Berlin zahlt nicht: Daten im Darknet, Lehren für den Mittelstand
Was in Berlin passiert ist
Rhysida gehört zu den Ransomware-Gruppen, die inzwischen wie professionelle Dienstleister agieren: Sie dringen in Netzwerke ein, verschlüsseln oder kopieren Daten, drohen mit Veröffentlichung und setzen eine Frist. Läuft diese Frist ohne Zahlung ab, wird die Drohung wahr gemacht. Genau das ist beim Berliner Senat geschehen. Aus dem Landesnetz wurden mehrere Terabyte an Daten abgezogen und, nachdem keine Zahlung erfolgte, im Darknet öffentlich gemacht.
Diese Vorgehensweise nennt man in der Fachwelt "doppelte Erpressung": Die Angreifer verschlüsseln nicht nur Systeme, sodass der Betrieb stillsteht, sie kopieren vorher zusätzlich Daten und drohen mit deren Veröffentlichung. Selbst wer über funktionierende Backups verfügt und seine Systeme ohne Lösegeld wiederherstellen kann, steht damit vor einem zweiten Problem: Die gestohlenen Daten sind trotzdem draußen. Genau das ist in Berlin nun eingetreten.
Warum diese Meldung mehr als eine Randnotiz ist
Man könnte meinen, so ein Angriff sei ein Problem der öffentlichen Verwaltung mit ihren riesigen, oft veralteten IT-Landschaften. Das greift zu kurz. Ransomware-Gruppen wie Rhysida wählen ihre Ziele nicht nach politischer Symbolik aus, sondern nach Erfolgsaussicht. Eine Behörde mit gewachsenen, teils schlecht gepflegten Netzwerken ist für Angreifer attraktiv, weil sich Schwachstellen leichter finden lassen. Ein mittelständisches Unternehmen mit ähnlichen Strukturen, also historisch gewachsene Server, ungepatchte Software, ein einzelner IT-Verantwortlicher, der für alles zuständig ist, ist aus Angreifersicht ein ebenso lohnendes Ziel. Nur dass in einem Unternehmen niemand über die Reichweite eines Vorfalls berichtet, solange er nicht öffentlich wird.
Der entscheidende Punkt an diesem Fall ist die Konsequenz der Zahlungsverweigerung. Die Öffentliche Hand hat sich dagegen entschieden, Lösegeld zu zahlen, und musste die Veröffentlichung der Daten in Kauf nehmen. Das ist grundsätzlich der richtige Weg, denn eine Zahlung garantiert weder die Löschung der Daten noch verhindert sie einen erneuten Angriff, sie finanziert im Gegenteil die nächste Angriffswelle. Aber diese Entscheidung ist nur dann wirklich tragfähig, wenn im Vorfeld dafür gesorgt wurde, dass ein Angriff möglichst wenig Schaden anrichten kann. Genau an dieser Vorbereitung hakt es bei sehr vielen Organisationen, öffentlich wie privat.
Wie ein Ransomware-Angriff in der Praxis abläuft
Damit die Tragweite klar wird, lohnt sich ein Blick auf den typischen Ablauf eines solchen Angriffs, unabhängig vom konkreten Berliner Fall. Am Anfang steht fast immer ein unscheinbarer Einstiegspunkt: eine Phishing-Mail mit präpariertem Anhang, ein ungepatchtes Fernzugriffssystem, ein schwaches oder wiederverwendetes Passwort, eine Software-Lücke, die schon lange bekannt, aber nicht geschlossen wurde. Die Angreifer verschaffen sich zunächst einen Fuß in der Tür und bewegen sich dann wochen- oder monatelang unbemerkt durch das Netzwerk. In dieser Phase sammeln sie Rechte, kartieren die Systemlandschaft und identifizieren, wo besonders wertvolle Daten liegen.
Erst wenn sie sich ausreichend Zugriff verschafft haben, schlagen sie zu: Daten werden kopiert und aus dem Netzwerk geschleust, anschließend werden Systeme verschlüsselt. Ab diesem Moment steht der Betrieb häufig komplett still, weil weder E-Mail noch Warenwirtschaft noch Buchhaltung erreichbar sind. Dann folgt die Erpressung samt Frist, und wenn diese verstreicht, folgt die Veröffentlichung im Darknet, so wie es jetzt in Berlin geschehen ist. Zwischen dem ersten Einbruch und der eigentlichen Attacke liegen oft Wochen, in denen ein aufmerksames Monitoring den Angriff noch hätte stoppen können.
