IT-Forscher Waidner: „Der Kreis derer, die einen solchen Angriff durchführen können, wächst“

IT-Forscher Waidner : „Der Kreis derer, die einen solchen Angriff durchführen können, wächst“

Kurz vor der Wahl zum Abgeordnetenhaus haben Hacker Berlin angegriffen und ein riesiges Datenpaket im Darknet veröffentlicht. Nicht nur die Hauptstadt hat gravierende IT-Probleme, sagt Cybersicherheits-Fachmann Michael Waidner im F.A.Z.-Interview.

Es sind noch deutlich schlimmere Schadensszenarien vorstellbar. Denken Sie an kritische Infrastrukturen wie Krankenhäuser oder die Wasserversorgung. Trotzdem ist das für eine deutsche Landesverwaltung ein außergewöhnlich schwerer Fall. Zwei Senatsverwaltungen mussten vom Landesnetz getrennt werden. Wohngeldanträge waren wochenlang nicht zu bearbeiten; allein davon waren mehr als 50.000 Haushalte betroffen. Und entgegen der ersten Einschätzungen des Senats flossen auch vertrauliche Daten ab und wurden nun im Darknet veröffentlicht. Das zeigt, wie verwundbar die Verwaltungsdigitalisierung ohne konsequente Absicherung ist.

Die Zahl allein sagt nicht viel aus; weder über den Schaden noch darüber, wie tief die Angreifer eindrangen. Wichtiger ist, um welche Daten es sich handelt.

Bisher hat der Senat selbst relativ wenig bestätigt: personenbezogene Daten von Beschäftigten, Bürgern und Unternehmen sowie Passwörter für einzelne Fachverfahren. Laut Auswertungen von Journalisten sollen die von den Tätern veröffentlichten Daten insgesamt rund 46.500 Verträge, knapp 78.000 Vorgänge aus Ordnungswidrigkeitsverfahren, Klagen und Gutachten und gut 27.000 Personalakten und Gehaltsabrechnungen umfassen. Also viele potentiell sehr sensible Daten.

Dazu kommt, dass auch für sich genommen relativ harmlos wirkende Daten im Zusammenhang mit anderen ein hohes Missbrauchspotential aufweisen. Mit echten Adressdaten können Cyberkriminelle sehr überzeugende, personalisierte Phishingnachrichten erstellen. Das Ausnutzen von scheinbar harmlosen Daten kann aber noch viel weiter führen.

Im November 2017 veröffentlichte die Fitness-App Strava eine Weltkarte, auf der jede aufgezeichnete Trainingsstrecke als leuchtende Linie erscheint, eine Milliarde Aktivitäten insgesamt. Scheinbar banale Daten. Ende Januar 2018 fiel aber jemandem auf, was darin steckte: Weil auch Soldaten auf amerikanischen Stützpunkten in Syrien und Afghanistan mit der App joggen gingen, ließen sich Umrisse und Innenaufteilung der Basen ablesen, dazu Patrouillenwege und Nachschubrouten.

Nach dem, was bisher offiziell bekannt ist, lässt sich das nicht wirklich einschätzen. Daten von Bundeseinrichtungen sollen nicht betroffen sein. Die öfter erwähnten Verteidigungsunterlagen sind laut Senat nicht sicherheitskritisch. Der „Tagesspiegel“ berichtet allerdings inzwischen von als geheim eingestuften Inhalten zu Zivilschutz und Verteidigung; rund 8000 Dateien sollen kritische Infrastruktur betreffen. Was die Bedrohungslage insgesamt angeht, bin ich so oder so wenig gelassen.

Der Kreis derer, die einen solchen Angriff durchführen können, wächst. Denn die Angriffswerkzeuge werden auch dank Künstlicher Intelligenz immer billiger und einfacher.

Rhysida ist seit Mai 2023 für Ransomware-Angriffe bekannt. Das Geschäftsmodell ist doppelte Erpressung: Daten verschlüsseln und zusätzlich mit Veröffentlichung drohen, falls nicht gezahlt wird. Bekannt wurde Rhysida vor allem durch Angriffe auf die British Library, eine amerikanische Klinikkette mit 16 Krankenhäusern und ein Entwicklungsstudio von Sony. Der Angriff auf Berlin reiht sich in dieses Muster ein: opportunistisch, finanziell motiviert, mit Zielen aus Verwaltung, Gesundheitswesen und Bildung.

