Organisierte Kriminalität trifft organisierte Verantwortungslosigkeit

Wenn die Verwaltungs-Infrastrukturapokalypse in Südwestfalen mit 1,6 Mio betroffenen Bürgern schon schlimm war,¹ so erleben wir diese Tage eine weitere auf mindestens vergleichbarem Level. Die Rede ist diesmal nicht von einem kommunalen IT-Dienstleister aus der Provinz. Betroffen ist die zentrale Kommunikationsinfrastruktur der Berliner Verwaltung, den eigenen Aussagen nach “das größte deutsche Verwaltungsstadtnetz für Hochgeschwindigkeitskommunikation”.² Wenn ich solche überspezifischen Sätze lese, frage ich mich, ob es noch größere Verwaltungsstadtnetze ohne Hochgeschwindigkeitskommunikation gibt.

Was ist passiert?

Die Nachrichtenlage ist noch dünn. Was bereits bekannt und sowohl von Angreifer als auch Verteidiger bestätigt wurde: Insgesamt sind 5,79 TB aus der Berliner Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt abgeflossen. Ein falscher Klick auf eine Phishing-Mail sei der Auslöser, so der Tagesspiegel.³ Hier eine deutliche Klarstellung und Ansage, die in der medialen Berichterstattung wenig Beachtung findet:

Wenn ein einzelner Klick eines Benutzers ausreicht, eine komplette Infrastruktur außer Gefecht zu setzen und zu einem massiven Datenabfluss führt, dann ist die Infrastruktur kaputt. Punkt. Ende der Diskussion!

Solche schwerwiegenden Vorfälle decken brutal die Sollbruchstellen einer vermeintlich sicher betriebenen Informationssicherheit auf. Es ist der Realitäts- und Kostenabgleich von technologischen Entscheidungen, dem sich das Topmanagement einer Organisation stellen muss.

Hinter dem Angriff steht die Ransomware-Gruppe Rhysida. Auf ihrer Darknet-Website spricht diese von 1,44 Mio eingescannten Dokumenten, davon 27.000 Personalakten und knapp 6.000 in Klartext gespeicherte Zugangsdaten in Dateinamen wie passwort.docx oder zugangsdaten.xlsx.⁴

Screenshot der Rhysida Website im Darknet

Selbstverständlich geht es ums Geld und eine doppelte Erpressung (Double Extortion), dem Geschäftsmodell von Ransomware.⁵ Gefordert werden zwei Millionen Euro in Bitcoin für die Nichtveröffentlichung von internen Akten.⁶ Darunter sind laufende Gerichtsfälle und Disziplinarverfahren unter anderem gegen einen Senatsrat. Hinzu kommen nach eigenen Angaben von Rhysida:

• 80.000 Ordnungswidrigkeiten
• 46.500 Verträge
• 12.000 als vertraulich klassifizierte Dokumente und Sitzungsprotokolle
• Notfallpläne und Kontaktdaten
• Eine unter Verschluß gehaltene KRITIS-Analyse zur Wasserversorgung der Stadt Berlin
• hunderte von eingescannten Dienst-, Personalausweisen sowie Reisepässen zum Identitätsdiebstahl.

Wer sind die Angreifer?

Die hinter Rhysida vermutete Täterstruktur lässt sich bis 2022 zurückverfolgen, mit technischen und zeitlichen Korrelationen und Übergängen von der Gruppe “v1cesO0ciety”.⁷ Unter dem Namen Rhysida tritt die Gruppe seit 2023 als “Ransomware-as-a-Service” (RaaS) öffentlich auf. Zu den medienwirksamen Fällen gehören sehr früh die Washington Times,⁸ die Zivil-Verwaltung des französischen Übersee-Département Martinique,⁹ die chilenische Armee¹⁰ und die British Library in London.¹¹

