Berlins Lösegeld kauft den Schlüssel, nicht die Kopie

Das Arbeitspapier des Bundesamts für Sicherheit in der Informationstechnik trägt zwei Kapitel hintereinander. Kapitel 3.8 heißt „Daten-Leak“ und kennt keine Zahlung; es rät, die Leak-Seite zu beobachten und Betroffene zu informieren. Kapitel 3.9 heißt „Lösegeld bezahlen?“ und beginnt: „Im Fall einer bereits erfolgten Verschlüsselung sollten Sie grundsätzlich auf jedwede Form von Erpressung nicht eingehen und kein Lösegeld bezahlen“ (BSI, „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“, V1.2 bsi.bund.de ↗).

Berlin steht seit vergangener Woche vor dieser Kapitelfolge. Die Gruppe Rhysida fordert nach dem Angriff auf zwei Senatsverwaltungen 30 Bitcoin und droht sonst mit Veröffentlichung; Maxim Nägele berichtete darüber am 28. August 2026 mit dpa und AFP in der ZEIT unter dem Titel „Erpressung: Land Berlin wird nach Hackerangriff erpresst“. Der Regierende Bürgermeister Kai Wegner antwortete, das Land Berlin lasse sich nicht erpressen. Bei einer Doppelerpressung sind zwei Güter im Spiel, der Schlüssel zu den Systemen und die Kopie der abgeflossenen Daten. Die Absage betrifft das erste.

Rhysida verwertet die Kopie unabhängig vom Schlüssel#

Das gemeinsame Advisory von FBI, CISA und MS-ISAC vom 15. November 2023 beschreibt die Gruppe als Ransomware-as-a-Service, „where ransomware tools and infrastructure are leased out in a profit-sharing model. Any ransoms paid are then split between the group and the affiliates“ (AA23-319A, „#StopRansomware: Rhysida Ransomware“ ic3.gov ↗). Dieselbe Seite definiert die doppelte Erpressung: Zahlung fürs Entschlüsseln, Drohung mit Veröffentlichung. Die Kopie liegt weiter bei dem Partner, der sie herausgetragen hat.

Was in Berlin überhaupt abgeflossen ist, weiß bislang nur die Gegenseite. Knapp sechs Terabyte, Zehntausende Ordnungswidrigkeitsverfahren, rund 6.000 Log-in-Daten: Diese Angaben stammen aus der Erpresserbotschaft, die Prüfung des Landes läuft. Eine abgeflossene Kopie behält ihren Stand, den die Quelldatenbank nicht mehr einholt, wie ein Registerhack in Liechtenstein zeigte¹.

Das BSI-Kapitel zum Lösegeld handelt nur von der Verschlüsselung#

Kapitel 3.9 begründet seine Absage durchweg aus der Verschlüsselung. Eine Garantie auf einen passenden Schlüssel gebe es nicht, „Sie verhandeln schließlich mit Kriminellen“; mit einer Zahlung finanziere man möglicherweise weitere Angriffe auf Dritte. Keine dieser Zeilen handelt von der Kopie.

Das Kapitel davor tut es und kennt keine Zahlungsoption; für den abgeflossenen Datensatz sieht der Leitfaden des Bundes keinen Weg zurück vor.

Nach dem Nein der British Library kam die Versteigerung#

Die British Library, im Herbst 2023 von derselben Gruppe angegriffen, legte im März 2024 einen Nachbericht vor. Darin steht: „The Library has not made any payment to the criminal actors responsible for the attack, nor engaged with them in any way.“ Und: „When it became clear that no ransom would be paid, this data was put up for auction and subsequently dumped on the dark web“ (British Library, „Learning Lessons from the Cyber-Attack“ bl.uk ↗). Kopiert wurden rund 600 Gigabyte, „just under half a million individual documents“.

Als wahrscheinlichen Einstieg benennt der Bericht einen Terminalserver mit Firewall und Virenschutz, aber ohne Mehrfaktor-Authentisierung. Auch das Advisory führt gültige Zugangsdaten an VPN-Zugängen ohne MFA an erster Stelle. Einen Pfundbetrag enthält der Bericht nicht; die kursierenden Summen stammen nicht von der Bibliothek, deren Berechnung der finanziellen Folgen andauert.

Die Neuinstallation der Systeme fällt in jedem Fall an#

Kapitel 3.9 sagt es ohne Einschränkung: „Die erfolgreiche Entschlüsselung ersetzt nicht die Neuinstallation der kompromittierten Systeme.“ Wer zahlt, erhält bestenfalls lesbare Daten zurück und baut die Systeme trotzdem neu auf.

Wie lange das dauert, hält der Landesrechnungshof Sachsen-Anhalt über den Landkreis Anhalt-Bitterfeld fest, der im Juli 2021 nach einer Cyberattacke den Katastrophenfall ausrief: „Auswirkungen dieses Angriffs sind aktuell, mehr als zwei Jahre nach dem Vorfall, noch spürbar“ (Kommunalbericht 2022 lrh.sachsen-anhalt.de ↗). In Berlin stand das IKT-Notfallmanagement des Landes auf Rot, lange bevor Rhysida eine Forderung stellte.

Was das Land mit der Absage entscheidet, betrifft die verschlüsselten Systeme. Über die Kopie entscheidet, wer sie ausgeleitet hat und an ihr verdient. Das Lösegeld wäre der Preis für den Schlüssel gewesen; die Pflicht, Betroffene zu informieren, entsteht aus dem Abfluss und aus keiner Antwort auf die Forderung.

Anlass war die Meldung „Erpressung: Land Berlin wird nach Hackerangriff erpresst“ von Maxim Nägele mit dpa und AFP für DIE ZEIT vom 28. August 2026; von dort stammen die Forderung über 30 Bitcoin, ihre Umrechnung auf rund zwei Millionen Euro und die Umfangsangaben, die aus der Erpresserbotschaft kommen und behördlich nicht bestätigt sind. Die Zitate zu Lösegeld und Daten-Leak stehen im Arbeitspapier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ (V1.2, 2022) des BSI, Bundesamt für Sicherheit in der Informationstechnik; das Geschäftsmodell im Advisory AA23-319A von FBI, CISA und MS-ISAC (ic3.gov, 15. November 2023); der Ablauf nach einer Absage in „Learning Lessons from the Cyber-Attack“ der British Library (bl.uk, März 2024); die Dauer der Folgen im Kommunalbericht 2022 des Landesrechnungshofs Sachsen-Anhalt (lrh.sachsen-anhalt.de).