Die Aufarbeitung eines der folgenreichsten Cyberangriffe auf die deutsche Verwaltung wird zum offenen Machtkampf zwischen dem Land Berlin und seinen eigenen Bezirken. Der Bezirk Lichtenberg verweigert CrowdStrike, der von der Senatskanzlei beauftragten US-Sicherheitsfirma, den Zugriff auf seine Server.

Die Weigerung steht in einem internen Schreiben, das dem rbb vorliegt. CrowdStrike soll die landeseigene IT auf Schäden, Spuren und Hinterlassenschaften der Hackergruppe Rhysida untersuchen, die Mitte August — der Angriff wurde am 14. August entdeckt — in das Netz der Berliner Verwaltung eingedrungen war, um die Systeme wieder nutzbar zu machen.

Der Streit ist nur das jüngste Kapitel einer Affäre, die Berlin seit Wochen beschäftigt. Die Angreifer erbeuteten Daten aus dem Landesnetz; der Regierende Bürgermeister Kai Wegner bestätigte, dass das Land erpresst werde. Die Forderung lag bei 30 Bitcoin, umgerechnet rund zwei Millionen Euro. Berlin erklärte mehrfach, nicht zahlen zu wollen. Nach Ablauf eines Ultimatums gab Rhysida am Freitag bekannt, gestohlene Daten auf ihrer Darknet-Seite veröffentlicht zu haben.

Lichtenberg begründet die Ablehnung mit datenschutz- und betrieblichen Einwänden gegen die Software „Falcon Agent" von CrowdStrike. Der Bezirk warnt, die Software erlange „nahezu unbegrenzten Zugriff" auf sämtliche — auch personenbezogene — Daten und sei wohl „nie wieder zu entfernen". Sie sei zudem in der Lage, sämtliche Arbeitsgeräte und damit auch die Beschäftigten der Verwaltung zu überwachen. Nach Rückmeldungen aus anderen Bezirken führe sie zu „teils schweren Störungen" in der Ablauffähigkeit von Fachverfahren, Diensten und Programmen und berge ein erhebliches Risiko für die Arbeitsfähigkeit des Bezirksamtes.

Der Bezirk verweist darauf, seine eigenen Systeme bereits geprüft und keine Hinweise auf Aktivitäten der Angreifer gefunden zu haben. Man setze auf das Produkt einer Konkurrenzfirma. CrowdStrike werde der Zugang zur Bezirks-IT nur gewährt, wenn der Senat „die gesamte Verantwortung" — inklusive aller Kosten — übernehme.

Die Senatskanzlei teilte dem Bezirk nach rbb-Informationen am Samstagabend mit, die Software sei „alternativlos"; für ihren Einsatz übernehme man die Verantwortung.

Der Schlagabtausch weckt Erinnerungen an den Juli 2024, als ein fehlerhaftes Update von CrowdStrikes Falcon weltweit IT-Ausfälle auslöste — betroffen war damals auch der Berliner Flughafen BER. Kritiker sehen darin einen Grund, warum ein dauerhaft aktiver US-Agent mit weitreichenden Zugriffsrechten in der deutschen Verwaltung auf besonderen Widerstand stößt. Fest steht: Senat und Bezirk Lichtenberg stehen sich weiter gegenüber — und die Veröffentlichung der gestohlenen Daten im Darknet macht die Frage, wie Berlins zersplitterte Landes-IT gesichert wird, umso dringlicher.

Quellen