Die Woche danach: was ein Datenabfluss von der Führung verlangt

Sieben Tage, drei Entscheidungen: was geschah und wer entscheiden musste

Sie wissen an dem Tag, an dem Ihre IT eine Unregelmäßigkeit meldet, wer in Ihrem Haus entscheidet, wer meldet und wer spricht. Sie wissen, welche Zahlen Sie in der ersten Sitzung danach brauchen und wo sie herkommen. Und Sie haben vorher festgelegt, was geschieht, wenn Ihnen jemand eine Frist setzt, die kürzer ist als jede Beschaffung in Ihrem Unternehmen. Dieser Beitrag eröffnet unsere Serie "Die Woche danach" in fünf Kapiteln und rekonstruiert am Fall des Landes Berlin, was in den ersten Tagen entschieden werden musste, von wem und mit welchem Wissensstand.

Was geschah, in der Reihenfolge der Entscheidungen

Nach Angaben des Landes lag der wesentliche Teil eines Datenabflusses aus zwei Senatsverwaltungen zwischen dem 7. und dem 12. August 2026. Entdeckt wurde er Medienberichten zufolge am 14. August; am selben Tag wurden beide Verwaltungen vorsorglich vom Landesnetz getrennt. Die öffentliche Bekanntgabe folgte laut Bericht drei Tage später. Am 23. August meldete der Regierende Bürgermeister, dass alle Verwaltungen wieder am Landesnetz angeschlossen und grundsätzlich arbeitsfähig seien. Medienberichten zufolge setzten die Täter nach der öffentlichen Bestätigung eine Frist von sieben Tagen und forderten 30 Bitcoin, laut heise umgerechnet rund zwei Millionen Euro. Das Land ist nach eigener Mitteilung auf die Erpressung nicht eingegangen. Am 4. September lief die Frist ab, und die Daten wurden im Darknet veröffentlicht; am selben Tag gab das Bundesamt für Sicherheit in der Informationstechnik eine Cybersicherheitswarnung zu der Kampagne heraus, über die der Zugang gelegt worden war. In der Nacht zum 6. September folgte laut eGovernment ein zweites Datenpaket, unter anderem mit Zugangsdaten. Am 11. September richtete das Land eine Anlaufstelle für Betroffene ein.

Diese Reihenfolge ist für die Führung wichtiger als jede technische Einzelheit. Zwischen Entdeckung und Bekanntgabe lagen drei Tage. Zwischen Bekanntgabe und Ablauf der Frist lagen etwa zwei Wochen, in denen entschieden werden musste, ob gezahlt wird, während noch niemand vollständig wusste, was abgeflossen war. Zwischen Netztrennung und Wiederanschluss lagen neun Tage, in denen Fachverfahren stockten; Medienberichten zufolge betraf das unter anderem Wohngeldanträge und Auszahlungen.

Die Zahlen, die eine Vorstandsvorlage tragen

Eine Vorstandsvorlage braucht wenige Zahlen, aber jede mit Herkunft. Laut heise geht es um rund 1,44 Millionen Dateien; ein Fachmedium nennt 1,4 Millionen. Das Datenvolumen beziffern die Täter nach eigener Darstellung mit 5,79 Terabyte, andere Berichte sprechen von fast 5,8 Terabyte oder von mehreren Terabyte. Wir mitteln diese Werte nicht, sondern stellen sie nebeneinander, weil eine Vorlage, die eine Zahl glättet, im Aufsichtsrat die Frage nach der Quelle nicht übersteht. Im Datensatz liegen Medienberichten zufolge Personalunterlagen mit Lohn- und Abwesenheitsdaten, rund 46.500 Verträge und Passwortlisten im Klartext. Die Zahl von 12.076 betroffenen Einzelpersonen steht nur in einer Fundstelle und nicht auf der amtlichen Seite; sie ist nicht bestätigt und gehört in eine Vorlage nur mit diesem Vermerk.

Eine Zahl stammt nicht aus dem Fall selbst, sondern aus der Warnung des Bundesamts, und sie ist für die Zahlungsfrage die wichtigste: Nach dessen Kenntnis folgt auf 92 Prozent der Nennungen auf der Leak-Seite dieser Gruppe eine Veröffentlichung, im Durchschnitt nach elf Tagen. Wer diese Zahl am Tag der Forderung kennt, verhandelt mit sich selbst über eine andere Frage als jemand, der sie erst danach erfährt.

Drei Entscheidungen, die nicht warten konnten

Die erste Entscheidung war die Trennung vom Netz. Sie schützt, und sie kostet: neun Tage ohne Landesnetz für zwei Verwaltungen, deren Verfahren Bürgerinnen und Bürger unmittelbar betreffen. Wer diese Entscheidung trifft, braucht ein Mandat, das vorher erteilt wurde, denn im Moment der Entdeckung ist keine Zeit, um zu klären, ob die IT-Leitung, die Verwaltungsspitze oder ein Krisenstab entscheidet.

Die zweite Entscheidung war die Zahlung. Das Land hat nicht gezahlt. Aus unserer Sicht war das vertretbar, und die Veröffentlichung war der Preis, der jetzt öffentlich ist. Entscheidend ist, wann diese Entscheidung fiel: vor dem vollständigen Bild, unter einer Frist von sieben Tagen und mit einer Forderung, die in einer Währung gestellt wurde, die eine öffentliche Kasse ohne Vorbereitung nicht beschaffen kann. Wir kommen im vierten Kapitel darauf zurück, warum die Zahlungsfrage nicht im Vorfall entschieden werden kann, sondern vorher.

