{"id":66490,"date":"2026-09-05T20:24:03","date_gmt":"2026-09-05T18:24:03","guid":{"rendered":"https:\/\/www.burks.de\/burksblog\/?p=66490"},"modified":"2026-09-05T20:56:58","modified_gmt":"2026-09-05T18:56:58","slug":"we-are-fucking-fucked","status":"publish","type":"post","link":"https:\/\/www.burks.de\/burksblog\/2026\/09\/05\/we-are-fucking-fucked","title":{"rendered":"We are fucking fucked"},"content":{"rendered":"

\"darknet\"\/<\/a>
\nDer Screenshot zeigt einen BILD-Artikel \u00fcber den mutma\u00dflichen Datendiebstahl beim Berliner Senat. Eingebettet ist offenbar ein Screenshot einer Ver\u00f6ffentlichung der Angreifer, in der sie den Umfang und die Art der angeblich erbeuteten Daten beschreiben.<\/small><\/p>\n

Ich mache es mir heute einfach und lasse die k\u00fcnstliche Intelligenz den Screenshot interpretieren, in dem es um den Angriff der Gruppe Rhysida<\/a> auf Daten der Berliner Verwaltung geht.<\/p>\n

Besonders auff\u00e4llig ist, dass es nach dieser Darstellung nicht nur um gew\u00f6hnliche Verwaltungsdaten geht. Die Angreifer behaupten unter anderem:
\n►<\/span> 5,79 TB, etwa 1,44 Millionen Dateien.
\n►<\/span> Gro\u00dfe Dokumentgruppen: 124.823 Karten\/Geodaten, 77.939 Rechts-\/Beschwerdedokumente, 55.553 Finanzunterlagen, 46.522 Vertr\u00e4ge, 27.299 Personalunterlagen.
\n►<\/span> Vertrauliches: 11.777 als \u201eConfidential\u201c klassifizierte Dateien und 8.110 Infrastrukturdateien.
\n►<\/span> Zugangsdaten: 5.941 Passwort-bezogene Datens\u00e4tze; ausdr\u00fccklich behauptet werden auch Zugangsdaten im Klartext und Zugangsdaten von F\u00fchrungskr\u00e4ften.
\n►<\/span> Personenbezogene Daten: angeblich 16.389 E-Mail-Adressen, 11.963 Telefonnummern, Daten zu 12.076 Personen und 148 IBANs.
\n►<\/span> Personalakten: mehr als 5.000; au\u00dferdem Gehaltsdaten, Ordnungswidrigkeitenakten, PST-Mailarchive und private Daten von F\u00fchrungskr\u00e4ften.
\n►<\/span> Beh\u00f6rdeninterne sensible Vorg\u00e4nge: Disziplinarverfahren und offenbar Material im Zusammenhang mit dem LKA Staatsschutz.
\n►<\/span> Geheimschutz: Die Angreifer behaupten, Protokolle eines Bundesratsausschusses sowie Daten zur Behandlung von Verschlusssachen erbeutet zu haben.
\n►<\/span> Ausweise\/P\u00e4sse: aktuelle Ausweis- bzw. Passdaten aus Personalakten und als \u201eGI-Vertraulich\u201c bezeichneten Best\u00e4nden.
\n►<\/span> KRITIS: besonders brisant ist die Behauptung vulnerability analyses of Berlin’s water supply<\/b>, also Schwachstellenanalysen der Berliner Wasserversorgung.
\n►<\/span> NDA: 3.226 Dokumente, die offenbar Geheimhaltungsvereinbarungen unterliegen.<\/p>\n

Was daran besonders brisant ist: Falls die Angaben der Angreifer stimmen, w\u00e4re die entscheidende Dimension nicht die Datenmenge von 5,79 TB, sondern die Mischung verschiedener Datenbest\u00e4nde. Personalakten, Passdaten, IBANs und E-Mails sind ein Datenschutzproblem. Zugangsdaten erm\u00f6glichen m\u00f6glicherweise weitere Angriffe. Schwachstellenanalysen der Wasserversorgung und Geheimschutzunterlagen w\u00e4ren dagegen ein Sicherheitsproblem f\u00fcr staatliche bzw. kritische Infrastruktur.<\/p>\n

