Berliner Daten-GAU: Wie man einen Leak seziert

Über 5 Terabyte an Daten und Dokumenten aus der Berliner Senatsverwaltung stehen seit dem 4. September im Darknet für jeden zum Download zur Verfügung. An diesem Tag ging das Ultimatum zu Ende, mit dem die Hackergruppe Rhysida den Senat erpressen wollte: Entweder es werden 30 Bitcoin gezahlt (damals rund zwei Millionen Euro) oder Rhysida macht öffentlich, was sie bei ihrem Hack im August an Daten aus der Verwaltung abgreifen konnte. Doch Berlins Regierender Bürgermeister Kai Wegner und die Innensenatorin Iris Spranger stellten klar: „Das Land Berlin lässt sich nicht erpressen.“

Nach bisherigen Erkenntnissen hatte Rhysida vom 7. bis zum 12. August Zugriff auf die Netze der Senatsverwaltung und leitete in dieser Zeit fleißig Daten aus. Die Untersuchung der Störung eines Domain-Controllers am 13. August führte dann am nächsten Tag zur Gewissheit, gehackt worden zu sein. Am 14. August wurden dann zwei Bereiche der Senatsverwaltung vom Landesnetz getrennt.

Eintrittskarte für Rhysida war laut BSI eine Angriffsmethode namens TerminalFix, mit der die Senatsverwaltungen für Bauen und Verkehr attackiert wurden. Gefälschte Captcha-Seiten verleiten dabei trickreich dazu, eine PowerShell zu öffnen und dort Befehle reinzukopieren und auszuführen, die Malware nachladen.

Laut Rhysida enthält der Leak Klartextpasswörter, Justiz- und Vertragsunterlagen, Finanzdokumente, Personalakten, Ordnungswidrigkeitenakten sowie Material zu kritischer Infrastruktur. Die Senatskanzlei bestätigte, dass Daten aus den Senatsverwaltungen für Mobilität, Verkehr, Klimaschutz und Umwelt sowie für Stadtentwicklung, Bauen und Wohnen abgeflossen sind. iX sprach dazu mit Sascha Herzog von der Securityfirma NSIDE ATTACK LOGIC, die den riesigen Leak für ihre Kunden analysiert.

iX: Was für ein Auftrag steht hinter Ihrer Analyse des Leaks?

Sascha Herzog: Unser Kundenstamm kommt aus verschiedenen Bereichen, gerade auch aus dem KRITIS-Sektor. Da dieser Leak so umfänglich ist, sind diverse Kunden von uns indirekt betroffen. Mit den Senatsverwaltungen ausgetauschte sensible Daten sind jetzt ja quasi öffentlich und für jedermann, der einen Tor-Browser verwenden kann, potenziell downloadbar. Da machen sich unsere Kunden natürlich Sorgen und haben gefragt, ob wir ihnen helfen können, Licht ins Dunkel zu bringen. Dabei beachten wir natürlich immer den notwendigen rechtlichen Rahmen.

Nicht nur Sie sitzen an der Sichtung und Bewertung der Daten. BKA, Verfassungsschutz, BSI und Landesbehörden arbeiten daran, eine Koordinierungsstelle soll Betroffene benachrichtigen. Welchen Mehrwert liefert Ihr Unternehmen da?

Ich weiß nicht, ob die offiziellen Stellen kapazitär alle Betroffenen unterstützen können, und kenne auch ihre Analysetools nicht. Wir bieten jedenfalls eine gewisse Geschwindigkeit. Wir haben eigene Analysetools entwickelt, die die Dateien und E-Mails in diesen Leaks anhand kundenspezifischer Regeln und Suchmuster filtern. Wir stellen relevante Treffer zusammen und nehmen eine Vorbewertung vor – zum Beispiel ob Begriffe wie KRITIS oder „Verschluss-Sache – Nur für den Dienstgebrauch“ in den mit den Senatsverwaltungen ausgetauschten E-Mails der Kunden vorkommen. Was ein Fund für das Unternehmen konkret bedeutet und welches Risiko er birgt, das muss der Kunde selbst beurteilen.

Arbeiten Sie mit der offiziellen Koordinierungsstelle zusammen?