Die dritte Entscheidung war die Kommunikation. Das Land führt eine laufend aktualisierte Informationsseite mit Stand und Uhrzeit, Kontaktadressen und Warnhinweisen und hat eine Anlaufstelle eingerichtet. Das ist nach unserer Einordnung ein brauchbares Muster. Für ein Unternehmen heißt das: Wer spricht mit Beschäftigten, Kunden und Vertragspartnern, in welcher Frist und mit welchem Freigabeweg? Wer diese Fragen erst im Vorfall stellt, verliert die Tage, in denen die Betroffenen sich selbst ein Bild machen.

Was der Fall über Führung sagt

Unsere Einordnung: Der Fall zeigt keine Schwäche eines einzelnen Bereichs, sondern die Reihenfolge, in der Entscheidungen auf die Führung zukommen, und die Frist, in der sie fallen müssen. Die Netztrennung ist eine Entscheidung der Technik mit Folgen für den Betrieb. Die Zahlungsfrage ist eine Entscheidung der Führung mit Folgen für Recht, Finanzen und Reputation. Die Kommunikation ist eine Entscheidung der Führung mit Folgen für das Vertrauen der Betroffenen. Keine dieser Entscheidungen lässt sich delegieren, und keine hat im Ernstfall Zeit.

Für Vorstand und Geschäftsführung ergeben sich daraus drei Fragen, die vor dem Ernstfall beantwortet sein sollten. Wer hat das Mandat, Systeme vom Netz zu nehmen, und bis zu welcher Wirkung auf das Geschäft? Wer entscheidet über eine Forderung, und ist der Weg zu einer Zahlung überhaupt vorbereitet, falls die Führung ihn gehen wollte? Wer spricht, und wer gibt frei? Ein Haus, das diese drei Antworten aufgeschrieben hat, verhandelt im Ernstfall nicht mit sich selbst.

Zeit als Führungsgröße

Vier Zeitspannen aus dem Fall lassen sich auf jedes Unternehmen übertragen, und jede ist eine Führungsgröße, keine technische. Fünf Tage dauerte nach Angaben des Landes der wesentliche Abfluss, bevor er entdeckt wurde: Das ist die Zeit, in der eine Organisation nicht weiß, dass sie ein Problem hat. Drei Tage lagen laut Bericht zwischen Entdeckung und Bekanntgabe: Das ist die Zeit, in der die Führung entscheidet, wann und wie sie spricht. Neun Tage lagen zwischen Netztrennung und Wiederanschluss: Das ist die Zeit, in der der Betrieb ohne seine Systeme geführt werden muss. Sieben Tage betrug Medienberichten zufolge die Frist der Täter: Das ist die Zeit, in der die Zahlungsfrage entschieden sein muss, ob man will oder nicht. Wer diese vier Spannen für das eigene Haus schätzt, hat den Kern einer Übung, die keine Technik braucht: Was tun wir an Tag eins, an Tag drei, an Tag sieben, an Tag neun, und wer tut es?

Ausblick und Prognose

Mit der Veröffentlichung ist der Fall für die Betroffenen nicht beendet. Nach unserer Einordnung auf Grundlage der Warnung des Bundesamts und der Berichte zu den Klartextlisten ist es wahrscheinlich (75 bis 85 Prozent), dass der veröffentlichte Datensatz in den nächsten sechs Monaten für gezielte Betrugsmails und für den Missbrauch von Zugängen genutzt wird, sofern diese nicht vollständig gewechselt sind. Die Konfidenz ist mittel, weil Zahl der Betroffenen und Umfang der Zugangsdaten nur aus Presseberichten stammen. Das fünfte Kapitel legt diese Prognose ausführlich dar.

Wo ein solches Zielbild noch fehlt, beginnt unsere Arbeit mit einem vertraulichen Gespräch über die Entscheidungen, die vor dem Ernstfall feststehen müssen.

Beifang einer Kampagne: wer dahinter steht und warum das die Führung angeht

Wissen Sie, ob Ihr Unternehmen für einen Erpresser ein Ziel wäre oder nur ein Treffer? Die Antwort verändert, wie Sie Ihr Haus vorbereiten: Ein Ziel wird ausgesucht und braucht Schutz an bestimmten Stellen, ein Treffer entsteht dort, wo eine breite Masche zufällig verfängt. Dieses zweite Kapitel unserer Serie "Die Woche danach" beschreibt, wer nach den vorliegenden Quellen hinter dem Fall des Landes Berlin steht, welches Geschäftsmodell diese Gruppe verfolgt und was daraus für Vorstand und Geschäftsführung folgt.

Wer die Gruppe ist

Das Bundesamt für Sicherheit in der Informationstechnik ordnet die im Fall eingesetzte Schadsoftware in seiner Warnung vom 4. September derselben finanziell motivierten Gruppe zu, die seit Juni 2023 nahezu ausschließlich die Erpressungssoftware und die Leak-Seite mit dem Namen Rhysida betreibt. Nach Kenntnis des Bundesamts ist die Gruppe seit mindestens Mitte 2021 aktiv, zunächst unter dem Namen Vice Society mit fremder Erpressungssoftware. Die Behörden der Vereinigten Staaten beschreiben Rhysida in einer gemeinsamen Warnung von 2023 als Dienstleistungsmodell mit Partnern, das Bildung, Gesundheit, Fertigung, IT und Verwaltung trifft. Eine Herstellerforschung von 2023 hat die Verbindung zur Vorgängergruppe über identische Vorgehensweisen belegt; seit dem Auftauchen von Rhysida ist die frühere Leak-Seite laut dieser Analyse stumm.

Zur Herkunft gibt es Indizien, keine Zuordnung. Ein Sicherheitsanbieter sieht Hinweise auf russischsprachige Akteure oder die GUS-Region und nennt das ausdrücklich ein Indiz. Das Bundesamt stuft die Täter als opportunistisch und ausschließlich finanziell motiviert ein und stellt fest, dass ein Zusammenhang mit staatlichen oder politisch motivierten Akteuren bislang nicht hergestellt werden konnte. Wir übernehmen diese Zuordnung und gehen nicht darüber hinaus. Für die Führung heißt das: Der Fall ist ein Fall organisierter Kriminalität mit einem Geschäftsmodell, nicht ein Fall staatlicher Spionage. Beides braucht Vorbereitung, aber nicht dieselbe.

