Am Freitagnachmittag lief ein Ultimatum ab. Danach lagen 1,4 Millionen Dateien aus der Berliner Verwaltung als Download im Netz, für jeden, der sie haben will.
Der Ablauf, kurz. Zwischen dem 7. und dem 12. August kopiert eine Gruppe namens Rhysida Daten aus zwei Senatsverwaltungen: Stadtentwicklung, Bauen und Wohnen, dazu Mobilität, Verkehr, Klimaschutz und Umwelt. Am 14. August fällt es auf. Beide Häuser werden vom Landesnetz getrennt und sind über eine Woche praktisch arbeitsunfähig. Rhysida fordert 30 Bitcoin, rund zwei Millionen Euro, und setzt eine Frist. Berlin zahlt nicht. Das war richtig, und es war zugleich das Ende der Handlungsmöglichkeiten. Am 4. September stand alles offen im Netz.
Was darin liegt, nach Berichten der letzten Tage:
- Personalakten, Zeugnisse, Gehaltslisten
- Bußgeld- und Vollstreckungsverfahren
- Ausweisdokumente, IBANs, Passwörter im Klartext in Office-Dateien
- Unterlagen aus Bundesratsausschüssen
- eine KRITIS-Verwundbarkeitsanalyse der Berliner Trinkwasserversorgung
- Planungen für den Verteidigungsfall, samt Listen der im Ernstfall zu schützenden Infrastruktur
Und die Folge, die niemanden auf dem Podium interessiert und die Betroffenen sehr: Über 50.000 Haushalte konnten wochenlang kein Wohngeld beantragen oder ausgezahlt bekommen. Dazu Leistungen aus dem Bildungs- und Teilhabepaket. Der Angriff auf die Geheimpläne war die Schlagzeile. Der Angriff auf die Miete war die Wirkung.
Jetzt der Teil, der mich seit Freitag nicht loslässt. Das ist keine Wildwest-Umgebung. Das ist eine der am dichtesten regulierten IT-Landschaften, die dieses Land zu bieten hat. BSI-Grundschutz, ISO 27001, Datenschutzgrundverordnung, Verschlusssachenanweisung, Datenschutzbeauftragte, Informationssicherheitsbeauftragte, Vergaberecht, Rechnungshof, dazu NIS2 vor der Tür. Der zentrale IT-Dienstleister des Landes, das ITDZ Berlin, ist seit 2015 nach ISO 27001 auf Basis IT-Grundschutz zertifiziert und lässt sich jährlich überwachen. Im Geltungsbereich steht das Informationssicherheitsmanagementsystem „sowie die gesamte technische und bauliche Infrastruktur aller Dienstgebäude inklusive des High Secure Data-Centers“.
Das Zertifikat hat nicht gelogen. Es hat exakt das gesagt, was ein Zertifikat sagen kann: dass zu einem Datum, in einem definierten Geltungsbereich, ein Verfahren beschreibbar und vorführbar war. Der Angreifer prüft etwas anderes.
Der Prüfer kündigt sich an
Ein Audit ist eine Stichprobe mit Termin. Es hat einen Geltungsbereich, eine Vorbereitungsphase, eine Liste einzureichender Nachweise und einen Menschen, der am Ende ein Urteil über Dokumente fällt, nicht über eine laufende Auseinandersetzung. Alle Beteiligten wissen, wann es losgeht. Das ist kein Betrug, das ist die Bauart.
Der Angreifer hat keinen Termin. Er hat keinen Geltungsbereich. Er sucht nicht das durchschnittliche Sicherheitsniveau, er sucht die schlechteste Stelle, und er muss sie ein einziges Mal finden. Die Verteidigung muss überall richtig liegen, jeden Tag, auch im August, auch in dem Referat, das nicht im Scope stand.
Das ist alt und trotzdem nicht eingepreist. Denn das Zertifikat tut etwas, das die Asymmetrie verdeckt: Es beendet eine Frage. Es hat ein Ausstellungsdatum, eine Urkunde, einen Ordner, in dem es liegt, und einen Menschen, der es vorzeigen kann. Es fühlt sich an wie ein Zustand. Angriffsfläche ist aber kein Zustand, sondern ein laufender Prozess, der sich mit jeder neuen Schnittstelle, jedem neuen Dienstleister und jedem Mitarbeiterwechsel ändert.
Das ist kein Vorwurf an das ITDZ, und es soll auch keiner werden. Über die Dateiablage einer Fachverwaltung sagt dieses Zertifikat nichts, und es behauptet das auch nicht. Genau darin liegt das Problem. Wir benutzen ein Instrument, das präzise etwas Schmales aussagt, als Antwort auf die einzige Frage, die alle stellen: Sind wir sicher?
Ein Zertifikat sagt: Zum Stichtag war das Verfahren beschreibbar. Ein Angriff fragt: Hat es am Dienstag um drei gehalten? Beides kann zutreffen. Nur eins davon hängt im Flur.
Regulierung erzeugt die Beute
Das ist der Punkt, der mir am wenigsten gefällt, weil er sich nicht durch mehr Anstrengung auflösen lässt.
