Der Angriff war im August, das Problem beginnt im September

Zwischen der Trennung der ersten Senatsverwaltungen vom Landesnetz und der Veröffentlichung der Daten lagen drei Wochen. Der kommunikativ schwierigere Teil begann am Ende dieser drei Wochen, nicht an ihrem Anfang.

Kurz gefasst

Die Erpressung endet nicht mit der Entscheidung, nicht zu zahlen. Dort beginnt der öffentliche Teil.

Wer betroffen ist, steht nach einer Veröffentlichung dieser Größenordnung wochenlang nicht fest – das muss gesagt werden, nicht abgewartet.

Umfangsangaben stammen anfangs aus der Auswertung der Leak-Seite, nicht von Behörden. Wer sie übernimmt, markiert ihre Herkunft.

Der eigene Krisenplan braucht eine zweite Phase: wer Betroffene informiert, in welcher Reihenfolge, mit welchem Wissensstand.

Der Countdown lief an einem Freitagnachmittag ab

Mitte August wurde ein Cyberangriff auf Teile des Berliner Landesnetzes bekannt. Am 14. August wurden die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie jene für Mobilität, Verkehr, Umwelt und Klimaschutz rund eine Woche vom Landesnetz getrennt. Tagelang konnte in Berlin unter anderem kein Wohngeld beantragt oder ausgezahlt werden.

Die Gruppe Rhysida forderte 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Der Senat zahlte nicht. Auf der Leak-Seite der Gruppe lief daraufhin ein Countdown, der am Freitag, dem 4. September, gegen 15.35 Uhr ablief; rund eine Stunde später war der Datensatz herunterladbar.

Nach einer ersten Auswertung des rbb umfasst der Leak rund 1,4 Millionen Dateien in mehreren Paketen, einzelne Berichte nennen einen Gesamtumfang von etwa 5,8 Terabyte. Beide Angaben beruhen auf der Auswertung der Leak-Seite und wurden behördlich nicht bestätigt: Als Größenordnung taugen sie, als Bilanz nicht.

Nach Angaben der Senatskanzlei prüfen beauftragte IT-Forensiker die veröffentlichten Daten; Hinweise auf eine fortdauernde Infiltration der Systeme lägen nicht vor. Über welchen Weg die Angreifer hineinkamen und über welchen Zeitraum sie Daten kopieren konnten, ist öffentlich nicht bekannt.

Das Bundesamt für Sicherheit in der Informationstechnik warnt Betroffene vor Identitätsdiebstahl und Phishing – und mit Blick auf die Abgeordnetenhauswahl am 20. September zusätzlich vor einer Hack-and-Leak-Operation, also der gezielten Verwendung geleakter Dokumente im Wahlkampf. Ein politisches Motiv ist bislang nicht belegt; die Einordnung lautet: finanziell motiviert.

Für die zweite Phase hat niemand geübt

Für die erste Phase gibt es Pläne: Systeme trennen, Meldung an die Behörde, Sprachregelung für den ersten Tag. Sie ist unangenehm, aber sie hat einen klaren Ablauf und ein erkennbares Ende.

Die zweite Phase beginnt Wochen später, ohne Alarm, und sie hat kein Ende, das jemand ansagen könnte. Wer ist betroffen? Was steht in den veröffentlichten Dateien? Was wissen wir noch nicht? Was sollen Betroffene konkret tun? Auf keine dieser Fragen gibt es am ersten Tag eine vollständige Antwort – und genau deshalb muss am ersten Tag jemand sprechen.

„Wir wissen es noch nicht“ ist eine Auskunft

Der Satz, der Vertrauen kostet, ist nicht „wir prüfen das gerade“. Es ist „dazu können wir derzeit nichts sagen“.

Der Unterschied liegt im Nachsatz. Wer laufend mitteilt, was geprüft wird, bis wann ein Zwischenstand kommt und woran er hängt, bleibt die Quelle, an der sich Medien und Betroffene orientieren. Wer nichts sagt, überlässt diese Rolle denen, die die Darknet-Ordner durchsehen.

Berlin zeigt zusätzlich, warum die Zahl der beteiligten Stellen selbst zum Problem wird. Je mehr Behörden, Dienstleister und Ermittler beteiligt sind, desto größer die Chance, dass drei Stellen an einem Tag drei verschiedene Wissensstände nennen. Für Betroffene sieht das nicht nach Sorgfalt aus, sondern nach Chaos.

Fünf Punkte für den eigenen Plan

Zwei Phasen statt einer. Der Krisenplan endet üblicherweise mit der Wiederherstellung der Systeme. Er braucht einen zweiten Teil für den Fall, dass Daten Wochen später veröffentlicht werden.

Ein Sprecher, ein Wissensstand. Eine Person gibt Auskunft, eine Vertretung ist benannt. Alle anderen verweisen – auch die IT, auch die Amtsleitung.

Betroffene vor Medien. Wer aus der Zeitung erfährt, dass seine Daten online stehen, wird zum Gegner. Die Reihenfolge gehört vorab festgelegt, nicht im Ernstfall diskutiert.

Fremde Zahlen als fremde Zahlen ausweisen. Umfangsangaben aus Tätermeldungen sind Behauptungen. Wer sie ungeprüft in die eigene Aussendung übernimmt, haftet für sie mit.

Ein Kanal für Rückfragen. Eine Telefonnummer, eine Adresse, eine Zeit. Sonst landet jede Frage bei der Person, die gerade abhebt.

Wer nicht zahlt, muss reden

Die Entscheidung, kein Lösegeld zu zahlen, ist die richtige. Sie ist auch die teurere: Sie verlagert den Schaden von der Bilanz in die Öffentlichkeit.

Was diese Entscheidung tragfähig macht, ist ein benannter Sprecher, ein fixer Termin für den nächsten Zwischenstand und ein Satz, der sagt, was noch offen ist. Wer erst zu reden beginnt, wenn die Dateien bereits abrufbar sind, kommuniziert gegen einen Vorsprung von drei Wochen.