Das Geschäftsmodell in einer Zahl

Die Gruppe arbeitet nach Beschreibung der Behörden als Dienstleister: Betreiber stellen die Software und die Leak-Seite, Partner führen die Einbrüche aus, das Lösegeld wird geteilt. Daten werden vor einer Verschlüsselung kopiert, die Veröffentlichung ist das zweite Druckmittel. Ein Opfer, das nicht zahlt, wird veröffentlicht, damit die Drohung gegenüber dem nächsten Opfer glaubwürdig bleibt. Nach Kenntnis des Bundesamts folgt auf 92 Prozent der Nennungen auf der Leak-Seite eine Veröffentlichung, im Durchschnitt nach elf Tagen. Unsere Einordnung: Diese Quote ist das Geschäftsmodell in einer Zahl. Sie sagt der Führung, dass die Drohung keine Verhandlungstaktik ist, sondern die Regel, und dass die Entscheidung gegen eine Zahlung mit der Veröffentlichung rechnen muss, nicht mit ihrem Ausbleiben.

Das Land hat nach eigener Mitteilung nicht gezahlt. Die Daten wurden am 4. September veröffentlicht, ein zweites Paket folgte Medienberichten zufolge am 6. September. Beides entspricht dem Modell. Wer das Modell kennt, ist von dieser Reihenfolge nicht überrascht und kann die Kommunikation, die Information der Betroffenen und den Wechsel von Zugängen vorbereiten, bevor die Frist abläuft.

Ziel oder Treffer

Der Zugang wurde nach Angaben des Bundesamts über eine Kampagne gelegt, deren gefälschte Prüfseite sich in historischen Daten auf mehreren Hundert Webseiten fand. Das Land war nach dieser Einschätzung kein ausgesuchtes Ziel, sondern der Treffer einer breiten Kampagne. Laut heise begann alles mit einer Phishing-Mail an einen Beschäftigten, der auf einer manipulierten Seite eine Anweisung ausführte, die ihm die Seite in die Zwischenablage gelegt hatte. Die Folgen sind trotzdem strategisch, weil der Datensatz jetzt jedem offensteht.

Für die Führung ist der Unterschied zwischen Ziel und Treffer die Grundlage der Vorbereitung. Ein Unternehmen, das ausgesucht wird, muss wissen, welche Informationen es für einen Angreifer wertvoll machen, und sie besonders schützen. Ein Unternehmen, das als Treffer in Frage kommt, muss davon ausgehen, dass irgendwann irgendjemand im Haus auf eine gut gemachte Masche hereinfällt, und muss dafür sorgen, dass diese eine Handlung nicht bis zu den Verzeichnissen führt, in denen Verträge, Personaldaten und Zugangslisten liegen. Der Fall zeigt, dass beide Vorbereitungen gebraucht werden: Der Zugang war opportunistisch, die Verwertung ist es nicht.

Was das für Vorstand und Geschäftsführung heißt

Unsere Einordnung: Die Frage nach dem Täter ist für die Führung keine Frage der Neugier, sondern der Kalkulation. Wer weiß, dass die Gruppe in 92 Prozent der Fälle veröffentlicht, plant die Woche nach der Forderung anders. Wer weiß, dass die Gruppe seit 2021 unter wechselnden Namen aktiv ist und dass Strafverfolgung sie bislang nicht erreicht hat, rechnet nicht mit einer Entlastung durch Ermittlungen. Wer weiß, dass die Gruppe Bildung, Gesundheit und Verwaltung bevorzugt und keinen Schwerpunkt auf ein Land legt, versteht, dass die eigene Branche und Größe über die Wahrscheinlichkeit entscheiden, nicht die Bekanntheit des Namens.

Daraus ergeben sich Fragen an die eigene Organisation. Hat die Führung die Leute, die ein Akteurprofil lesen und in Entscheidungen übersetzen können, oder liegt dieses Wissen nur bei einem Dienstleister? Gibt es im Haus jemanden, der am Tag der Forderung sagen kann, mit welcher Gruppe man es zu tun hat und was von ihr zu erwarten ist? Und ist der Übergang zwischen diesem Wissen und der Entscheidung der Führung geregelt, oder liegt er im Ermessen dessen, der gerade erreichbar ist? Ein Monat vor dem Abfluss hatte das Land nach amtlicher Mitteilung eine Kooperation mit dem Bundesamt über acht Handlungsfelder unterzeichnet, mit dem Satz, die Cybersicherheitslage sei angespannt. Papier schützt nicht, was in den Verzeichnissen liegt; das ist das Thema des dritten Kapitels.

Was wir nicht wissen, und warum das in die Vorlage gehört

Eine Führung, die über einen Täter spricht, muss wissen, wo das Wissen endet. Zur Herkunft der Gruppe gibt es Indizien, keine amtliche Zuordnung; das Bundesamt sieht keinen staatlichen Zusammenhang. Ob im vorliegenden Fall verschlüsselt wurde oder nur kopiert, sagt keine amtliche Quelle; belegt ist der Abfluss. Die Zahl der Betroffenen stammt aus einer einzigen Fundstelle und ist nicht bestätigt. Für die Kommunikation eines Unternehmens folgt daraus eine Regel, die im Vorfall Reputation schützt: Nichts über den Täter sagen, was die zuständige Behörde nicht gesagt hat. Wer von ausländischen Staaten spricht, ohne dass eine Behörde das tut, macht aus einem kriminellen Fall eine politische Aussage, die er nicht belegen kann und die er im Zweifel zurücknehmen muss. Nach unserer Einordnung ist die Disziplin, Fakt und Einschätzung zu trennen, in der Woche danach genauso wichtig wie die Entscheidung selbst.

