Agieren die Erpresser aus Russland?: Das ist über die Hackergruppe „Rhysida“ bekannt, die Berlins IT-Netz angegriffen hat
Nach dem erfolgreichen Hackerangriff auf die Berliner Verwaltung fließen die Informationen nur spärlich – zumindest in Richtung Öffentlichkeit. Anfangs hieß es, es seien nur ohnehin öffentliche Daten gestohlen worden. Zuletzt musste Berlins Regierender Bürgermeister Kai Wegner (CDU) jedoch mehr und mehr besorgniserregende Details bekannt geben: Mit 5,79 Tera-Byte soll ein immenses Datenvolumen kopiert worden sein, darunter personenbezogene Daten.
Urheber des Angriffs soll eine nach der gleichnamigen Schadsoftware „Rhysida“ benannte Gruppe sein. Sie behauptet, hochsensible Informationen über Einrichtungen der kritischen Infrastruktur, Justizunterlagen, Notfallpläne, Passwörter und knapp 6000 Dateien mit Login-Daten erbeutet zu haben. Verlangt werden rund zwei Millionen Euro in Form von 30 Bitcoin – im schlimmsten Fall könnten die Täter die Daten verschlüsseln und dem Land Berlin schweren Schaden zufügen.
Wer ist Rhysida?
Erstmalig in Erscheinung trat die Gruppe Mitte 2023. US-Experten berichteten im Februar dieses Jahres auf der Online-Plattform „Ransom-DB“ über bisher 265 erfolgreiche Angriffe. Die Gruppe sei deshalb ein ernstzunehmender Akteur auf dem Gebiet der Cyberkriminalität. Ihre anhaltende Aktivität und die Fähigkeit, in hochgesicherte Umgebungen – etwa bei nationalen Streitkräften oder Regierungsbehörden – einzudringen, zeugten von einem hohen Maß an taktischer Kompetenz.
Vermutet wird, dass die Gruppe oder deren Auftraggeber aus Russland oder Osteuropa heraus agieren oder gesteuert werden. Das gelte als „wahrscheinlich“, sagte ein deutscher IT-Sicherheitsexperte dem Tagesspiegel am Samstag. Viel mehr ist über die Identität der Hacker nicht bekannt. Rafe Pilling von der Cybersecurity-Firma Secureworks sagte dem „Guardian“ im Jahr 2023, ihre Vorgehensweise erinnere an andere Gruppen aus Russland oder assoziierten Staaten wie Belarus oder Kasachstan. „Harte Beweise“ gebe es dafür aber nicht.
Wie agiert die Gruppe?
Die Methode: Ransomware-Angriffe. Ransomware ist ein englisches Kofferwort aus Ransom für Lösegeld und Software. Wenn die Gruppe in fremde Computernetze eingedrungen ist, versucht sie, Kasse zu machen. Dabei ist sie auch als Dienstleister aktiv, wie US-Sicherheitsbehörden im November 2023 in einem Warnhinweis (hier als PDF) berichteten: Im Auftrag von Kriminellen werden Netze attackiert, die Lösegelder anschließend geteilt. Der Name Rhysida ist ursprünglich die biologische Bezeichnung für eine Gattung von Hundertfüßern.
Die Schadsoftware dringt über sogenannte Phishing-Mails oder verseuchte Citrix- und VPN-Zugänge, wie sie für den Zugriff auf dienstliche Systeme aus dem Homeoffice genutzt werden, in Netzwerke ein. Dort breitet sie sich aus, verschafft sich Admin-Rechte und Zugänge, erweitert den eigenen Datenzugriff und kopiert massenweise Daten.
Anschließend werden die Opfer auf doppelte Weise erpresst: Die kopierten Daten werden in den angegriffenen Netzen meist verschlüsselt, sodass die Opfer nicht mehr darauf zugreifen können. Dann wird ein Countdown für die Zahlung des geforderten Lösegelds aktiviert. Zahlt ein Opfer nicht, drohen die Angreifer mit der Veröffentlichung oder dem Verkauf der Daten im Darknet.
Eine derartige Erpressung wurde am Donnerstagnachmittag auch gegenüber dem Land Berlin formuliert. Gefordert werden 30 Bitcoin, was beim gegenwärtigen Kurs der Cyberwährung etwa zwei Millionen Euro entspricht. Laut einem Bericht des Nachrichtenmagazins „Spiegel“ ist die Zahlung bis zum kommenden Freitag zu leisten. Ob die Daten im Berliner Landesnetz auch verschlüsselt wurden, ist unklar. Eine offizielle Bestätigung gibt es dafür nicht.