Nicht direkt. Wir stehen aber mit Bundesbehörden in Kontakt, die ebenfalls ein berechtigtes Interesse haben. Näheres kann ich dazu nicht sagen.

Wie groß ist der Datenleak und wie viele Dateien umfasst er?

Rhysida gibt an, es wären 5,79 Terabyte und 1,44 Millionen Dateien. In Berichten kursierten noch andere Zahlen. Unsere Analyse zeigt 5,25 Terabyte, 1,431 Millionen Dateien und rund 150.480 Ordner. Ich möchte nicht ausschließen, dass bei unserem Download irgendwas nicht mitgekommen ist oder dass Rhysida da noch ihre Dateien geändert hat. Es ist keine genaue Wissenschaft.

Hat der Download dieser Datenmasse großen Aufwand bereitet?

So was ist nicht einfach nur Rechtsklick, Download und fertig. Es gab ja einen enormen Andrang auf den Leak. Außerdem lädt man über das langsame Tor-Netzwerk, teilweise lag die Bandbreite bei 15 kBit/s. Rhysida hat zudem dreimal die Dateistruktur geändert, sodass wir unsere Downloadlogik immer wieder anpassen mussten.

Natürlich gibt es gewisse Tricks, die man anwenden kann. Wir haben parallel arbeitende Docker-Container eingesetzt, die Dateistücke laden und zusammensetzen. Es war ziemlich chaotisch und auch schwierig, muss ich sagen. Insgesamt haben wir zweieinhalb Wochen gebraucht.

Wie muss man sich den Aufwand bei der Analyse einer solchen Datenmenge vorstellen? Die durchforstet man ja nicht einfach nur mit Strg+F.

Wir speichern die Daten auf großen NVMe-SSDs. Bei stärker strukturierten Leaks verwenden wir Elasticsearch-Cluster. Bei dem Berliner Leak handelt es sich aber um weitgehend unstrukturierte Dateien. Weil sie aus Windows-Systemen stammen, arbeiten wir dann auch unter Windows, unter anderem mit PowerShell-Search-Skripten. Der Kunde nennt uns beispielsweise E-Mail-Domains, Projektnamen oder Begriffe, nach denen wir suchen sollen. Daraus erstellen wir Regelsätze für unseren Analyzer, der alles durchsucht und nach Prioritäten sortiert. Eine E-Mail, in der gleich mehrere der Begrifflichkeiten vorkommen, deutet dann auf höheres Risiko und bekommt höhere Priorität. Die betreffenden Daten werden paketiert und gehen mit Vorbericht an den Kunden. Eine HTML-Übersicht führt zu den jeweiligen Dateien.

Setzen Sie dabei auch Sprachmodelle ein?

Ja, Open-Weight-Modelle wie zum Beispiel Qwen, die betreiben wir rein lokal. Sie helfen bei der Vorbewertung. Die Ergebnisse sind letztlich aber nur teilweise hilfreich. Kunden müssen die vorgefilterten Dateien weiterhin manuell sichten – in manchen Fällen werden da Leute eine ganze Woche dafür abgestellt. Trotz Vorfilterung bleibt das eben immer noch eine Riesenmenge an Daten. Außerdem empfehlen wir, die Dateien ausschließlich in einer sicheren Sandbox zu öffnen, nicht auf einem gewöhnlichen Laptop. Man weiß ja nicht, ob Rhysida nicht noch Malware in den Dateien versteckt hat.

So ein Behördenleak enthält ja nicht nur E-Mails, sondern sicher auch viele eingescannte Dokumente, die dann im Bildformat vorliegen. Wie gehen Sie mit unterschiedlichen Dateiformaten um?

Wir suchen vor allem in Datei- und Ordnernamen sowie in bestimmten textbasierten Formaten, darunter E-Mails, Office-Dokumente und PDFs. Wir gehen dabei nach Dateifamilien vor, weil wir da natürlich einzelne Parser pro Format brauchen. Bei ausgewählten gescannten PDFs nutzen wir auch OCR. Das machen wir aber nicht bei allen Bildern, das wäre viel zu aufwendig. Genauso wenig extrahieren wir alle Archive oder werten alle Containerformate aus, die da drin liegen. Der Leak enthält unter anderem jede Menge 7-Zip-Dateien. Die sind alle noch gar nicht ausgewertet. Deswegen gehe ich davon aus, dass in der Zukunft noch so einiges aufploppen wird, weil diese Analysen einfach enorm lange dauern.

