Der Hackerangriff auf die Berliner Verwaltung könnte nach Einschätzung des US-Cybersicherheitsexperten Max Kilger größere Folgen haben als bislang bekannt. Im Gespräch mit der „Bild“ warnte der Professor der University of Texas in San Antonio, dass über Verbindungen der Berliner IT möglicherweise auch Systeme anderer deutscher Behörden gefährdet sein könnten.
Nach Angaben des Experten ist derzeit unklar, welche Netzwerke mit den angegriffenen Berliner Systemen verbunden waren. Sollten Zugangsmöglichkeiten zu weiteren Behörden bestanden haben, könnte es sich um einen deutlich schwerwiegenderen Vorfall handeln.
Besonders problematisch wäre laut Kilger, dass bei dem Angriff offenbar auch Passwortdateien erbeutet wurden. Gestohlene Zugangsdaten könnten von den Angreifern bei anderen staatlichen Systemen ausprobiert werden, wenn dort dieselben Passwörter verwendet wurden. Dieses Vorgehen wird als „Credential Stuffing“ bezeichnet.
Offen ist außerdem, wie lange sich die Angreifer bereits in den Berliner Netzwerken aufgehalten haben. Nach den Erfahrungen aus anderen Fällen können Hacker laut Kilger mehrere Wochen unentdeckt bleiben. In dieser Zeit könnten sie nach weiteren verbundenen Systemen suchen und zusätzliche Daten abgreifen.
Auch der genaue Ablauf des Angriffs ist dem Bericht zufolge noch nicht geklärt. Es ist demnach nicht bekannt, ob Daten verschlüsselt wurden. Ebenso sei möglich, dass die Täter Informationen kopierten und anschließend Geld für deren Nichtveröffentlichung verlangten.
Unklar bleibt zudem, ob hinter dem Angriff ausschließlich kriminelle Motive standen oder ob ausländische Geheimdienste von den erbeuteten Daten profitieren könnten. Öffentliche Belege für eine direkte Beteiligung fremder Nachrichtendienste gebe es bislang nicht, sagte Kilger laut „Bild“. Zugleich gebe es Hinweise, dass die Ransomware-Gruppe Rhysida aus Russland oder einem Staat der Gemeinschaft Unabhängiger Staaten stammen könnte.
Kilger hält es für möglich, dass die Regierung des Landes, in dem die Gruppe ansässig ist, deren Angriffe auf westliche Organisationen zumindest duldet. Denkbar sei auch, dass ein ausländischer Staat versucht habe, über Rhysida Einblick in die gestohlenen Daten zu erhalten.
Dass Berlin offenbar kein Lösegeld gezahlt hat, bewertet der Experte als richtig. Eine Zahlung garantiere nicht, dass Kriminelle die Daten zurückgeben oder sie nicht trotzdem verkaufen beziehungsweise veröffentlichen. Rhysida habe gestohlene Informationen in der Vergangenheit bereits privat oder öffentlich versteigert.
Nach Kilgers Darstellung arbeitet die Gruppe nach dem Prinzip „Ransomware as a Service“. Dabei stellt eine Kerngruppe Schadsoftware und technische Infrastruktur bereit, während andere Kriminelle die Angriffe ausführen. Die Einnahmen aus Lösegeldzahlungen werden anschließend aufgeteilt.
