We are fucking fucked

Der Screenshot zeigt einen BILD-Artikel über den mutmaßlichen Datendiebstahl beim Berliner Senat. Eingebettet ist offenbar ein Screenshot einer Veröffentlichung der Angreifer, in der sie den Umfang und die Art der angeblich erbeuteten Daten beschreiben.

Ich mache es mir heute einfach und lasse die künstliche Intelligenz den Screenshot interpretieren, in dem es um den Angriff der Gruppe Rhysida auf Daten der Berliner Verwaltung geht.

Besonders auffällig ist, dass es nach dieser Darstellung nicht nur um gewöhnliche Verwaltungsdaten geht. Die Angreifer behaupten unter anderem:
► 5,79 TB, etwa 1,44 Millionen Dateien.
► Große Dokumentgruppen: 124.823 Karten/Geodaten, 77.939 Rechts-/Beschwerdedokumente, 55.553 Finanzunterlagen, 46.522 Verträge, 27.299 Personalunterlagen.
► Vertrauliches: 11.777 als „Confidential“ klassifizierte Dateien und 8.110 Infrastrukturdateien.
► Zugangsdaten: 5.941 Passwort-bezogene Datensätze; ausdrücklich behauptet werden auch Zugangsdaten im Klartext und Zugangsdaten von Führungskräften.
► Personenbezogene Daten: angeblich 16.389 E-Mail-Adressen, 11.963 Telefonnummern, Daten zu 12.076 Personen und 148 IBANs.
► Personalakten: mehr als 5.000; außerdem Gehaltsdaten, Ordnungswidrigkeitenakten, PST-Mailarchive und private Daten von Führungskräften.
► Behördeninterne sensible Vorgänge: Disziplinarverfahren und offenbar Material im Zusammenhang mit dem LKA Staatsschutz.
► Geheimschutz: Die Angreifer behaupten, Protokolle eines Bundesratsausschusses sowie Daten zur Behandlung von Verschlusssachen erbeutet zu haben.
► Ausweise/Pässe: aktuelle Ausweis- bzw. Passdaten aus Personalakten und als „GI-Vertraulich“ bezeichneten Beständen.
► KRITIS: besonders brisant ist die Behauptung vulnerability analyses of Berlin’s water supply, also Schwachstellenanalysen der Berliner Wasserversorgung.
► NDA: 3.226 Dokumente, die offenbar Geheimhaltungsvereinbarungen unterliegen.

Was daran besonders brisant ist: Falls die Angaben der Angreifer stimmen, wäre die entscheidende Dimension nicht die Datenmenge von 5,79 TB, sondern die Mischung verschiedener Datenbestände. Personalakten, Passdaten, IBANs und E-Mails sind ein Datenschutzproblem. Zugangsdaten ermöglichen möglicherweise weitere Angriffe. Schwachstellenanalysen der Wasserversorgung und Geheimschutzunterlagen wären dagegen ein Sicherheitsproblem für staatliche bzw. kritische Infrastruktur.

Auch die Kombination ist gefährlich: Aus Personalakten + Kontaktdaten + Organisationsinformationen + Zugangsdaten lassen sich beispielsweise sehr überzeugende gezielte Phishing- und Social-Engineering-Angriffe konstruieren.

Aber: Der Screenshot ist noch kein Beweis. Das ist der wichtigste Punkt bei der journalistischen Interpretation. Der Screenshot dokumentiert zunächst nur, was die mutmaßlichen Angreifer behaupten. Er beweist weder, dass sämtliche aufgelisteten Dateien tatsächlich existieren, noch dass ihre Kategorisierung korrekt ist.

Ransomware-/Erpressergruppen haben ein wirtschaftliches Interesse daran, den Wert ihrer Beute möglichst hoch erscheinen zu lassen. Daher sollte man journalistisch sauber formulieren: „Nach Angaben der Angreifer befinden sich unter den entwendeten Daten…“ und nicht: „Die Hacker haben Schwachstellenanalysen der Berliner Wasserversorgung gestohlen.“ Der zweite Satz wäre erst dann gerechtfertigt, wenn diese konkrete Behauptung unabhängig bestätigt wurde.

