Die erste Entwarnung musste zurückgenommen werden

Zunächst hieß es, es seien nur öffentlich zugängliche Daten abgeflossen. Anfang September räumte die Senatskanzlei ein, dass das nicht stimmt.

Aus Berlin lassen sich vier Lehren ziehen

Eine frühe Entwarnung, die später zurückgenommen werden muss, kostet mehr als drei Tage Schweigen.

Mit der Entscheidung, nicht zu zahlen, beginnt der öffentliche Teil.

Umfang und Inhalt eines Leaks stammen anfangs von der Tätergruppe. Wer solche Zahlen übernimmt, markiert ihre Herkunft.

Der eigene Krisenplan braucht eine zweite Phase, die festlegt, wer Betroffene mit welchem Wissensstand und in welcher Reihenfolge informiert.

Die Chronologie hat drei Stufen

Am 14. August wurde der Angriff bekannt. Die beiden betroffenen Senatsverwaltungen – jene für Stadtentwicklung, Bauen und Wohnen sowie jene für Mobilität, Verkehr, Umwelt und Klimaschutz – wurden vorübergehend vom Landesnetz getrennt. Bürgerdienste waren dadurch nach der Berichterstattung zeitweise eingeschränkt. Über welchen Weg die Angreifer hereinkamen, ist öffentlich nicht geklärt; die Angaben zum Zeitraum, in dem sie Daten kopieren konnten, gehen in den Berichten auseinander.

Am 28. August wurde die Erpressung öffentlich. Die Gruppe Rhysida führte Berlin auf ihrer Leak-Seite, der Regierende Bürgermeister Kai Wegner und Innensenatorin Iris Spranger informierten nach einer Sondersitzung des Senats über den Versuch. Gefordert wurden 30 Bitcoin, nach damaligem Kurs rund zwei Millionen Euro. Wegner sagte, das Land Berlin werde sich nicht erpressen lassen.

Am 4. September lief das Ultimatum ab, nach Medienberichten um 15.35 Uhr. Danach wurden Daten im Darknet bereitgestellt. Das Land Berlin teilte mit, nach Einschätzung von Fachleuten sei der gesamte Datensatz veröffentlicht worden.

Der Satz, der zurückgenommen werden musste

Zwischen diesen drei Stufen liegt der eigentliche Lehrfall. Nach Bekanntwerden des Angriffs hieß es zunächst, es seien nur öffentlich zugängliche Daten abgeflossen. Anfang September räumte die Senatskanzlei ein, dass das nicht so ist.

Diese Korrektur wirkt anders als eine offene Unsicherheit. Wer sagt „wir prüfen noch, welche Daten betroffen sind“, hat nichts verloren, wenn sich die Lage verschlechtert. Wer entwarnt und die Entwarnung zurücknehmen muss, verliert die Rolle als verlässliche Quelle – genau in dem Moment, in dem er sie am dringendsten braucht.

Hinter solchen frühen Entwarnungen steckt selten Absicht, meist Druck. Am ersten Tag wollen alle eine Aussage, und der erste Befund der IT klingt beruhigender, als er ist. Der Unterschied zwischen einem belastbaren und einem vorläufigen Befund gehört in denselben Satz wie der Befund.

Der Datensatz ist mehr als ein Datenschutzfall

Nach Medienberichten umfasst das Material rund 1,44 Millionen Dateien mit einem Umfang von etwa 5,8 Terabyte; Rhysida selbst hatte 5,79 Terabyte behauptet. Berichtet wird unter anderem von einem Ordner zur CBRN-Rahmenplanung – gemeint sind chemische, biologische, radiologische und nukleare Gefahren –, von Unterlagen des Landeskriminalamts, von Schwachstellenanalysen zur Trinkwasserversorgung, von mehr als 5.000 Personalakten und von Passwörtern im Klartext.

Diese Angaben beruhen auf der Sichtung der veröffentlichten Ordner und auf Behauptungen der Tätergruppe. Dass Daten veröffentlicht wurden, ist bestätigt; Umfang, Vollständigkeit und Inhalt wurden zunächst nicht abschließend behördlich bestätigt, die forensische Auswertung läuft. Die Zahlen geben eine Größenordnung an und bleiben vorläufig.

Für die Kommunikation heißt das, dass ein Leak dieser Art neben der Betroffeneninformation auch die Sicherheitsbehörden beschäftigt. Beteiligt sind das Bundesamt für Sicherheit in der Informationstechnik, das Bundeskriminalamt und das Bundesamt für Verfassungsschutz; die Erkenntnisse laufen im Gemeinsamen Cyberabwehrzentrum zusammen. Wer in so einer Lage kommuniziert, spricht neben mehreren Behörden und muss das einkalkulieren.