Laut Analysen amerikanischer Sicherheitsbehörden geht Rhysida meist nach einem sehr einfachen und robusten Schema vor: Den ersten Zugang verschaffen sie sich mit gestohlenen oder erratenen Zugangsdaten von Mitarbeitern. Danach folgt die Ausbreitung im Netz des Opfers. Das ist der Punkt, den viele bei solchen Angriffen unterschätzen: Es sind meist keine hochkomplexen, technisch raffinierten Einbrüche, sondern altbekannte, seit Jahren dokumentierte Angriffswege, gegen die es längst bekannte Gegenmaßnahmen gibt.

Und genau deshalb sind solche Angriffe für die Täter billig und schnell wiederholbar. Und für Verwaltungen umso ärgerlicher, weil sie mit vergleichsweise einfachen Mitteln hätten verhindert werden können. Ob auch dieser Angriff dem Muster folgte, ist noch nicht bekannt. Der Senat hat dazu bisher noch nichts veröffentlicht. Seit dem 4. September gibt es allerdings eine Warnmeldung des BSI zur Kompromittierung einer staatlichen Institution im August. Berlin wird darin zwar nicht genannt, die Beschreibung passt aber genau und folgt einem ebenso banalen Muster.

Der Vorwurf trifft einen realen Zustand. Er darf nur nicht allein nach Berlin zeigen. Wir haben mit unserem Forschungsinstitut Athene die IT aller 16 Bundesländer drei Jahre lang von außen vermessen. Berlin ist kein Ausreißer. Zur veralteten Software haben wir harte Zahlen.

Drei Viertel der gefundenen Schwachstellen sind älter als ein Jahr, der Schwerpunkt liegt bei einem bis drei Jahren, und die Altlasten reichen 15 Jahre zurück. Für solche Lücken gibt es fertige, erprobte Angriffswerkzeuge. Ein großer Teil dieser Angriffsfläche lässt sich überhaupt nicht mehr patchen.

Es gibt keine Updates mehr, der Hersteller hat den Support eingestellt, und die Fachanwendung hängt an einer veralteten Laufzeitumgebung. Da hilft auch das beste Patchmanagement nicht weiter. Diese Systeme muss man abschalten, nicht pflegen. In den meisten Ländern gibt es zudem keine Stelle, die der Landesverwaltung verbindliche technische Mindeststandards vorgeben und durchsetzen kann. Computersicherheits-Reaktionsteams der Länder (CERTs) und zentrale IT-Dienstleister dürfen nachgeordnete Behörden häufig nicht einmal verpflichten. Einzelne Länder haben das zuletzt per Gesetz geändert, getrieben von der NIS-2-Umsetzung. Ob daraus gelebte Praxis wird, ist die nächste Frage.

Dem geht es nicht besser: Kein einziges Ministerium erfüllt nach unseren Messungen durchgehend die BSI-Empfehlungen für Websicherheit, fast ein Drittel der Zertifikate ist abgelaufen oder fehlerhaft. Die Ursachen sind strukturell. Beschafft wird dezentral. Das Vergaberecht belohnt in der Praxis den günstigsten Anbieter, nicht den sichersten. Projekte werden finanziert, der Betrieb danach nicht. Und eine Legislaturperiode ist für einen IT-Umbau schlicht zu kurz. Wenn also „grob fahrlässig“ der Vorwurf ist, würde ich ergänzen: Es ist eine grobe Fahrlässigkeit, die im föderalen System praktisch angelegt ist und nicht allein an handelnden Personen in Berlin hängt.

Die Fälle sind sehr verschieden, und ich würde sie nicht in einen Topf werfen. In Polen ging es zuletzt um Angriffe auf die Energie- und Wasserversorgung, mit Spuren zu Russland nahestehenden Gruppen. In Rumänien standen im Jahr 2024 Angriffe auf die Wahlinfrastruktur im Zentrum, überlagert von der separaten, viel diskutierten Einflussoperation in sozialen Netzwerken, die zur Annullierung der Präsidentschaftswahl führte. In Frankreich gab es mehrere große Datenlecks in Krankenversicherungsdienstleistern, Ausweisbehörden und im nationalen Bankkontenregister. Und in Liechtenstein wurde Ende Juli das Register der wirtschaftlich Berechtigten kompromittiert, in dem Personen geführt sind, die etwa hinter Unternehmen oder Stiftungen stehen.

