Freitag, 15:35 Uhr. Der Erpressungs-Countdown von Rhysida lief ab, und 1.439.893 Dateien aus zwei Berliner Senatsverwaltungen landeten im Internet (via Tor). Personalakten, Geburtsurkunden von Kindern, 80.000 Bußgeldverfahren und 8.110 Dokumente zur kritischen Infrastruktur, darunter eine Schwachstellenanalyse der Berliner Wasserversorgung. Der Regierende Bürgermeister und seine Innensenatorin verbrachten den Abend entspannt bei der Basketball-WM.
Bis Sonntagnacht war ein zweites Datenpaket draußen, diesmal mit Zugangsdaten, und die Bauverwaltung schränkte den Zugriff auf ihre Fachverfahren zum dritten Mal seit dem 14. August ein. Wer es veröffentlicht hat, will der Senat noch nicht sagen.
Am selben Freitagnachmittag brachte die AfD Kristin Brinkers 100-Tage-Programm für die Führung der Stadt heraus. Nach wochenlangen Schlagzeilen über den Zustand der Informationssicherheit in Berlin fielen ihr vierzehn Punkte ein.
Im Kern sagte sie: Die Überwachung muss massiv ausgeweitet werden, riesige Datenmengen müssen erhoben werden, mit Kameras an Kriminalitätsschwerpunkten und an Mülltonnen. Richtig gelesen, Kameras an Mülltonnen. Sie will Polizeikontrollen ohne jeden Anlass oder Verdacht. In der Ausländerbehörde soll eine Sondereinheit der Polizei entstehen. Daten sollen außerdem mit einer Punkteakte über jeden Bewerber für eine landeseigene Wohnung erzeugt werden. Alles, restlos alles davon häuft mehr und mehr Daten in den Händen des Staates an. Nichts davon erwähnt allerdings die Schlagzeilen über das Landesnetz, das gerade 1,4 Millionen Dateien verloren hatte.
Am Samstag äußerte sich Brinker dann doch noch zu dem Datenleck, das ihr 100-Tage-Plan ignoriert hatte:
Der Daten-GAU zeigt aber auch, dass der Datenhunger des Staates eingehegt werden muss.
Sie beklagt also, dass der Staat zu viele Daten sammelt. Einen Tag nachdem sie beklagt hatte, dass der Staat nicht genug Daten sammelt.
Wer die Pressestelle der AfD am Freitag und dann am Samstag liest, dem sei verziehen, wenn er denkt, diese Leute wollen gar nicht gewinnen, weil sie dann für etwas stehen müssten und nicht mehr einfach alles angreifen könnten, was alle anderen sagen.
Der Datenhunger des Staates
Der Staat sollte sich nicht zur Totalüberwachung ausdehnen, und der Staat sollte nicht in totale Ahnungslosigkeit zusammenfallen. Das sind die Extreme, die die extremistische AfD vor sich herträgt, während in Wirklichkeit die ausgewogene Mitte der richtige Weg ist. Die Dateien im Leak sind Geodaten, die jedes Bezirksamt herausgibt, Bußgelder, die der Staat gesetzlich aufbewahren muss, Verträge, die er vorhalten muss, Personalakten, die er führen muss, und Risikoanalysen zur kritischen Infrastruktur, die das Bundesrecht den Wasserbetrieben vorschreibt, damit sie wissen, wo man sie brechen kann. Wer so dumm wäre, sich für die Samstagsversion der AfD zu entscheiden, bei dem wird die Betriebskarte der kritischen Wasserinfrastruktur nie fertig, und das Wasser ist gefährdet. Brinker meint, Daten müssen für die Sicherheit gesammelt werden, und auch, dass Daten für die Sicherheit nicht gesammelt werden dürfen. Das belegt, dass sie Sicherheit nicht versteht, und dass sie für die Worte, die sie benutzt, nicht geradestehen will.
Noch einmal: Sie hatte drei Wochen Vorlauf zum Angriff und eine Woche Vorlauf zum Leak, und sie legte ihren großen Plan für Berlin ohne ein Wort zur Informationssicherheit vor. Der Countdown war seit dem 28. August öffentlich. Sie kannte den Termin und verpasste ihn vollständig, veröffentlichte an diesem Tag ein unvollständiges Regierungsprogramm, ohne es zu bemerken, und verrenkte sich dann am Samstag zur Brezel, um so auszusehen, als wäre es ihr wichtig.