Ausblick und Prognose

Aus dem Akteurprofil folgt die Prognose. Nach unserer Einordnung ist es wahrscheinlich (75 bis 85 Prozent), dass Dritte den veröffentlichten Datensatz in den nächsten sechs Monaten für gezielte Betrugsmails gegen Beschäftigte, Bürger und Vertragspartner nutzen und dass Zugänge aus den Klartextlisten missbraucht werden, sofern sie nicht vollständig gewechselt sind. Eine gesteuerte politische Verwertung durch die Gruppe selbst ist dagegen unwahrscheinlich (20 bis 45 Prozent), weil das Bundesamt keinen staatlichen Zusammenhang sieht und das Geschäftsmodell auf Geld zielt. Die Konfidenz ist mittel.

Wer diese Fragen für mehrere Bereiche zugleich beantworten muss, braucht eine Stelle, die Aufklärung, Abwehr und Nachweis zusammenhält; das ist die Arbeit, die wir über unsere Einheiten hinweg steuern.

Die Warnung lag vor: Übergänge, an denen Papier nicht schützt

Wer in Ihrem Haus liest eine Warnung einer Behörde, entscheidet, ob sie Sie betrifft, und trägt dafür Verantwortung, dass daraus etwas wird? In vielen Unternehmen ist diese Frage nicht beantwortet, und in den meisten hat sie noch nie jemand gestellt. Dieses dritte Kapitel unserer Serie "Die Woche danach" zeichnet am Fall des Landes Berlin nach, welche Warnungen vor dem Abfluss vorlagen, welche danach folgten und an welchen Übergängen zwischen Bereichen eine Warnung nach unserer Einordnung typischerweise liegen bleibt.

Was vor dem Fall bekannt war

Die Gruppe hinter dem Fall ist keine Unbekannte. Schon am 6. September 2022, knapp vier Jahre vor dem Abfluss, warnten FBI, CISA und MS-ISAC gemeinsam vor ihr, damals unter dem Namen Vice Society und mit dem Befund, dass sie überproportional den Bildungssektor angreift. Im November 2023 folgte eine zweite gemeinsame Warnung unter dem heutigen Namen, zuletzt aktualisiert im April 2025, die ausdrücklich auf die erste verweist. Beide beschreiben denselben Einstieg: kompromittierte, aber gültige Zugangsdaten; die zweite nennt Anmeldungen an VPN-Zugängen ohne zweiten Faktor ausdrücklich. Das ist keine Fachinformation, sondern eine Führungsinformation: Sie sagt, dass eine einzelne Kennung mit Passwort für diese Gruppe ausreicht, wenn kein zweiter Faktor sie schützt. Wer die erste Warnung 2022 oder die zweite 2023 gelesen und in eine Frage an die eigene Organisation übersetzt hätte, hätte gefragt, welche Zugänge im eigenen Haus noch ohne zweiten Faktor erreichbar sind und wer das bis wann ändert.

Einen Monat vor dem Abfluss, am 8. Juli 2026, unterzeichneten das Bundesamt für Sicherheit in der Informationstechnik und das Land nach amtlicher Mitteilung eine Kooperationsvereinbarung über acht Handlungsfelder, unter anderem zur engeren operativen Zusammenarbeit bei der Abwehr von Cyberangriffen, mit dem Satz, die Cybersicherheitslage sei angespannt. Für die Aufarbeitung wird relevant sein, welche Maßnahmen bis August umgesetzt waren. Wir bewerten das nicht, weil keine Quelle es belegt. Für die Führung ist die Lehre eine andere: Eine unterschriebene Vereinbarung ist eine Absicht, kein Zustand. Was in den Verzeichnissen liegt, ändert sich durch eine Unterschrift nicht.

Was während und nach dem Fall gewarnt wurde

Am 28. August, während die Frist der Täter Medienberichten zufolge bereits lief, beschrieb ein großer Softwarehersteller die Kampagne, über die der Zugang gelegt worden war, mit vollständiger Kette und mit Empfehlungen: Skriptausführung einschränken, das Terminal vor dem Einfügen mehrzeiliger Befehle warnen lassen, Protokollierung einschalten, Beschäftigte zu dieser Masche schulen. Am 4. September gab das Bundesamt seine Warnung heraus, mit vergleichbaren Empfehlungen und dem Hinweis, einen betroffenen Rechner als Einstiegspunkt in das gesamte Netz zu behandeln. Am 7. September benannte das Bundesamt laut heise den Erstzugang öffentlich. Medienberichten zufolge warnte das Bundesamt außerdem vor gezielten Betrugsmails auf Basis der veröffentlichten Kontaktdaten und vor der Verwertung gestohlener Dokumente vor einer Wahl im Land am 20. September. Das Land selbst warnt auf seiner Informationsseite vor Nachrichten, die vorgeben, von seinen Verwaltungen zu stammen.

Diese Warnungen richten sich an alle, nicht nur an das betroffene Land. Jede Organisation, in der Beschäftigte im Browser arbeiten und in der Zugangsdaten in Dokumenten liegen, ist von den Empfehlungen des Herstellers und des Bundesamts gemeint. Die Frage ist, ob sie dort ankommen, wo sie umgesetzt werden, und ob jemand das nachhält.

Die Übergänge, an denen es hakt

Unsere Einordnung, gestützt auf die Erfahrung aus unseren Einsätzen und Prüfungen: Cybersicherheit scheitert selten an einer einzelnen Leistung, sondern an den Übergängen dazwischen. Der Fall zeigt vier solcher Übergänge.

Der erste liegt zwischen Warnung und Entscheidung. Eine Behördenwarnung erreicht in der Regel die IT. Ob sie das Haus betrifft, kann die IT beurteilen; ob daraus Geld, Zeit und Rückhalt folgen, entscheidet die Führung. Wenn niemand die Warnung in eine Vorlage übersetzt, bleibt sie ein Dokument.

