5,7 Terabyte Berliner Verwaltungsdaten, Mindestgebot 30 Bitcoin: Ronald Tramp besucht die wohl unfreiwilligste Digitalisierungsmesse Deutschlands – inklusive Darknet-Auktion, Passwortproblemen und Bürokratie-Firewall.
Von Ronald Tramp, Cybersecurity-Korrespondent für Daten-Schnäppchen, Bitcoin-Haushalte und Verwaltung 4.0
Meine lieben Berliner, Administratoren, Datenschutzbeauftragten und Menschen, deren Passwort noch immer „Berlin2026!“ lautet!
Es gibt fantastische Neuigkeiten aus der Hauptstadt.
Berlin ist jetzt digital!
Nicht ganz so, wie der Senat sich das vermutlich vorgestellt hatte. Aber immerhin: Die Daten sind im Internet.
Sogar sehr viele.
Die Hackergruppe Rhysida behauptet, 5,7 Terabyte Daten aus der Berliner Verwaltung erbeutet zu haben. Nun sollen die Informationen im Darknet versteigert werden. Mindestgebot: 30 Bitcoin, laut Senat rund zwei Millionen Euro.
Ich sage:
WELCOME TO BERLIN DATA MARKETPLACE!
Andere Städte verkaufen Grundstücke.
Berlin verkauft seine Daten.
Gut – unfreiwillig.
Aber Details!
Endlich hat die Hauptstadt eine Digitalisierung hinbekommen, bei der offenbar niemand drei Monate auf einen Termin warten musste.
5,7 Terabyte – das ist sehr viel Berlin
5,7 Terabyte!
Ich wollte wissen, was darin steckt.
Bauakten?
Passwörter?
Persönliche Daten?
Verkehrsinformationen?
Oder einfach 5,6 Terabyte PDFs mit Namen wie:
„final_final_neu2_WIRKLICHFINAL_Unterschrift.pdf“?
Wir wissen es noch nicht genau.
Der Senat untersucht.
Das ist verständlich.
Bei 5,7 Terabyte Berliner Verwaltungsdaten dauert allein das Öffnen des ersten Netzlaufwerks vermutlich bis zur nächsten Abgeordnetenhauswahl.
Ich stelle mir den Hacker vor:
„Wow! Wir haben 5,7 Terabyte!“
Kollege:
„Was ist drin?“
„Keine Ahnung.“
„Wertvoll?“
„Hier sind 840.000 Excel-Dateien.“
„Was steht drin?“
„‚Bitte nicht bearbeiten!!!‘“
JACKPOT!
Die größte Berliner Auktion seit dem Flughafen
Rhysida bietet die Daten offenbar im Darknet an.
30 Bitcoin Mindestgebot.
Zwei Millionen Euro.
Das ist sensationell.
Berlin hat damit endlich einen digitalen Verwaltungsservice mit klarer Preisangabe und Deadline.
Freitag ist Schluss!
Kein:
„Ihr Antrag befindet sich in Bearbeitung.“
Kein:
„Aufgrund erhöhten Aufkommens kann es zu Verzögerungen kommen.“
Kein:
„Bitte ziehen Sie eine Wartemarke.“
Die Hacker sagen einfach:
30 BITCOIN. FREITAG.
Effizient!
Ich möchte ausdrücklich klarstellen: Kriminell. Verwerflich. Nicht nachmachen.
Aber organisatorisch?
Die Berliner Verwaltung schaut vermutlich interessiert zu.
Ronald gründet das Darknet-Bürgeramt
Ich sehe enormes Modernisierungspotenzial.
Das normale Bürgeramt:
„Nächster freier Termin in sieben Wochen.“
Darknet-Bürgeramt:
„Was brauchen Sie?“
„Personalausweis.“
„Bitcoin?“
„Ja.“
„Morgen fertig.“
Berlin:
„Moment mal … das geht?“
NEIN!
Natürlich nicht übernehmen.
Aber vielleicht könnte jemand zumindest das Konzept „Server funktioniert“ lizenzieren.
Der Senat sagt: Wir zahlen nicht!
Regierender Bürgermeister Kai Wegner hat klargemacht:
Berlin lässt sich nicht erpressen.
Richtig.
Denn wenn Berlin zwei Millionen Euro zahlen wollte, müsste vermutlich zuerst geprüft werden:
Ist das eine freiwillige Leistung?