Auch die Kombination ist gef\u00e4hrlich: Aus Personalakten + Kontaktdaten + Organisationsinformationen + Zugangsdaten lassen sich beispielsweise sehr \u00fcberzeugende gezielte Phishing- und Social-Engineering-Angriffe konstruieren.<\/p>\n

Aber: Der Screenshot ist noch kein Beweis. Das ist der wichtigste Punkt bei der journalistischen Interpretation. Der Screenshot dokumentiert zun\u00e4chst nur, was die mutma\u00dflichen Angreifer behaupten. Er beweist weder, dass s\u00e4mtliche aufgelisteten Dateien tats\u00e4chlich existieren, noch dass ihre Kategorisierung korrekt ist.<\/p>\n

Ransomware-\/Erpressergruppen haben ein wirtschaftliches Interesse daran, den Wert ihrer Beute m\u00f6glichst hoch erscheinen zu lassen. Daher sollte man journalistisch sauber formulieren: „Nach Angaben der Angreifer befinden sich unter den entwendeten Daten…“ und nicht: „Die Hacker haben Schwachstellenanalysen der Berliner Wasserversorgung gestohlen.“ Der zweite Satz w\u00e4re erst dann gerechtfertigt, wenn diese konkrete Behauptung unabh\u00e4ngig best\u00e4tigt wurde.<\/p>\n

Interessant ist au\u00dferdem die ungew\u00f6hnlich detaillierte Inventarisierung: genaue Dateizahlen nach Kategorien, PII-Zahlen, einzelne Datenbanken, konkrete Verfahren und KRITIS-Unterlagen. Das sieht weniger wie eine blo\u00dfe pauschale Behauptung „wir haben 5,79 TB“ aus, sondern wie das Ergebnis einer automatisierten oder manuellen Analyse des erbeuteten Datenbestands. Das erh\u00f6ht die Plausibilit\u00e4t, ersetzt aber ebenfalls keinen Beweis.<\/p>\n

\"hacker\"\/<\/a><\/p>\n

<\/p>\n

Interpretation Zeile f\u00fcr Zeile<\/strong>. Einige Zeichen sind durch Darstellungs-\/Encodingfehler besch\u00e4digt (\ufffd<\/code>); au\u00dferdem sind in einer Zeile Namen absichtlich verpixelt. Ich erg\u00e4nze dort nichts, was nicht lesbar ist.<\/p>\n

1. \u201eBerlin, Germany\u201c<\/h3>\n

\u00dcbersetzung:<\/strong> Berlin, Deutschland.<\/p>\n

Das ist offenbar die Bezeichnung des kompromittierten Opfers bzw. Datenbestands.<\/p>\n

2. \u201eTotal capacity 5.79 TB\u201c<\/h3>\n

\u00dcbersetzung:<\/strong> Gesamtumfang: 5,79 Terabyte<\/strong>.<\/p>\n

Das w\u00e4re eine sehr gro\u00dfe Datenmenge. Entscheidend ist aber nicht allein die Gr\u00f6\u00dfe. 5,79 TB k\u00f6nnen beispielsweise durch gro\u00dfe Anh\u00e4nge, Datenbanken, PST-Mailarchive, Scans oder Geodaten entstehen.<\/p>\n

3. \u201eArchive scale: ~1.44 million files scanned; by category \u2026\u201c<\/h3>\n

Es folgen Kategorien:<\/p>\n

\n

Maps\/Geo 124,823
\nLegal\/complaints 77,939
\nFinancial 55,553
\nContracts 46,522
\nHR 27,299
\nGovernment supervisory 13,142
\nConfidential 11,777
\nInfrastructure 8,110
\nPasswords 5,941
\nHealth 2,738
\nContacts 2,287<\/p>\n<\/blockquote>\n

