Technik

Berlins Landesnetz-Vorfall: Aus „5,7 Terabyte“ wird noch keine Betroffenenliste

Berlins Landesnetz-Vorfall: Was die Rhysida-Behauptung von 5,7 Terabyte bedeutet – und warum daraus noch keine Betroffenenliste wird.

Von Wolfgang

04. Sep. 20264 Min. Lesezeit

Berlins Landesnetz-Vorfall: Was die Rhysida-Behauptung von 5,7 Terabyte bedeutet – und warum daraus noch keine Betroffenenliste wird.

5,7 Terabyte klingen nach einer Antwort. Im Berliner Landesnetz-Vorfall ist die Zahl zunächst vor allem eine Behauptung der Erpressergruppe Rhysida. Sie ersetzt weder eine Messung noch die Nachricht an einen Menschen, dessen Daten tatsächlich betroffen sind.

Serverschrank mit getrenntem Patchkabel in einem neutralen IT-Betriebsraum — Symbolische Rekonstruktion eines neutralen IT-Betriebsraums mit getrenntem Patchkabel; der konkrete Ort ist nicht Berlin – durch KI erzeugt

Digitales Landesnetz als kritische Verwaltungsinfrastruktur: Nach einem Angriff wird aus Technik schnell eine Frage persönlicher Daten – durch KI erzeugt

Fest steht: Das Berliner Landesnetz wurde kompromittiert. Zwei Senatsverwaltungen wurden Mitte August aus Sicherheitsgründen isoliert; später meldete Berlin weitere Datenabflüsse. Inhalt und Umfang werden weiterhin forensisch untersucht.

Am 3. September warnte das Land dann vor einer neuen Stufe des Vorfalls. Rhysida behaupte, 5,7 Terabyte gestohlener Daten zu besitzen, und habe sie mit einem Mindestgebot von 30 Bitcoin angeboten. Eine Veröffentlichung am 4. September könne nicht ausgeschlossen werden. Berlin schließt nicht aus, dass personenbezogene Daten von Beschäftigten, Bürgerinnen, Bürgern und Unternehmen darunter sein könnten.

Diese Unterscheidung ist keine sprachliche Vorsicht. Sie entscheidet darüber, ob Menschen auf belastbare Informationen reagieren oder auf die Dramaturgie der Angreifer.

Vier Stufen, die nicht dasselbe bedeuten

Ein kompromittiertes Netz ist die technische Ausgangslage. Ein festgestellter Datenabfluss sagt, dass Daten das System verlassen haben. Erst danach lässt sich prüfen, welche Daten es sind und ob sich einzelne Personen identifizieren lassen. Eine angedrohte Veröffentlichung ist wiederum nicht dasselbe wie ein authentischer, öffentlich zugänglicher Datensatz.

Im Berliner Fall sind die ersten beiden Stufen durch die Behördenmeldungen dokumentiert: die Kompromittierung, die Isolation betroffener Verwaltungen und weitere Datenabflüsse. Für die individuelle Betroffenheit fehlen öffentlich weiterhin Datenarten, Umfang und eine vollständige Liste. Auch eine tatsächliche Veröffentlichung am 4. September war in den direkt gelesenen Quellen nicht belastbar bestätigt.

Erklärgrafik mit den Begriffen Kompromittierung, Datenabfluss, individuelle Betroffenheit und Veröffentlichung — Die Originalgrafik ordnet die vier Begriffe als getrennte Prüfschritte von einem Systemangriff bis zu einem authentischen öffentlichen Datensatz – durch KI erzeugt

Zwischen Warnung und individueller Gewissheit liegen mehrere Prüfschritte: Angriff, Datenabfluss, Forensik und sichere Benachrichtigung – durch KI erzeugt

Warum die Warnung nicht folgenlos bleibt

Je nach betroffener Verwaltung können Kontakt- und Verwaltungsdaten, interne Kommunikation oder andere personenbezogene Angaben im Risiko stehen. Heise berichtete nach einer Senatspressekonferenz zudem, dass Passwörter für einige Fachverfahren abgeflossen seien. Die Zeitung schrieb auch, Berlin prüfe alle 12.000 digitalen Systeme rund um die Uhr. Das ist ein konkreter Zwischenstand, aber kein Beleg dafür, dass 12.000 Systeme kompromittiert waren oder welche Konten betroffen sind.

Das BSI beschreibt die Drohung, gestohlene Daten zu veröffentlichen, als typische Doppel-Erpressung: Zur technischen Störung kommt Druck über mögliche Datenlecks. Die BfDI beschreibt für Datenschutzvorfälle eine risikobasierte Logik. Meldungen an die Aufsicht sollen grundsätzlich unverzüglich und möglichst binnen 72 Stunden erfolgen; bei voraussichtlich hohem Risiko sind betroffene Personen unverzüglich zu benachrichtigen. Das ist ein allgemeiner Rahmen, keine Aussage darüber, welche Pflicht im Berliner Einzelfall bereits ausgelöst wurde.

Analysten prüfen eine geschwärzte Zeitleiste und Belegkarten zur Rekonstruktion eines IT-Vorfalls — Geschwärzte Belegkarten, eine Zeitleiste und ein Kabelschema stehen für die Prüfung von Datenwegen und Datenarten; echte Akten sind nicht abgebildet – durch KI erzeugt

Forensik muss Datenwege, Datenarten und konkrete Risiken nachvollziehbar machen – durch KI erzeugt

Was jetzt als belastbare Information gilt

Eine große Zahl aus einem Erpresserforum ist kein brauchbarer Selbsttest. Wer wissen will, ob eigene Daten betroffen sein könnten, sollte sich an verifizierte Hinweise der zuständigen Berliner Stellen oder an eine sichere direkte Benachrichtigung halten. Angebliche Listen, Dateien oder Kontaktangebote aus sozialen Netzwerken können selbst Teil eines Folgeangriffs sein.

Berlin hat für den Fall tatsächlich veröffentlichter Daten auf die Strafanzeige über die Internetwache der Polizei Berlin oder eine örtliche Polizeidienststelle verwiesen. Welche weiteren Schritte im Einzelfall sinnvoll sind, hängt aber von den Daten und der konkreten Information ab. Die allgemeinen Hinweise des BSI und der BfDI ersetzen keine Fallentscheidung.

Für die Behörden bleibt die Arbeit damit zweigeteilt. Sie müssen den technischen Vorfall weiter aufklären und zugleich Menschen informieren, sobald sich ein konkretes Risiko zuordnen lässt. Der Berliner Fall ist nicht deshalb weniger ernst, weil die lauteste Zahl unbestätigt ist. Er ist ernst, weil ein dokumentierter Angriff und weitere Abflüsse vorliegen – und weil die Antworten, die Betroffene wirklich brauchen, erst die Forensik liefern kann.

KI-gestützte Recherche: Der Beitrag wurde mit KI-Unterstützung recherchiert und redaktionell bearbeitet.