Interessant ist außerdem die ungewöhnlich detaillierte Inventarisierung: genaue Dateizahlen nach Kategorien, PII-Zahlen, einzelne Datenbanken, konkrete Verfahren und KRITIS-Unterlagen. Das sieht weniger wie eine bloße pauschale Behauptung „wir haben 5,79 TB“ aus, sondern wie das Ergebnis einer automatisierten oder manuellen Analyse des erbeuteten Datenbestands. Das erhöht die Plausibilität, ersetzt aber ebenfalls keinen Beweis.

Interpretation Zeile für Zeile. Einige Zeichen sind durch Darstellungs-/Encodingfehler beschädigt (�); außerdem sind in einer Zeile Namen absichtlich verpixelt. Ich ergänze dort nichts, was nicht lesbar ist.

1. „Berlin, Germany“

Übersetzung: Berlin, Deutschland.

Das ist offenbar die Bezeichnung des kompromittierten Opfers bzw. Datenbestands.

2. „Total capacity 5.79 TB“

Übersetzung: Gesamtumfang: 5,79 Terabyte.

Das wäre eine sehr große Datenmenge. Entscheidend ist aber nicht allein die Größe. 5,79 TB können beispielsweise durch große Anhänge, Datenbanken, PST-Mailarchive, Scans oder Geodaten entstehen.

3. „Archive scale: ~1.44 million files scanned; by category …“

Es folgen Kategorien:

Maps/Geo 124,823
Legal/complaints 77,939
Financial 55,553
Contracts 46,522
HR 27,299
Government supervisory 13,142
Confidential 11,777
Infrastructure 8,110
Passwords 5,941
Health 2,738
Contacts 2,287

Übersetzung:

Kategorie	Dateien
Karten/Geodaten	124.823
Rechtsangelegenheiten/Beschwerden	77.939
Finanzen	55.553
Verträge	46.522
Personalwesen (HR)	27.299
staatliche/behördliche Aufsicht	13.142
vertraulich	11.777
Infrastruktur	8.110
Passwörter	5.941
Gesundheit	2.738
Kontakte	2.287

Bedeutung: Das Wort „scanned“ ist interessant. Es deutet darauf hin, dass die Angreifer ihren Datenbestand möglicherweise mit Software analysiert und automatisch klassifiziert haben. Die Zahlen müssen also nicht bedeuten, dass ein Mensch 1,44 Millionen Dokumente geprüft hat.

„Passwords 5,941“ bedeutet außerdem nicht zwangsläufig 5.941 funktionierende Passwörter. Es könnten Dateien sein, in denen Passwortbegriffe, Zugangsdaten oder entsprechende Muster erkannt wurden.

4. „PII leak: 16,389 e-mails, 11,963 phone numbers, 12,076 individuals, 148 IBANs.“

Übersetzung:

Leak personenbezogener Daten: 16.389 E-Mail-Adressen, 11.963 Telefonnummern, 12.076 Personen, 148 IBANs.

PII = Personally Identifiable Information, also personenbezogene bzw. eine Person identifizierbare Informationen.

Das wäre datenschutzrechtlich erheblich. Die genannten Zahlen könnten wiederum Ergebnisse einer automatischen Erkennung sein – etwa reguläre Ausdrücke zur Erkennung von IBANs oder E-Mail-Adressen.

5. „Credentials in plaintext: …“

Lesbar ist ungefähr:

Credentials in plaintext: Geb�udeAtlas, the ePayment PAYONE payment database, personal ‚password safes‘ (danz, kramell … Z_ADMIN database accounts, franssen), leadership credentials.

Übersetzung:

Zugangsdaten im Klartext: GebäudeAtlas, die PAYONE-ePayment-Datenbank, persönliche „Passwort-Safes“ (…), Z_ADMIN-Datenbankkonten (…), Zugangsdaten von Führungskräften.

Technische Bedeutung: „Credentials in plaintext“ wäre erheblich gefährlicher als Dateien, die lediglich das Wort „Passwort“ enthalten. Es bedeutet nach Behauptung der Angreifer, dass Benutzernamen, Kennwörter oder andere Authentifizierungsinformationen unverschlüsselt lesbar vorlagen.