Ich würde sagen, dass bei unserer Methode die wichtigsten textbasierten Formate abgedeckt sind. Der Kunde weiß aber auch, dass wir da keine Vollständigkeit zusichern können.

Wie lange dauert ein Suchlauf für einen Kunden?

Die Suche in den unstrukturierten Daten ist ein echter Engpass. Wir können derzeit nicht mehrere umfangreiche Kundensuchen parallel ausführen. Wie lange ein Suchlauf dauert, hängt von den Regeln und Suchbegriffen ab. Wir brauchen so ungefähr zwölf bis fünfzehn Stunden für einen Lauf. Auch der gewünschte Analyseumfang spielt eine Rolle: Je tiefer wir suchen, desto mehr Zeit kostet es.

Halten Sie die Daten nach Ihren bisherigen Erkenntnissen für echt?

Ja, ich gehe von einer sehr hohen Wahrscheinlichkeit aus. Zu 99 Prozent, würde ich sagen.

Die Erpresser behaupten, unter anderem Verträge, Zugangsdaten und Unterlagen zu kritischer Infrastruktur erbeutet zu haben. Deckt sich das mit Ihrer Sichtung?

Vieles von dem, was die Gruppe beschreibt, ist nach unserer bisherigen Sichtung grundsätzlich in den Daten zu finden. Einzelne Mengenangaben oder Bewertungen würde ich aber nicht ungeprüft übernehmen. Ich gehe nicht davon aus, dass die Angreifer das tiefgehend durchforstet und die Dokumente eingeschätzt haben, wahrscheinlich sind sie auch nicht mal selber deutschsprachig. Ich denke, die lassen einfach die KI drüberlaufen mit einem Prompt wie: „Identifiziere mir die Dokumente. Was ist das und was steht da drin?“ Gerade bei solchen komplexen Sachen irrt sich die KI aber gern. Vielleicht sind 70 bis 80 Prozent von dem zutreffend, was Rhysida behauptet. Die Fehleranfälligkeit haben wir auch bei unseren KI-gestützten Vorbewertungen bemerkt: Ein Dokument wurde etwa wegen des Wortes „geheim“ als geheimschutzrelevant eingeordnet, obwohl der Begriff allein das nicht belegt.

Wie stufen Sie die Brisanz des Leaks ein?

Sehr hoch. Die IT-Sicherheitsfolgen halte ich für kritisch. Das Material ist sehr gefährlich und nicht nur relevant für das Land Berlin, sondern wahrscheinlich auch für Bund, Länder und andere Behörden. Bekannte E-Mail-Adressen und frühere Nachrichtenverläufe können zum Beispiel Angreifern helfen, glaubwürdige Phishingmails zu formulieren.

Wir haben in den Daten auch Informationen zu Betreibern kritischer Infrastrukturen gesehen, die keine Kunden von uns sind. Die sind enorm betroffen. Man weiß ja, was die Senatsverwaltungen machen: Umwelt, Verkehr, Klima. Das heißt, da geht es um Wasser, da geht es um Stromversorgung, da geht es um Verkehr. Da stecken enorm viele Daten und Informationen drin über diese kritischen Infrastrukturen. Aber natürlich bin ich Laie in diesen Feldern – wie gravierend einzelne Dokumente außerhalb meines Fachgebiets sind, kann ich nicht abschließend beurteilen.

Sie sprachen von einem großen Andrang auf den Download. Wer interessiert sich außer den Betroffenen für einen solchen Leak?

Darüber kann ich nur spekulieren. Denkbar sind staatliche Akteure ebenso wie Ransomware- und Hackergruppen, aber auch die organisierte Kriminalität. Da gibt es sicher viele Interessenten, die sich überlegen, was sie mit diesen Daten jetzt anfangen können, etwa um Personen einzuschüchtern. Die Brisanz kommt eben auch dadurch, dass es nicht nur Daten einer Stadt oder einer Landesverwaltung sind, sondern die unserer Hauptstadt mit Regierungssitz. Da gibt es natürlich sehr viele Verquickungen zur Politik auf Bundesebene. Wer sie tatsächlich heruntergeladen hat oder nutzen wird, das wissen wir nicht.