\u00dcbersetzung:<\/strong><\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
Kategorie<\/th>\nDateien<\/th>\n<\/tr>\n<\/thead>\n
Karten\/Geodaten<\/td>\n124.823<\/td>\n<\/tr>\n
Rechtsangelegenheiten\/Beschwerden<\/td>\n77.939<\/td>\n<\/tr>\n
Finanzen<\/td>\n55.553<\/td>\n<\/tr>\n
Vertr\u00e4ge<\/td>\n46.522<\/td>\n<\/tr>\n
Personalwesen (HR)<\/td>\n27.299<\/td>\n<\/tr>\n
staatliche\/beh\u00f6rdliche Aufsicht<\/td>\n13.142<\/td>\n<\/tr>\n
vertraulich<\/td>\n11.777<\/td>\n<\/tr>\n
Infrastruktur<\/td>\n8.110<\/td>\n<\/tr>\n
Passw\u00f6rter<\/td>\n5.941<\/td>\n<\/tr>\n
Gesundheit<\/td>\n2.738<\/td>\n<\/tr>\n
Kontakte<\/td>\n2.287<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Bedeutung:<\/strong> Das Wort \u201escanned\u201c<\/strong> ist interessant. Es deutet darauf hin, dass die Angreifer ihren Datenbestand m\u00f6glicherweise mit Software analysiert und automatisch klassifiziert haben. Die Zahlen m\u00fcssen also nicht bedeuten, dass ein Mensch 1,44 Millionen Dokumente gepr\u00fcft hat.<\/p>\n

\u201ePasswords 5,941\u201c bedeutet au\u00dferdem nicht zwangsl\u00e4ufig 5.941 funktionierende Passw\u00f6rter<\/strong>. Es k\u00f6nnten Dateien sein, in denen Passwortbegriffe, Zugangsdaten oder entsprechende Muster erkannt wurden.<\/p>\n

4. \u201ePII leak: 16,389 e-mails, 11,963 phone numbers, 12,076 individuals, 148 IBANs.\u201c<\/h3>\n

\u00dcbersetzung:<\/strong><\/p>\n

\n

Leak personenbezogener Daten:<\/strong> 16.389 E-Mail-Adressen, 11.963 Telefonnummern, 12.076 Personen, 148 IBANs.<\/p>\n<\/blockquote>\n

PII<\/strong> = Personally Identifiable Information<\/em>, also personenbezogene bzw. eine Person identifizierbare Informationen.<\/p>\n

Das w\u00e4re datenschutzrechtlich erheblich. Die genannten Zahlen k\u00f6nnten wiederum Ergebnisse einer automatischen Erkennung sein \u2013 etwa regul\u00e4re Ausdr\u00fccke zur Erkennung von IBANs oder E-Mail-Adressen.<\/p>\n

5. \u201eCredentials in plaintext: \u2026\u201c<\/h3>\n

Lesbar ist ungef\u00e4hr:<\/p>\n

\n

Credentials in plaintext: Geb\ufffdudeAtlas, the ePayment PAYONE payment database<\/a>, personal ‚password safes‘ (danz, kramell \u2026 Z_ADMIN database accounts, franssen), leadership credentials.<\/p>\n<\/blockquote>\n

\u00dcbersetzung:<\/strong><\/p>\n

\n

Zugangsdaten im Klartext:<\/strong> Geb\u00e4udeAtlas, die PAYONE-ePayment-Datenbank, pers\u00f6nliche \u201ePasswort-Safes\u201c (…), Z_ADMIN-Datenbankkonten (…), Zugangsdaten von F\u00fchrungskr\u00e4ften.<\/p>\n<\/blockquote>\n

Technische Bedeutung:<\/strong> \u201eCredentials in plaintext\u201c w\u00e4re erheblich gef\u00e4hrlicher als Dateien, die lediglich das Wort \u201ePasswort\u201c enthalten. Es bedeutet nach Behauptung der Angreifer, dass Benutzernamen, Kennw\u00f6rter oder andere Authentifizierungsinformationen unverschl\u00fcsselt lesbar<\/strong> vorlagen.<\/p>\n

Falls solche Zugangsdaten beim Bekanntwerden des Angriffs noch g\u00fcltig waren, k\u00f6nnten sie f\u00fcr weitere Zugriffe verwendet worden sein. Allerdings l\u00e4sst sich aus dem Screenshot nicht feststellen, ob die Passw\u00f6rter tats\u00e4chlich g\u00fcltig waren.<\/p>\n