Falls solche Zugangsdaten beim Bekanntwerden des Angriffs noch gültig waren, könnten sie für weitere Zugriffe verwendet worden sein. Allerdings lässt sich aus dem Screenshot nicht feststellen, ob die Passwörter tatsächlich gültig waren.

6. „Disciplinary proceedings: the ANDERSON case …“

[Hier habe ich lange mit ChatGPT diskutiert, was „Anderson“ bedeuten könnte. Die Antworten waren sehr interessant und höchst brisant. „Das Verwaltungsgericht Berlin hat seine 41 Kammern bereits am 15. November 2024 vollständig auf elektronische Aktenführung umgestellt. Das erklärt zumindest, warum für ein 2025/26-Verfahren sehr umfangreiche digitale Aktenbestände entstehen können; es beweist natürlich nicht, dass Gerichtsakten selbst kompromittiert wurden. Der nächste sinnvollste Schritt wäre jetzt, die 2025 neu eingegangenen Aktenzeichen der 80. Disziplinarkammer (80 K …/25 OL) möglichst vollständig zu rekonstruieren und insbesondere herauszufinden, welche davon gegen Berliner Senatsverwaltungen bzw. deren Beschäftigte geführt wurden Das könnte verraten, aus welcher Berliner Senatsverwaltung bzw. welchem kompromittierten Dateibereich diese Disziplinarakten stammen…“ Ich kann dem Publikum nur empfehlen, das selbst zu tun. Ich traue mich nicht, das Ergebnis einfach zu veröffentichen.]

Disciplinary proceedings: the ANDERSON case (432 files, 2025�2026, lawsuit at VG Berlin administrative court), the politically motivated misconduct case involving the LKA Staatsschutz (state security police), the forestry cases …

Übersetzung:

Disziplinarverfahren: der Fall ANDERSON (432 Dateien, 2025–2026, Verfahren vor dem Verwaltungsgericht Berlin), der Fall eines politisch motivierten Fehlverhaltens unter Beteiligung des LKA Staatsschutzes sowie Forst-/Forstwirtschaftsfälle …

Danach folgen teilweise verpixelte Namen bzw. Bezeichnungen.

Bedeutung: Hier behaupten die Angreifer nicht nur, eine abstrakte Kategorie „Personal“ gefunden zu haben. Sie nennen konkrete Vorgänge und sogar die Anzahl von Dateien eines Verfahrens.

Das kann als eine Art Proof of Possession gedacht sein: Der Erpresser versucht mit Details glaubhaft zu machen, dass er den Datenbestand tatsächlich besitzt.

7. „State secrets“

State secrets: Bundesrat committee protocols with declassification correspondence, Geheimschutz (classified-material handling) data.

Übersetzung:

Staatsgeheimnisse: Protokolle von Bundesratsausschüssen einschließlich Korrespondenz über die Aufhebung der Geheimhaltung sowie Geheimschutzdaten (Daten über den Umgang mit Verschlusssachen).

Hier wäre ich mit dem Wort „Staatsgeheimnisse“ sehr vorsichtig. Das ist zunächst die Bezeichnung der Angreifer. Nicht jedes VS-Dokument und nicht jedes Dokument zum Geheimschutz ist juristisch ein „Staatsgeheimnis“.

Journalistisch besser:

„Die Angreifer behaupten, Unterlagen aus dem Bereich Geheimschutz sowie Protokolle von Bundesratsausschüssen erbeutet zu haben.“

8. „Passports/IDs“

Passports/IDs (recent, from personnel files and GI-Vertraulich).

Übersetzung:

Pässe/Ausweisdokumente: aktuelle Dokumente aus Personalakten und aus „GI-Vertraulich“.

Was genau „GI-Vertraulich“ hier bezeichnet, lässt sich aus dem Screenshot allein nicht sicher bestimmen.

Falls tatsächlich vollständige Kopien von Personalausweisen oder Reisepässen betroffen sind, wäre das erheblich sensibler als eine bloße Liste von Ausweisnummern.

9. „KRITIS: vulnerability analyses of Berlin’s water supply.“

Das ist eine der interessantesten Zeilen.

Wörtlich:

KRITIS: Schwachstellenanalysen der Berliner Wasserversorgung.

KRITIS steht für Kritische Infrastrukturen.

