BERLIN: DAS PROBLEM SIND NICHT NUR 5,8 TERABYTE. DAS PROBLEM IST, DASS MAN EINIGE DIESER DATEN NICHT EINFACH ÄNDERN KANN. Eine technische Einordnung des Berliner Datenleaks. Beim Berliner Cyberangriff konzentriert sich die öffentliche Diskussion bislang erstaunlich stark auf die schiere Datenmenge, personenbezogene Daten, Passwörter und die Frage, wer jetzt informiert werden muss. Das alles ist wichtig. Aber es ist nicht das größte Problem. Das wirklich Beunruhigende beginnt dort, wo Berichte über Schwachstellenanalysen der Berliner Trinkwasserversorgung, Dokumente zu kritischer Infrastruktur, Notfallunterlagen und andere interne Sicherheitsinformationen zutreffen. Denn damit reden wir über eine völlig andere Klasse von Daten. Ein Passwort ist ein Secret. Ein Secret kann ich ändern. Eine Infrastruktur ist eine Struktur. Und Strukturen kann ich nicht einfach rotieren. Wenn ein Passwort veröffentlicht wird: Password Reset. Ein Token: Revoke. Ein Zertifikat: Re-Issue. Ein Key: Rotate. Ein Account: Disable. Alles unangenehm, teuer und arbeitsintensiv, aber technisch lösbar. Was aber mache ich mit einer veröffentlichten Schwachstellenanalyse eines Wasserwerks? Mit dokumentierten Abhängigkeiten, Notfallkonzepten, Zuständigkeiten, bekannten Schwachpunkten, Betriebsabläufen, Eskalationswegen oder Sicherheitskonzepten? Ich kann schlecht sagen: „Wir rotieren am Montag unsere Trinkwasserversorgung.“ Genau deshalb sind solche Informationen so sensibel. Ein professioneller Angreifer beginnt einen Angriff nicht mit dem Angriff. Er beginnt mit Reconnaissance. Er möchte wissen: Wie sieht das Ziel aus? Welche Systeme existieren? Welche Abhängigkeiten gibt es? Wer ist verantwortlich? Wo befinden sich kritische Übergänge? Welche Schutzmaßnahmen existieren? Wo wurden Schwachstellen festgestellt? Welche Prozesse greifen bei einem Ausfall? Welche Dienstleister, Mitarbeiter und Organisationseinheiten spielen eine Rolle? Normalerweise muss ein Angreifer diese Informationen mühsam zusammensuchen: OSINT, Social Engineering, Scanning, Phishing, Credential Harvesting, interne Reconnaissance nach dem Initial Access. Das kostet Zeit, erzeugt Risiko und produziert Spuren. Eine interne Schwachstellenanalyse kann einen Teil dieser Arbeit bereits erledigt haben. Für den Verteidiger. Und jetzt möglicherweise auch für den Angreifer. Das ist der eigentliche Security-Super-GAU an solchen Leaks. Die Veröffentlichung einer Schwachstellenanalyse bedeutet selbstverständlich nicht automatisch: „Jetzt kann jemand die Berliner Wasserversorgung abschalten.“ Das wäre unseriös. Wir wissen weder vollständig, welche Dokumente tatsächlich enthalten sind, noch wie aktuell sie sind oder welche darin beschriebenen Schwachstellen inzwischen beseitigt wurden. Aber genau deshalb muss jetzt Assume Compromise gelten. Nicht nur für Accounts, sondern für INFORMATION. Man muss davon ausgehen, dass relevante Dokumente kopiert, lokal gespeichert, indexiert und mit anderen Informationen korreliert werden. Und man muss davon ausgehen, dass diese Daten noch Jahre später ausgewertet werden können. Das Internet vergisst einen solchen Dump nicht. Nach der Veröffentlichung ist die Anzahl der Kopien unbekannt. Damit existiert kein realistisches Szenario mehr, in dem Berlin sagt: „Wir haben die Quelle gelöscht. Problem erledigt.“ Die Vertraulichkeit ist irreversibel verloren. Systeme kann man recovern. Veröffentlichte Information nicht. Und dann kommt ein zweites Problem hinzu: 1,44 Millionen Dateien – sofern sich diese Angabe bestätigt – sind nicht einfach 1,44 Millionen Dokumente. Sie bilden einen Datensatz. Und Datensätze lassen sich korrelieren. Ein Organigramm allein mag harmlos sein. Eine Telefonnummer ebenfalls. Ein Vertrag vielleicht auch. Setze aber Personen, Funktionen, Telefonnummern, E-Mail-Adressen, Dienstleister, Verträge, Credentials, Systeminformationen, Organisationsstrukturen, Notfallprozesse und Schwachstellenanalysen zusammen, und daraus entsteht etwas völlig anderes: INTELLIGENCE. Das ist exakt der Punkt, den die Betrachtung als bloßer „Datenschutzvorfall“ verfehlt. Ein Angreifer braucht möglicherweise kein sensationelles Geheimdokument. Die Stärke liegt in der Korrelation. Wer arbeitet wo? Wer administriert was? Wer entscheidet? Welche Unternehmen liefern welche Leistungen? Welche Fachverfahren existieren? Welche Systeme hängen zusammen? Welche Menschen besitzen privilegiertes Wissen? Wie kommunizieren Behörden miteinander? Welche Prozesse werden in einer Krise aktiviert? Damit wird auch Social Engineering erheblich gefährlicher. Die klassische Phishing-Mail lautet: „Sehr geehrter Mitarbeiter, bitte Passwort bestätigen.