Um nachzuweisen, dass man sicher ist, muss man aufschreiben, wie man sicher ist. Netzpläne. Rollenkonzepte. Risikoanalysen. Notfall- und Wiederanlaufpläne. Verzeichnisse von Verarbeitungstätigkeiten. Dienstleisterverträge mit Zugangsregelungen. Verwundbarkeitsanalysen kritischer Infrastruktur. Jedes einzelne dieser Dokumente ist sinnvoll. Jedes einzelne ist auch eine Landkarte.
Die KRITIS-Analyse der Berliner Trinkwasserversorgung existiert, weil eine Regel sie verlangt, und die Regel ist vernünftig. Nur liegt dieses Dokument danach als Datei in einer Verwaltung, im selben Netz wie die Wohngeldanträge, gesichert nach denselben Verfahren wie ein Sitzungsprotokoll. Wer die Datei hat, muss die Infrastruktur nicht mehr verstehen. Sie ist ihm erklärt worden, sortiert, mit Inhaltsverzeichnis, von Fachleuten, im Auftrag des Staates.
Der Angreifer muss das System nicht analysieren. Er muss die Datei finden, in der es analysiert wurde. Diese Datei existiert, weil eine Vorschrift sie verlangt hat.
Dasselbe gilt für die Passwörter im Klartext in Office-Dokumenten. Die entstehen nicht aus Dummheit, jedenfalls nicht nur. Sie entstehen aus Übergaben, aus Vertretungsregelungen, aus Dienstleisterwechseln, aus dem völlig berechtigten Bedürfnis, dass die Arbeit weitergeht, wenn jemand krank ist. Ein Prozess, der Nachvollziehbarkeit verlangt, produziert Dokumentation. Dokumentation ist transportabel. Fünf Komma acht Terabyte transportabel.
Je gründlicher die Compliance, desto besser die Beute. Das ist keine Polemik, das ist Mengenlehre. Und deshalb ist der Reflex nach einem solchen Vorfall, nämlich mehr Dokumentationspflichten, in Teilen ein Beitrag zum nächsten Vorfall.
Warum niemand aussteigt
Weil sich alle rational verhalten. Das ist der unangenehme Teil.
Der Auditor wird für das Testat bezahlt. Der Berater für das Konzept. Die Abteilungsleitung braucht ein Papier, das sie dem Rechnungshof, dem Datenschutzbeauftragten und dem Ausschuss vorlegen kann. Die Hausspitze braucht einen Satz für die Pressekonferenz. Alle diese Menschen tun ihren Job, und alle diese Ergebnisse haben eine Rechnungsnummer, ein Datum und einen Adressaten.
Der Angriff, der nicht stattgefunden hat, hat nichts davon. Kein Dokument, kein Termin, keinen Beleg. Ich habe an anderer Stelle geschrieben, dass Organisationen bezahlen, was sie sehen können, und deshalb genau die Arbeit wegoptimieren, deren Ergebnis unsichtbar ist. Sicherheit ist der reinste Fall dieses Musters. Sichtbar ist die Compliance. Wirksam wäre die Härtung. Wer nur die Tinte zählt, bekommt Tinte.
Ich nehme mich davon nicht aus. Ich habe genug Konzepte geschrieben, um zu wissen, wie gut sich ein fertiges Dokument anfühlt und wie sehr dieses Gefühl dem Gefühl ähnelt, ein Problem gelöst zu haben.
Was sich wirklich verschoben hat
Ich bin vorsichtig mit dem Satz, die Welt habe sich verändert. Ich habe selbst beschrieben, dass dieser Satz meistens kein Befund ist, sondern ein Verhandlungszug: Wer ihn sagt, will meistens etwas durchsetzen, für das ihm das Argument fehlt. Also der Nachweis statt der Formel.
Rhysida ist kein Staat. Es ist ein Geschäftsmodell, Ransomware as a Service, aktiv seit 2023, mit Partnerprogramm und Erfolgsbeteiligung. Diese Struktur hat einem deutschen Bundesland eine Frist gesetzt, in einer Währung, die keine Zentralbank ausgibt, und nach Ablauf der Frist eine Strafe vollstreckt. Berlin konnte darauf mit genau zwei Dingen antworten: zahlen oder nicht zahlen. Der Rechtsstaat hat viele Instrumente, aber fast alle setzen voraus, dass der Gegenüber eine Adresse hat, eine Grenze, ein Konto, einen Ruf zu verlieren oder einen Gerichtsstand. Nichts davon trifft hier zu.
Gleichzeitig hängt die Handlungsfähigkeit von Verwaltungen an Software, die anderswo gebaut, betrieben und abgeschaltet werden kann. Das ist der andere Teil derselben Verschiebung, und ich habe ihn hier durchgespielt. Der Staat ist nicht schwach geworden. Er ist zuständig geblieben für Dinge, über die er die Kontrolle nicht mehr technisch ausübt, sondern nur noch vertraglich und regulatorisch. Regulierung ist das letzte Instrument, das ihm sicher gehört. Genau deshalb wird es überdehnt.