Eine Schwachstellenanalyse kann Informationen darüber enthalten, welche Komponenten, Standorte, Systeme oder organisatorischen Abläufe besonders anfällig sind. Der Begriff allein sagt allerdings noch nicht, wie konkret oder aktuell die angeblich gestohlenen Analysen sind.

Die Behauptung ist deshalb sicherheitspolitisch brisant, aber aus diesem Screenshot nicht verifizierbar.

10. „Mass personal data“

Mass personal data: Personalakten (personnel files) >5,000, Convotis payroll, OWi (administrative-offence) files >5,000, Postbuch SQL dumps 2020�2026, PST archives, leadership private data (IBANs, ID cards, Behrendt’s bank card).

Übersetzung:

Personenbezogene Massendaten: mehr als 5.000 Personalakten, Convotis-Gehaltsabrechnungsdaten, mehr als 5.000 OWi-Akten (Ordnungswidrigkeiten), SQL-Dumps des Postbuchs 2020–2026, PST-Archive sowie private Daten von Führungskräften (IBANs, Ausweise, Behrendts Bankkarte).

Hier stecken mehrere unterschiedliche Dinge drin:

SQL dumps sind exportierte Inhalte einer Datenbank. Ein vollständiger SQL-Dump kann wesentlich gefährlicher sein als einzelne Dokumente, weil damit unter Umständen große Teile einer Datenbank rekonstruiert werden können.

PST archives sind Outlook-Datendateien. Sie können komplette Mailboxen einschließlich E-Mails, Anhängen und Ordnerstrukturen enthalten.

Payroll bezeichnet Lohn- und Gehaltsabrechnungsdaten.

OWi ist offenbar die deutsche Abkürzung für Ordnungswidrigkeit, die die Verfasser des Textes anschließend für ihr internationales Publikum erklären.

11. „NDA: 3,226 documents“

Übersetzung:

NDA: 3.226 Dokumente

NDA = Non-Disclosure Agreement, also Geheimhaltungsvereinbarung.

Das muss nicht heißen, dass es 3.226 verschiedene Geheimhaltungsverträge gibt. Wahrscheinlicher ist wiederum eine automatische Klassifizierung von 3.226 Dateien als mit NDAs/Geheimhaltung zusammenhängend.

12. „Legal violation map …“

Ganz unten ist noch zu lesen:

Legal violation map (GDPR Art. 32/9/33, VS-A/StGB upon VS classification confirmation, BSIG/KRITIS)

Sinngemäß:

Übersicht möglicher Rechtsverstöße: DSGVO Art. 32/9/33, VS-A/StGB nach Bestätigung der VS-Einstufung, BSIG/KRITIS.

Hier versuchen die Angreifer offenbar sogar, die rechtlichen Konsequenzen des von ihnen verursachten Datenlecks zu katalogisieren.

Gemeint sein dürften unter anderem:

Art. 9 DSGVO – besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten.

Art. 32 DSGVO – Sicherheit der Verarbeitung.

Art. 33 DSGVO – Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde.

BSIG/KRITIS – IT-Sicherheitsrecht und Kritische Infrastruktur.

Die rechtliche Bewertung der Täter selbst sollte man allerdings nicht ungeprüft übernehmen.

Was der Text insgesamt verrät

Für mich ist an diesem Screenshot weniger die Zahl 5,79 TB bemerkenswert als die Art, wie der Bestand beschrieben wird. Die Verfasser präsentieren eine regelrechte forensische Inventur der Beute: Dateizahlen, Kategorien, erkannte personenbezogene Daten, konkrete Datenbanken, bestimmte Verfahren, SQL-Dumps, PST-Archive, Klartext-Zugangsdaten und einzelne besonders brisante Dokumentgruppen.

Das spricht dafür, dass die Daten nach der Exfiltration indexiert und automatisiert durchsucht bzw. klassifiziert worden sein könnten. Gerade die exakten Zahlen – 16.389 E-Mails, 148 IBANs, 5.941 Passwort-Dateien usw. – passen zu einer solchen maschinellen Auswertung.

Für einen Artikel würde ich deshalb zwischen drei Ebenen unterscheiden: Der Einbruch bzw. Datenabfluss, der tatsächlich nachgewiesene Inhalt der Beute und die Behauptungen der Erpresser über den Inhalt. Der Screenshot ist ein ziemlich guter Beleg für die dritte Ebene, aber für sich genommen noch kein Beleg für die zweite.