Berlins „No-Pay-Policy“ – der beste Weg?

Halten Sie die Entscheidung des Senats für richtig, nicht auf die Erpressung einzugehen?

Ehrlich gesagt, nein. Persönlich sehe ich sie kritisch. Es könnten viele unbeteiligte Personen von der Veröffentlichung betroffen sein. Hinweise auf personenbezogene Daten haben wir gesehen; die Behauptung der Angreifer, dass auch Ausweisdokumente enthalten seien, habe ich aber selbst nicht geprüft. Natürlich kann man eine sogenannte „No-Pay-Policy“ fahren. Aber billigend in Kauf zu nehmen, dass ganz viele Privatpersonen, Unternehmen, Behörden und Organisationen dadurch betroffen sind, das finde ich schon schwierig.

Aber ist das nicht kontraproduktiv? Eine Lösegeldzahlung kann doch weitere Erpressungen sogar noch begünstigen. Und sie garantiert auch nicht, dass die Täter die Daten löschen oder nicht weitergeben.

Das ist die Gegenposition, und ich verstehe sie. Natürlich will man die Angreifer nicht ermutigen. Wer Erfolg hat, der macht das wieder. Mein Punkt ist aber: Durch die Veröffentlichung können nun viele weitere bösartige Akteure auf die Daten zugreifen. Irgendwann werden diese Leaks dann auch aufbereitet von Untergrund-Akteuren, die das verkaufen. Da gibt es dann Suchtools, wo man nach E-Mail-Adresse, Handynummer oder Person suchen kann und persönliche Adressen, Wohnort, Handynummer, E-Mail und was auch immer bekommt. Das ist dann im Netz und da kriegt man es auch nicht mehr raus. So was passiert aus meiner Sicht nur dann nicht, wenn die Daten eben nicht veröffentlicht werden. Bei einem veröffentlichten Leak dieses Ausmaßes haben wir jetzt ein viel größeres Potenzial an Angriffen gegen unser Land, nicht nur gegen Berlin und einzelne Personen.

Was raten Sie einem Unternehmen, das vermutet, selbst betroffen zu sein?

Es sollte zunächst bei den zuständigen Berliner Stellen und beim BSI und BKA nach Informationen fragen. Besonders wichtig ist, Mitarbeiter auf mögliche Phishingmails aufmerksam zu machen, wenn ihre Adressen oder frühere Korrespondenz betroffen sind. Unsere Kunden prüfen außerdem, ob Informationen über ihre IT-Infrastruktur offengelegt wurden und ob daraus zusätzliche Schutzmaßnahmen folgen müssen. Ebenfalls informieren sie auch andere Betroffene, die Teil des kompromittierten E-Mail-Austausches waren. Auch die müssen ja mit Fake-E-Mails und Ähnlichem rechnen.

Was müsste sich bei Behörden strukturell ändern, um solche Vorfälle zu begrenzen?

Behörden, genau wie auch Unternehmen, brauchen Geld und qualifiziertes Personal für IT-Sicherheit. Einheitliche Standards und deren Kontrolle wären aus meiner Sicht ebenfalls wichtig. Die Aufwände, die dahinterstecken, und dann die Umsetzungsmöglichkeit, das ist bei vielen Behörden leider einfach nicht gegeben. Manche sind richtig gut aufgestellt, meist auf Ebene von Bund und Ländern. Die Kommunen sind hingegen am wenigsten geschützt. Da sehen wir häufig Nachholbedarf.

Hinweis: Offizielle Anlaufstellen und Ansprechpartner für mögliche Betroffene des Rhysida-Hacks finden sich hier: ix.de/zj4h.

Dieses Interview erscheint ebenfalls in der Kategorie „Fokus“ der neuen iX 12/2026. Noch mehr spannende Artikel für IT-Profis finden Sie im Dezember-Heft, das ab dem 20. November erhältlich ist.