Der Faden, an dem hängt, was wir für gesichert halten, ist damit nicht gerissen. Er ist dünner, als das Papier vermuten lässt. Er besteht aus wenigen Leuten, die ihre Systeme wirklich kennen, aus ein paar Diensten, die zufällig aktuell gepatcht sind, und aus einem Backup, von dem sich erst im Ernstfall zeigt, ob es zurückspielt.
Der Einwand
Bis hierher klingt das wie eine Abrechnung mit Regeln, und das wäre die Stelle, an der ich dem Text misstrauen würde. Die Einwände, in der Reihenfolge, in der sie mir selbst gekommen sind.
Ohne Grundschutz wäre es schlimmer. Stimmt vermutlich. Der BSI-Grundschutz hat den Boden angehoben, und ein Boden ist mehr wert als jede Einzelheldentat. Meine These ist schmaler: Der Boden wird als Decke verkauft. Ein bestandenes Audit beweist, dass die Mindestanforderungen zum Stichtag erfüllt waren. Es beweist nicht, dass ein motivierter Angreifer scheitert, und es soll das auch gar nicht beweisen.
Das ist Hindsight. Berechtigt. Nach einem Vorfall sieht alles fahrlässig aus, und ich sitze hier mit den Berichten von drei Tagen und ohne Kenntnis der Lage vor Ort. Deshalb muss der Maßstab einer sein, den man vorher nennen kann. Genau darum geht es im nächsten Absatz.
Was hätte denn geholfen? Keine Moral, eine Liste. Weniger Daten aufbewahren, weil gelöschte Daten nicht abfließen können. Keine Zugangsdaten in Dokumenten, technisch erzwungen statt in Richtlinien verboten. Netze trennen, damit ein Zugang nicht zwei Häuser öffnet. Compliance-Dokumente wie Kronjuwelen behandeln, mit eigener Einstufung und eigener Ablage, weil sie die wertvollste Zusammenfassung des Angriffsziels sind. Und den Ausfall üben, mit echter Stoppuhr, inklusive der Frage, wie Wohngeld ohne Fachverfahren ausgezahlt wird. Das ist alles unspektakulär und nichts davon erzeugt eine Urkunde.
Und NIS2? Bringt zwei Dinge, die tatsächlich beißen: persönliche Verantwortung der Leitung und Meldefristen. Fristen sind interessant, weil sie zum ersten Mal keine Beschreibung messen, sondern eine Geschwindigkeit. Alles andere an NIS2 misst wieder, ob man aufschreiben kann, was man tut. Ich würde die Richtlinie deshalb nicht abschaffen. Ich würde nur aufhören, ihre Erfüllung mit Sicherheit zu verwechseln.
Sicherheit ist kein Zustand mehr
Der Begriff, den wir benutzen, stammt aus einer Welt mit Mauern. Sicher war ein Zustand, den man erreicht, prüft und dann hat. Deshalb passt eine Urkunde so gut dazu, und deshalb fühlt sich ein bestandenes Audit wie ein Ergebnis an.
Was Berlin gerade zeigt, ist ein anderer Begriff. Nicht Zustand, sondern Geschwindigkeit. Die Fragen, die etwas ausgesagt hätten, lauten alle auf Zeit und Reichweite. Wie lange kopiert jemand Daten, bevor es auffällt: hier Tage. Wie weit reicht ein einzelner Zugang: hier über zwei Häuser. Wie lange dauert es, bis die Leistung wieder fließt: hier Wochen, bei über 50.000 Haushalten. Diese drei Zahlen kann jede Organisation vorher messen, ohne Vorfall, ohne Prüfer, ohne Urkunde. Sie sind unangenehm, weil sie nichts beenden. Sie bleiben schlecht, solange sie schlecht sind.
Das Beruhigende an der alten Vorstellung war, dass Sicherheit etwas ist, das man abschließen kann. Diese Vorstellung ist der eigentliche Verlust, und sie kommt nicht zurück. Was zurückkommen kann, ist Ehrlichkeit über die Größenordnung: Ein Bundesland wurde von einer Handvoll Leuten arbeitsunfähig gemacht, und die entscheidenden Zahlen standen in keinem Prüfbericht.
Das Zertifikat war gültig. Die Daten sind weg. Beides stimmt gleichzeitig, und genau darin liegt das Problem.
Verwandt
- NIS2-Compliance Guide. Was die Richtlinie konkret verlangt, wenn man sie ernst nimmt statt sie abzuhaken.
- Zero Trust Security. Die technische Antwort auf genau die Frage aus diesem Text: Was, wenn der Angreifer schon drin ist?
- Der Kill-Switch kam aus Washington. Dieselbe Verschiebung von der anderen Seite: Zuständigkeit ohne Kontrolle.
- Angst ist keine Wahrscheinlichkeit. Warum gefühlte Sicherheit und gemessenes Risiko so weit auseinanderlaufen.
- Nachdenken sieht aus wie Nichtstun. Der Mechanismus dahinter: Organisationen bezahlen, was sie sehen können.
- „Die Welt hat sich verändert“ ist keine Diagnose. Warum ich mit diesem Satz vorsichtig bin, auch wenn er hier ausnahmsweise trägt.