„Aus Datenschutzsicht ein Worst Case“: Wenn Senats-Mitarbeiter ihre Abmahnung im Darknet finden
Eigentlich ist es nur eine E-Mail. Darin informiert ein Mitarbeitender einer Berliner Senatsverwaltung seine vorgesetzte Person darüber, dass er wegen seines erkrankten Kindes nicht zum Dienst erscheinen kann.
Krankmeldung
Guten Morgen Herr ,
ich muss heute mit meiner großen Tochter zum Arzt und kann daher meinen Dienst nicht antreten.
Viele Grüße
Die Mail ist Teil der Daten, die die Hackergruppe „Rhysida“ bei ihrem Cyberangriff auf zwei Berliner Senatsverwaltungen erbeutet hat. Sie verrät den Namen des oder der Beschäftigten, die private Mailadresse, den Vornamen des Kindes und auch, dass es noch weitere Kinder in der Familie gibt.
Was geschieht, wenn diese Mail in die falschen Hände gerät? Und was mit deutlich sensibleren Unterlagen, Abmahnungen oder Informationen über schwere Erkrankungen?
Die Senatskanzlei geht aktuell davon aus, dass potenziell alle Beschäftigten der beiden Verwaltungen betroffen sind. „Aus Datenschutzsicht ist es schon ein Worst Case, was da passiert ist“, mahnt IT-Sicherheitsfachmann Michael Wiesner. Er testet seit Jahrzehnten, wie gut Unternehmen und Behörden vor Hackerangriffen geschützt sind, und ist Mitglied der AG Kritis, die sich für die Stärkung der kritischen Infrastruktur hierzulande engagiert.
In der öffentlichen Kommunikation über das Datenleck habe der Schwerpunkt bislang vor allem auf möglichen Geheimdaten gelegen. Auch der Tagesspiegel berichtete bereits über Gefängnispläne, Details zur kritischen Infrastruktur und darüber, was Kriminelle und fremde Nachrichtendienste mit solchen Daten anfangen könnten.
„Das Problem ist, dass Betroffene nicht wissen können, wer sie besitzt und womit sie kombiniert wird“, sagt Wiesner. Nicht jede Information ist vergleichsweise so harmlos wie eine Kindkrank-E-Mail.
Allein in den Dateinamen finden sich die Klarnamen von rund 10.000 Personen. In den Inhalten dürften noch einmal deutlich mehr stecken. Denn die Daten lassen sich nur langsam aus dem Darknet herunterladen. Bis alle Archive entpackt und Mails durchforstet sind, kann es dauern. Unklar ist auch, ob bereits alle Dateien zugänglich sind.
Jeder Punkt entspricht 100 Dateien
| Kategorie | Dateien | Größe |
|---|---|---|
| PDF-Dokumente | 174.067 | 326 GB |
| Word- & Textdokumente | 181.298 | 56 GB |
| E-Mails | 126.090 | 2,8 TB |
| Bilder | 109.220 | 301 GB |
| Tabellen & Datenbanken | 41.818 | 70 GB |
| Sonstige | 78.354 | 504 GB |
Zwar ist der Datensatz mit insgesamt mindestens vier Terabyte ohne Duplikate – das entspricht etwa einer Million Smartphone-Fotos – riesig. Darin befinden sich aber auch banale Dateien: ohnehin öffentlich zugängliche Daten oder PDFs mit Fachliteratur.
Die Größe an sich sei im Fall des Berliner Datenlecks sowieso nicht das Entscheidende, sagt Wiesner. „Die Qualität dieser Datensätze ist extrem hoch.“ Da es sich um eine staatliche Quelle handelt, könne man davon ausgehen, dass die Daten richtig sind. Das wiederum mache sie für Kriminelle besonders wertvoll. Außerdem sind viele der Dokumente jung, wie eine Auswertung der Dateinamen nach darin enthaltenen Jahreszahlen nahelegt.
Die Geburtsurkunde eines Kindes liefert Angreifern nicht nur die vollständigen Stammdaten, wie Name, Geburtsdatum und Informationen der Eltern. Auch das eingescannte Dokument kann ihnen von Nutzen sein – etwa für Identitätsbetrug.
„Es ist immerhin eine Kopie eines Originaldokuments. Das heißt: Die Person gibt es tatsächlich“, sagt Wiesner. Eine gestohlene Geburtsurkunde könnte ein Baustein für Sozialbetrug sein. Beim Elterngeld beispielsweise gehört das Dokument zu den Unterlagen, die Antragsteller nachweisen müssen.
Die große Mehrheit der bislang vom Tagesspiegel gesichteten Personalunterlagen betrifft Mitarbeitende unterschiedlicher Senatsverwaltungen. Und Personen, die es einmal werden wollten.
So ist ein Teil der Bewerbungsunterlagen in Ordnern wie „nichteinladen“ abgelegt. Über Lebensläufe mit Klarnamen lässt sich ein Bild über die jeweilige Person gewinnen.
Wer die Daten durchsucht, könnte zum Beispiel erfahren, dass sich eine Person wegbewerben wollte. Potenzielle neue Arbeitgeber wiederum wüssten, dass Bewerber anderswo in der ersten Runde aussortiert wurden.