Wen greift Rhysida an?
Vom chilenischen Heer bis hin zu Unternehmen im Gesundheitswesen wie dem australischen Biotech-Konzern Haemokinesis: Das Spektrum der Opfer ist weitgefächert. Allerdings ist eine Strategie erkennbar, wie die Experten von „Random-DB“ analysierten: Die Gruppe schlägt dort zu, wo der Druck zur Wiederherstellung der Daten besonders groß ist. Betroffen waren unter anderem Bildungseinrichtungen, Unternehmen aus dem Gesundheitswesen, Behörden, verarbeitendes Gewerbe und IT-Dienstleister – davon besonders viele in den USA.
Der bis dato bekannteste Angriff galt der Britischen Nationalbibliothek in London. Sie wurde am 28. Oktober 2023 zum Ziel eines Ransomware-Angriffs, für den Rhysida die Verantwortung übernahm. Nach Angaben der Bibliothek verschafften sich die Täter wahrscheinlich über ein kompromittiertes Konto Zugang zu einem Fernzugangsserver, auf dem keine Mehrfaktor-Authentifizierung aktiviert war.
Bei dem Raubzug will Rhysida rund 600 Gigabyte an Daten kopiert haben, darunter persönliche Informationen von Beschäftigten und Nutzern. Die Hacker verschlüsselten oder zerstörten große Teile der Serverinfrastruktur. Der frühere Chef des britischen Cyber-Security-Dienstes, Ciaran Martin, bezeichnete den Vorfall im „Guardian“ als einen der schlimmsten Cybervorfälle in der Geschichte Großbritanniens.
Die Bibliothek zahlte das von Rhysida geforderte Lösegeld nicht. Daraufhin boten die Täter die gestohlenen Daten im Darknet zum Kauf an. Später veröffentlichten sie sie weitgehend kostenlos.
Die Folgen waren für Nutzer und Mitarbeiter lange spürbar: Die Gebäude der Bibliothek blieben geöffnet, doch zentrale digitale Angebote und Forschungsdienste waren monatelang nur eingeschränkt verfügbar. Der Online-Katalog mit mehr als 36 Millionen Einträgen ging drei Monate später zunächst nur in einer eingeschränkten Version wieder ans Netz.
Rhysida fiel zudem mit Angriffen auf den US-Spielekonzern Insomniac Games, den Flughafen von Seattle sowie auf die Stadtverwaltung von Columbus im US-Bundesstaat Ohio auf. Im Mai behauptete die Gruppe zudem, die Stadtverwaltung von Stuttgart erfolgreich infiltriert zu haben.
Wie geht es weiter?
Aktuell suchen Staatsanwaltschaft und Landeskriminalamt nach den Hintermännern der Attacke. Auch Bundesbehörden sind laut Wegner und Innensenatorin Iris Spranger (SPD) involviert. Parallel dazu sichten Experten der US-Spezialfirma Crowdstrike im Auftrag des Senats, ob und wenn ja welche weiteren Daten gestohlen wurden.
Beobachter des Portals „International Cyber Digest“ zeigen bei X den Screenshot einer vermeintlichen Word-Datei, die aus dem Angriff stammen und von Rhysida als Beispiel aus der Beute deklariert werden soll.
Empfohlener redaktioneller Inhalt
An dieser Stelle finden Sie einen von unseren Redakteuren ausgewählten, externen Inhalt, der den Artikel für Sie mit zusätzlichen Informationen anreichert. Sie können sich hier den externen Inhalt mit einem Klick anzeigen lassen oder wieder ausblenden.
Externen Inhalt anzeigen
Ich bin damit einverstanden, dass mir der externe Inhalt angezeigt wird. Damit können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr Informationen dazu erhalten Sie in den Datenschutz-Einstellungen. Diese finden Sie ganz unten auf unserer Seite im Footer, sodass Sie Ihre Einstellungen jederzeit verwalten oder widerrufen können.
Unklar ist, ob die im Darknet veröffentlichte Selbstbezichtigung von Rhysida und deren Angaben zu den gestohlenen Daten belastbar sind. Beim Senat ist die Rede davon, dass „derzeitigen Erkenntnissen zufolge“ kein größerer Schaden entstanden ist als bislang bekannt. Zuletzt hatte der Senat jedoch seine Aussagen zur Schwere des Angriffs wiederholt korrigieren müssen.