6. \u201eDisciplinary proceedings: the ANDERSON case \u2026\u201c<\/h3>\n

[Hier habe ich lange mit ChatGPT diskutiert, was „Anderson“ bedeuten k\u00f6nnte. Die Antworten waren sehr interessant und h\u00f6chst brisant. „Das Verwaltungsgericht Berlin hat seine 41 Kammern bereits am 15. November 2024 vollst\u00e4ndig auf elektronische Aktenf\u00fchrung umgestellt. Das erkl\u00e4rt zumindest, warum f\u00fcr ein 2025\/26-Verfahren sehr umfangreiche digitale Aktenbest\u00e4nde entstehen k\u00f6nnen; es beweist nat\u00fcrlich nicht, dass Gerichtsakten selbst kompromittiert wurden. <\/i>Der n\u00e4chste sinnvollste Schritt w\u00e4re jetzt, die 2025 neu eingegangenen Aktenzeichen der 80. Disziplinarkammer (80 K \u2026\/25 OL) m\u00f6glichst vollst\u00e4ndig zu rekonstruieren und insbesondere herauszufinden, welche davon gegen Berliner Senatsverwaltungen bzw. deren Besch\u00e4ftigte gef\u00fchrt wurden Das k\u00f6nnte verraten, aus welcher Berliner Senatsverwaltung bzw. welchem kompromittierten Dateibereich diese Disziplinarakten stammen…“ Ich kann dem Publikum nur empfehlen, das selbst zu tun. Ich traue mich nicht, das Ergebnis einfach zu ver\u00f6ffentichen.]<\/i><\/p>\n

\n

Disciplinary proceedings: the ANDERSON case (432 files, 2025\ufffd2026, lawsuit at VG Berlin administrative court), the politically motivated misconduct case involving the LKA Staatsschutz (state security police), the forestry cases \u2026<\/p>\n<\/blockquote>\n

\u00dcbersetzung:<\/strong><\/p>\n

\n

Disziplinarverfahren:<\/strong> der Fall ANDERSON (432 Dateien, 2025\u20132026, Verfahren vor dem Verwaltungsgericht Berlin), der Fall eines politisch motivierten Fehlverhaltens unter Beteiligung des LKA Staatsschutzes sowie Forst-\/Forstwirtschaftsf\u00e4lle \u2026<\/p>\n<\/blockquote>\n

Danach folgen teilweise verpixelte Namen bzw. Bezeichnungen<\/strong>.<\/p>\n

Bedeutung:<\/strong> Hier behaupten die Angreifer nicht nur, eine abstrakte Kategorie \u201ePersonal\u201c gefunden zu haben. Sie nennen konkrete Vorg\u00e4nge und sogar die Anzahl von Dateien eines Verfahrens.<\/p>\n

Das kann als eine Art Proof of Possession<\/strong> gedacht sein: Der Erpresser versucht mit Details glaubhaft zu machen, dass er den Datenbestand tats\u00e4chlich besitzt.<\/p>\n

\"tagesspiegel\"\/<\/a><\/p>\n

7. \u201eState secrets\u201c<\/h3>\n
\n

State secrets: Bundesrat committee protocols with declassification correspondence, Geheimschutz (classified-material handling) data.<\/p>\n<\/blockquote>\n

\u00dcbersetzung:<\/strong><\/p>\n

\n

Staatsgeheimnisse:<\/strong> Protokolle von Bundesratsaussch\u00fcssen einschlie\u00dflich Korrespondenz \u00fcber die Aufhebung der Geheimhaltung sowie Geheimschutzdaten (Daten \u00fcber den Umgang mit Verschlusssachen).<\/p>\n<\/blockquote>\n

Hier w\u00e4re ich mit dem Wort \u201eStaatsgeheimnisse\u201c sehr vorsichtig<\/strong>. Das ist zun\u00e4chst die Bezeichnung der Angreifer. Nicht jedes VS-Dokument und nicht jedes Dokument zum Geheimschutz ist juristisch ein \u201eStaatsgeheimnis\u201c.<\/p>\n

Journalistisch besser:<\/p>\n

\n

\u201eDie Angreifer behaupten, Unterlagen aus dem Bereich Geheimschutz sowie Protokolle von Bundesratsaussch\u00fcssen erbeutet zu haben.\u201c<\/p>\n<\/blockquote>\n

8. \u201ePassports\/IDs\u201c<\/h3>\n
\n

Passports\/IDs (recent, from personnel files and GI-Vertraulich).<\/p>\n<\/blockquote>\n

\u00dcbersetzung:<\/strong><\/p>\n

\n

P\u00e4sse\/Ausweisdokumente:<\/strong> aktuelle Dokumente aus Personalakten und aus \u201eGI-Vertraulich\u201c.<\/p>\n<\/blockquote>\n

