Ein abgewehrter Angriff beendet nicht automatisch das Risiko für sensible Daten und Geschäftsprozesse. Der Hackerangriff auf die Berliner Verwaltung zeigt, dass ein Sicherheitsvorfall gleichzeitig die Betriebsfähigkeit beeinträchtigen und langfristige Datenschutzrisiken schaffen kann.
Wenn die akute Gefahr endet, beginnt die Aufarbeitung
Nach Angaben der Berliner Senatskanzlei gab es seit dem 13. August keine weiteren Angriffe auf die untersuchten Bereiche des Landesnetzes. Der Angreifer habe das Netz nicht nachhaltig infiltrieren können. Damit war die unmittelbare Gefahrenabwehr beendet.
Die Folgen des Vorfalls waren dennoch nicht abgeschlossen. Nach der Isolierung zweier Senatsverwaltungen konnten unter anderem an rund 50.000 berechtigte Haushalte zunächst keine Wohngeldzahlungen ausgezahlt werden. Die eingeschränkte IT-Nutzung wirkte sich damit direkt auf Verwaltungsprozesse aus.
Für Unternehmen liegt darin eine zentrale Erkenntnis: Ein Angriff kann auch dann erhebliche Auswirkungen haben, wenn die Systeme anschließend wieder erreichbar sind. Entscheidend ist nicht nur, ob ein Angreifer noch aktiv ist, sondern auch, welche Daten kopiert wurden und ob zentrale Abläufe zuverlässig funktionieren.
Gestohlene Daten bleiben ein Risiko für Organisation und Betroffene
Im Berliner Fall bestätigte die Senatsverwaltung, dass auch Passwörter abgeflossen waren. Die Beschäftigten der betroffenen Verwaltungen konnten deshalb vorübergehend nicht aus dem Homeoffice arbeiten. Nach der Veröffentlichung mussten rund 12.000 Systeme überprüft werden.
Am 4. September wurden nach den vorliegenden Angaben rund 1,44 Millionen Dateien im Darknet veröffentlicht. Darunter befanden sich Personalunterlagen, Angaben zu Disziplinarverfahren, Finanzunterlagen und Informationen zur kritischen Infrastruktur. Außerdem waren personenbezogene und weitere vertrauliche Daten betroffen.
Solche Daten können über den ursprünglichen Angriff hinaus missbraucht werden. Der CCC warnte im Zusammenhang mit dem Vorfall vor Identitätsdiebstahl, Betrugs- und Erpressungsversuchen. Für Unternehmen bedeutet das: Ein Datenabfluss betrifft nicht nur die eigene IT, sondern möglicherweise auch Kunden, Beschäftigte, Geschäftspartner und andere betroffene Personen.
Passwörter und vernetzte Prozesse vergrößern die Reichweite
Abgeflossene Passwörter sind besonders kritisch, weil sie einen direkten Bezug zu Zugängen und Benutzerkonten haben können. Im Berliner Fall führte der bestätigte Passwortabfluss dazu, dass die Arbeit aus dem Homeoffice zunächst nicht möglich war.
Übertragen auf Unternehmen zeigt sich, warum Zugriffsrechte, getrennte Systeme und klare Notfallabläufe zusammen betrachtet werden müssen. Fällt ein Zugang aus oder muss vorsorglich gesperrt werden, können Kommunikation, Verwaltung und operative Prozesse beeinträchtigt sein.
Eine angemessene Vorbereitung umfasst deshalb nicht nur technische Schutzmaßnahmen. Unternehmen sollten prüfen, welche Daten besonders schützenswert sind, wer darauf zugreifen darf und wie bei einem vermuteten Abfluss vorzugehen ist. Dazu gehören auch geregelte Kommunikationswege und die nachvollziehbare Dokumentation von Entscheidungen.
Aus dem Berliner Vorfall lassen sich konkrete Prüfungen ableiten
Die Berliner Verwaltung wertete die abgeflossenen Daten weiter aus und implementierte zusätzliche Maßnahmen zum Schutz der Informationstechnik. Für Unternehmen ist eine vergleichbare Prüfung insbesondere dann relevant, wenn sensible Personal-, Kunden-, Finanz- oder Vertragsdaten verarbeitet werden.
Im Mittelpunkt stehen sollte die Frage, ob ein Unternehmen einen betroffenen Zugang schnell sperren, Passwörter gezielt ändern und die weitere Nutzung der Systeme kontrollieren kann. Ebenso wichtig ist, ob Verantwortliche wissen, welche Geschäftsprozesse bei einer Isolation einzelner Systeme zuerst abgesichert werden müssen.
Der Vorfall zeigt außerdem, dass Datenschutz und Informationssicherheit nicht getrennt voneinander betrachtet werden können. Technische Schwachstellen können zur Offenlegung personenbezogener Daten führen; unklare Zuständigkeiten können zugleich die Reaktion und die Aufklärung erschweren.
Ein Sicherheitsvorfall ist auch eine Führungsaufgabe
Aus Sicht von Tulos sollten technische Maßnahmen, organisatorische Abläufe und klare Verantwortlichkeiten ein gemeinsames Sicherheitskonzept bilden. Regelmäßige Audits können helfen, Schwächen bei Zugriffsrechten, Notfallprozessen und dem Schutz sensibler Daten zu erkennen, bevor ein Vorfall diese Schwächen offenlegt.
Gerade bei komplexen IT-Umgebungen schafft ein strukturiertes Risikomanagement für Informationssicherheit die Grundlage, Risiken nach ihrer Bedeutung für Daten und Geschäftsprozesse zu bewerten. So lassen sich Schutzmaßnahmen priorisieren, ohne den laufenden Betrieb aus dem Blick zu verlieren.
Die wichtigsten Fragen und Antworten
Ist das Risiko nach der Eindämmung eines Angriffs beendet?
Nein. Die akute Gefahrenabwehr kann beendet sein, während die Auswertung gestohlener Daten, der Schutz betroffener Personen und die Überprüfung der Systeme weiterlaufen. Der Berliner Fall zeigt, dass veröffentlichte Daten auch nach dem Ende des Angriffs missbraucht werden können.
Warum sind abgeflossene Passwörter besonders problematisch?
Passwörter stehen unmittelbar mit Benutzerkonten und Zugängen in Verbindung. Im Berliner Fall wurde bestätigt, dass Passwörter abgeflossen waren. Deshalb konnten Beschäftigte der betroffenen Verwaltungen vorübergehend nicht aus dem Homeoffice arbeiten.
Welche Unternehmensbereiche sollten besonders geprüft werden?
Besonders relevant sind Systeme und Prozesse mit Personal-, Kunden-, Finanz- oder Vertragsdaten sowie Zugänge zu wichtigen Geschäftsabläufen. Unternehmen sollten prüfen, welche Daten dort verarbeitet werden, wer zugriffsberechtigt ist und wie sie bei einem vermuteten Datenabfluss reagieren können.
Quelle: heise.de