Gegen das, was über manche Mitarbeitende der Senatsverwaltung in den illegal hochgeladenen Unterlagen steht, nimmt sich das noch harmlos aus.
Wie macht sich eine Person in ihrer Abteilung? Leistet sie etwas? Hat sie sich etwas zuschulden kommen lassen? Von Abmahnungen bis zur Korrespondenz mit Anwälten von Mitarbeitenden ist in den Unterlagen alles vorhanden.
Die Unterlagen reichen von Disziplinarvorgängen bis hin zu möglicherweise strafrechtlich relevanten Vorwürfen.
Für Cyberkriminelle wäre das der Hebel, um solche Personen gezielt anzugehen. „Solche Informationen kann man nutzen, um jemanden zu bedrohen, einzuschüchtern, persönlichen Druck aufzubauen und am Ende sogar zu erpressen“, sagt Wiesner.
Und selbst ohne Erpressung könnte das Bekanntwerden solcher Vorwürfe Karrieren beschädigen. „Das alles ist absolut rufschädigend und es wird tendenziell dazu führen, dass diese Person am Arbeitsmarkt weniger Chancen hat und extrem benachteiligt wird.“
Das gilt im Zweifel auch für Gesundheitsdaten, die ebenfalls in dem Leak enthalten sind. Die Spanne reicht von Krankschreibungen über Reha-Aufenthaltsnachweise bis zu Schwerbehindertenausweisen.
Mit einem einzigen Dokument fallen Kriminellen hochsensible Informationen über eine Person in die Hände. Neben Name, Geburtsdatum und Foto zum Beispiel auch den Grad der Behinderung.
„Wir reden hier auch von besonderen Kategorien personenbezogener Daten“, sagt IT-Sicherheitsexperte Wiesner. Auch in diesem Fall ist das Bedrohungspotential groß. „Solche beruflichen Informationen sind extrem dazu geeignet, einer einzelnen Person zu schaden.“
Neben alldem zählen auch Passwörter zu den erbeuteten und öffentlich gemachten Daten. Teils finden sich dort Screenshots für Zugänge.
Passwort für die Tagesordnung
Das Passwort für die Tagesordnung lautet:
Teils sind es komplette Verzeichnisse von Passwortmanagern, die mit einem Masterpasswort geschützt sind. Sind Kriminelle einmal in Besitz des Passwortmanagers gelangt, können sie in aller Ruhe versuchen, das Masterpasswort zu knacken. „Das große Problem ist, dass man als Angreifer alle Zeit der Welt hat, das Masterpasswort zu erraten“, sagt Wiesner.
Das heißt jedoch nicht, dass die darin gespeicherten Passwörter offenliegen. Vielmehr hängt es davon ab, wie stark das Masterpasswort ist und ob es mit einer Zwei-Faktor-Identifizierung geschützt ist: Das Passwort allein nutzt einem Angreifer dann nichts.
Die Berliner Senatskanzlei, bei der die Fäden für die Aufklärung des Leaks zusammenlaufen, geht davon aus, dass „potenziell alle Beschäftigten“ in den beiden Senatsverwaltungen für Bauen und Wohnen sowie für Mobilität, Verkehr, Klimaschutz und Umwelt, von deren Rechnern die Dateien nach derzeitigem Kenntnisstand entwendet wurden, vom Datenabfluss betroffen sind.
Was ein Experte Betroffenen jetzt rät
Welche Informationen die kriminellen Hacker genau erbeutet haben, lasse sich jedoch erst nach Abschluss der forensischen Untersuchungen sagen, teilt die Senatsverwaltung auf Anfrage mit.
Für die betroffenen Mitarbeitenden sieht IT-Sicherheitsexperte Wiesner wenig Möglichkeiten, selbst etwas zum nachträglichen Schutz ihrer Daten zu tun. Passwörter ließen sich zwar ändern. Geleakte Daten über Geburtsdaten der Kinder oder sensible Gesundheitsinformationen hingegen ließen sich nicht zurückholen.
„Es ist wichtig, dass man aufmerksam ist: ob zum Beispiel irgendwelche seltsamen E-Mail-Kontakte oder Briefe kommen.“ Etwa zu Bestellungen in Onlineshops, die man nicht selbst getätigt habe. „Die Wahrscheinlichkeit, dass man auf irgendeine Art angegriffen wird, ist sicherlich höher als vorher.“
Vor allem aber sieht der IT-Sicherheitsfachmann die Berliner Verwaltung als Arbeitgeber in der Pflicht. Das Mindeste sei, die Betroffenen individuell darüber zu informieren, welche ihrer Daten abgeflossen sind und welche Risiken daraus erwachsen. Dafür brauche es eine Anlaufstelle, die auch tatsächlich erreichbar sei.
Die betroffenen Verwaltungen haben nach Aussage der Senatskanzlei entsprechende Angebote eingerichtet. Zudem könnten sich Betroffene an einen eigens benannten externen Vertrauensanwalt wenden. Wie Sie Hilfe finden, können Sie hier lesen.
