Eine namentlich bekannte Ransomware-Gruppe legte einen Preis auf eine Stadt in Bitcoin fest, sah die Aktion scheitern und machte Berlins gestohlene Dateien zu einem öffentlichen Download.

Der Bitcoin-Lösegeld-Countdown von Rhysida für Berlin lief am Freitagnachmittag ab. Das Land hatte eine Forderung von 30 Bitcoin zurückgewiesen, woraufhin die Gruppe behauptete, gestohlene Regierungsdaten für jedermann zum Download bereitzustellen. Deutschen Medienberichten zufolge endete der Countdown gegen 15:35 Ortszeit am 4. September 2026. Das Mindestgebot war mit rund 2 Millionen Euro angesetzt worden. Die Stadt hatte bereits erklärt, nicht zahlen zu wollen.

Das ist die eigenartige Mechanik moderner Krypto-Betrügereien und Darknet-Kriminalität: Die Zahlungsforderung ist eine Wallet-Adresse, die Drohung eine Leak-Site, und der „Verkauf“ ein Countdown. Läuft die Uhr unbezahlt ab, endet das Theater nicht – es weitet sich aus.

Was Rhysida nach Ende der Aktion veröffentlichte

Auf der Leak-Site der Gruppe wandelte sich das Auktionsangebot in die Behauptung eines öffentlichen Uploads. heise und rbb berichteten über die Provokation, die „Datenjägern“ mitteilte, die Dateien lägen nun im offenen Bereich.

Ein früher Link führte zunächst zu einem Fehler. Etwa eine Stunde später waren Downloads möglich, wie heise in einem Update meldete. Laut rbb tauchten rund 1,4 Millionen Dateien in mehreren Paketen auf. Die Ordner enthielten offenbar Personalakten, Mitarbeiterbeurteilungen, Arbeitszeugnisse und Ausschreibungsmaterialien. Die Überprüfung der Echtheit aller Ordner war im selben Berichtszeitraum noch nicht abgeschlossen.

Chaos-Computer-Club-Sprecher Joachim Selzer sagte der dpa, der komplette Datensatz sei offenbar live einsehbar. Er beschrieb Personalangelegenheiten und Arbeitszeugnisse unter dem Material und warnte, dass kleine Bürodetails Identitätsdiebstahl beflügeln können, sobald sie offen zugänglich sind.

Berlins Senat erklärte, Sicherheitsbehörden und IT-Forensik-Teams prüften die veröffentlichten Pakete. Betroffene Personen würden nach den gesetzlichen Regelungen benachrichtigt; Einwohner, die Missbrauch vermuteten, sollten Anzeige erstatten. Diese Benachrichtigungspflicht steht im Einklang mit dem europäischen Datenschutzrecht, das Behörden verpflichtet, personenbezogene Datenpannen den Aufsichtsbehörden zu melden und bei hohem Risiko für Betroffene auch diese zu informieren – Pflichten, die ein öffentlicher Datenabfluss von Personalakten erschwert, nicht erleichtert.

Die Lösegeldforderung und Berlins Weigerung

Rhysida hatte die Beute als knapp 5,8 Terabyte aus Berlins Landesnetz beworben. Frühere Behauptungen auf der Leak-Site, zusammengefasst von heise und anderen deutschen Medien, listeten Stadtverträge, Bußgeldverfahren, Zugangsdaten, Personalakten sowie Unterlagen zu kritischen Systemen und Gerichten. Diese Kataloge waren das Verkaufsgespräch der Gruppe, kein fertiges forensisches Inventar.

Regierender Bürgermeister Kai Wegner erklärte, Berlin lasse sich nicht erpressen. Senatssprecherin Christine Richter hatte der dpa bereits gesagt, die wahrscheinlichen nächsten Schritte seien Weiterverkauf oder teilweise bzw. vollständige Veröffentlichung. Das Land bezeichnete Rhysida als professionelle Ransomware-Vereinigung mit früheren Angriffen in Europa und den USA. Verbindungen nach Russland könnten nicht ausgeschlossen werden – ließen sich aber auch nicht anhand der vorliegenden Erkenntnisse belegen.

Die Bitcoin-Forderung war Infrastruktur, kein kulturelles Sinnbild. Dreißig Coins waren die Freigabebedingung; die Verweigerung war die Politik. Die Darknet-Auktion war die Druckkammer zwischen diesen beiden Fakten.