Heilige Sch… Man fragt sich natürlich, wie so etwas überhaupt passieren kann. Die Qualitätsboulevardmedien raunen nur wie gewohnt vage herum: „Als mögliche Wege gelten Sicherheitslücken, gestohlene Zugangsdaten, Phishing oder Dienstleister.“ Kann es sein, dass durch einen Klick auf einen Link in einer HTML-Mail alles ~~im Gesäß~~ Weitere offensteht und die Daten abfließen wie nach einem Gletscherabriss? Ich tippte eher auf den letzten Vorschlag: „externe Dienstleister“.

ChatGPT, ist bekannt, welcher externen IT-Dienstleister die Berliner Verwaltung beauftragt hat?

Ja – aber man muss zwei verschiedene Dienstleister auseinanderhalten.

Beim regulären IT-Betrieb ist das IT-Dienstleistungszentrum Berlin (ITDZ) der zentrale IT-Dienstleister des Landes. Der Senat beschreibt das ITDZ ausdrücklich als zuständig für die verfahrensunabhängige IKT und die IT-Basisdienste der Berliner Verwaltung.

Für den aktuellen Rhysida-Angriff ist aber etwas anderes interessant: Nach Angaben von rbb/Tagesschau wurde nach Entdeckung der Auffälligkeiten ein spezialisiertes externes US-amerikanisches IT-Sicherheitsunternehmen hinzugezogen. Dieses Unternehmen stellte offenbar fest, wie ernst die Lage war. Der Landesbevollmächtigte für Informationssicherheit Olaf Kroll-Peters sagte sinngemäß, man habe jemanden im System entdeckt und daraufhin das US-Unternehmen eingeschaltet, das schließlich Alarm schlug.

Der Name dieses US-Unternehmens wird in den bislang auffindbaren offiziellen Mitteilungen und den von mir gefundenen Presseberichten jedoch nicht genannt.

Noch wichtiger für die Frage nach der möglichen Ursache: Der rbb berichtet, dass die Angreifer offenbar eine Schwachstelle im IT-Betrieb der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen ausnutzten. Nach rbb-Informationen war nicht das ITDZ für diese Schwachstelle verantwortlich.

Das ergibt momentan folgendes Bild:

►ITDZ zentraler landeseigener Dienstleister → offenbar nicht für die ausgenutzte Schwachstelle verantwortlich.
►Unbekannter/anderer IT-Betrieb bei SenStadt → dort soll die Schwachstelle gelegen haben.
► US-amerikanischer Cybersecurity-Dienstleister → nach Entdeckung des Angriffs zur Incident Response/Forensik hinzugezogen.

Das ist für unsere vorherige Untersuchung ziemlich interessant. Wenn die Schwachstelle tatsächlich in einem extern betriebenen System der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen lag, wäre die entscheidende Frage nicht „Wer ist der US-Forensiker?“, sondern:

Welches Unternehmen betrieb das kompromittierte System der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen?

Genau das würde ich als Nächstes untersuchen. Über Vergabebekanntmachungen, Ausschreibungen, Abgeordnetenhaus-Drucksachen und IT-Verträge müsste sich möglicherweise feststellen lassen, welche externen Unternehmen dort 2025/2026 Server, Netzwerk, Fachverfahren oder IT-Betrieb verantworteten.

Ja. Ich [ChatGPT] habe die Vergabespur verfolgt, und dabei taucht ein wesentlich interessanterer externer IT-Dienstleister auf als bei der ersten Suche. Die Senatsverwaltung betrieb laut Vergabeunterlagen an den Standorten Fehrbelliner Platz 1 und 4 ein eigenes Virtualisierungscluster mit VMware vSphere 8. Für die Erneuerung dieser Infrastruktur wurden ESX-Server beschafft. Den Zuschlag vom 20. August 2024 erhielt…

Das Ergebnis ist juristisch zu heikel, als dass ich es hier posten könnte. Ich habe keine Lust. mich mit irgendwelchen Anwälten herumzuprügeln.

Ich frage mich natürlich, ob ich der Einzige bin, der zum Thema recherchiert?