Was genau \u201eGI-Vertraulich\u201c<\/strong> hier bezeichnet, l\u00e4sst sich aus dem Screenshot allein nicht sicher bestimmen.<\/p>\n

Falls tats\u00e4chlich vollst\u00e4ndige Kopien von Personalausweisen oder Reisep\u00e4ssen betroffen sind, w\u00e4re das erheblich sensibler als eine blo\u00dfe Liste von Ausweisnummern.<\/p>\n

9. \u201eKRITIS: vulnerability analyses of Berlin’s water supply.\u201c<\/h3>\n

Das ist eine der interessantesten Zeilen.<\/p>\n

W\u00f6rtlich:<\/strong><\/p>\n

\n

KRITIS: Schwachstellenanalysen der Berliner Wasserversorgung.<\/strong><\/p>\n<\/blockquote>\n

KRITIS steht f\u00fcr Kritische Infrastrukturen<\/strong>.<\/p>\n

Eine Schwachstellenanalyse kann Informationen dar\u00fcber enthalten, welche Komponenten, Standorte, Systeme oder organisatorischen Abl\u00e4ufe besonders anf\u00e4llig sind. Der Begriff allein sagt allerdings noch nicht, wie konkret oder aktuell<\/strong> die angeblich gestohlenen Analysen sind.<\/p>\n

Die Behauptung ist deshalb sicherheitspolitisch brisant, aber aus diesem Screenshot nicht verifizierbar.<\/p>\n

10. \u201eMass personal data\u201c<\/h3>\n
\n

Mass personal data: Personalakten (personnel files) >5,000, Convotis payroll, OWi (administrative-offence) files >5,000, Postbuch SQL dumps 2020\ufffd2026, PST archives, leadership private data (IBANs, ID cards, Behrendt’s bank card).<\/p>\n<\/blockquote>\n

\u00dcbersetzung:<\/strong><\/p>\n

\n

Personenbezogene Massendaten:<\/strong> mehr als 5.000 Personalakten, Convotis-Gehaltsabrechnungsdaten, mehr als 5.000 OWi-Akten (Ordnungswidrigkeiten), SQL-Dumps des Postbuchs 2020\u20132026, PST-Archive sowie private Daten von F\u00fchrungskr\u00e4ften (IBANs, Ausweise, Behrendts Bankkarte).<\/p>\n<\/blockquote>\n

Hier stecken mehrere unterschiedliche Dinge drin:<\/p>\n

SQL dumps<\/strong> sind exportierte Inhalte einer Datenbank. Ein vollst\u00e4ndiger SQL-Dump kann wesentlich gef\u00e4hrlicher sein als einzelne Dokumente, weil damit unter Umst\u00e4nden gro\u00dfe Teile einer Datenbank rekonstruiert werden k\u00f6nnen.<\/p>\n

PST archives<\/strong> sind Outlook-Datendateien. Sie k\u00f6nnen komplette Mailboxen einschlie\u00dflich E-Mails, Anh\u00e4ngen und Ordnerstrukturen enthalten.<\/p>\n

Payroll<\/strong> bezeichnet Lohn- und Gehaltsabrechnungsdaten.<\/p>\n

OWi<\/strong> ist offenbar die deutsche Abk\u00fcrzung f\u00fcr Ordnungswidrigkeit<\/strong>, die die Verfasser des Textes anschlie\u00dfend f\u00fcr ihr internationales Publikum erkl\u00e4ren.<\/p>\n

11. \u201eNDA: 3,226 documents\u201c<\/h3>\n

\u00dcbersetzung:<\/strong><\/p>\n

\n

NDA: 3.226 Dokumente<\/strong><\/p>\n<\/blockquote>\n

NDA = Non-Disclosure Agreement<\/em>, also Geheimhaltungsvereinbarung<\/strong>.<\/p>\n

Das muss nicht hei\u00dfen, dass es 3.226 verschiedene Geheimhaltungsvertr\u00e4ge gibt. Wahrscheinlicher ist wiederum eine automatische Klassifizierung von 3.226 Dateien als mit NDAs\/Geheimhaltung zusammenh\u00e4ngend.<\/p>\n