Die zwei Schadensdimensionen, die KMU oft unterschätzen
Wenn Unternehmen über IT-Sicherheit nachdenken, geht es meist zuerst um den Betriebsausfall: Was kostet es, wenn die Systeme drei Tage stillstehen? Diese Rechnung ist wichtig, aber sie erfasst nur die halbe Wahrheit. Der Berliner Fall zeigt die zweite Dimension sehr deutlich: den Reputations- und Vertrauensschaden durch veröffentlichte Daten.
Wenn Kundendaten, Mitarbeiterdaten, Vertragsunterlagen oder interne Kommunikation im Darknet landen, lässt sich das nicht mehr rückgängig machen. Ein Betriebsausfall ist ärgerlich und teuer, aber irgendwann vorbei. Veröffentlichte Daten sind dagegen dauerhaft im Umlauf, können für Betrug, Identitätsdiebstahl oder gezielte Folgeangriffe auf Kunden und Geschäftspartner missbraucht werden und bleiben auffindbar. Für ein mittelständisches Unternehmen bedeutet das im schlimmsten Fall den Verlust von Kundenvertrauen, mögliche Schadensersatzforderungen und, je nach betroffenen Daten, ein Bußgeldverfahren nach der Datenschutz-Grundverordnung. Wer Kundendaten, Gesundheitsdaten oder sensible Geschäftsgeheimnisse verarbeitet, sollte diese Dimension mindestens genauso ernst nehmen wie den reinen Ausfall der Systeme.
Warum Lösegeldzahlung keine Lösung ist
Es ist menschlich nachvollziehbar, dass ein Unternehmen in der akuten Krise über eine Zahlung nachdenkt, gerade wenn die Existenz auf dem Spiel zu stehen scheint. Trotzdem ist die Entscheidung, wie sie der Berliner Senat getroffen hat, in der Sache richtig, und zwar aus mehreren Gründen.
Erstens gibt es keine Garantie, dass die Kriminellen ihr Versprechen einhalten. Auch nach Zahlung wurden in der Vergangenheit Daten dennoch veröffentlicht oder erneut zur Erpressung genutzt. Zweitens signalisiert eine Zahlung, dass sich der Angriff gelohnt hat, was das betroffene Unternehmen für weitere Angriffe attraktiv macht, sei es durch dieselbe Gruppe oder durch Nachahmer, die wissen, dass hier gezahlt wurde. Drittens finanziert jede Zahlung direkt die Weiterentwicklung krimineller Infrastruktur, mit der wiederum neue Opfer angegriffen werden. Und viertens ist eine Zahlung in bestimmten Konstellationen sogar rechtlich heikel, etwa wenn die Empfänger auf Sanktionslisten stehen.
Die einzig wirksame Strategie ist deshalb, gar nicht erst in die Lage zu geraten, in der Zahlung überhaupt eine Option wäre. Das gelingt nur über konsequente Prävention und einen Plan, der im Ernstfall tatsächlich funktioniert, statt erst in der Krise improvisiert zu werden.
Was das für den Mittelstand bedeutet
Der Berliner Fall ist ein guter Anlass, die eigene Widerstandsfähigkeit ehrlich zu prüfen. Aus der Praxis heraus sind das die wichtigsten Punkte, an denen mittelständische Unternehmen ansetzen sollten:
Backups, die im Ernstfall auch wirklich helfen. Eine Sicherung ist nur dann wertvoll, wenn sie getrennt vom Produktivnetz liegt, sodass Angreifer sie nicht mit verschlüsseln können, und wenn sie regelmäßig auf Wiederherstellbarkeit getestet wird. Viele Unternehmen sichern brav jede Nacht, haben aber nie ausprobiert, wie lange eine vollständige Wiederherstellung dauert oder ob sie überhaupt funktioniert. Das ist der Moment, in dem sich eine saubere Backup-Strategie auszahlt, idealerweise mit einer zusätzlichen, physisch getrennten Kopie.
Angriffsflächen konsequent verkleinern. Fernzugänge, alte Softwarestände, offene Ports und veraltete Systeme sind die klassischen Einfallstore. Ein strukturiertes Website-Audit oder eine umfassende Prüfung der eigenen IT-Sicherheit deckt genau solche Schwachstellen auf, bevor es jemand anderes tut.
Zugriffe absichern statt vertrauen. Zwei-Faktor-Authentifizierung für alle wichtigen Systeme, restriktive Rechtevergabe nach dem Prinzip der minimalen Berechtigung und regelmäßige Passwortkontrollen sind kein Luxus mehr, sondern Grundausstattung. Gerade Fernzugänge für Wartung oder Homeoffice sollten über sauber abgesicherte Lösungen laufen, etwa über eine professionelle Fernwartung, statt über improvisierte Einzellösungen.
