Der Bärendienst

Der Name der Stadt Berlin ist nicht direkt mit Bären verwandt. Und doch haben dort gleich mehrere Bärendienste einen großen Cyberangriff begünstigt. Dieser Angriff ist kein Einzelfall und die Informationssicherheit in Deutschland grotesk.

Es war einmal ein Bär und ein Hobbygärtner in seinem Altenteil.
Beide waren einsam gar und wurden Freunde fortan.
Nun lebte der Bär im Gärtlein und verdingte sich hier und dort.
Eines Tages schlief der Gärtner friedlich vor sich hin.
Es begab sich, dass eine Fliege dem Freund in die Nase kroch.
Versucht zu verscheuchen das lästige Insekt der Bär.
Nimmt einen Pflasterstein der Bär und wirft ihn voller Kraft.
Seinen Freund dabei voller Wucht mit erschlagen hat.

Zum Einstieg in die heutige Degitalisierung soll uns eine leicht poetische Kurzfassung der Fabel „Der Bär und der Gartenfreund“ von Jean de La Fontaine dienen. Die Fabel ist der Ursprung des Sprichworts „jemandem einen Bärendienst erweisen“. Es beschreibt den Versuch, in vermeintlich guter Absicht durch eigenes Handeln eine Situation letztlich noch wesentlich schlimmer zu machen.

In den vergangenen Wochen sind immer wieder Situationen aufgetreten, in denen speziell der Informationssicherheit der sprichwörtliche Bärendienst erwiesen wurde. Es scheint geradezu, als wäre eine ganze Herde von Bären unterwegs gewesen, dabei sind Bären doch eher Einzelgänger, auch die besonders berüchtigten Problembären. Ein Versuch, die Bärendienste der letzten Wochen zusammenzufassen.

Das Bärlein

Trotz phonetischer Ähnlichkeit ist der Name der Stadt Berlin nicht direkt mit Bären verwandt. Berlin kommt eher aus einem Sumpf, von der Wortherkunft her. Abgesehen davon ist der Bär das Berliner Wappentier und angesichts aktueller Ereignisse führt uns das zu einem ersten Anschauungsbeispiel für Bärendienste.

Nun ist der Cyberangriff mit anschließendem Leak von etwa einer Million Daten aus zwei Berliner Senatsverwaltungen ein Thema, das in seinen tieferen Ursachen nicht so ganz einfach zu erklären ist, zumal die Situation geradezu von einer gewissen Berlinigkeit strotzt.

Was ist eigentlich passiert? Ein Angreifer bewegt sich mindestens seit Anfang August in den Netzen zweier Senatsverwaltungen in Berlin und zieht munter Daten ab. Mitte August etwa wird der Angriff schließlich bemerkt. Dabei stellt sich heraus, dass dieser wohl schon etwas länger andauerte.

Die betroffenen Senatsverwaltungen sind wegen des Angriffs erst mal kurzzeitig nicht handlungsfähig, weil sie vom Landesnetz getrennt werden. Die Auszahlung des Wohngeldes für etwa 50.000 berechtigte Haushalte ist nicht im normalen Zeitraum möglich. Nach ein paar Tagen gehen die betroffenen Behörden wieder ans Netz. Ein sehr großes Netz, von dessen Größe man selbst überrascht war, wie Interims-CDO Hauer dann feststellen musste. Zwischendrin versucht die Senatsverwaltung zu beschwichtigen, es seien bei einem „sehr professionellen Angriff“ nur ohnehin öffentlich einsehbare Daten abgeflossen. Keine Bange, alles unter Kontrolle.

Auftritt des Problembären

Kurz darauf folgt dann der Kontrollverlust. Ein erstes Eingeständnis, dass vielleicht doch mehr Daten abgeflossen sein könnten. Im Darknet taucht bei Rhysida, einer international aktiven Ransomware-Gruppe, die eher finanziell motiviert ist und deren Herkunft nicht vollständig geklärt werden kann, ein dezenter Hinweis auf. Dieser besagt, dass die Daten aus Berlin gegen Zahlung von 30 Bitcoin „exklusiv erworben“ werden können, bevor diese veröffentlicht werden. Gefunden hatte das zuerst der Spiegel [€].