Der zweite liegt zwischen Absicht und Zustand. Eine Vereinbarung, eine Strategie, ein Prüfbericht beschreiben, was sein soll. Was ist, steht in den Verzeichnissen. Laut heise lagen im Datensatz Passwortlisten im Klartext. Ein Meinungsbeitrag bei heise nennt außerdem ein über Jahrzehnte gewachsenes Nebeneinander von Systemen, eine nur nebenberuflich besetzte Stelle für die Digitalisierung und ein Dienstleistungszentrum, dem Aufgaben, aber nicht die Mittel zugewiesen worden seien. Das ist eine Meinung, keine Feststellung, und wir übernehmen sie nicht als Tatsache. Als Frage an das eigene Haus ist sie brauchbar: Wo liegen bei uns Absichten, die nie zu Zuständen wurden, und wer hätte den Unterschied bemerken müssen?

Der dritte liegt zwischen Technik und Betrieb. Die Empfehlungen des Herstellers und des Bundesamts sind umsetzbar, und sie kosten Bequemlichkeit: Skripte, die nicht mehr laufen, Warnungen, die Arbeit unterbrechen, Schulungen, die Zeit binden. Erfahrungsgemäß scheitern solche Maßnahmen nicht an der IT, sondern am Widerstand der Bereiche, deren Alltag sie verändern. Diesen Widerstand kann die IT nicht auflösen. Den Rückhalt gibt nur die Führung.

Der vierte liegt zwischen Vorfall und Aufarbeitung. Nach dem Fall wird gefragt werden, was bis August umgesetzt war. Wer dann keine Dokumentation hat, kann weder zeigen, was getan wurde, noch begründen, was nicht. Der Nachweis ist keine Fleißaufgabe, sondern die Grundlage jeder Antwort an Aufsicht, Betroffene und Öffentlichkeit.

Wie aus einer Warnung eine Entscheidung wird

Damit eine Warnung die Übergänge übersteht, braucht sie im Haus ein Muster, das nicht von der Person abhängt, die sie zufällig liest. Nach unserer Einordnung genügen drei Zeilen, die für jede Warnung innerhalb von fünf Arbeitstagen ausgefüllt werden. Erstens: Betrifft sie uns, und woran machen wir das fest? Zweitens: Was würde die Umsetzung kosten, in Geld, in Zeit und in Bequemlichkeit für welche Bereiche? Drittens: Wer entscheidet bis wann, und wer weist den Umsetzungsstand nach? Die dritte Zeile ist die, die in den meisten Häusern fehlt, und sie ist die, nach der nach einem Vorfall gefragt wird. Die Warnungen der amerikanischen Behörden von 2022 und 2023 hätten in diesem Muster eine Zeile zu Zugängen ohne zweiten Faktor und eine zu den Druckdienst-Schwachstellen PrintNightmare ergeben, die seit November 2021 als ausgenutzt gelistet sind; die Warnung des Bundesamts vom 4. September ergibt eine Zeile zu Skripten, Protokollierung und Schulung. Beides ist keine Frage der Technik, sondern eine Frage, ob es das Muster gibt.

Fragen an die eigene Organisation

Wer nimmt Behördenwarnungen entgegen, und wer entscheidet innerhalb welcher Frist, ob sie das Haus betreffen? Wann wurde zuletzt geprüft, ob die Zugänge, die eine Warnung nennt, im eigenen Haus noch ohne zweiten Faktor erreichbar sind? Welche Zusagen hat die Führung in den letzten zwei Jahren unterschrieben, und wer weiß, welche davon umgesetzt sind? Wie viele Führungskräfte-Trainings hatte die IT-Leitung in fünf Jahren, verglichen mit Vertrieb und Marketing? Und wer im Haus hat den Rückhalt, eine unbequeme Maßnahme gegen den Widerstand eines anderen Bereichs durchzusetzen?

Ausblick und Prognose

Die Warnungen nach dem Fall sind zugleich die Prognose. Nach unserer Einordnung ist es wahrscheinlich (75 bis 85 Prozent), dass der veröffentlichte Datensatz in den nächsten sechs Monaten für gezielte Betrugsmails und für den Missbrauch nicht gewechselter Zugänge genutzt wird; die Konfidenz ist mittel. Für Organisationen, die nicht betroffen sind, ist die Prognose eine andere: Die Kampagne, über die der Zugang gelegt wurde, war nach Angaben des Bundesamts breit gestreut, und ihre Empfehlungen gelten weiter.

Wer wissen will, welche Übergänge im eigenen Haus offen sind, beginnt bei uns mit einem vertraulichen Gespräch über das Zielbild, nicht mit einer Prüfliste.

Zahlen, Pflichten, Zahlungsfrage: die Vorstandsvorlage vor dem Ernstfall

Sie haben eine Vorlage in der Schublade, die drei Dinge enthält: die Zahlen, die im Ernstfall gebraucht werden, die Pflichten mit ihren Fristen und eine vorher getroffene Haltung zur Zahlungsfrage samt dem Weg, sie umzusetzen oder abzulehnen. Diese Vorlage wird nicht im Vorfall geschrieben, sondern vorher, und im Vorfall nur ausgefüllt. Dieses vierte Kapitel unserer Serie "Die Woche danach" baut sie am Fall des Landes Berlin auf, mit dem Hinweis, dass es sich um eine Einschätzung handelt und nicht um Rechts- oder Steuerberatung.

