Die Erpresserfrist ist abgelaufen. Berlin hat die geforderten 30 Bitcoin nicht gezahlt. Danach erklärte die Ransomware-Bande Rhysida auf ihrer Leak-Seite, die gestohlenen Dateien in einem öffentlich zugänglichen Bereich hochgeladen zu haben. t-online berichtet über die Freigabe durch die Gruppe. Damit ist der Schaden nicht mehr bloß eine abstrakte Drohung.
Die Hauptverantwortung trägt die Berliner Verwaltung. Nach bisherigen Erkenntnissen flossen Daten vom 7. bis 12. August aus dem Landesnetz. Öffentlich wurde der Angriff erst am 14. August. Kriminelle konnten tagelang Daten abziehen, die Beute zum Verkauf anbieten und ein Ultimatum stellen. Das ist kein unglücklicher Zufall, sondern ein Sicherheitsversagen im Kernbereich staatlicher Verantwortung.
Rhysida behauptet, 5,7 Terabyte erbeutet zu haben. Die Senatskanzlei bestätigt, dass Daten von Landesbeschäftigten, Bürgern und Unternehmen betroffen sein können. Für diese Menschen beginnt jetzt die eigentliche Gefahr. Gestohlene Daten ermöglichen Identitätsdiebstahl, Betrug, Erpressung und gezielte Angriffe auf die Betroffenen. Der Senat rät ihnen, Strafanzeige zu stellen. Erst ließ der Staat ihre Daten abfließen, nun sollen die Geschädigten den Aufwand tragen.
Statt die Verantwortung offen zu benennen, streut der Senat eine Russland-Andeutung. Der rbb zitiert die offizielle Aussage, wonach es keine Erkenntnisse über Verbindungen nach Russland oder zum russischen Staat gebe. Im selben Atemzug heißt es, das könne nicht ausgeschlossen werden. Eine Beteiligung Russlands ist möglich. Belegt ist sie nicht. Sie ersetzt auch keine Antwort darauf, warum die Berliner IT so schwach geschützt war.
In einem Rechtsstaat müssten jetzt Suspendierungen und unabhängige Untersuchungen folgen. Es muss geklärt werden, wer die Systeme verantwortete, welche Schutzvorkehrungen fehlten und weshalb der Datenabfluss nicht früher gestoppt wurde. Wenn Pflichtverletzungen vorliegen, müssen Strafverfahren geprüft werden. F-NEWS hatte bereits über Rhysidas Erpressungsmethode und die Folgen eines Datenlecks berichtet.
Die Datenschutz-Grundverordnung erlaubt Betroffenen nach Artikel 82 Schadenersatz, wenn ihnen durch einen Datenschutzverstoß ein materieller oder immaterieller Schaden entsteht. Ob Ansprüche durchgesetzt werden, entscheiden Gerichte. Politisch ist der Fall klar. Wer Bürgerdaten zentral sammelt, muss sie schützen.
Der Skandal ist eine Warnung vor dem blinden Ausbau zentraler Staats-IT. F-NEWS hatte bei der geplanten Justizcloud vor den Folgen eines erfolgreichen Angriffs gewarnt. Jetzt muss Berlin zuerst die eigene Verantwortung aufarbeiten. Russland zu beschuldigen, obwohl Belege fehlen, schützt keine Daten und keine Bürger.
Schreibe einen Kommentar