Der Berliner Datenhack ist kein „unglücklicher Cybervorfall“.
Wenn sich auch nur annähernd die behaupteten 5,7 bis 5,8 Terabyte bestätigen, reden wir über einen IT-Security-, Management- und möglicherweise sogar Staatssicherheits-Skandal ersten Ranges.
Nach offiziellen Angaben flossen bereits zwischen dem 7. und 12. August Daten ab. Die betroffenen Senatsverwaltungen wurden erst am 14. August vom Landesnetz getrennt.
Und jetzt bitte nicht die übliche Nebelkerze vom „hochprofessionellen Angreifer“.
Wir reden hier nicht über eine gestohlene Excel-Datei.
Terabytes sensible Daten müssen gefunden, massenhaft gelesen, über Systeme zusammengetragen, häufig zwischengespeichert oder komprimiert und anschließend nach außen übertragen werden.
Das produziert Spuren.
Ungewöhnliche Massenzugriffe.
File Enumeration.
Auffällige Service-Account-Nutzung.
Privilege Escalation.
Laterale Bewegung.
Staging.
Kompression.
Ungewöhnliche Read-Raten.
Atypische externe Sessions.
Egress-Anomalien.
Abweichungen vom normalen Trafficprofil.
Dafür braucht man 2026 keine Geheimdiensttechnik.
SOC, SIEM, EDR/XDR, NetFlow, IDS/IPS, zentrale Logs, UEBA und automatisierte Korrelation sind heute keine exotischen Spezialwerkzeuge mehr, sondern Grundlagen professioneller IT-Security.
Wir haben solche Auffälligkeiten schon vor 20 Jahren mit Wireshark und erheblich primitiveren Mitteln gefunden.
Ein ordentlich überwachtes Behördennetz hätte deshalb spätestens AM ERSTEN TAG anfangen müssen, Weihnachtsbaum zu spielen.
Und selbst die reine Datenmenge ist nur die halbe Geschichte.
Denn inzwischen wird bekannt, was sich unter den gestohlenen Unterlagen befinden soll:
Personalakten.
Gehaltsdaten.
Bewerbungsunterlagen.
Vertrauliche Unterlagen aus Bundesratsausschüssen.
Mögliche Zugangsdaten und Passwörter für Verwaltungsdatenbanken und Zahlungsdienstleister.
Und dann kommt der Punkt, bei dem jede halbwegs ernsthafte Sicherheitsorganisation komplett eskalieren müsste:
SCHWACHSTELLENANALYSEN ZUR BERLINER TRINKWASSERVERSORGUNG.
Bitte einmal wirken lassen.
Schwachstellenanalysen kritischer Infrastruktur.
Wenn sich das in der laufenden forensischen Prüfung bestätigt, ist das nicht mehr bloß ein Datenschutzproblem.
Dann wurden potentiellen Angreifern Informationen geliefert, die sie sich normalerweise in mühsamer Reconnaissance erst selbst beschaffen müssten.
Eine Schwachstellenanalyse dokumentiert schließlich gerade:
Wo bestehen Risiken?
Was ist besonders schützenswert?
Welche Abhängigkeiten gibt es?
Wo liegen mögliche Angriffspunkte?
Wo muss technisch oder organisatorisch nachgebessert werden?
Das sind keine belanglosen Verwaltungsunterlagen.
Das können Informationen sein, mit denen sich Angriffe deutlich gezielter vorbereiten lassen.
Und solche Dokumente dürfen nicht in einem Bereich liegen, den ein kompromittierter Account oder ein einzelner erfolgreicher Angriff einfach mit leer räumen kann.
Dafür gibt es seit Jahrzehnten ein paar ausgesprochen langweilige Grundprinzipien:
Need-to-know.
Least Privilege.
Klassifizierung.
Segmentierung.
Strikte Zugriffskontrolle.
Lückenloses Logging.
Überwachung privilegierter Zugriffe.
Begrenzung des Blast Radius.
Auch das ist kein Cybersecurity-Voodoo.
Das ist Basisarbeit.
Wenn ein Angreifer tagelang Terabytes an Verwaltungsdaten exfiltrieren und dabei potentiell bis an sicherheitsrelevante Infrastrukturinformationen herankommen kann, gibt es nur wenige ernsthafte Erklärungen:
Das Monitoring war unzureichend.
Das Monitoring war falsch konfiguriert.
Die Alarme wurden nicht ernst genommen.
Die Berechtigungen waren zu weit.
Die Segmentierung war unzureichend.
Oder bekannte Sicherheitsdefizite wurden organisatorisch, finanziell oder politisch akzeptiert.
Und spätestens hier endet die Verantwortung irgendeines Admins im Maschinenraum.