Einen echten Notfallplan haben, nicht nur einen auf dem Papier. Wer im Ernstfall zum ersten Mal überlegt, wen er anrufen muss, welche Systeme zuerst wieder hochgefahren werden und wie intern und extern kommuniziert wird, verliert wertvolle Stunden. Ein Notfallplan gehört ausgedruckt in die Schublade, nicht nur verschlüsselt auf einem Server, der im Ernstfall genau nicht erreichbar ist. Dazu gehört auch, im Vorfeld zu klären, wer im Fall eines Datenverlusts bei der Wiederherstellung hilft, ein Thema, bei dem spezialisierte Datenrettung den Unterschied zwischen Totalverlust und Teilerfolg machen kann.
Gesetzliche Vorgaben nicht als lästige Pflicht, sondern als Leitfaden verstehen. Mit der NIS2-Richtlinie wachsen die Anforderungen an IT-Sicherheit für immer mehr Unternehmen, auch für solche, die sich bisher nicht als kritische Infrastruktur betrachtet haben. Ein früher Blick auf NIS2 & IT-Sicherheit für KMU hilft dabei, die eigenen Hausaufgaben zu erledigen, bevor es eine Behörde einfordert oder ein Angreifer die Lücke findet.
Auf professionell betreute Infrastruktur setzen. Wer seine Server und Systeme selbst betreibt, trägt auch die volle Verantwortung für Patches, Monitoring und Absicherung, oft ohne die nötige Zeit oder Spezialisierung dafür zu haben. Ein sauber verwaltetes Managed Hosting nimmt genau diese Last ab, weil Sicherheitsupdates, Überwachung und Backups Teil des laufenden Betriebs sind statt einer Zusatzaufgabe, die im Alltag untergeht. Wer dazu regional einen Ansprechpartner sucht, der nicht nur Server verwaltet, sondern auch bei akuten Problemen schnell greifbar ist, findet mit einem IT-Service Friesland einen Partner, der beides verbindet.
Der wichtigste Gedanke aus dem Berliner Fall ist letztlich ein einfacher: Die Frage ist nicht mehr, ob ein Unternehmen ins Visier von Angreifern gerät, sondern wann und wie gut es darauf vorbereitet ist. Wer erst nach dem ersten Vorfall über Backups, Zugriffsrechte und Notfallpläne nachdenkt, hat die wichtigste Zeit bereits verloren.
Häufige Fragen
Warum hat sich der Berliner Senat gegen die Zahlung entschieden?
Aus der Meldung geht die konkrete Begründung nicht im Detail hervor, allgemein gilt aber: Eine Zahlung garantiert nicht die Löschung der Daten, macht das Ziel für weitere Angriffe attraktiver und finanziert kriminelle Strukturen. Diese Abwägung folgt der gängigen Empfehlung von Sicherheitsbehörden, grundsätzlich nicht zu zahlen.
Ist ein kleines Unternehmen wirklich ein interessantes Ziel für solche Angreifer?
Ja, denn Ransomware-Gruppen wählen ihre Ziele meist nach Erfolgsaussicht und nicht nach Größe oder Bekanntheit aus. Ein kleineres Unternehmen mit ungepflegter IT ist oft leichter zu kompromittieren als ein großer Konzern mit dediziertem Sicherheitsteam.
Reicht ein tägliches Backup aus, um sich zu schützen?
Ein Backup allein schützt nicht vor der Veröffentlichung gestohlener Daten, es hilft nur bei der Wiederherstellung verschlüsselter Systeme. Wichtig ist außerdem, dass Backups getrennt vom Produktivnetz liegen und regelmäßig auf tatsächliche Wiederherstellbarkeit getestet werden.
Was sollte ein Unternehmen als Erstes tun, wenn es noch keinen Notfallplan hat?
Der erste Schritt ist eine ehrliche Bestandsaufnahme der eigenen Schwachstellen, etwa über ein strukturiertes Audit, gefolgt von der schriftlichen Festlegung, wer im Ernstfall was tut und wen informiert. Dieser Plan sollte unabhängig von den betroffenen IT-Systemen abrufbar sein.
Macht die NIS2-Richtlinie das Thema für kleinere Betriebe überhaupt relevant?
Ja, die Richtlinie erweitert den Kreis betroffener Unternehmen deutlich über klassische Großkonzerne hinaus, insbesondere für Betriebe mit Bezug zu bestimmten Branchen oder Lieferketten. Wer unsicher ist, ob er betroffen ist, sollte das frühzeitig klären, statt es auf eine Prüfung ankommen zu lassen.