Wie der Angriff auf das Berliner Netz ablief

Berlin machte den Angriff auf sein Landesnetz etwa Mitte August öffentlich. Ermittler sagten später, dass zwischen dem 7. und 12. August große Datenmengen entwendet wurden. Betroffene Systeme wurden tagelang abgeschaltet. Ende August waren Rhysidas Auktion und die Untergrenze von 30 Bitcoin öffentlich, und die Nichtzahlungs-Linie des Senats war zur Regierungsbotschaft geworden statt zu einer privaten Verhandlungsposition.

Die Berliner Staatsanwaltschaft ist in die Bewältigung eingebunden, ebenso das Landeskriminalamt (LKA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI). Es folgt die vertraute Ransomware-Choreografie: erst die Datenausschleusung, Verschlüsselung oder Störung als Theater, dann eine Leak-Site, die Geheimnisse in ein Produkt verwandelt.

Rhysida ist auf dieser Bühne kein neuer Name. Die Gruppe tauchte 2023 auf und wurde mit früheren Zielen im öffentlichen Sektor und im Kulturbereich in Verbindung gebracht – darunter der Ausfall der British Library, der die Dienste wochenlang lahmlegte – und traf in diesem Jahr auch andere deutsche Städte. Der Berliner Fall passt zum Modell der Affiliate-Ära: genug stehlen, dass eine Regierung den Verlust nicht stillschweigend absorbieren kann, das Schweigen in Bitcoin bepreisen und das Darknet als Marktplatz wie auch als Pranger nutzen.

Warum der Datenabfluss über ein Stadtnetz hinaus wichtig ist

Unbezahlte Bitcoin-Lösegelder löschen keine Daten; sie ändern nur, wer sie lesen kann. Eine private Auktion tat zumindest so, als rationiere sie den Zugang. Ein öffentlicher Dump senkt die Einstiegshürde: Jeder mit einfachen Werkzeugen kann die Pakete kopieren. Diese Dateien können Unterschriften, Lohnspuren, interne E-Mails, Klartextpasswörter oder Notizen enthalten, die die Stadt nie veröffentlichen wollte.

Selzers Warnung war praktisch: Je mehr ein Fremder über eine Person weiß, desto leichter lässt sich diese impersonieren, in ihrem Namen bestellen oder ein Phishing-Köder erstellen, der lokal klingt.

Für Krypto-Beobachter ist die Abfolge auch eine Geschichte über Schienen. Krypto hat die Erpressung nicht erfunden – es machte die Forderung portable, grenzenlos und leicht neben einem Countdown zu posten. Leak-Sites machten aus der Verweigerung dann Inhalte. Die Stadt hielt an ihrer Linie fest; die parallele Kriminalwirtschaft behielt ihr Inventar.

In der deutschen Berichterstattung zitierte Sicherheitsspezialisten lobten die Nichtzahlungs-Haltung als Mittel, dem Modell die Grundlage zu entziehen. Sie betonten zugleich, dass der Datenabfluss den Menschen weiterhin schadet, deren Dateien das Netz nie hätten verlassen dürfen. Beides kann gleichzeitig wahr sein – und genau diese Spannung ist der Punkt.

Die eigentliche Geschichte hinter dem Countdown

Neue Technologien verändern die Oberfläche des Verbrechens, während das zugrunde liegende Geschäft alt bleibt: Veröffentlichung androhen, einen Preis nennen und Trotz öffentlich bestrafen.

Berlins Fall ist inzwischen über die Auktionsmetapher hinaus. Die Dateien sind entweder downloadbereit oder werden von Ermittlern, Journalisten und allen anderen, die dieselbe Leak-Seite beobachten, so behandelt. Was bleibt, ist langsamere Arbeit: Pakete realen Personen zuordnen, Zugangsdaten rotieren, auf Identitätsmissbrauch achten und entscheiden, welche Geheimnisse Theater waren und welche scharfe Munition.

Krypto hat diese Bedrohung nicht geschaffen. Es gab ihr eine Wallet-Adresse, einen Darknet-Shop und eine Freitagsfrist. Rhysida nutzte alle drei. Berlin lehnte das Gebot ab – der Datenabfluss folgte trotzdem.

Der Beitrag Rhysida Dumps Berlin Data After Unpaid 30 BTC Ransom erschien zuerst auf Live Bitcoin News.