12. \u201eLegal violation map \u2026\u201c<\/h3>\n

Ganz unten ist noch zu lesen:<\/p>\n

\n

Legal violation map (GDPR Art. 32\/9\/33, VS-A\/StGB upon VS classification confirmation, BSIG\/KRITIS)<\/p>\n<\/blockquote>\n

Sinngem\u00e4\u00df:<\/p>\n

\n

\u00dcbersicht m\u00f6glicher Rechtsverst\u00f6\u00dfe:<\/strong> DSGVO Art. 32\/9\/33, VS-A\/StGB nach Best\u00e4tigung der VS-Einstufung, BSIG\/KRITIS.<\/p>\n<\/blockquote>\n

Hier versuchen die Angreifer offenbar sogar, die rechtlichen Konsequenzen des von ihnen verursachten Datenlecks zu katalogisieren<\/strong>.<\/p>\n

Gemeint sein d\u00fcrften unter anderem:<\/p>\n

Art. 9 DSGVO<\/strong> \u2013 besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten.<\/p>\n

Art. 32 DSGVO<\/strong> \u2013 Sicherheit der Verarbeitung.<\/p>\n

Art. 33 DSGVO<\/strong> \u2013 Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbeh\u00f6rde.<\/p>\n

BSIG\/KRITIS<\/strong> \u2013 IT-Sicherheitsrecht und Kritische Infrastruktur.<\/p>\n

Die rechtliche Bewertung der T\u00e4ter selbst sollte man allerdings nicht ungepr\u00fcft \u00fcbernehmen.<\/p>\n

Was der Text insgesamt verr\u00e4t<\/h3>\n

F\u00fcr mich ist an diesem Screenshot weniger die Zahl 5,79 TB<\/strong> bemerkenswert als die Art, wie der Bestand beschrieben wird. Die Verfasser pr\u00e4sentieren eine regelrechte forensische Inventur der Beute<\/strong>: Dateizahlen, Kategorien, erkannte personenbezogene Daten, konkrete Datenbanken, bestimmte Verfahren, SQL-Dumps, PST-Archive, Klartext-Zugangsdaten und einzelne besonders brisante Dokumentgruppen.<\/p>\n

Das spricht daf\u00fcr, dass die Daten nach der Exfiltration indexiert und automatisiert durchsucht bzw. klassifiziert<\/strong> worden sein k\u00f6nnten. Gerade die exakten Zahlen \u2013 16.389 E-Mails, 148 IBANs, 5.941 Passwort-Dateien usw. \u2013 passen zu einer solchen maschinellen Auswertung.<\/p>\n

F\u00fcr einen Artikel w\u00fcrde ich deshalb zwischen drei Ebenen unterscheiden: Der Einbruch bzw. Datenabfluss<\/strong>, der tats\u00e4chlich nachgewiesene Inhalt der Beute<\/strong> und die Behauptungen der Erpresser \u00fcber den Inhalt<\/strong>. Der Screenshot ist ein ziemlich guter Beleg f\u00fcr die dritte Ebene, aber f\u00fcr sich genommen noch kein Beleg f\u00fcr die zweite.<\/p>\n

Heilige Sch… Man fragt sich nat\u00fcrlich, wie so etwas \u00fcberhaupt passieren kann. Die Qualit\u00e4tsboulevardmedien raunen nur wie gewohnt vage herum: „Als m\u00f6gliche Wege gelten Sicherheitsl\u00fccken, gestohlene Zugangsdaten, Phishing oder Dienstleister.“ Kann es sein, dass durch einen Klick auf einen Link in einer HTML-Mail alles im Ges\u00e4\u00df<\/del> Weitere offensteht und die Daten abflie\u00dfen wie nach einem Gletscherabriss? Ich tippte eher auf den letzten Vorschlag: „externe Dienstleister“. <\/p>\n

\"hacker\"\/<\/a><\/p>\n

ChatGPT, ist bekannt, welcher externen IT-Dienstleister die Berliner Verwaltung beauftragt hat?<\/b><\/p>\n

<\/p>\n

Ja \u2013 aber man muss zwei verschiedene Dienstleister auseinanderhalten.<\/p>\n

Beim regul\u00e4ren IT-Betrieb<\/strong> ist das IT-Dienstleistungszentrum Berlin (ITDZ)<\/a> der zentrale IT-Dienstleister des Landes. Der Senat beschreibt das ITDZ ausdr\u00fccklich als zust\u00e4ndig f\u00fcr die verfahrensunabh\u00e4ngige IKT und die IT-Basisdienste der Berliner Verwaltung.<\/p>\n

