Supergau für Berlin: Daten aus dem Cyberangriff nun im Internet

Rund eine Stunde nach Ablauf des Ultimatums wurde das rund 5,8 Terabyte große Datenpaket am späten Freitagnachmittag im Darknet veröffentlicht.

Nach Angaben der Angreifer und ersten Analysen der veröffentlichten Ordnerstrukturen umfassen die Daten u. a.:

• 5.941 Passwörter & Zugangsdaten: Darunter teils unverschlüsselte Logins, Systemzugänge und Admin-Anmeldedaten (teilweise in ungeschützten Text- oder Word-Dateien vorgefunden).

• 5.000+ Personalakten: Sensible HR-Daten von Beschäftigten des Landes Berlin, darunter:

  • Arbeitszeugnisse, Gehaltsabrechnungen und Personalentscheidungen.

  • Disziplinarmaßnahmen sowie Beurteilungen.

  • Private Kontaktdaten, Geburtsdaten und Kontoverbindungen (IBAN).

• 46.522 Verträge & Dienstleister-Dokumente: Verträge der Berliner Verwaltung mit externen Dienstleistern, Bauunternehmen, IT-Lieferanten sowie Ausschreibungsunterlagen.

• 16.389 E-Mail-Adressen und Schriftverkehre: Interne E-Mail-Postfächer, Postbücher von Senatsverwaltungen sowie Korrespondenz mit Bürgern und Unternehmen.

• Behörden- & Ordnungsakten:

  • Bußgeldakten: Vollständige Verfahrensakten (enthält Anhörungsbogen, Bescheide, Tatvorwürfe, Kennzeichen, Zahlungsnachweise, Namen und Adressen).

  • Dokumente zu kritischer Infrastruktur: Interne Pläne und Bauakten der Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen.

  • Ermittlungshinweise / LKA-Bezüge: Vereinzelte Akten und Hinweise zu laufenden Verwaltungsverfahren oder Sicherheitsfragen.

Was kommt nun auf die Stadt Berlin zu?

Die Kombination dieser Daten stellt für Betroffene und Behörden ein enormes Gefahrenpotenzial dar:

1. Gezielte Betrugsversuche (Phishing & Fake-Bescheide): Mit den Daten aus den Bußgeldakten und dem Postbuch können Kriminelle extrem überzeugende gefälschte Zahlungsaufforderungen oder Mahnungen an Bürger schicken (unter Angabe des exakten Aktenzeichens und echter Vorfälle).

2. Identitätsdiebstahl & Social Engineering: Mithilfe von Passwörtern, Personalakten und Kontaktdaten lassen sich gezielte Spearfishing-Angriffe auf Mitarbeiter anderer Behörden oder Betroffene durchführen.

3. Erpressung & Reputationsschaden: In Personal- oder Ordnungswidrigkeitenakten befinden sich mitunter sensible private Details, die gegen die Betroffenen verwendet werden könnten.

4. Gefährdung der System- und Infrastruktursicherheit: Zugangsdaten und Pläne zur IT- und Bauinfrastruktur ermöglichen Folgeangriffe auf weitere Systeme des Landes Berlin.

Betroffeneninformation nach Art. 34 DSGVO

Liegt durch eine Datenpannenverletzung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen vor, verpflichtet Artikel 34 DSGVO die verantwortliche Stelle, die betroffenen Personen unverzüglich zu informieren. Da im Berliner Fall sensible Daten (wie Zugangsdaten, Kontaktdaten oder Amtsakten) im Darknet gelandet sind, ist das Risiko für Identitätsdiebstahl, Phishing und gezielte Social-Engineering-Angriffe extrem hoch.

• Inhalt der Information: Die Betroffenen müssen klar und verständlich über die Art der Verletzung, die Kontaktdaten des Datenschutzbeauftragten, die möglichen Folgen und die ergriffenen Gegenmaßnahmen informiert werden.
• Handlungsempfehlungen: Den Betroffenen (z. B. Beschäftigten oder Bürgern) muss konkreter Rat an die Hand gegeben werden (z. B. Ändern von Passwörtern, Überwachung von Kontoaktivitäten, Erstattung von Strafanzeigen).

Haftung und Schadensersatz (Art. 82 DSGVO)

Betroffene, deren personenbezogene Daten durch unzureichende Schutzmaßnahmen offengelegt wurden, können immateriellen Schadensersatz geltend machen. Unverschlüsselte Dateien mit Zugangsdaten („Passwort.docx“) stellen eine eklatante Vernachlässigung der Pflicht zu geeigneten technischen und organisatorischen Maßnahmen (TOM, Art. 32 DSGVO) dar.