“ Leicht zu erkennen. Eine Mail mit realen Namen, realen Vorgängen, realer Terminologie, echten Dienstleistern und echten organisatorischen Zusammenhängen spielt in einer völlig anderen Liga. Und genau hier kommt ein Punkt ins Spiel, der in der deutschen Sicherheitsdebatte regelmäßig unterschätzt wird: DAS PERSONAL. Nicht nur Administratoren. Nicht nur SOC, CISO und IT-Security. Das gesamte Verwaltungspersonal. Jeder Mitarbeiter mit Mailkonto, Fachverfahren, Dokumentenzugriff oder Telefon ist Teil der Sicherheitsarchitektur. Security Awareness ist deshalb kein jährliches Pflichtvideo mit fünf Multiple-Choice-Fragen. Mitarbeiter müssen Phishing erkennen, ungewöhnliche Vorgänge hinterfragen, sensible Informationen richtig behandeln, Berechtigungen ernst nehmen und Auffälligkeiten sofort melden. Wenn Beschäftigte Security als lästige IT-Vorschrift behandeln, Credentials weitergeben, Anhänge sorglos öffnen, Daten lokal herumkopieren oder Warnungen ignorieren, entsteht eine Verteidigungslücke, die kein SIEM der Welt vollständig schließen kann. Technik kann menschliches Fehlverhalten begrenzen. Sie kann es nicht vollständig eliminieren. Und deshalb ist Cybersecurity immer auch Sicherheitskultur. Wenn eine öffentliche Verwaltung diese Kultur nicht vom Sachbearbeiter bis zur Behördenleitung etabliert, haben wir nicht nur ein Berliner Problem. Dann haben wir ein Problem in Deutschland. Die technische Antwort auf den Leak ist ohnehin unangenehm. Berlin kann nicht einfach ein paar Passwörter ändern und anschließend Entwarnung geben. Man muss den veröffentlichten Informationsbestand selbst als Threat-Intelligence-Quelle gegen die eigene Infrastruktur behandeln: Was weiß ein zukünftiger Angreifer jetzt über uns? Welche Informationen sind noch gültig? Welche Schwachstellen existieren noch? Welche Prozesse müssen verändert werden? Welche Trust Relationships müssen überprüft werden? Welche Architekturinformationen ermöglichen Rückschlüsse auf den Blast Radius? Welche Notfallverfahren müssen angepasst werden? Welche Informationen erleichtern Social Engineering? Und bei welchen Informationen bleibt nur eine Möglichkeit: DIE DARIN BESCHRIEBENE REALITÄT ÄNDERN. Genau dort wird es teuer. Eine Schwachstelle kann man patchen. Eine historisch gewachsene Infrastruktur möglicherweise nicht. Einen Netzwerkpfad kann man ändern. Ein Wasserwerk nicht. Credentials kann man austauschen. Physische Standorte nicht. Software kann man ersetzen. Versorgungsabhängigkeiten nur mit erheblichem Aufwand. Man muss gegebenenfalls nicht die Datei ändern. Man muss die Welt ändern, die in der Datei beschrieben wird. Und hier beginnt das politische Versagen. Deutschland führt mit erstaunlicher Ausdauer Debatten darüber, welche Kommunikation der Staat überwachen, welche Plattformen er regulieren und welche zusätzlichen digitalen Kontrollmöglichkeiten Behörden erhalten sollen. Chatkontrolle lässt grüßen. Das ist eine bemerkenswerte Prioritätensetzung für einen Staat, der gleichzeitig offenbar fundamentale Probleme damit hat, die Vertraulichkeit seiner eigenen Informationen sicherzustellen. Informationskontrolle ist nicht Informationssicherheit. Eine Suchmaschine dazu zu bringen, einen Link nicht anzuzeigen, macht einen veröffentlichten Datensatz nicht wieder geheim. Eine Plattform zur Löschung aufzufordern, rotiert keine kompromittierte Infrastrukturinformation. Wer ernsthaft nach diesen Daten sucht, braucht Berlin nicht um Erlaubnis zu fragen. Die entscheidende Sicherheitsbarriere hätte VOR der Exfiltration stehen müssen. Nicht hinterher vor der Suchmaschine. Das ist vielleicht die bitterste Erkenntnis dieses Vorfalls: Wir diskutieren politisch immer häufiger darüber, wie der Staat Informationen anderer kontrollieren kann. Dabei wäre die wesentlich dringendere