Wie Berlin versagt hat
Lassen wir die Ahnungslosigkeit der AfD beiseite. Das eigentliche Problem, jenseits der Daten selbst, ist, wie Berlin das Team zur Erkennung und Abwehr von Angriffen abgebaut hat, während das Angriffsrisiko gestiegen ist.
Im November 2024 kürzte die schwarz-rote Koalition den Etat für das Landesnetz von 32 auf 18 Millionen Euro und strich 2 Millionen gezielt bei der Eindringungserkennung. Ja, sie kürzten das Budget, mit dem Angriffe erkannt werden. Die Chefin des landeseigenen IT-Dienstleisters, Maria Borelli, sagte dem Digitalisierungsausschuss, was das bedeutet:
Es entsteht das Risiko von Cyberangriffen oder Fehlern.
Sie fügte hinzu, dass die Finanzverwaltung den Überschuss ihres Hauses gegen das Votum ihres eigenen Verwaltungsrats in den Landeshaushalt zog, sodass sie nicht investieren konnte, um die Substanz zu erhalten. Manuel Atug, Berater für die Sicherheit kritischer Infrastrukturen, hatte dem Innenausschuss schon zweimal gesagt:
Ihr betreibt desolate Cybersicherheit.
Die Linke widersprach zu Protokoll. Sonst niemand. Daraus lässt sich ablesen, welche Partei den Sicherheitshaushalt gelesen hat.
Zwanzig Monate später brauchte Rhysida fünf Tage, vom 7. bis 12. August, um zwei Senatsverwaltungen leerzuräumen. Kein Alarm ging los. Das Sicherheitsteam des Dienstleisters bemerkte es zufällig, an auffälligem Verkehr in Verwaltungen außerhalb seiner Zuständigkeit, zwei Tage nachdem die Daten weg waren. Genau das Ergebnis, das Borelli dem Ausschuss vor der Kürzung beschrieben hatte.
Es lohnt der Blick darauf, wie andere Länder sich anders entschieden haben. Bayern schuf 2017 ein Landesamt für Sicherheit in der Informationstechnik mit gesetzlichem Auftrag über das gesamte Behördennetz: die Protokolldaten jedes Sicherheitselements in ein zentrales SIEM, Verdachtsfälle an ein Cyber Defence Center, dazu eine Beratungspflicht für Kommunen und landeseigene Versorger. Ein Wasserversorger ist dort von Amts wegen Kunde.
Berlin betreibt seine Sicherheit als Geschäftsfeld in einem Unternehmen, das Überschüsse erwirtschaften soll, besteuerte dann die Überschüsse und verteilte die Verantwortung auf den Dienstleister, einen Beauftragten in der Senatskanzlei, einen Sicherheitsbeauftragten in jeder Verwaltung und zwölf Bezirke, von denen einer, Lichtenberg, am Sonntag beschloss, CrowdStrike, dem US-Unternehmen, das der Senat nach dem Angriff mit der Schadensanalyse beauftragt hat, jeden Zugang zu seinen Servern zu verweigern. Das Land, das sein eigenes Erkennungsbudget gekürzt hat, mietet jetzt Erkennung bei einem US-Konzern (bekannt für seine Politik und seine Verbindungen zum FBI) in Reichweite des CLOUD Act, und bekommt ihn in seinen eigenen Bezirken nicht installiert.
Nach der Bestandsaufnahme einer Arbeitsgemeinschaft der Linken weiß das Land nicht einmal, wie viele Fachverfahren im Netz laufen. Ein Staat, der Inventar und Asset Management nicht beherrscht, und das ist Schritt eins, kommt nicht zu Prävention und Erkennung, weil er noch gar nicht versteht, was er vor sich hat.
Auf den Tag genau ein Jahr vor dem Leak teilte der Senat den Grünen mit, vergleichbare Angriffe seien “nicht bekannt” und die Zuständigkeit für die Cyberabwehr werde noch evaluiert. Nicht bekannt heißt: Fehlen von Belegen, nicht Beleg des Fehlens.
Wen nimmt die AfD jetzt ins Visier
Stefan Evers, Finanzsenator seit 2023 und jetzt Spitzenkandidat der CDU für das Rote Rathaus. Sein Haus kürzte das Erkennungsbudget, kassierte den Überschuss des Dienstleisters und hält die Landesbeteiligung an den Wasserbetrieben, deren Prüfung von 2020 acht kritische und neun hohe Schwachstellen fand, die Firewalls “fehlerhaft, lückenhaft und nicht nachvollziehbar”, Gesamtnote mangelhaft. Zehn sollten bis zum Juli jenes Jahres behoben sein. Sieben wurden nie öffentlich abgeschlossen. Ein IFG-Antrag auf den Prüfbericht, gestellt am 31. Juli 2020, steht bis heute auf “Antwort ausstehend”. Jetzt liegt die Landkarte dieser ganzen Verschleppung im Internet.
