Die Russen lachen über Ahab Ostsee 1-2-3. Und dann noch Sonnenschein 13. Das waren Passwörter, die beim Einbruch in die Berliner Senatsverwaltung offengelegt wurden. “Ahabostsee123” ist tatsächlich eine Yacht für Urlaub auf der Ostsee. 
Ein Großteil der Presse hebt den Zeigefinger, zitiert BSI-Empfehlungen und nennt die Passwörter schwach. Die eigentliche Geschichte: 8.110 Risikoanalysen und Notfallpläne für kritische Infrastruktur sind zur Tür hinausspaziert, als würde niemand hinsehen.
Die Passwort-Geschichte ist institutionelle Ablenkung. Das Gelächter verdeckt die wirkliche Geschichte, die strukturelle.
Sieben Tage, sechs Terabyte, ein Einbruch
Vom 7. bis 12. August zog die russischsprachige Ransomware-Gruppe Rhysida Daten aus den Netzen zweier Berliner Senatsverwaltungen ab, Verkehr und Bauen. Bemerkt hat es niemand vor dem 14. August. 5,79 Terabyte. Rund 1,44 Millionen Dateien, mindestens von 2014 bis 2026, bis hinunter zu Bundesratskorrespondenz mit einem Bundesminister, der 2018 in den Ruhestand ging. Ein Jahrzehnt unsegmentiertes Material, erreichbar über einen einzigen Einbruch, der größte Datendiebstahl in der Geschichte der Berliner Landesverwaltung.
Jetzt steht es zum Mindestgebot von 30 Bitcoin im Netz, rund zwei Millionen Euro, Gebotsschluss Freitagnachmittag. Der Regierende Bürgermeister sagt, Berlin lasse sich nicht erpressen. Klug. Die Deutschen sind sich da weitgehend einig, und von Lösegeldzahlungen wird immer abgeraten, immer. Die 5,79 Terabyte sind so oder so weg.
Was die Russen mitgenommen haben
Man lese das Inventar auf ransomlook.io, das der Tagesspiegel dokumentiert hat, sobald man an den Kicherern und Passwörtern vorbei ist:
- 8.110 Dokumente, Risikoanalysen und Notfallpläne für kritische Infrastruktur, wobei Rhysida ausdrücklich Verwundbarkeitsanalysen der Berliner Wasserversorgung zur Schau stellt
- 11.777 Ordner und Dokumente, als vertraulich oder als Verschlusssache eingestuft
- 5.941 Dateien mit Zugangsdaten, darunter Zugänge zum elektronischen Baugenehmigungssystem und zur Datenbank von Payone, dem Zahlungsdienstleister für Transaktionen des Landes Berlin
- 27.299 Personalakten und Gehaltsunterlagen, darunter Disziplinarverfahren, die jetzt als individuelles Erpressungsmaterial baumeln
Rhysida verkauft an jeden, der zahlt. Darauf ist zu achten. Moskaus Sabotagearm, den Dobrindt beharrlich “linke” Vulkangruppe nennt (ein Name, der jeden deutschen Linken-Namenstest nicht besteht, nebenbei), kann jeden Moment auftauchen. Er braucht nur 30 von Putins Bitcoin und einen Freitagnachmittag. Man darf erwarten, dass die Karte beim nächsten Einbruch in kritische Infrastruktur in eine weitere Runde Dobrindt mündet, der mit seinen liebsten falschen Flaggen wedelt.
Die Klartext-Zugangsdaten lagen in Dateien mit dem betrieblich effizienten Namen “Passwort.docx”. Unverschlüsselt. Funktionierende Zugangsdaten für Genehmigungs- und Zahlungsinfrastruktur, in ein Word-Dokument getippt, das genau nach seinem Inhalt benannt war, und in dem ein Angreifer eine Woche lang stöbern und lesen konnte.
Mangelhaft Wasser
Der Punkt Wasserversorgung verdient besondere Aufmerksamkeit, weil er eine deutsche Vorgeschichte hat, die erzählt gehört. Im Sommer 2020 fand die Beratungsfirma Alpha Strike Labs, beauftragt von den Berliner Wasserbetrieben selbst, mehr als 30 Schwachstellen und bewertete die IT-Sicherheit des Versorgers mit “mangelhaft“. Gibt es ein besseres Wort für durchgefallen? Die BWB kündigten ein Sofortpaket an. Die Behebung blieb jedoch auf dem Niveau der Selbstauskunft. Unabhängige Überprüfung der Fixes, sechs Jahre später: eine dicke fette Null. Ich finde keine.
Rhysida bietet also eine Schwachstellenanalyse des städtischen Wassersystems an, was klingt, als würde man dem Oktoberfest eine Weißwurst anbieten. Die Karte existiert bereits. Alpha Strike hat sie 2020 gezeichnet und dem Versorger übergeben. Ob Rhysida die alte Karte oder eine neuere hält, bleibt offen, so treiben Verkäufer den Wert hoch. Hier macht es keinen Unterschied. Berlin hat gewettet, nie beweisen zu müssen, dass die Löcher von 2020 geschlossen wurden. Die Auktion ruft die Wette auf. Jeder Käufer darf das Sofortpaket testen, und die Wasserbetriebe erfahren, wer recht hatte.