Der Einstieg erfolgt über ungepatchte, internet-facing Systeme. Dokumentiert sind unter anderem die Nutzung kompromittierter VPN-Zugangsdaten, insbesondere bei fehlender Mehrfaktor-Authentisierung. Zur lateralen Fortbewegung¹² setzt die Gruppe auf “Living off the Land”-Werkzeuge, sprich Windows-Bordmittel, Batch- und PowerShell-Skripte.¹³ Mitunter gab es auch gezielte Phishing-Kampagnen auf Beschäftigte oder externe Dienstleister.¹⁴

So trivial der Modus Operandi, so professionell ist der “Kundenservice” mit Online-Chat, Hilfestellung im Umgang mit Bitcoins und einem benutzerfreundlichen Zugang zu bereits veröffentlichten Daten auf der Darknet-Website der Gruppe.⁴

Auch wenn die Attributierung solcher Ransomware-Gruppen selten zuverlässig ist, wird Rhysida einem mutmaßlich russisch geprägten Cybercrime-Umfeld zugerechnet.¹⁵ Die opportunistische Auswahl der bisher 263 Opfer aus der westlichen Hemisphäre passt in die hybride russische Kriegsführung im Cyber- und Informationsraum der vergangenen Jahre.¹⁶

Bisherige Opfer aus Deutschland sind der Rhysida-Website zufolge:

• Welthungerhilfe e.V., Bonn
• Elabs GmbH, Frankfurt
• CETOS Services AG, Berlin
• GVV Hausverwaltung, Stuttgart
• SAPROS Salate und Gemüse GmbH, Stuttgart
• GEIGER Antriebstechnik GmbH, Driedorf
• ESKA Erich Schweizer GmbH, Kassel
• Hochschule Kaiserslautern
• IMAP M&A Consultants AG, Mannheim

Angriffsablauf von Rhysida

Wer sind die Verteidiger

Für den Betrieb der zentralen Berliner Infrastruktur ist das IT-Dienstleistungszentrum Berlin (ITDZ) zuständig, eine Anstalt öffentlichen Rechts.¹⁷ Gleichzeitig ist das ITDZ Dienstleister für voneinander unabhängige Behörden. Eine erstaunlich ähnliche Konstruktion wie bei der SIT aus Südwestfalen, die sich strukturell bei ihrem Realitätsabgleich als Fehlkonstruktion erwiesen hat wie ich in meinem Blog herausgearbeitet habe.¹⁸

De facto operierte die SIT jahrzehntelang nicht wie ein IT-Dienstleister, sondern eher wie ein kommunales Profit-Center für die Städte und Gemeinden. Leistungen konnten billig eingekauft, das eigene IT-Personal und der IT-Betrieb reduziert werden. Als es dann “knallte”, konnten die Betroffenen nicht einmal Schadensersatz verlangen, weil sie diesen über ihre Umlagen letztlich selbst finanziert hätten.¹⁹ Immerhin existiert in Berlin ein eigenes CERT, das in Südwestfalen gänzlich fehlte.²⁰

Wer trägt die Verantwortung

In Unternehmen ist diese Frage schnell und einfach beantwortet: Die Geschäftsführung. Im Verwaltungsumfeld wird es komplizierter und schnell politisch. In der mir vorliegenden Leitlinie zur Informationssicherheit der Landesverwaltung des Landes Berlin steht:²¹

Gemäß § 21, Abs. 2, Nr. 4 EGovG Bln verantwortet die IKT-Staatssekretärin oder der IKT-Staatssekretär die fortlaufende Weiterentwicklung und Festsetzung der zentralen IKT-Sicherheitsarchitektur und der Standards für die IKT-Sicherheit in der Berliner Verwaltung und deren Unterstützung und Überwachung bei der Umsetzung der IKT Sicherheits-Standards.

