Die Ransomware-Gruppe Rhysida hat nach Ablauf ihres Ultimatums gestohlene Daten aus der Berliner Verwaltung veröffentlicht. Das Ausmaß des Schadens ist noch nicht vollständig geklärt. Fest steht jedoch: Der Regierende Bürgermeister Kai Wegner hatte am 20. August erklärt, sensible Daten seien nicht betroffen. Diese Aussage ist nach den inzwischen bekannt gewordenen Veröffentlichungen nicht mehr haltbar.

Die Vorsitzende der AfD-Fraktion im Berliner Abgeordnetenhaus, Kristin Brinker, spricht von einer IT-Katastrophe und wirft Wegner vor, die Berliner belogen zu haben. Sie verlangt, dass Wegner und Innensenatorin Iris Spranger unverzüglich öffentlich Rede und Antwort stehen.

„Nötig ist jetzt eine schnelle und umfassende Aufklärung. Dazu müssen Wegner und Iris Spranger unverzüglich öffentlich Rede und Antwort stehen.“

Kristin Brinker, AfD-Fraktion Berlin

Nach bisherigen Angaben konnten vom 7. bis 12. August Daten aus dem Landesnetz abfließen. Rhysida behauptet, 5,7 Terabyte erbeutet zu haben. Betroffen sein können Daten von Beschäftigten des Landes, Bürgern und Unternehmen. Der Vorgang wurde erst am 14. August öffentlich. Einen ausführlichen Überblick über Angriff, Erpressung und Veröffentlichung bietet der Hintergrundbericht bei F‑NEWS.

Wegner trägt als Regierungschef die politische Verantwortung für dieses Behördenversagen und für die falsche öffentliche Entwarnung. Wer bei einem Angriff dieses Ausmaßes das Vertrauen der Bürger mit einer unzutreffenden Aussage verspielt, kann Berlin nicht glaubwürdig durch die Aufarbeitung führen. Kai Wegner muss zurücktreten.

Auch strafrechtliche Konsequenzen müssen geprüft werden. Betroffene können Strafanzeige erstatten, und die Staatsanwaltschaft muss untersuchen, ob konkrete Verantwortliche vorsätzlich Geheimnisse offenbart, Warnungen unterdrückt, Beweise vereitelt oder andere Straftatbestände erfüllt haben. Paragraph 203 des Strafgesetzbuches erfasst unter bestimmten Voraussetzungen die unbefugte Offenbarung von Privatgeheimnissen durch Amtsträger. Bloße Fahrlässigkeit oder mangelhafte IT-Sicherung erfüllt diesen Tatbestand allerdings nicht automatisch. Dafür kommen zunächst datenschutzrechtliche, disziplinarische und politische Konsequenzen in Betracht.

Unabhängig von der strafrechtlichen Bewertung gelten klare Pflichten: Datenschutzverletzungen sind grundsätzlich binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden; bei hohem Risiko müssen auch die Betroffenen informiert werden. Es muss offengelegt werden, welche Schutzmaßnahmen fehlten, wer davon wusste und weshalb der Datenabfluss tagelang nicht gestoppt wurde. Erst danach lässt sich beurteilen, gegen wen ein strafrechtlicher Anfangsverdacht besteht.

Brinker zieht zudem eine grundsätzliche Konsequenz: Wenn der Staat die Daten der Bürger nicht wirksam schützen kann, muss er seinen Datenhunger auf ein absolutes Minimum beschränken. Daten, die nicht gespeichert werden, können auch nicht gestohlen und veröffentlicht werden.

Rechtlicher Hintergrund: § 203 StGB; Hinweise der Berliner Datenschutzbeauftragten zu Datenpannen.