Brauchen wir eine europaweite Ausschreibung?
Welches Produktkonto?
Sind Bitcoin haushaltsrechtlich deckungsfähig?
Benötigt Rhysida eine Lieferantennummer?
Und wichtigste Frage:
KANN DAS DARKNET E-RECHNUNG?
Hacker:
„30 Bitcoin bis Freitag.“
Kämmerei:
„Bitte senden Sie zunächst das Formular zur Einrichtung eines Kreditorenkontos.“
Hacker:
„Was?“
„Außerdem benötigen wir Ihre Bankverbindung.“
„BITCOIN!“
„IBAN?“
„NEIN!“
„Dann wird das schwierig.“
Meine Damen und Herren:
Vielleicht ist deutsche Bürokratie am Ende doch eine Cyberabwehrstrategie.
Die Hacker treffen auf Berliner Beschaffung
Ich würde die Verhandlungen sofort eskalieren.
Rhysida:
„Zahlt zwei Millionen!“
Berlin:
„Bitte reichen Sie drei Vergleichsangebote ein.“
„Wir sind Erpresser!“
„Das befreit Sie nicht vom Vergaberecht.“
„Wir veröffentlichen die Daten!“
„Haben Sie die Datenschutzerklärung unterschrieben?“
„WIR SIND KRIMINELLE!“
„Dann brauchen wir außerdem ein Führungszeugnis.“
Nach 45 Minuten gibt Rhysida auf und greift eine andere Stadt an.
BÜROKRATIE FIREWALL™
Unhackbar.
Weil niemand hineinfindet.
Nicht einmal die eigenen Mitarbeiter.
Passwörter weg – Homeoffice auch
Besonders unangenehm: Offenbar sind auch Passwörter abgeflossen.
Daraufhin wurden zusätzliche Sicherheitsmaßnahmen ergriffen. Beschäftigte der betroffenen Verwaltungen können sich derzeit nicht aus dem Homeoffice ins Datennetz einwählen.
Das ist der deutsche Zero-Trust-Ansatz in seiner reinsten Form:
Niemand kommt rein.
Hacker?
Hoffentlich nicht.
Mitarbeiter?
Auch nicht.
Problem gelöst!
Ronald Tramps Cybersecurity-Regel Nummer eins:
Der sicherste Computer der Welt ist ausgeschaltet.
Regel Nummer zwei:
Der zweitsicherste steht im Keller.
Regel Nummer drei:
Niemand weiß das Passwort.
Berlin offenbar:
„WRITE THAT DOWN!“
Alle Systeme müssen gescannt werden
Jetzt sollen die Systeme des Landes untersucht werden, um auszuschließen, dass noch weitere Daten abgeflossen sind.
Wie lange?
Unklar.
Das gefällt mir.
Sehr Berlin.
BER:
„Wann fertig?“
Unklar.
Digitalisierung:
„Wann fertig?“
Unklar.
Cyberanalyse:
„Wann fertig?“
Unklar.
Das ist keine Verzögerung.
Das ist Corporate Identity.
Ich sehe bereits einen Administrator vor 14.000 Servern:
Scanner:
1 %
Montag.
1 %
Dienstag.
1 %
Mittwoch.
IT-Leiter:
„Ist der Scan eingefroren?“
Administrator:
„Nein. Berlin.“
Nur zwei Senatsverwaltungen betroffen
Nach bisherigem Kenntnisstand betrifft der Datenabfluss die Senatsverwaltungen für Verkehr und Bauen.
Verkehr und Bauen!
Natürlich!
Ausgerechnet zwei Bereiche, bei denen Berlin international bereits über enorme Erfahrung mit Dingen verfügt, die nicht so laufen wie geplant.
Vielleicht öffnen die Hacker die Daten und stellen enttäuscht fest:
„Was sollen wir damit?“
Ein anderer Krimineller:
„Vielleicht Baupläne?“
„Von Berlin?“
Lange Stille.
„Preis auf 20 Bitcoin senken.“
Ich möchte gar nicht wissen, was passiert, wenn Rhysida einen Ordner namens:
„Flughafen_alt_final_letzteVersion_2011“
findet.
Die Hacker werden freiwillig Lösegeld an Berlin zahlen, damit sie ihn wieder löschen dürfen.