Ich liebe es, wenn im obersten und wichtigsten Dokument eines ISMS, der IS-Leitlinie, Dinge nicht klar benannt werden. Ein Blick auf den besagten § 21 Abs. 2 Satz 2 Nr. 4 EGovG Bln offenbart, dass da nur von Zuständigkeit die Rede ist, nicht von Verantwortlichkeit. § 21 Abs. 2 Satz 2 Nr. 12 EGovG Bln beinhaltet das Wort “Aufsicht” über den zentralen IKT-Dienstleister des Landes Berlin, ohne diesen beim Namen zu nennen.²²

Die Informationssicherheitsleitlinie macht aus einem mir nicht ersichtlichen Grund aus einem “zuständig” zunächst ein “verantwortlich” und wenige Seiten später im Abschnitt 7.1 der Leitlinie ein “gesamtverantwortlich”:

Der IKT-Staatssekretär oder die IKT-Staatssekretärin hat die Gesamtverantwortung (…)

Bemerkenswert ist, woher diese Gesamtverantwortung herkommt und was diese konkret bedeutet. Im Gesetzestext, der den Scope der Leitlinie bildet, steht von dieser Gesamtverantwortung nichts. Hingegen verteilt die Leitlinie die Verantwortung:

Die Behörden der Berliner Verwaltung erstellen für ihre Bereiche ergänzende behördliche Informationssicherheitsleitlinien und setzen sie in ihrem Verantwortungsbereich (…) eigenständig um.

Die Leitungen der Behörden tragen die Verantwortung für die Informationssicherheit in ihren Zuständigkeitsbereichen (…)

Wir haben es hier mit einer Gesamtverantwortung über organisatorisch eigenständige Verantwortungsbereiche zu tun. Verfügt der Staatssekretär wenigstens über die notwendigen Mittel und das Personal? Beim Geld lautet die Antwort teilweise ja. Der § 21 Abs. 3 EGovG Bln räumt dem Staatssekretär Entscheidungsbefugnis über die Verwendung der Haushaltsmittel ein. Zusätzlich verfügt er über eigene Projektmittel, ausdrücklich auch für Projekte der IT-Sicherheit.²²

Beim Personal jedoch sieht es anders aus. Hier verfügt der Staatssekretär über keine Personalhoheit gegenüber den Beschäftigten des ITDZ sowie der einzelnen Senatsverwaltungen. Damit trägt er zwar eine zentrale Aufgaben- und Steuerungsverantwortung, wesentliche Ergebnisverantwortung verbleibt jedoch in organisatorisch eigenständigen Bereichen. Das RACI dazu möchte ich nicht erstellen wollen. Die Rolle des Gesamtverantwortlichen wirkt auf mich eher wie die eines Informationssicherheitsbeauftragten mit dem Etikett von “Gesamtverantwortung”.

Willkommen in der Welt der organisierten Verantwortungslosigkeit, wo zwar ein Gesamtverantwortlicher für Informationssicherheit benannt ist, operative Verantwortung, Personalhoheit, Systemverantwortung und Risikoentscheidungen aber ganz woanders liegen.

Und auch sonst ist der Zustand der Berliner IT und der Informationssicherheit sehr schlecht, dem RBB-Interview mit Manuel Atug zufolge, der als Sachverständiger sogar eine Regression sieht.²³ Der politisch verantwortliche Bürgermeister und Senator für Finanzen, Stefan Evers (CDU) spricht hingegen so, als sei er für den aktuellen Zustand nicht verantwortlich.²⁴ Das Governance-Problem ist ihm zumindest bekannt. Warum es unter seiner politischen Mitverantwortung bislang nicht gelöst wurde, bleibt sein Geheimnis.

Und so trifft organisierte Kriminalität auf organisierte Verantwortungslosigkeit. Aus meiner Sicht verwischen dabei die Grenzen zwischen Täter und Opfer, wenn die digitale Daseinsvorsorge für Mitarbeiter und Bürger derart sträflich gehandhabt wird.

In diesem Sinne,
Tomas Jakobs