Berlin lehnt Lösegeldzahlung nach Angriff auf Stadtnetz ab

Berlins Landesregierung hat bestätigt, Ziel eines Erpressungsversuchs zu sein, nachdem im August das Landesverwaltungsnetz der Stadt kompromittiert wurde, und sie erklärt, die Forderungen der Angreifer nicht zu erfüllen. In derselben Erklärung gab Berlin bekannt, dass forensische Arbeit weitere Datenabflüsse im Portfolio der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt festgestellt habe, wobei Daten zwischen dem 7. und 12. August 2026 entwendet wurden. Der Umfang und Inhalt werden noch geprüft, und die Senatskanzlei erklärte, dass personenbezogene oder andere nicht öffentliche Daten unter den entwendeten Daten nicht ausgeschlossen werden können. Die Verwaltung meldete erstmals am 7. August einen Abfluss, sieben Tage bevor sie am 14. August vom Netz getrennt wurde. Berlin hat keine Zahl veröffentlicht, wie viele Daten das Netz verlassen haben. Die einzige detaillierte Darstellung im Umlauf stammt von den Angreifern selbst, ein am 28. August indexierter Beitrag auf einer Leak-Seite, der 5,79 Terabyte Daten und persönliche Informationen zu 12.076 Personen beansprucht. Stand 29. August enthielten Berlins zwei Veröffentlichungen keine Hinweise für Personen, deren Datensätze unter den Daten sein könnten.

Regierender Bürgermeister Kai Wegner sagte nach einer Sondersitzung des Senats im Roten Rathaus, das Land werde erpresst, so die maschinell übersetzte englische Version auf Berlins offiziellem Stadtportal. Die Erklärung der Senatskanzlei besagte, dass das Landeskriminalamt, die Staatsanwaltschaft und Bundesicherheitsbehörden die mutmaßlichen Täter untersuchen und keine Gruppe hinter dem Angriff identifiziert hätten. Der Spiegel nannte Rhysida als die Gruppe und berief sich auf einen Eintrag auf der Darknet-Leak-Seite der Gruppe und auf an der Reaktion beteiligte Sicherheitsquellen. The Hacker News bestätigte über einen Überwachungsdienst für Leak-Seiten am 29. August, dass am 28. August ein Eintrag mit dem Titel Berlin, Germany auf Rhysidas Leak-Seite hinzugefügt wurde. Dieser Beitrag behauptet, 5,79 Terabyte Daten und rund 1,44 Millionen Dateien gescannt zu haben, und identifiziert das Opfer nur als Berlin, Germany statt als Senat oder eine Verwaltung. Im Eintrag erscheint keine Lösegeldforderung, und seine elf Dateikategorien, deren größte 124.823 Karten- und Geodatendateien umfasst, machen zusammen etwa ein Viertel der beanspruchten Gesamtdateizahl aus.

Die U.S. Cybersecurity and Infrastructure Security Agency (CISA), das Federal Bureau of Investigation (FBI) und das Multi-State Information Sharing and Analysis Center (MS-ISAC) legten Rhysidas Vorgehensweise in einer gemeinsamen Warnung vom November 2023 dar. Die Warnung dokumentiert drei anfängliche Zugangswege: gültige Konten auf extern erreichbaren Remote-Diensten, bei denen Angreifer sich mit gestohlenen gültigen Anmeldedaten an internen VPN-Zugangspunkten anmelden, besonders bei Organisationen, die Multi-Faktor-Authentifizierung (MFA) nicht standardmäßig aktivieren; Zerologon (CVE-2020-1472), eine Privilegienausweitungs-Schwachstelle in Microsofts Netlogon Remote Protocol, die Microsoft am 11. August 2020 gepatcht hat; und Phishing, das die Behörden als erfolgreichen Weg in Opfernetzwerke verzeichnen. Die Behörden merken an, dass FBI und CISA nicht zur Lösegeldzahlung ermutigen, weil eine Zahlung keine Wiederherstellung garantiert und weitere Angriffe fördern kann. Sie empfehlen, Korrekturen für bekannte ausgenutzte Schwachstellen zu priorisieren, MFA dienstübergreifend zu aktivieren und Netzwerke zu segmentieren, um die Ausbreitung von Ransomware zu stoppen. Dasselbe Dokument erwähnt Open-Source-Berichte über Ähnlichkeiten zwischen Vice Society, die Microsoft als Storm-0832 führt, und den Akteuren, die Rhysida einsetzen, eine Überschneidung, die Check Point 2023 beschrieb. Der Überwachungsdienst listete Stand 29. August 280 Rhysida-Opfer, neun davon in Deutschland, darunter die Stuttgarter Stadtverwaltung im Mai 2026 und die Hilfsorganisation Welthungerhilfe im Juni 2025. Seine Einträge umfassen auch den Port of Seattle, der den Seattle-Tacoma International Airport betreibt, indexiert im September 2024.