Dann reden wir über MANAGEMENTVERSAGEN.
IT-Security-Architektur ist Managementverantwortung.
Budget ist Managementverantwortung.
Personal ist Managementverantwortung.
Risikomanagement ist Managementverantwortung.
IAM und Berechtigungskonzepte sind Managementverantwortung.
Schutzbedarfsklassen und Segmentierung sind Managementverantwortung.
Eskalationswege sind Managementverantwortung.
Und die bewusste Akzeptanz bekannter Risiken ist selbstverständlich ebenfalls Managementverantwortung.
Bei einer Landesverwaltung endet diese Verantwortung deshalb nicht beim CIO oder IT-Leiter.
Sie reicht in die Leitung der zuständigen SENATSVERWALTUNGEN.
Wenn Warnungen ignoriert wurden: Managementversagen.
Wenn notwendige Mittel nicht bereitgestellt wurden: Managementversagen.
Wenn bekannte Alt- und Insellösungen weiterbetrieben wurden: Managementversagen.
Wenn keine ausreichende Überwachung vorhanden war: Managementversagen.
Wenn Alarme vorhanden waren und niemand gehandelt hat: Managementversagen.
Und wenn Schwachstellenanalysen kritischer Infrastruktur innerhalb des erreichbaren Blast Radius eines kompromittierten Systems lagen, dann muss auch das politisch und organisatorisch bis ins letzte Detail aufgearbeitet werden.
Dabei gilt ausdrücklich:
Techniker, die seit Jahren auf Missstände hingewiesen, Security-Maßnahmen beantragt und Risiken dokumentiert haben, dürfen jetzt nicht als Bauernopfer herhalten.
Ich will deshalb keine Pressekonferenz mit Worthülsen über „hohe kriminelle Energie“.
Ich will:
Die Logs.
Die Alerts.
Die Zeitstempel.
Die SIEM-Events.
Die EDR-Meldungen.
Die Netzwerk-Telemetrie.
Die IAM- und Berechtigungskonzepte.
Die Segmentierung.
Die Schutzbedarfsklassifizierung.
Die SOC-Eskalationen.
Die Risikoregister.
Die Security-Audits.
Die Budgetentscheidungen.
Die abgelehnten Maßnahmen.
Und die Namen derjenigen, die entschieden haben.
Denn professionelle Angreifer sind der Grund, WARUM man professionelle IT-Security betreibt.
Sie sind keine Entschuldigung dafür, dass sie nicht funktioniert.
Die Frage lautet inzwischen deshalb nicht mehr:
„Wie konnten Hacker Berlin angreifen?“
Sondern:
Wie konnten Angreifer TAGELANG Terabytes aus einer Landesverwaltung tragen, ohne rechtzeitig gestoppt zu werden – und dabei möglicherweise Informationen erbeuten, mit denen sich der Staat und seine kritische Infrastruktur selbst gezielter angreifen lassen?
Wenn sich das alles bestätigt, ist das kein peinlicher IT-Unfall mehr.
Dann ist es ein vollständiges Versagen von IT-Security, Governance und Management.
Und dafür reicht keine Pressekonferenz.
Dafür braucht es technische Aufklärung, politische Verantwortung und Konsequenzen.
Und als wäre das alles nicht schon grotesk genug, soll diese Stadt demnächst auch noch von einer politischen Mehrheit regiert werden, bei der Sicherheit erfahrungsgemäß nicht gerade ganz oben auf der Prioritätenliste steht.
Da wird mir tatsächlich kotzübel.
Berlin hat gerade vorgeführt, dass seine Verwaltung offenbar nicht einmal in der Lage war, einen massiven Datenabfluss rechtzeitig zu erkennen und zu stoppen. Gleichzeitig liegen nun möglicherweise sicherheitsrelevante Informationen bei Kriminellen.
Man kann über Ideologie streiten, über Sozialpolitik, Verkehr, Wohnen oder Klima.
Aber bei Sicherheit gibt es keinen zweiten Versuch.
Wer kritische Infrastruktur, Verwaltungsnetze und sensible Daten nicht schützen kann, verwaltet keinen Staat mehr souverän – er verwaltet nur noch dessen Verwundbarkeit.
Und genau das ist das eigentlich Verstörende an diesem Fall:
Berlin wurde nicht nur gehackt. Berlin hat potentiellen Angreifern gezeigt, wie tief sie kommen können.
Eine Stadt, die ihre eigene digitale Verteidigung nicht beherrscht, gehört natürlich nicht buchstäblich den Angreifern.
Aber sie hat ihnen gerade gezeigt, dass die Tür weiter offensteht, als einem lieb sein kann.