In der Folge verhält sich das Land Berlin zumindest in Hinblick auf die Lösegeldforderung konsequent richtig: Es will sich nicht erpressen lassen. In Folge kommt es am Freitag, den 4. September, zur Veröffentlichung aller Daten im Darknet.

Die Hackergruppe ist etwas schlampig beim Upload der Daten und ein drittes Datenpaket taucht erst in der Nacht vom 5. auf den 6. September auf. Mit Veröffentlichung aller Daten im Darknet beginnt jetzt eine mühsame Spurensuche, welche Daten eigentlich genau abgeflossen sind. Diese mühsame Spurensuche kann noch Wochen andauern. Obwohl das genaue Ausmaß des Datenabflusses noch nicht ganz klar ist, wird bereits wieder Entwarnung gegeben: Es seien keine militärischen Daten abgeflossen und nur Daten der niedrigsten Geheimhaltungsstufe. Derweil unterstützen bereits diverse Bundesbehörden bei der Aufarbeitung.

Jahrelange Bärendienste

Inmitten dieser Berlinigkeit haben sich ganz, ganz viele Bärendienste eingeschlichen. Sei es bei der vorschnellen Kommunikation, dass das alles ja nicht so gefährlich sei, die dann bereits mehrfach zurückgenommen werden musste. Sei es bei der Auswahl des Dienstleisters, der bei der digitalen Forensik unterstützen soll und selbst eine weitere Gefahr für die digitale Souveränität darstellen kann.

Durchaus interessant bei der Aufarbeitung kann da insbesondere die Sitzung des Ausschusses für Digitalisierung und Datenschutz vom 7. September sein.

Vonseiten des Senats wird da natürlich beteuert, nichts falsch gemacht zu haben. Der Mitarbeiter, der auf den Link in der Phishing-Mail geklickt hat, sei eben ein Teil der Sicherheitsarchitektur, auf den man angewiesen sei. Eine Aussage, die einen Bärendienst an allen Mitarbeitenden der Verwaltung darstellt. Nein, Mitarbeitende, die auf eine ausgefuchste Phishing-Kampagne mit einer über mehrere Ebenen laufenden Angriffskette wie TerminalFix hereinfallen, als Schuldige hinzustellen, erschlägt jegliches Engagement für die Digitalisierung der Verwaltung. Einem Menschen ist nicht das Fehlen von eigentlich selbstverständlicher Sicherheitsplanken anzulasten.

In Berlin sind über die Jahre Investitionen in Informationssicherheit verschleppt worden. Lücken wurden ignoriert und über Jahrzehnte ist ein Zoo an nicht mehr zeitgemäß zu handhabenden Anwendungen entstanden, die allesamt das Informationssicherheitsniveau derart gesenkt haben, dass ein derart großer Schaden wie der jetzige überhaupt erst eintreten konnte.

Kürzungen an den Mitteln für Informationssicherheit? Im Haushalt 2025 jüngst. Waren Mängel bekannt? Ja klar, besonders schwerwiegende Mängel etwa im Kontext der Justizverwaltung, wie der Rechnungshof im Jahresbericht 2024 feststellte. Sicherheit von Fachverfahren, also den spezialisierten Anwendungen, die einen Großteil der Verwaltungsvorgänge beherbergen? „Sie wissen selbst, wie alt manche Fachverfahren sind“, war in der Sitzung des Abgeordnetenhauses zu hören. Bei 21 Fachverfahren im Kontext Berlin lassen sich inzwischen kompromittierte Passwörter gar nicht ändern, weil diese fest im Quelltext hinterlegt sind.

Alles jeweils Bärendienste im Sinne der Informationssicherheit. Sei es aus Knausrigkeit, Unkenntnis, fehlender Priorisierung oder „haben wir schon immer so gemacht“. Dazu kommt eine chronische Unterfinanzierung des Berliner Kommunaldienstleisters ITDZ, der zwar nicht für die Überwachung der betroffenen Senatsverwaltungen zuständig war, aber dennoch die auffälligen Netzwerkverbindungen bei der Exfiltration der Daten gemerkt und gemeldet hat – im Verwaltungssinne quasi fast schon illegalerweise ohne direkte Zuständigkeit. Dazu kommt eine „vollständig zerstörte Kommunikation“ zwischen dem ITDZ und der Senatsverwaltung seit Mitte des Jahres [€].