Die Zahlen

Für die Vorlage zählen vier Größen: Umfang, Betroffene, Ausfall und Forderung. Der Umfang: laut heise rund 1,44 Millionen Dateien, nach eigener Darstellung der Täter 5,79 Terabyte, in anderen Berichten fast 5,8 oder mehrere Terabyte. Die Betroffenen: nach Angaben des Landes Beschäftigte, Bürgerinnen und Bürger sowie Unternehmen; die Zahl von 12.076 Einzelpersonen ist nicht bestätigt. Der Ausfall: neun Tage ohne Landesnetz für zwei Verwaltungen, Medienberichten zufolge mit stockenden Wohngeldanträgen und Auszahlungen. Die Forderung: 30 Bitcoin, laut heise umgerechnet rund zwei Millionen Euro, mit einer Frist von sieben Tagen.

Was in der Vorlage fehlt, weil keine Quelle es nennt, ist der Preis der Woche danach: Forensik, Wiederanlauf, Information der Betroffenen, Anlaufstelle, Rechtsberatung, Wechsel aller Zugänge aus den Klartextlisten. Aus der Erfahrung unserer Forensiker aus 160 Einsätzen liegt die mittlere Wiederherstellung bei zwölf Tagen; die Kosten dafür hängen an der Vorbereitung, nicht an der Größe des Angriffs. Eine Vorlage, die diese Position offen lässt, ist ehrlich; eine, die sie nicht enthält, ist unvollständig.

Die Pflichten

Für ein Unternehmen gelten nach dem Bekanntwerden Fristen, die keine Rücksicht auf das unvollständige Bild nehmen. Die Datenschutz-Grundverordnung verlangt in Artikel 33 die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden, mit Art der Verletzung, ungefährer Zahl der Betroffenen, Kontaktstelle, wahrscheinlichen Folgen und ergriffenen Maßnahmen. Das Bundesamt empfiehlt in seinem Leitfaden zur ersten Hilfe grundsätzlich eine Strafanzeige; die zentralen Ansprechstellen der Landeskriminalämter unterstützen dabei, und Beweise müssen gerichtsfest erhoben werden. Wer eine Cyber-Versicherung hat, soll sie nach demselben Leitfaden frühzeitig informieren, weil sie häufig Vorgaben macht, unter denen sie Kosten übernimmt. Ob und wann das Land seine Meldung abgegeben hat, ist nicht bestätigt; die amtliche Seite sagt es nicht.

Dazu kommt eine Pflicht, die in keinem Gesetz steht und die trotzdem zuerst fällig wird: die Information der Menschen, deren Daten abgeflossen sind. Das Land führt eine Informationsseite mit Stand und Uhrzeit, Kontaktadressen und Warnhinweisen und hat eine Anlaufstelle eingerichtet. Nach unserer Einordnung ist das der Maßstab, den ein Unternehmen ebenfalls erreichen muss. In der Vorlage steht deshalb, wer diese Seite innerhalb von 24 Stunden freigeben kann.

Die Zahlungsfrage

Das Land hat nach eigener Mitteilung nicht gezahlt. Das Bundesamt empfiehlt grundsätzlich, auf keine Form von Erpressung einzugehen und kein Lösegeld zu zahlen; wer es dennoch erwägt, soll Versicherung, Ermittlungsbehörden und Rechtsabteilung einbeziehen und hat auch nach einer Zahlung keine Garantie auf einen Schlüssel. Die Vorlage hält diese Haltung fest, und sie hält fest, was sie kostet: Nach Kenntnis des Bundesamts folgt in 92 Prozent der Fälle die Veröffentlichung.

Wer die Zahlung trotzdem als Option offenhalten will, muss vier Fragen vorher beantworten. Erstens die Sanktionsfrage: Nach der Warnung des amerikanischen Finanzministeriums verletzt eine Zahlung an gelistete Personen oder von ihnen kontrollierte Akteure Sanktionsrecht, und zwar ohne Rücksicht darauf, ob der Zahlende es wusste; eine vollständige, selbst veranlasste Meldung an die Behörden gilt als mildernder Umstand. Die Gruppe selbst ist dort nicht als gelistet genannt; ob Personen aus ihrem Umfeld auf der Liste der Europäischen Union stehen, konnten wir in diesem Lauf nicht prüfen. Zweitens die Steuerfrage: Dem Wortlaut nach wäre eine Zahlung für ein Unternehmen eine betrieblich veranlasste Aufwendung; das Abzugsverbot greift nach unserer Lesart erst, wenn die Zahlung selbst eine rechtswidrige Handlung darstellt, etwa an einen sanktionierten Empfänger. Ein Steuerberater muss den Einzelfall prüfen. Drittens die Beschaffungsfrage: Wie kommt eine Buchhaltung innerhalb von sieben Tagen an 30 Bitcoin? In der Praxis läuft das über einen spezialisierten Dienstleister oder eine regulierte Handelsplattform mit dokumentierter Herkunfts- und Empfängerprüfung, budgetiert in Euro und gewechselt erst zum Zahlzeitpunkt. Wer diesen Weg nicht vorbereitet hat, kann innerhalb der Frist praktisch nicht zahlen, unabhängig von der Entscheidung. Viertens die Verhandlungsfrage: Das Bundesamt verweist auf professionelle Verhandlung durch Dienstleister; wer im Haus darf einen solchen beauftragen, und mit welchem Mandat?

Unsere Einordnung: Die Zahlungsfrage ist keine Frage, die im Vorfall entschieden werden kann, weil jede der vier Antworten Tage braucht, die im Vorfall nicht vorhanden sind. Sie ist eine Frage, die vorher entschieden wird, in beide Richtungen. Wer nicht zahlen will, legt fest, wie die Veröffentlichung getragen wird. Wer die Option offenhalten will, legt den Weg an, bevor er ihn braucht.

