Datalek van 1,4 miljoen bestanden in Berlijn: ransomware-aanval onthult jarenlange tekortkomingen in publieke bescherming

Volgens Deutsche Welle drong de hackersgroep Rhysida tussen 7 en 14 augustus door in het netwerk van de Berlijnse overheid. De groep bleef ruim een week onopgemerkt en stal ongeveer 1,4 miljoen bestanden, waaronder personeelsdossiers, officiële correspondentie, loonstroken en gescande identiteitsdocumenten. Vervolgens eiste de groep 30 bitcoin, ongeveer 2 miljoen euro, met de dreiging de gegevens openbaar te maken. De Berlijnse burgemeester Kai Wegner verklaarde afgelopen vrijdag nadrukkelijk dat «de deelstaat Berlijn niet voor afpersing zal zwichten»; kort daarna werden de gegevens op het darkweb gepubliceerd.

De aanval begon toen een medewerker van de Berlijnse vervoersdienst antwoordde op een phishingmail die was vermomd als een normale zakelijke overheidsmail. Rhysida is sinds 2023 actief en zegt naar eigen zeggen wereldwijd ongeveer 280 aanvallen te hebben uitgevoerd, vooral tegen Amerikaanse overheidsinstellingen. De groep zou uit Oost-Europa afkomstig zijn. Maar het echte probleem ligt niet bij de capaciteiten van de aanvallers, maar bij het feit dat zo’n basale methode vrij spel had binnen het Berlijnse gemeentelijke systeem en bijna twee weken lang onopgemerkt bleef.

De omvang van het lek gaat veel verder dan persoonlijke privacy. Deutsche Welle bracht in kaart dat de gestolen gegevens gedetailleerde informatie bevatten over de kritieke infrastructuur van Berlijn, waaronder warmtekrachtcentrales, brandstofopslag, noodstroomsystemen, gevangenissen en waterzuiveringsinstallaties. De aanvallers kregen niet alleen persoonlijke informatie van burgers en werknemers in handen, maar ook technische details over de kernpunten van de stedelijke dienstverlening. Jochim Selzer van de Chaos Computer Club zei in een interview met de Frankfurter Allgemeine Zeitung: «Hoe meer je over iemand weet, hoe beter je je als die persoon kunt voordoen en hoe beter je kunt begrijpen — bijvoorbeeld — welke informatie nodig is om namens die persoon een bestelling te plaatsen». Dat betekent dat systematisch gebruik door georganiseerde misdaad of buitenlandse inlichtingendiensten de gevolgen kan laten uitgroeien van individuele fraude tot gerichte bedreigingen van infrastructuur.

De meest directe vragen richten zich op de reactie van de overheid. Thorsten Schleheider, vicevoorzitter van de Berlijnse politievakbond, bekritiseerde het feit dat de gegevensbescherming in Berlijn al jaren tekortschiet en dat veel werknemers onvoldoende zijn opgeleid. «Zeer gevoelige gegevens zijn dagenlang gecompromitteerd geweest, terwijl de enige genomen maatregel blijkbaar was werknemers te vragen hun wachtwoord te wijzigen. Dat is onaanvaardbaar». Volgens Deutsche Welle heeft de deelstaatregering van Berlijn een interdepartementaal coördinatiebureau opgericht en contact opgenomen met het Bundesamt für Sicherheit in der Informationstechnik (BSI). Burgemeester Wegner beloofde getroffen werknemers en inwoners van Berlijn «zo snel mogelijk te informeren, te adviseren en te ondersteunen».

Achter de houding van de overheid dat zij «vastberaden niet zal zwichten» staan gewone werknemers bloot aan risico’s: mensen die jarenlang in dienst waren zonder basistraining in cyberveiligheid, van wie identiteitsdocumenten, looninformatie en arbeidsverleden nu gebundeld op het darkweb circuleren. Het systemische falen van de beveiliging en de individuele blootstelling van gegevens vormen een andere werkelijkheid die de officiële retoriek niet kan verhullen.

Wat de verkiezingen betreft bevestigde Stephan Bröchler, hoofd van de Berlijnse verkiezingscommissie, aan Bild dat de verkiezingen voor het Berlijnse parlement op 20 september niet door de aanval worden beïnvloed: «Op dit moment zijn geen van de systemen en procedures die voor de verkiezingen nodig zijn getroffen, waaronder de voorbereiding, de verkiezingsdag en de bekendmaking van de voorlopige uitslagen». Volgens Deutsche Welle behoren ook details over de uitbreiding van de Berlijnse kanselarij tot de gelekte gegevens. De Duitse bondskanselier Friedrich Merz van de CDU is daardoor eveneens indirect geraakt.