Das BSI warnte nach der Veröffentlichung vor Phishing und Identitätsmissbrauch und mit Blick auf die Abgeordnetenhauswahl am 20. September auch vor Hack-and-Leak-Operationen, bei denen geleakte Inhalte ausgewählt, falsch eingeordnet und verstärkt werden können. Die Warnung betrifft die Methode, ein politisches Motiv in diesem Fall ist damit nicht behauptet. Die Behörde stuft Rhysida als kriminell und finanziell motiviert ein. Innensenatorin Spranger erklärte, die Wahl sei sicher, wahlbezogene Daten seien nach damaligem Stand nicht abgeflossen.

Für die zweite Phase steht in vielen Plänen nichts

Für die erste Phase gibt es Abläufe, vom Trennen der Systeme über die Bewertung des Vorfalls und die Einbindung der Behörden bis zur Sprachregelung für den ersten Tag. Diese Phase ist unangenehm, aber sie hat eine Reihenfolge und ein erkennbares Ende.

Die zweite Phase beginnt Wochen später, ohne Alarm, und niemand kann ihr Ende ansagen. Offen ist, wer betroffen ist, was in den Dateien steht und was Betroffene konkret tun sollen. Am ersten Tag lässt sich keine dieser Fragen vollständig beantworten, deshalb muss an diesem Tag jemand sprechen.

„Wir wissen es noch nicht“ ist eine Auskunft

„Wir prüfen das gerade“ kostet kein Vertrauen, „dazu können wir derzeit nichts sagen“ schon.

Der Unterschied liegt im Nachsatz. Wer laufend mitteilt, was gerade geprüft wird und bis wann ein Zwischenstand kommt, bleibt die Quelle, an der sich Medien und Betroffene orientieren. Wer nichts sagt, überlässt diese Rolle denen, die die Darknet-Ordner durchsehen. In Berlin hat ein Investigativjournalist aus den veröffentlichten Unterlagen binnen Stunden ein Ausmaß abgeleitet, das er als staatsgefährdend bezeichnete – eine Einschätzung, die vor jeder behördlichen Bewertung im Umlauf war.

Berlin zeigt zusätzlich, warum die Zahl der beteiligten Stellen selbst zum Problem wird. Je mehr Stellen beteiligt sind, desto größer die Chance, dass drei von ihnen an einem Tag drei verschiedene Wissensstände nennen. Für Betroffene wirkt das chaotisch.

Fünf Punkte für den eigenen Plan

Zweiter Teil. Der Krisenplan endet üblicherweise mit der Wiederherstellung der Systeme. Er braucht einen zweiten Teil für den Fall, dass Daten Wochen später veröffentlicht, weiterverkauft oder als Druckmittel eingesetzt werden.

Entwarnung. Sie kommt erst mit einem Befund. Am ersten Tag sagt man, was gesichert ist, was geprüft wird und wann der nächste Stand kommt. Eine Aussage, die später zurückgenommen werden muss, richtet mehr Schaden an als eine offene Unsicherheit.

Ein Wissensstand. Eine Person gibt Auskunft, eine Vertretung ist benannt. Alle anderen verweisen – auch die IT, auch die Amtsleitung.

Betroffene zuerst. Wo es möglich ist, erfahren Betroffene vor den Medien davon. Wer aus der Zeitung erfährt, dass seine Daten online stehen, wird zum Gegner. Bei großen Datensätzen ist die individuelle Verständigung aber nicht sofort machbar. Dann braucht es parallel eine öffentliche Warnung mit konkreten Schutzhinweisen, einem Kontaktweg und dem Termin für den nächsten Stand. Das Land Berlin kündigte an, identifizierte Betroffene risikobasiert und nach den gesetzlichen Vorgaben zu informieren.

Fremde Zahlen. Umfangsangaben aus Tätermeldungen und ersten Leak-Sichtungen sind keine Lagebilanz und werden als fremde Zahlen ausgewiesen. Herkunft, Zeitpunkt und Unsicherheit gehören in denselben Satz wie die Zahl.

Wer nicht zahlt, muss reden

Ob eine Lösegeldzahlung überhaupt in Frage kommt, hängt am Einzelfall, vor allem an den Backups, daneben an Rechtslage und Ermittlungsstrategie. Die IT-Sicherheitsexpertin Bianca Kastl vom Chaos Computer Club hält Wegners Entscheidung im rbb für richtig, weil erst der Geldzufluss das Geschäftsmodell dieser Gruppen ermöglicht. Sie weist allerdings darauf hin, dass die Täter gestohlene Daten im Darknet an andere kriminelle Gruppen weiterverkaufen können.

Wer nicht zahlt, entscheidet sich richtig und verlagert den Schaden gleichzeitig von der Bilanz in die Öffentlichkeit. Ob diese Entscheidung hält, hängt daran, ob danach eine benannte Person spricht und ob es einen fixen Termin für den nächsten Zwischenstand gibt.