Was die Vorlage sonst enthält

Drei Punkte, die in keiner Zahl stehen. Erstens die Mandate: Wer darf Systeme vom Netz nehmen, wer darf einen Dienstleister beauftragen, wer darf mit den Tätern kommunizieren lassen, wer gibt Texte frei. Zweitens die Einstufung der eigenen Ablagen: Medienberichten zufolge lagen im Datensatz Notfallpläne und Unterlagen zur zivilen Verteidigung. Ein Unternehmen hat andere Dokumente dieser Art, etwa Notfallhandbücher, Zugangskonzepte, Verträge mit Vertraulichkeitsklauseln. Wer sie nicht eingestuft hat, weiß im Vorfall nicht, was der Abfluss bedeutet. Drittens die Nachweise: Prüfberichte, Zusagen, Umsetzungsstände. Nach dem Fall wird gefragt, was bis zum Vorfall umgesetzt war. Wer das dokumentiert hat, antwortet; wer nicht, rekonstruiert.

Wie die Vorlage lebendig bleibt

Eine Vorlage, die einmal geschrieben und dann abgelegt wird, ist im Ernstfall so viel wert wie die Kooperationsvereinbarung im dritten Kapitel: eine Absicht. Nach unserer Einordnung braucht sie einen Eigentümer in der Geschäftsführung, einen festen Termin zur Überprüfung, etwa halbjährlich, und drei Anlässe, zu denen sie außerplanmäßig geöffnet wird: eine neue Warnung einer Behörde, die das Haus betrifft; eine Veränderung der Organisation, etwa ein neuer Dienstleister, eine Übernahme oder ein neues Kernsystem; und ein Vorfall bei einem vergleichbaren Unternehmen, wie der hier beschriebene. Bei jeder Öffnung werden die Mandate gegen die aktuellen Namen geprüft, der Zahlungsweg gegen die aktuellen Dienstleister und die Einstufung der Ablagen gegen das, was seit dem letzten Mal dazugekommen ist.

Ausblick und Prognose

Die Vorlage endet mit einer Einschätzung, was nach der Veröffentlichung kommt, weil die Folgen der Woche danach nicht mit ihr enden. Nach unserer Einordnung ist es wahrscheinlich (75 bis 85 Prozent), dass der Datensatz in den nächsten sechs Monaten für gezielte Betrugsmails und für den Missbrauch nicht gewechselter Zugänge genutzt wird; die Konfidenz ist mittel, weil Zahl der Betroffenen und Umfang der Zugangsdaten nur aus Presseberichten stammen. Für die Vorlage heißt das: Der Posten Information und Schutz der Betroffenen läuft über Monate, nicht über Tage.

Wo eine solche Vorlage noch nicht existiert, beginnt unsere Arbeit mit einem vertraulichen Gespräch darüber, welche Entscheidungen Ihr Haus vor dem Ernstfall festlegen will.

Woran Sie messen, ob es bei Ihnen ein Thema ist: Ausblick und Frühindikatoren

Woran erkennen Sie, ob der Fall, den Sie in dieser Serie verfolgt haben, für Ihr eigenes Haus ein Thema ist, bevor es jemand anderes für Sie entscheidet? Eine Führung braucht dafür keine Fachtiefe, sondern wenige Messpunkte, die sie selbst abfragen kann. Dieses fünfte und letzte Kapitel unserer Serie "Die Woche danach" fasst die Prognose zum Fall des Landes Berlin zusammen, übersetzt die Frühindikatoren des Falls in Beobachtungspunkte und endet mit den Fragen, mit denen eine Geschäftsführung den eigenen Stand bestimmt.

Die Prognose, mit Begründung

Wir schreiben Prognosen mit einer Stufe, einer Spanne und einer Konfidenz, so wie es die Lagebilder unserer Einheit Intelligence tun. Für die nächsten sechs Monate gilt nach unserer Einordnung: Es ist wahrscheinlich (75 bis 85 Prozent), dass Dritte den veröffentlichten Datensatz für gezielte Betrugsmails gegen Beschäftigte, Bürger und Vertragspartner des Landes nutzen und dass Zugänge aus den Klartextlisten missbraucht werden, sofern sie nicht vollständig gewechselt sind. Eine belegte Beeinflussung der Wahl im Land durch die Gruppe selbst ist unwahrscheinlich (20 bis 45 Prozent). Die Konfidenz ist mittel.

Die Begründung: Die Gruppe hat ihre Drohung wahr gemacht, wie nach Kenntnis des Bundesamts in 92 Prozent der Fälle, und Medienberichten zufolge am 6. September ein zweites Paket nachgelegt. Passwortlisten im Klartext und rund 46.500 Verträge sind unmittelbar verwertbar. Das Bundesamt sieht keinen staatlichen Zusammenhang, weshalb eine gesteuerte politische Operation durch die Gruppe selbst nicht zu erwarten ist; die Daten stehen aber jedem offen, und die von der Presse zitierte Warnung des Bundesamts vor der Verwertung gestohlener Dokumente vor der Wahl am 20. September richtet sich an Dritte. Die Konfidenz ist mittel, weil Zahl der Betroffenen und Umfang der Zugangsdaten nur aus Presseberichten stammen.

Gegenargumente, offen behandelt

Eine Prognose, die ihre Gegenargumente nicht nennt, ist eine Behauptung. Das erste Gegenargument lautet: Das Land hat nicht gezahlt, also ist der Fall abgeschlossen. Unsere Antwort: Die Veröffentlichung ist der Anfang der Verwertung, nicht ihr Ende. Zugänge, Verträge und Kontaktdaten bleiben nutzbar, solange sie nicht gewechselt oder entwertet sind, und das zweite Paket zeigt, dass die Täter nachlegen. Das zweite Gegenargument lautet: Es sind nur unstrukturierte Daten aus Ablagen, kein Kernsystem. Unsere Antwort: Der Wert eines Datensatzes hängt nicht an seiner Struktur, sondern daran, was jemand damit anfangen kann; genau in diesen Ablagen lagen laut Presse die Klartextlisten und die Notfallpläne. Das dritte Gegenargument betrifft uns selbst: Diese Serie stützt sich auf offene Quellen, drei Pressehäuser waren nicht abrufbar, der Wortlaut zweier Behördenwarnungen liegt nur über Presse vor, und die Zahl der Betroffenen stammt aus einer Fundstelle. Wo die Quellenlage dünn ist, haben wir es gesagt.