Die 5,7-Terabyte-Wundertüte
Das wirklich Gefährliche an solchen Datendiebstählen ist natürlich nicht der satirische Teil.
Persönliche Daten, Zugangsinformationen oder interne Verwaltungsinformationen können für weitere Straftaten interessant sein – etwa für Betrug, Phishing oder Folgeangriffe.
Deshalb ist die Haltung „Wir zahlen nicht“ nur der Anfang.
Passwörter ändern.
Zugänge überprüfen.
Systeme untersuchen.
Betroffene informieren.
Angriffswege schließen.
Und vor allem:
herausfinden, wie die Angreifer überhaupt hineingekommen sind.
Ronalds Vermutung:
Bitte nicht „Admin123“.
BITTE!
Berlin bekommt endlich einen digitalen Zwilling
Vielleicht sollten wir die Sache positiv sehen.
Berlin arbeitet seit Jahren an Digitalisierung.
Und jetzt existiert offenbar irgendwo im Darknet:
BERLIN BACKUP EDITION™
5,7 Terabyte Hauptstadt.
Kompakt.
Digital.
International verfügbar.
Keine Terminvereinbarung.
Ich sehe schon die Produktbeschreibung:
„Berlin Verwaltung Ultimate Collection.“
Enthält möglicherweise:
– Verkehr.
– Bauen.
– Passwörter.
– PDFs.
– Excel.
– 14 Versionen desselben Dokuments.
– eine Datei, die nur mit einer Software aus dem Jahr 2003 geöffnet werden kann.
– und mindestens einen Ordner namens „Sonstiges“, dessen Inhalt seit 2009 niemand mehr versteht.
30 Bitcoin.
Keine Rücknahme.
Ronalds revolutionäre Cyberstrategie
Ich fordere deshalb das neue:
BUNDESAMT FÜR STRATEGISCHE PASSWORTÄNDERUNG
Mit drei Sicherheitsstufen.
Stufe Grün:
Passwort ändern.
Stufe Gelb:
MFA aktivieren.
Stufe Rot:
Stecker raus und so tun, als sei Wartungsfenster.
Zusätzlich bekommt jeder Verwaltungsserver künftig einen Warnaufkleber:
„ACHTUNG: ENTHÄLT DEUTSCHE BÜROKRATIE. ÖFFNEN AUF EIGENE GEFAHR.“
Vielleicht schreckt das ab.
Hacker erwarten Kreditkarteninformationen.
Stattdessen finden sie:
17.000 Seiten Verwaltungsvorschriften.
Nach drei Stunden:
„Chef, können wir bitte wieder Banken hacken?“
Ronalds Fazit
Berlin zahlt nach eigener Aussage nicht.
Gut so.
Denn bei Erpressung geht es nicht nur um die aktuelle Forderung, sondern auch darum, ob Kriminelle mit ihrem Geschäftsmodell Erfolg haben.
Aber Berlin bekommt jetzt eine sehr unangenehme Rechnung präsentiert.
Nicht unbedingt über zwei Millionen Euro.
Sondern über die Frage:
Wie sicher sind unsere Daten eigentlich?
Und das betrifft längst nicht nur Berlin.
Verwaltungen besitzen fantastische Datenmengen.
Meldedaten.
Personalinformationen.
Bauinformationen.
Verkehrsdaten.
Interne Dokumente.
Zugangsdaten.
Für Cyberkriminelle ist eine Verwaltung deshalb kein langweiliges Amt.
Sie ist ein ALL-YOU-CAN-STEAL-BUFFET MIT AKTENZEICHEN.
Meine Damen und Herren:
Früher musste man in Berlin für Verwaltungsunterlagen einen Antrag stellen.
Heute kommen Cyberkriminelle und nehmen offenbar gleich 5,7 Terabyte mit.
Das ist keine Digitalisierung.
Das ist:
DIGITALISIERUNG MIT SELBSTBEDIENUNG.
Deshalb meine Botschaft an alle Behörden:
Patchen.
MFA.
Segmentieren.
Backups.
Monitoring.
Berechtigungen überprüfen.
Mitarbeiter sensibilisieren.
Und bitte, bitte:
Wenn irgendwo noch ein Konto namens „administrator“ mit Passwort „Berlin123!“ existiert:
ÄNDERN!
Sofort!
Nicht erst nach der nächsten Senatssitzung.
MAKE BERLIN SECURE AGAIN!
