Ein Klick zuviel

Knapp einen Monat nach Bekanntwerden des Hackerangriffs auf die Berliner Senatsverwaltungen Bauen und Verkehr sind Details über das mutmaßliche Vorgehen der Hacker veröffentlicht worden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte in einem Bericht, aus dem das Fachportal Heise online am Montag zitierte, vor einer Methode namens »Terminalfix«, die offenbar bei der Attacke auf die Berliner Verwaltung benutzt wurde. Bei dem Angriff, zu dem sich die Hackergruppe »Rhysida« bekannt hat, waren auch sensible Daten wie private Handynummern oder Führungszeugnisse entwendet worden. Auf die Forderung von zwei Millionen Euro Lösegeld war der Senat nicht eingegangen.

Bei »Terminalfix« handelt es sich laut BSI um eine Weiterentwicklung der bereits bekannten Betrugsmasche »Clickfix«. Neu daran ist demnach vor allem, dass die Angreifer damit nicht mehr nur einzelne Computer, sondern ganze Behördennetzwerke ins Visier nehmen können. Nutzer landen dabei auf einer manipulierten Internetseite. Ein Mitarbeiter der Senatsverwaltung sei auf eine entsprechende Phishing-Mail hereingefallen.

Auf der Website warte dann ein vermeintlicher Sicherheitstest, ein sogenanntes Captcha. Während auf dem Bildschirm ein erfolgreicher Test angezeigt werde, lade der Computer im Hintergrund unbemerkt Schadsoftware herunter. Zusätzlich würden Bilddateien heruntergeladen, in denen noch mehr Schadcode versteckt sei. Die Schadsoftware richte sich schließlich dauerhaft auf dem Computer ein, verstecke eigene Dateien und melde sich in regelmäßigen Abständen bei den Angreifern.

Bei dem Hackerangriff von »­Rhysida«, einer Gruppierung, die mit diversen Cyber­attacken auf Ziele in Europa und den USA in Verbindung gebracht wird, wurden nach bisherigen Erkenntnissen zwischen dem 7. und 12. August Daten in großem Umfang abgegriffen. Nachdem sich der Senat geweigert hatte, das geforderte Lösegeld von 30 Bitcoin – etwa zwei Millionen Euro – zu zahlen, veröffentlichte die Gruppe am vergangenen Freitag ein Paket von rund 1,4 Millionen Dateien (etwa 5,7 Terabyte) im Darknet. Weitere 560.000 Dateien folgten kurz darauf: vor allem sensible Nutzernamen und Passwörter.

Gegenüber Medien erklärte Joachim Selzer, ein Sprecher des Chaos Computer Clubs (CCC) gleichentags, soweit er es erkennen könne, hätten die Täter »den kompletten Datensatz für alle zur Einsicht live gestellt«. Zu den geleakten Daten aus den beiden betroffenen Senatsverwaltungen gehörten demnach etwa eingescannte Ausweise, Gehaltsabrechnungen, Passwörter, Arbeitszeugnisse und Personalakten von Angestellten, aber auch Daten von Bürgerinnen und Bürgern. Einiges davon dürfte Kriminelle interessieren, etwa zwecks Identitätsdiebstahl.

In der Senatsverwaltung wird unterdessen analysiert, welche Daten bei der Cyberattacke konkret gestohlen wurden. »Wir sind dabei, sämtliche Systeme zu untersuchen, was genau abgeflossen ist, wer wie an welcher Stelle wo drauf war«, erklärte Digitalstaatssekretär Florian Hauer gegenüber dpa. Diese Überprüfung mit Hilfe forensischer Software werde allerdings noch lange dauern. Nachdem der Diebstahl von Passwörtern bekannt geworden war, haben beide betroffenen Verwaltungen entschieden, weitere Sicherheitsmaßnahmen zu ergreifen.

Berlins Regierender Bürgermeister Kai Wegner (CDU) betonte, das Datennetz der Berliner Verwaltung müsse schnell besser vor Cyberattacken geschützt werden. »Wir werden nicht warten, bis eine neue Koalition gebildet ist, sondern wir werden alle personellen und finanziellen Ressourcen zur Verfügung stellen«, sagte Wegner am Dienstag. Der Senat sei dabei, »das Landesnetz zu härten«.

Für Firmen und Bürger, die von den Folgen des Hackerangriffs betroffen sein könnten, soll eine Anlaufstelle eingerichtet werden. Nach Angaben von Hauer geht es um Beratung und Hilfe für Menschen, die glauben, dass ihre Daten abgeflossen sein könnten. Details der Anlaufstelle sind noch offen, geplant ist zunächst ein zentraler E-Mail-Kontakt. Denkbar sei auch eine Hotline. An Berlin nagt offenbar der Zahn der Zeit.