Frühindikatoren, in die Sprache der Führung übersetzt

Ein Frühindikator ist ein Beobachtungspunkt, an dem sich zeigt, ob die Prognose eintritt. Aus dem Fall ergeben sich sieben; wir ordnen jedem eine Bedeutung für die Führung zu.

Erstens neue Nennungen deutscher Behörden oder Kommunen auf der Leak-Seite der Gruppe, beobachtet über ein Nachschlagewerk, nie über die Leak-Seite selbst: Die Kampagne läuft weiter, und die eigene Branche kann als Nächstes betroffen sein. Zweitens Meldungen von Landeskriminalämtern oder Bundesamt über Betrugswellen, die Namen und Zuständigkeiten aus dem Datensatz nutzen: Die Verwertung hat begonnen, und jedes Unternehmen mit Vertragsbeziehung zum Land sollte seine Beschäftigten warnen. Drittens weitere Datenpakete der Täter: Der Druck hält an, und die Information der Betroffenen ist nicht abgeschlossen. Viertens eine neue Fassung der Warnung des Bundesamts oder eine Folgewarnung zur Kampagne: Die Empfehlungen ändern sich, und jemand im Haus muss sie erneut lesen. Fünftens das Auftauchen der gefälschten Prüfseite auf neuen Webadressen, gemeldet von Herstellern oder Behörden: Die Masche, die den Zugang öffnete, ist aktiv, und die Schulung der Beschäftigten ist keine einmalige Aufgabe. Sechstens Dokumente aus dem Datensatz in der politischen Auseinandersetzung vor der Wahl: Der Fall wird zu einem Fall der öffentlichen Meinung, und Organisationen, die im Datensatz vorkommen, brauchen eine Sprachregelung. Siebtens eine Sanktionslistung von Personen aus dem Umfeld der Gruppe: Die Zahlungsfrage aus dem vierten Kapitel ändert für alle künftigen Fälle ihre rechtliche Lage.

Keiner dieser Punkte verlangt technisches Wissen. Jeder verlangt, dass jemand im Haus zuständig ist, ihn zu beobachten und der Führung zu melden, wenn er eintritt. Das ist ein Übergang wie die im dritten Kapitel beschriebenen, und er ist genauso leicht zu übersehen.

Wann die Prognose neu bewertet wird

Eine Prognose mit Horizont von sechs Monaten braucht Termine, an denen sie überprüft wird. Nach unserer Einordnung sind das drei: nach der Wahl am 20. September, weil sich dann zeigt, ob Dokumente aus dem Datensatz in der politischen Auseinandersetzung verwendet wurden; nach der nächsten Fassung der Warnung des Bundesamts, weil sich dann zeigt, ob die Kampagne weiterläuft; und nach dem ersten belegten Fall einer Betrugswelle mit Daten aus dem Datensatz, weil sich dann die Stufe der Prognose von wahrscheinlich zu eingetreten verschiebt. Für ein Unternehmen, das nicht betroffen ist, gilt dieselbe Logik mit anderen Terminen: nach jeder Warnung, die das Haus betrifft, und nach jedem Vorfall bei einem vergleichbaren Unternehmen.

Fragen, mit denen Sie Ihren Stand bestimmen

Aus fünf Kapiteln ergeben sich sechs Fragen, die eine Geschäftsführung ohne fremde Hilfe beantworten kann. Ist festgelegt, wer im Haus über Netztrennung, Zahlungsfrage und Kommunikation entscheidet, und steht das schriftlich? Kennt jemand im Haus am Tag einer Forderung die Gruppe und ihr Modell, oder liegt dieses Wissen nur bei einem Dienstleister? Wer nimmt Behördenwarnungen entgegen, und wer entscheidet in welcher Frist, ob sie das Haus betreffen? Welche Zusagen hat die Führung unterschrieben, und welche davon sind Zustand geworden? Existiert die Vorlage aus dem vierten Kapitel, mit Zahlen, Pflichten, Zahlungsweg und Mandaten? Und hat die Führung die Leute, die das verantworten und können, und hat sie diese Leute so entwickelt wie ihre Führungskräfte in Vertrieb und Marketing?

Unsere Einordnung: Wer vier dieser sechs Fragen mit Ja beantwortet, hat die Woche danach vorbereitet. Wer weniger als zwei mit Ja beantwortet, hat ein Thema, unabhängig davon, ob der Fall aus dieser Serie ihn je erreicht. Die Reihenfolge, in der die Gruppe arbeitet, gilt auch hier: aufdecken, was ist; aufklären, was es bedeutet; schützen, was zählt; nachweisen, was getan wurde; absichern, was bleibt; befähigen, wer es tragen muss.

Was diese Serie war und was sie nicht war

Fünf Kapitel haben einen Fall aus der Sicht der Führung gelesen: die Entscheidungen der ersten Tage, die Gruppe und ihr Modell, die Warnungen und Übergänge, die Vorstandsvorlage, die Prognose. Nicht enthalten sind die technische Kette, die Prüfliste für die Erkennung und die Regelwerke in der Tiefe; das sind die Beiträge unserer Einheiten Networks, Defense, Governance und Intelligence zu demselben Fall, mit denselben Fakten und am Ende verlinkt. Die Serie hat das Land nicht bewertet, und sie hat keinen Beschäftigten benannt. Sie hat gefragt, was jede Führung aus dem Fall für das eigene Haus ableiten kann.

Wer diese Messpunkte für das eigene Haus festlegen will, beginnt bei uns mit einem vertraulichen Gespräch über das Zielbild und die Reihenfolge, in der es erreicht wird.