Das Getriebe der Angst
Die Zugangsentscheidungen des Senats zeigen, wie Governance auf Deutsch buchstabiert wird. Der Einbruch wird Mitte August öffentlich: Der Homeoffice-Zugang wird eingeschränkt. Eine Woche später wird der Zugang wiederhergestellt. Montagmorgen, 1. September, wird er erneut gekappt. Gut, aber warum? Das ist der Tag, an dem der Tagesspiegel zwei der gestohlenen Passwörter veröffentlichte.
Ahab Ostsee und Sonnenschein sind lustig, aber sie schließen in Wahrheit die größere Geschichte auf.
Sämtliche Zugangsdaten waren die ganzen zwei Wochen über offen. Der Einbruch, die Klartextdateien, der Datenabfluss waren dem Senat bekannt. Was sich tatsächlich änderte, war die öffentliche Sichtbarkeit dessen, worauf die Institution saß, und wer angriff. Berliner Incident Response trägt Anzug und Krawatte der Pressearbeit, derselbe Reflex, den ich beim jüngsten tragischen CSD-Anschlag dokumentiert habe: Der Staat tanzt um das herum, was an die Öffentlichkeit sickert, während die Fehleranalyse auf der Arbeitsebene ohne Eigentümer und ohne Antwort bleibt.
Reden wir darüber, was wirklich vorgeht, so sehr Berlins Vertuschungskultur auch alles andere tun will.
Die Vertuschung
Nennen wir es beim Namen. Die Betreiber wussten Bescheid, die Betreiber stellten sich dumm.
Sie wussten es 2020. Ihre eigenen Berater überreichten ihnen ein Mangelhaft für das Wassersystem und eine Liste mit mehr als 30 Löchern. Sie deuteten das als Moment der Selbstzertifizierung, um keinerlei schriftliche Spur zu hinterlassen, ob irgendetwas behoben wurde. Sie produzierten Schweigen, statt einer Liste von Mängeln und Fixes.
Ein Betreiber, der Passwörter für sein Zahlungs-Backend in “Passwort.docx” tippt, weiß, was das alles bedeutet. Wir schreiben 2026 in Berlin, nicht 1936. Diese Datei existierte, weil niemand, der sie anfasste, an Rechenschaft glaubte, an das, was eine ehrliche Prüfung zutage fördern würde, geschweige denn die Presse.
Und sie wussten, wann sie entlarvt waren. Man achte auf die Daten. Einbruch wird öffentlich: Zugang eingeschränkt. Eine Woche später: Zugang stillschweigend wiederhergestellt. Montag druckt der Tagesspiegel die Passwörter: Zugang am selben Morgen gekappt. Das ist ein Team, das verfolgt, wie es vor jemandem dasteht, der es beurteilt, ohne inneren moralischen Kompass, das auf Entlarvung reagiert statt auf Erkenntnis. Niemand, der Sichtbarkeit so präzise steuert, ist sich unklar über seine Prioritäten. Sie decken und ducken sich, drehen sich zu dem, von dem sie glauben, dass er unmittelbar über ihnen steht.
Ein Zustand der Improvisation, wie Politikwissenschaftler deutsche institutionelle Gewohnheiten beschrieben haben, statt rationaler, dokumentierter Handlungen.
Die Schuld auf “Sonnenschein13” zu schieben, gehört zur selben Operation. Auf das Passwort der Sachbearbeiterin zeigen, lachen, die BSI-Hygienevorlesung anklicken. Die Fragen beginnen und enden an diesem schwachen Endpunkt. Das ist ein Schatten von Dobrindt, der auf die Bewährungsstrafe eines Angreifers zeigt, während Perimeter die Baselines verfehlen und Sperrpläne unfinanziert bleiben. Die Angestellte wird sichtbar aufgehängt, weit aufmerksamkeitsträchtiger als die Betreiber und der Fluch Dobrindts.
Berlin hat alles gesammelt und dann offenbar nichts geschützt, sodass es, als die Geschichte aufflog, ins Management der Risikowahrnehmung kippte statt des Risikos. Schulungsbudget und Entschuldigung als Routine abspulen, dann abschreiben. Die Fragen, in die tatsächlich investiert werden müsste, tragen Namen: Wer hat abgezeichnet, dass die unabhängige Überprüfung des Sofortpakets übersprungen wird? Wann? Wem gehörte das Verzeichnis und die Datei darin namens Passwort.docx? Wer hat angeordnet, den Homeoffice-Zugang mitten im Vorfall wiederherzustellen, wer hat angeordnet, ihn Montagmorgen wieder zu kappen, und was hat diese Person beim Morgenkaffee gehört? Man setze diese Namen in einen Untersuchungsausschuss, und der ganze Aufruhr um eine russisch getriebene Auktion wird deutlich weniger interessant. Und wenn sie Verbindungen zur AfD haben, kommen wir der eigentlichen Geschichte näher: Russland bekommt Besuch von der CIA, weil ein Winchester-Amerika Deutschland nicht mehr verteidigen kann.
Ahab Ostsee im Sonnenschein ist nicht die Geschichte, für die die Leute sie halten.
