Das Land Berlin wird nach einem Cyberangriff erpresst. Die Ransomware-Gruppe Rhysida verlangt nach eigenen Angaben 30 Bitcoin (rund 2 Millionen Euro) und droht mit der Veröffentlichung von fast sechs Terabyte gestohlener Daten.

Berlin bestätigt Bitcoin-Erpressungsversuch

Der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger bestätigten den Erpressungsversuch am 28. August. Wegner sagte nach einer Sondersitzung des Senats:

„Das Land Berlin lässt sich nicht erpressen. Gegen die mutmaßlichen Täter des Hacker-Angriffs auf das Landesnetz Berlin ermitteln in enger Zusammenarbeit das Landeskriminalamt Berlin, die Staatsanwaltschaft und die Sicherheitsbehörden des Bundes mit Hochdruck. Die Untersuchungen zu Inhalt und Umfang der abgeflossenen Daten werden mit großer Intensität vorangetrieben.“

Tipp der Redaktion: Bitcoin fällt nach Warsh-Rede: Dollar und Zinserwartungen steigen

Spranger kündigte an, keine Forderung zu erfüllen:

„Wir werden nicht zulassen, dass diese Erpressung in der Bundeshauptstadt und in Berlin erfolgt.“

Der Angriff wurde Mitte August öffentlich bekannt. Die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt wurden daraufhin am 14. August vorsorglich vom Landesnetz getrennt.

Inzwischen steht fest, dass zwischen dem 7. und 12. August weitere Daten aus dem Geschäftsbereich der Mobilitätsverwaltung abgeflossen sind. Berlin kann derzeit nicht ausschließen, dass darunter personenbezogene oder kritische Informationen sind.

Rhysida reklamierte den Angriff am 28. August auf seiner Leak-Seite im Darknet für sich. Laut einem Reuters-Bericht behauptet die Gruppe, insgesamt 5,79 Terabyte Daten kopiert zu haben. Gebote auf die angeblich gestohlenen Informationen seien sieben Tage lang möglich.

Darunter sollen sich 46.500 Verträge, E-Mails, Telefonnummern, Passwörter und vertrauliche Dokumente befinden. Zudem sollen Daten zu fast 80.000 Ordnungswidrigkeitsverfahren, Justizunterlagen, Notfallplänen und knapp 6.000 Dateien mit Login-Daten erbeutet worden sein.

Angaben der Hacker sind nicht bestätigt

Als Startpreis für die gestohlenen Daten nennt Rhysida 30 Bitcoin. Die Gruppe setzte Berlin demnach eine Frist von einer Woche.

Weder die geforderte Summe noch die behauptete Datenmenge und die detaillierte Dateiliste sind von Berlin bestätigt. Die Behörden äußern sich aus ermittlungstaktischen Gründen nicht zu den Tätern oder den konkreten Forderungen.

Die IT-Sicherheitsexpertin Bianca Kastl vom Chaos Computer Club unterstützt Berlins Entscheidung, nicht zu zahlen:

„Weil durch das Geschäftsmodell erst ermöglicht wird, dass es immer wieder Geldzufluss für diese Banden gibt. Wenn keiner mehr zahlt, ist das Geschäft irgendwann ausgetrocknet.“

Kastl warnt zugleich, dass andere kriminelle Gruppen die Daten kaufen und für weitere Straftaten verwenden könnten.

Lesetipp: Eric Trump Interview: “Ich werde Bitcoin für immer halten”

Rhysida ist seit 2023 aktiv und hat staatliche Einrichtungen, Unternehmen, Schulen und Krankenhäuser gehackt. Zu den bekanntesten Fällen gehört die Attacke auf die British Library, deren digitale Infrastruktur über Monate beeinträchtigt war.

Hack entfacht DAC8-Debatte erneut

Der Vorfall dürfte erneut die DAC8-Debatte über zentral gespeicherte Krypto-Daten verstärken. Ab 2027 melden Krypto-Dienstleister erstmals Identitätsdaten und aggregierte Transaktionsinformationen ihrer Kunden an das Bundeszentralamt für Steuern.

Der Berliner Fall zeigt, dass auch Datenbestände deutscher Behörden nicht ausnahmslos sicher sind. Ein Diebstahl von Krypto-Daten wäre für die Betroffenen besonders kritisch, da Kriminelle daraus Listen vermeintlich vermögender Krypto-Halter samt Anschriften und Informationen zu ihren Beständen erstellen könnten.

Brutale Überfälle und Erpressungsfälle, wie sie zuletzt insbesondere in Frankreich bekannt wurden, unterstreichen dieses Risiko.