Zur Reaktion Berlins erklärte die Senatskanzlei, dass die Landesdatenschutzbeauftragte und das Bundesamt für Sicherheit in der Informationstechnik (BSI) fortlaufend informiert werden. The Hacker News fand Stand 29. August keine Stellungnahme zum Vorfall von der Berliner Beauftragten für Datenschutz und Informationsfreiheit. Innensenatorin Iris Spranger sagte, nach derzeitigem Stand hätten keine Daten die für die Durchführung der Abgeordnetenhauswahl am 20. September relevanten Bereiche verlassen, und ihre Sicherheitsbeamten betrachteten das Wahlumfeld als sicher. Berlin meldete den Vorfall erstmals am 17. August und erklärte, forensische Arbeit habe eine Kompromittierung des Landesnetzes festgestellt und beide betroffenen Verwaltungen seien seit dem vorherigen Freitag isoliert. Auf einer Pressekonferenz am 19. August sagte Wegner, der Vorfall sei und bleibe ernst, und betonte, nach aktuellem Kenntnisstand hätten keine sensiblen Daten das Landesnetz verlassen. Wohngeldanträge und -zahlungen waren nicht verfügbar, während die beiden Verwaltungen vom Netz getrennt waren. Alle Senatsverwaltungen wurden am 23. August wieder verbunden, und forensische Arbeit und Scans des Landesnetzes dauern an.

In einem separaten Vorfall erklärte die Manchester Airports Group (MAG), die die Flughäfen Manchester, London Stansted und East Midlands betreibt, am 27. August, dass eine unbefugte dritte Partei Kundendaten zu Parkplatz-, Lounge- und Fast-Track-Buchungen sowie Anmeldungen für WLAN im Flughafen an den drei Standorten erlangt habe. Ein MAG-Sprecher sagte in der veröffentlichten Erklärung des Unternehmens, die Passagiersicherheit und die Luftsicherheit seien nicht beeinträchtigt worden, und fügte hinzu, dass Flughafenbetrieb und Kundeparkdienste weiterhin normal funktionieren. Die erlangten Daten umfassen E-Mail-Adressen, Telefonnummern, Fahrzeugregistrierungen und Postleitzahlen, und MAG erklärte, weder es noch das zugegriffene System verfügten über Bank- oder Zahlungsdaten der Kunden. MAG beschreibt das zugegriffene System als verschieden von MAG selbst. Seine Kundendatenschutzseite besagt, dass der Vorfall keine operativen Flughafensysteme betrifft, und rät Passagieren, wie gewohnt zum Flughafen zu reisen. Stand 29. August ist der Zugang zum Online-Service Manage My Booking als Vorsichtsmaßnahme ausgesetzt, und Änderungen an Buchungen, die innerhalb der nächsten 72 Stunden fällig sind, werden vom Kundenservice unter 0208 163 8001 an Wochentagen zwischen 9:00 und 17:00 Uhr bearbeitet. Eine Zahl von etwa 8,7 Millionen betroffenen Kunden ist weit verbreitet, gestützt auf einen Unternehmenssprecher gegenüber der Presse, aber MAGs eigene Materialien lassen die Zahl ungenannt. MAG erklärte, betroffene Kunden direkt kontaktiert und sie auf die Datenschutzverletzungs-Hinweise des U.K. National Cyber Security Center (NCSC) verwiesen zu haben, mit der Empfehlung, wachsam gegenüber verdächtigen E-Mails, Textnachrichten und Telefonanrufen zu sein.

Organisationen, die ihre eigene Exposition gegenüber den in der Rhysida-Warnung beschriebenen anfänglichen Zugangswegen überprüfen müssen, können AEU-I nutzen, den sicherheitsorientierten IT- und Infrastrukturberatungsdienst der AEU Group, um grundlegende Kontrollen wie Multi-Faktor-Authentifizierung und Netzwerksegmentierung zu planen und umzusetzen.