Iris Spranger, Inneres, die Atug zweimal gehört hat. Florian Hauer, Chief Digital Officer, der dem Parlament in nichtöffentlicher Sitzung nicht sagen konnte, wann der Angriff stattfand oder ob er vorbei war. Kai Wegner, der am 19. August erklärte, es seien keine sensiblen Daten abgeflossen. Brinkers Angriffsformel “Wegner hat gelogen” ist zwar richtig, aber es ist auch das, was dpa am Freitag unter “grobe Fahrlässigkeit” verbreitet hat. Sie kam einen Tag zu spät und sagte “erneut”.
Ihre eigene Bilanz widerspricht dem Rezept, das sie jetzt vorschlägt. Ihre jüngsten parlamentarischen Anfragen drehen sich um die Kürzung der Personalausgaben des Landes, um die Prüfung von Journalisten durch die Medienanstalt und um NGO-Förderung. In der Antwort des Senats zu den Personalausgaben steht, dass die Verkehrsverwaltung wegen des Cyberangriffs nicht antworten konnte. Der Angriff stand Wochen vor dem Leak in ihren eigenen Unterlagen. Ich kann es nicht deutlich genug sagen: Es gibt keinerlei Beleg, dass sie irgendetwas nachgefragt oder irgendeine Idee entwickelt hätte. Es ist erschütternd, wie wenig es sie zu kümmern schien.
Wer den Berlinern dient
Die Grünen forderten ein Portal, auf dem Bürger prüfen können, ob sie im Leak stehen. Der Senat sagt, die Benachrichtigung erfolge “risikobasiert”, ansonsten gebe es ein Webformular. Der Rhein-Pfalz-Kreis, 2022 von einer vergleichbaren Gruppe getroffen, hat innerhalb von drei Wochen 2.549 individuelle Briefe verschickt. Berlin, vier Jahre später und mit einem Haushalt von 45 Milliarden Euro, verweist auf ein Formular, das für Fahrraddiebstähle gebaut wurde.
Linke und Grüne haben die Sitze, um einen Untersuchungsausschuss zu erzwingen, werden ihn aber vor der Wahl nicht beantragen, weil jede Koalition danach über die SPD läuft, die das Innenressort führte, während all das geschah. Brinker wird ihn auch nicht beantragen. Eine Anhörung darüber, welche Schritte Minute für Minute in den Netzwerkprotokollen unternommen wurden, ist der Ort, an dem eine “Sicherheitspartei”, die für nichts steht, zugrunde geht.
Der Angriff beweist nicht, dass Berlin zu viele Daten gesammelt hat. Er beweist, dass Berlin aufgehört hat, für die Überwachung dessen zu bezahlen, was es von Gesetzes wegen wissen muss, öffentlich gewarnt wurde und trotzdem das Falsche tat. Das hat Namen: Evers, Spranger, Hauer, Wegner.
Brinkers Kehrtwende von Freitag auf Samstag beweist, dass die AfD dieses Versagen zu immer höheren Kosten wiederholen wird. Ihre Kameras, Kontrollen und Wohnungsakten sind genau die Daten, die Angreifer wollen. Ihr Plan schiebt sie in ein Netz, für dessen Absicherung sie keinen Plan hat. Wenn das Problem die Daten sind, sollte die AfD nicht damit antreten, die meisten Daten zu sammeln und am wenigsten für ihren Schutz zu tun.
Linke und Grüne sollten den Untersuchungsausschuss sofort beantragen und die Koalition erklären lassen, warum er warten soll. Der Senat sollte veröffentlichen, wie viele Daten zwischen dem 7. und 12. August das Netz verlassen haben und wie es um die sieben offenen Befunde bei den Wasserbetrieben steht, oder eingestehen, dass er es nicht kann. Und jede Kandidatin und jeder Kandidat für das Rote Rathaus sollte öffentlich eine Frage beantworten müssen: Stellen Sie die Eindringungserkennung im Landesnetz wieder her, und mit wie viel Geld? Brinker hat schon bewiesen, dass sie es weder will noch kann. Sie hat vierzehn Punkte herausgehauen, und nicht ein einziger schützt vor einem Cyberangriff.




