfahren vorliegen hat, kann eine E-Mail schreiben, die sich nicht mehr an den üblichen Merkmalen erkennen lässt: Sie nennt den richtigen Sachbearbeiter, das richtige Aktenzeichen und einen Vorgang, der tatsächlich läuft.

Genau davor warnt das BSI. Kriminelle könnten die abgeflossenen Informationen nutzen, um über täuschend echte Mails weitere Zugangsdaten zu erlangen oder Identitäten zu übernehmen. Betroffen sind dabei nicht nur Beschäftigte des Landes, sondern auch Unternehmen und Privatpersonen, die mit den beiden angegriffenen Senatsverwaltungen zu tun hatten, etwa in Bau-, Genehmigungs- oder Bußgeldverfahren.

Hinzu kommt, dass im Datensatz Zugangsdaten im Klartext liegen, unter anderem zu Verwaltungsdatenbanken und Zahlungsdienstleistern. Solche Passwörter werden erfahrungsgemäß auch andernorts wiederverwendet, was das Risiko über die Verwaltung hinaus verschiebt.

Der zweite Warnhinweis zielt auf den 20. September

Am 20. September 2026 wählt Berlin ein neues Abgeordnetenhaus. Das BSI warnt für diesen Zeitraum ausdrücklich vor sogenannten Hack-and-Leak-Operationen. Gemeint ist nicht das Fälschen von Dokumenten, sondern das Gegenteil: Echtes Material wird zu einem passenden Zeitpunkt und ohne Kontext veröffentlicht, um Stimmung zu erzeugen. Ein Vermerk aus einem laufenden Verfahren, aus dem Zusammenhang gelöst, wirkt anders als derselbe Vermerk mit der zugehörigen Vorgeschichte.

Das BSI stuft den Angriff selbst weiterhin als rein finanziell motiviert ein. Politische Ziele sieht die Behörde bei Rhysida nicht, die Forderung lag bei 30 Bitcoin. Das Risiko entsteht in der zweiten Stufe: Sobald der Datensatz frei verfügbar ist, kann ihn jeder verwenden, auch Akteure mit ganz anderen Absichten.

Notfallpläne und Unterlagen zur kritischen Infrastruktur

Bei der Sichtung des Materials sind Dokumente aufgetaucht, die über Personaldaten deutlich hinausgehen. Berichtet werden Schwachstellenanalysen zur Berliner Trinkwasserversorgung, Unterlagen zu Krankenhäusern und Notstromanlagen sowie ein Leitfaden zur zivilen Verteidigung im Land Berlin aus dem Innenressort.

Der IT-Sicherheitsberater Manuel Atug, Gründer der AG Kritis, wirft dem Land in diesem Punkt schweres Versagen vor: Berlin habe grob fahrlässig gehandelt und die Vorgaben des Geheimschutzes nicht eingehalten. Solches Material gehöre nicht in ein normales Verwaltungsnetz. Atug verweist darauf, dass er den Innenausschuss bereits 2023 und 2025 auf Lücken hingewiesen habe.

Die Aufarbeitung läuft weiter. Forensiker sichten den veröffentlichten Datensatz, um zu bestimmen, wer betroffen ist. Die Benachrichtigung der Betroffenen soll risikobasiert erfolgen, also nach Schwere der jeweiligen Betroffenheit gestaffelt.

Was das für Ihr Unternehmen heißt

Auch wer mit Berlin nichts zu tun hat, sollte die kommenden Wochen als erhöhte Gefährdungslage behandeln. Aus einem Leak dieser Größe entstehen Angriffe, die weit über den ursprünglichen Kreis hinausgehen.

• Rechnen Sie mit gut gemachten Mails, nicht mit schlechten. Die klassischen Erkennungsmerkmale wie Rechtschreibfehler oder falsche Anrede fallen weg, wenn die Angreifer echte Vorgangsdaten haben. Verlassen Sie sich auf Prüfwege, nicht auf Bauchgefühl.
• Zahlungs- und Stammdatenänderungen nur über einen zweiten Kanal. Eine geänderte Bankverbindung oder eine kurzfristige Überweisung gehört telefonisch bestätigt, über eine bekannte Nummer, nicht über die in der Mail genannte.
• Prüfen Sie, wo Passwörter im Klartext liegen. Zugangsdaten in Office-Dateien, Notizen oder auf Netzlaufwerken sind der Punkt, an dem aus einem Datenabfluss eine Kette wird. Ein Passwortmanager löst das ohne Projektaufwand.
• Mehrfaktor-Anmeldung dort, wo Geld oder Daten liegen. Gestohlene Passwörter allein reichen dann nicht mehr aus, um einen Zugang zu übernehmen.
• Wenn Sie mit betroffenen Stellen im Verfahren stehen, gehen Sie von Kenntnis der Angreifer aus. Aktenzeichen und Ansprechpartner sind kein Echtheitsbeweis mehr.
• Legen Sie fest, wer im Ernstfall spricht. Bei Hack-and-Leak zählt die erste Stunde. Wer erst dann klärt, wer Auskunft gibt und was bestätigt wird, verliert die Deutungshoheit über einen Vorgang, den man selbst am besten kennt.

Wer die eigene Abwehr gegen diese Art von Angriffen einmal strukturiert durchgehen möchte, kann sich dazu gern melden.