Was diese Fälle verbindet, ist weniger eine Angriffsmethode als ein gemeinsamer Trend: Die digitale Angriffsfläche europäischer Verwaltungen wächst schneller, als sie abgesichert wird, und ein Teil der Angriffe hat einen erkennbaren geopolitischen Kontext. Das zeigt, dass Cybersicherheit für europäische Staaten längst kein Randthema der IT-Abteilung mehr ist, sondern eine Frage staatlicher Handlungsfähigkeit.

Nein. Der Mensch ist ein Faktor, aber nicht der größte. Natürlich klickt irgendwann irgendjemand auf einen Link. Das wird immer passieren, und keine Schulung der Welt bringt die Quote auf null.

Die eigentliche Frage ist: Warum genügt ein einzelner Klick, um ein ganzes Netz zu kompromittieren? Wenn gestohlene Zugangsdaten reichen, um an einem Fernzugang heranzukommen, dann fehlte dort eine zweite Sicherung – ein Code aufs Telefon, ein Sicherheitsschlüssel zum Einstecken. Das ist eine technische Entscheidung, kein persönliches Versagen. Und wenn ein Angreifer sich von einem gekaperten Konto aus ungehindert durch das ganze Netz bewegen kann, ist das eine Frage der Architektur. Systeme müssen so gebaut sein, dass ein einzelner Fehler nicht gleich alles kostet.

Ja, in der Fachsprache heißt der Ansatz „Zero Trust“: Kein Zugriff gilt als vertrauenswürdig, nur weil er von innen kommt. Der zweite Begriff, „Assume Breach“, sagt es noch direkter: Man nimmt an, dass der Einbruch längst geschehen ist, und baut das Netz so, dass er nicht alles kostet.

Das Netz in Zonen unterteilen. Jedem Zugang nur die Rechte geben, die er wirklich braucht. Mehrfaktor-Authentifizierung nicht nur am Übergang zum Internet, sondern überall. Und Sicherungskopien, die getrennt liegen und sich nachträglich nicht mehr verändern lassen.

Das kann ich nicht beurteilen. Die Forensik läuft, und der Netzaufbau ist nicht veröffentlicht. Allgemein gilt aber: Je feiner ein Netz unterteilt ist, desto weniger bringt ein einzelner erbeuteter Zugang.

Die Zuständigkeiten sind eigentlich klar verteilt, nur kann niemand wirklich durchgreifen. Für die Gefahrenabwehr im Cyberraum sind die Länder zuständig. Das BSI darf einem Land helfen, wenn es um Amtshilfe bittet; anordnen darf es nichts. Die Bundesregierung schreibt das in der Begründung ihres eigenen Cybersicherheitsgesetzes vom Juni dieses Jahres selbst so. Für den Ausbau des BSI zu einer echten Zentralstelle müsste das Grundgesetz geändert werden. Auf die hat der Bund gerade verzichtet.

Auf freiwillige Kooperationsvereinbarungen. Die gibt es mit 14 der 16 Länder. Auch innerhalb des Bundes sieht es nicht rosig aus. Nach Angaben des BSI erfüllten weniger als zehn Prozent der von ihm untersuchten Rechenzentren des Bundes den Mindeststandard für Hochverfügbarkeit; der Bundesrechnungshof hat das im Jahr 2025 aufgegriffen. Und man kann nicht schützen, was man nicht sieht. Wir zählen in unserem Athene-Lagebild für die Bundesverwaltung rund 36.000 aktive IP-Adressen. Im Lagebericht des BSI tauchen etwa 3800 auf. Der Rest liegt bei Cloudanbietern, Hostern und Dienstleistern.

Drei Punkte. Erstens: Netzsegmentierung und Mehrfaktor-Authentifizierung. Beide verhindern den Einbruch nicht, aber sie entscheiden darüber, ob daraus ein lokaler Schaden wird oder ein 5,8-Terabyte-Datenleck wie in Berlin. Zweitens: Compliance ist nicht dasselbe wie Sicherheit. Unsere Ländermessung findet keinen messbaren Unterschied in der Angriffsfläche zwischen zertifizierten und nicht zertifizierten Stellen. Und drittens, ganz praktisch für Berlin: Die Wahl zum Abgeordnetenhaus steht an. Das BSI warnt in solchen Situationen vor sogenannten „Hack and Leak“-Szenarien, infolge derer gestohlene Daten gezielt eingesetzt werden, um die öffentliche Debatte zu beeinflussen. Transparente, frühzeitige Kommunikation der Behörden ist hier fast genauso wichtig wie die technische Aufklärung selbst.