Bei all diesem Wirrwarr in Berlin ist gar nicht mehr so klar trennbar, wer hier wem welchen Dienst erweist, aber in Summe handelt es sich um eine jahrelang anhaltende Kette an Bärendiensten im Sinne der Informationssicherheit. Tragen müssen die Konsequenzen des Leaks in Berlin viele Menschen, Behörden und Organisationen auch außerhalb Berlins über die nächsten Jahre hinweg.

Hoffnung verbreitet in dieser Berlinigkeit ausgerechnet Falk Steiner in einem Kommentar, der noch Schlimmeres befürchtete:

Auf der Habenseite der Berlin-Rhysida-Debatte steht lediglich, dass angesichts der geplanten Reform des Nachrichtendienstrechts noch niemand einen „Hackback“ des Bundesnachrichtendienstes auf Rhysida-Infrastruktur gefordert hat – selbst wenn die Novelle des Bundesnachrichtendienstgesetzes genau das im Prinzip ermöglichen könnte. Mitunter ist es dann eben schon ein Fortschritt, wenn nicht die allerabsurdesten Ideen ventiliert werden.

Bärenfallen

Eigentlich sollte es in dieser Kolumne um diesen anderen Bärendienst gehen. Die Novelle des Bundesnachrichtendienstgesetzes. Den Versuch, Sicherheitslücken für deutsche Geheimdienste „in Wert bringen zu wollen“. Den politischen Versuch, Sicherheitslücken, die an das Bundesamt für Sicherheit in der Informationstechnik (BSI) gemeldet werden, auch an Geheimdienste auszuleiten. Sicherheitslücken, welche inzwischen auch im Kontext des Cyber Resilience Act von Herstellern von Produkten mit digitalen Elementen an das BSI als Zentralstelle gemeldet werden müssen.

Aber das scheint erst mal abgewendet: Nein, jetzt wieder doch keine Ausleitung an Nachrichtendienste. Versprochen. Oder?

Als die Themensetzung für diese Kolumne stattfand, waren in zwei Berliner Senatsverwaltungen Angreifer so tief im System, dass sie in aller Ruhe über Tage mehrere Terabyte an Daten ausleiten konnten. Daten fast aller Vertraulichkeitsarten, Daten von Bürger*innen, Unternehmen, kritischen Infrastrukturen, der Wasserversorgung in Berlin, Informationen über geplanten polizeilichen Objektschutz, kopierte MP3s auf Verwaltungsverzeichnissen und so weiter.

Das Bild der Informationssicherheit in Deutschland ist grotesk. Auf der einen Seite werden immer mehr politische Befugnisse zur Überwachung, aber auch für offensive Cyberangriffe ersonnen, zumindest in den Entwürfen von Referaten in Ministerien. Dies könne die Grundlage für die Auftragserfüllung darstellen, so hieß es da zu Beginn. Das zeugt von einem veralteten und grotesk verzerrten Bild von Informationssicherheit, bei dem sich Sicherheitslücken nur von den „Guten“ nutzen lassen und professionelle Cyberkriminelle durch Strafandrohung abgeschreckt werden.

Auf der anderen Seite öffentliche Einrichtungen, die ein adäquates Informationssicherheitsniveau kaum alleine halten können. Die Senatsverwaltungen in Berlin sind kein Einzelfall, sie sind nur der Teil der Verwaltung, der gerade im Fokus steht. Der Cyberangriff auf Anhalt-Bitterfeld war 2021, Südwestfalen 2023. Berlin, 2026. In der Folge wird der nächste größere Vorfall kommen – wann genau, ist ungewiss.

Um es grotesk zu halten, schließt diese Kolumne mit einem Zitat von Sinan Selen, Präsident des Bundesamts für Verfassungsschutz, der den Auftrag in Hinblick auf den Schutz der Gesellschaft zumindest klar umreißt:

Der Auftrag ist ein eindeutiger: Schutz der Wirtschaft und der Gesellschaft. Und das wird nicht gelingen, wenn wir vorne so tun, als hätten wir die Hauseingangstür gesichert, und hinten dann bewusst die Terrassentür offenlassen.

Hoffen wir mal, dass sie in Berlin auch alle Terrassentüren schon gefunden haben.