Aufgabe, den Staat endlich in die Lage zu versetzen, seine eigenen Informationen zu kontrollieren. Dafür brauchen wir keine weitere paternalistische Digitalpolitik. Wir brauchen professionelle IT-Security: Asset Management, Data Classification, Least Privilege, PAM, Segmentierung, Zero Trust, EDR/XDR/NDR, SIEM, 24/7 SOC, Egress Monitoring, DLP, Lifecycle Management, Patch Management, Threat Hunting, Red Teams, Purple Teams und Incident Response. Und wir brauchen Security Awareness und Security Culture in der gesamten Verwaltung. Denn der teuerste Security-Stack hilft wenig, wenn der Mensch davor glaubt, Sicherheit sei ausschließlich Aufgabe der IT. Security scheitert daran, dass Legacy-Systeme weiterlaufen, Verantwortlichkeiten zerfasern, Budgets fehlen, bekannte Risiken akzeptiert werden, niemand abschalten will und Mitarbeiter nicht verstehen, dass sie selbst Teil der Verteidigung sind. Die größte Lehre aus Berlin lautet deshalb nicht: „Wir müssen verhindern, dass Menschen die veröffentlichten Daten finden.“ Das ist nach einer Veröffentlichung dieser Größenordnung weitgehend vorbei. Die Lehre lautet: WIR MÜSSEN VERHINDERN, DASS DER NÄCHSTE DATENBESTAND ÜBERHAUPT DAS NETZ VERLÄSST. Und bei KRITIS muss zusätzlich gelten: Informationen, die einem Angreifer helfen könnten, kritische Infrastruktur zu verstehen, dürfen niemals denselben Blast Radius besitzen wie gewöhnliche Verwaltungsdaten. Need-to-know muss technisch erzwungen werden, nicht in einer Richtlinie stehen. Segmentierung muss existieren, nicht in PowerPoint. Logging muss ausgewertet werden, nicht nur gespeichert. Alerts müssen Konsequenzen haben, nicht nur Tickets erzeugen. Mitarbeiter müssen wissen, warum das alles wichtig ist. Und Management muss Risiken tragen, nicht nur Administratoren. Denn wenn sich die Berichte über die veröffentlichten KRITIS-, Schwachstellen- und Notfallinformationen bestätigen, hat Berlin nicht einfach Dateien verloren. Dann hat Berlin potentiell Wissen darüber verloren, wie Teile des Staates funktionieren, wie sie geschützt werden, wo ihre Schwächen liegen und wie sie sich im Notfall verhalten. Ein Passwort kann man ändern. Einen Staat kann man nicht mal eben rotieren. Und eine Sicherheitskultur kann man nicht installieren. Man muss sie aufbauen. Vielleicht sollte ein Staat, bevor er die Chats seiner Bürger kontrollieren möchte, zunächst beweisen, dass er seine eigenen Daten kontrollieren kann. Und damit kommen wir zum politischen Schluss dieses Desasters. Die derzeit Verantwortlichen haben beim Schutz elementarer staatlicher Infrastruktur offensichtlich keinen Grund zur Selbstzufriedenheit. Sollte ihnen nun eine Regierung folgen, die ihre Prioritäten weiterhin stärker bei Regulierung, Kontrolle und paternalistischer Digitalpolitik setzt als beim Aufbau einer robusten, professionellen Sicherheitsarchitektur, wird sich das Problem nicht lösen. Es wird nur unter anderem politischen Vorzeichen weiterverwaltet. Das wäre vielleicht die bitterste Pointe: Die einen haben es versäumt, den Staat digital verteidigungsfähig zu machen. Und die nächsten könnten denselben Fehler wiederholen, weil sie Sicherheit erneut mit Regeln, Zuständigkeiten und Kontrolle verwechseln. Cybersecurity interessiert sich aber nicht für Parteiprogramme. Ein ungepatchtes System bleibt ungepatcht. Eine schlechte Segmentierung bleibt schlecht. Ein ungeschulter Mitarbeiter bleibt ein Angriffspunkt. Ein unerkannter Datenabfluss bleibt ein Datenabfluss – ganz gleich, welche Farbe die Senatorin oder der Senator im Parteibuch trägt. Wenn Deutschland nicht endlich begreift, dass digitale Souveränität zuerst bedeutet, die eigene Infrastruktur, die eigenen Daten und die eigenen Mitarbeiter verteidigungsfähig zu machen, dann wird Berlin nicht der letzte Fall dieser Größenordnung gewesen sein. Dann werden wir weiter über Datenschutz reden, während unsere Daten gestohlen werden. Über Regulierung, während unsere Systeme veralten. Und über Informationskontrolle, während andere längst unsere Informationen kontrollieren. Die Zukunft könnte tatsächlich düster werden. Nicht weil die Angreifer unbesiegbar wären. Sondern weil wir ihnen seit Jahren dabei helfen, indem wir Security verwalten, statt sie zu betreiben.