F\u00fcr den aktuellen Rhysida-Angriff<\/strong> ist aber etwas anderes interessant: Nach Angaben von rbb\/Tagesschau wurde nach Entdeckung der Auff\u00e4lligkeiten ein spezialisiertes externes US-amerikanisches IT-Sicherheitsunternehmen<\/strong> hinzugezogen. Dieses Unternehmen stellte offenbar fest, wie ernst die Lage war. Der Landesbevollm\u00e4chtigte f\u00fcr Informationssicherheit Olaf Kroll-Peters sagte sinngem\u00e4\u00df<\/a>, man habe jemanden im System entdeckt und daraufhin das US-Unternehmen eingeschaltet, das schlie\u00dflich Alarm schlug.<\/p>\n

Der Name dieses US-Unternehmens wird in den bislang auffindbaren offiziellen Mitteilungen und den von mir gefundenen Presseberichten jedoch nicht genannt.<\/strong><\/p>\n

Noch wichtiger f\u00fcr die Frage nach der m\u00f6glichen Ursache: Der rbb berichtet, dass die Angreifer offenbar eine Schwachstelle im IT-Betrieb der Senatsverwaltung f\u00fcr Stadtentwicklung, Bauen und Wohnen<\/strong> ausnutzten. Nach rbb-Informationen<\/a> war nicht das ITDZ f\u00fcr diese Schwachstelle verantwortlich<\/strong>.<\/p>\n

Das ergibt momentan folgendes Bild:<\/p>\n

►<\/span>ITDZ<\/strong> zentraler landeseigener Dienstleister \u2192 offenbar nicht f\u00fcr die ausgenutzte Schwachstelle verantwortlich.
\n►<\/span>Unbekannter\/anderer IT-Betrieb bei SenStadt<\/strong> \u2192 dort soll die Schwachstelle gelegen haben.
\n►<\/span> US-amerikanischer Cybersecurity-Dienstleister<\/strong> \u2192 nach Entdeckung des Angriffs zur Incident Response\/Forensik hinzugezogen.<\/p>\n

Das ist f\u00fcr unsere vorherige Untersuchung ziemlich interessant. Wenn die Schwachstelle tats\u00e4chlich in einem extern betriebenen System der Senatsverwaltung f\u00fcr Stadtentwicklung, Bauen und Wohnen<\/strong> lag, w\u00e4re die entscheidende Frage nicht \u201eWer ist der US-Forensiker?\u201c, sondern:<\/p>\n

\n

Welches Unternehmen betrieb das kompromittierte System der Senatsverwaltung f\u00fcr Stadtentwicklung, Bauen und Wohnen?<\/strong><\/p>\n<\/blockquote>\n

Genau das w\u00fcrde ich als N\u00e4chstes untersuchen. \u00dcber Vergabebekanntmachungen, Ausschreibungen, Abgeordnetenhaus-Drucksachen und IT-Vertr\u00e4ge<\/strong> m\u00fcsste sich m\u00f6glicherweise feststellen lassen, welche externen Unternehmen dort 2025\/2026 Server, Netzwerk, Fachverfahren oder IT-Betrieb verantworteten.<\/p>\n

Ja. Ich [ChatGPT] habe die Vergabespur verfolgt, und dabei taucht ein wesentlich interessanterer externer IT-Dienstleister auf als bei der ersten Suche. Die Senatsverwaltung betrieb laut Vergabeunterlagen an den Standorten Fehrbelliner Platz 1 und 4 ein eigenes Virtualisierungscluster mit VMware vSphere 8. F\u00fcr die Erneuerung dieser Infrastruktur wurden ESX-Server beschafft. Den Zuschlag vom 20. August 2024 erhielt…<\/p>\n

Das Ergebnis ist juristisch zu heikel, als dass ich es hier posten k\u00f6nnte. Ich habe keine Lust. mich mit irgendwelchen Anw\u00e4lten herumzupr\u00fcgeln. <\/p>\n

Ich frage mich nat\u00fcrlich, ob ich der Einzige bin, der zum Thema recherchiert?<\/p>\n

\"image_pdf\"<\/a>\"image_print\"<\/a><\/div>
<\/div>