Doch während Berlin noch damit beschäftigt ist herauszufinden, was eigentlich gestohlen wurde, könnte längst eine zweite Phase des Angriffs begonnen haben. Vielleicht ist es eine, die von den ursprünglichen Hackern gar nicht unbedingt intendiert war: 5,8 Terabyte Daten befinden sich jetzt außerhalb der Kontrolle des Landes. Sie wurden im Darknet veröffentlicht. Und damit verändert sich die Natur des Vorfalls.

Die erste Krise findet im Landesnetz statt. Die zweite beginnt dort, wo die gestohlenen Daten das Landesnetz verlassen haben.

Denn von diesem Moment an geht es nicht mehr ausschließlich um IT-Sicherheit. Es geht um reale Informationen. Darum, wer sie besitzt, wer sie auswertet, wer sie veröffentlicht und welche Geschichte sich mit ihnen erzählen lässt. 13 Tage vor einer Wahl ist das eine politische Dimension, die bei der Bewertung des Berliner Cyberangriffs nicht ausgeblendet werden darf.

Die politische Dimension braucht kein politisches Tatmotiv

Dabei ist zunächst nochmals ein wichtiger Hinweis notwendig: Bislang gibt es keinen belastbaren Beleg dafür, dass die Hackergruppe Rhysida die Berliner Verwaltung angegriffen hat, um die Abgeordnetenhauswahl zu beeinflussen. Die Forderung nach 30 Bitcoin Lösegeld spricht vielmehr für das klassische Geschäftsmodell einer finanziell motivierten Ransomware-Gruppe.

Doch ursprüngliches Tatmotiv und mögliche Wirkung einer Tat sind zwei verschiedene Fragen.

Es muss immer klar sein: Ein Cyberangriff kann ausschließlich finanziell motiviert sein und dennoch Material hervorbringen, das anschließend von ganz anderen Akteuren für politische Zwecke verwendet wird. Mit der Veröffentlichung der gestohlenen Daten verlieren die ursprünglichen Täter sogar ihr faktisches Monopol auf deren Nutzung.

Was Rhysida mit den Daten beabsichtigte, ist dann nur noch ein Teil der Geschichte. Entscheidend wird ebenso, was andere mit diesen Daten anfangen.

5,8 Terabyte werden zum politischen Rohstoff

Die Dimension ist gewaltig. Mehr als 1,4 Millionen Dateien sind bereits veröffentlicht worden. Die Berliner Verwaltung steht nach eigenen Angaben erst am Anfang ihrer Sichtung.

Für eine politische Instrumentalisierung müsste allerdings niemand Millionen Dateien vollständig lesen. Es könnten wenige Dokumente genügen.

Eine interne E-Mail kann authentisch sein und ohne den vorausgehenden Schriftwechsel dennoch einen völlig falschen Eindruck vermitteln. Ein Vermerk kann einen längst verworfenen Diskussionsstand enthalten. Ein Entwurf kann als politische Entscheidung präsentiert werden. Einzelne Formulierungen können aus ihrem Zusammenhang gelöst und über soziale Netzwerke millionenfach verbreitet werden.

Noch problematischer wird es, wenn authentisches und manipuliertes Material miteinander vermischt werden.

Genau darin liegt die besondere Gefahr sogenannter Hack-and-Leak-Operationen. Die Glaubwürdigkeit einer Manipulation kann sich aus der Echtheit des sie umgebenden Materials speisen. Zwischen Hunderttausenden authentischen Dokumenten erscheint auch eine manipulierte Datei zunächst plausibler. Das Original kann echt sein. Die damit erzählte Geschichte muss es nicht sein.

Eine Wahl lässt sich beeinflussen, ohne die Wahl zu hacken

Damit bekommt der Zeitpunkt des Hackerangriffs besondere Bedeutung. Am 20. September wählen die Berlinerinnen und Berliner ein neues Abgeordnetenhaus.

Wenn über Cybersicherheit und Wahlen gesprochen wird, richtet sich der Blick häufig zunächst auf die technische Durchführung: Sind Wahlsysteme geschützt? Funktioniert die Ergebnisübermittlung? Können Auszählung oder Veröffentlichung der Ergebnisse manipuliert werden?

Das sind elementare Fragen. Sie betreffen die technische Integrität einer Wahl.

Aber demokratische Resilienz verlangt mehr. Denn politische Willensbildung findet vor dem Wahltag statt. Bürger treffen ihre Entscheidung auf Grundlage von Informationen, politischen Debatten, Medienberichten und ihrer Einschätzung von Parteien, Kandidaten und staatlichen Institutionen.

Wer eine Wahl beeinflussen will, muss deshalb nicht die Wahl selbst hacken. Es kann genügen, die Informationsumgebung zu beeinflussen, in der Menschen ihre Wahlentscheidung treffen.

Gerade die letzten Tage eines Wahlkampfes sind dafür sensibel. Eine spektakuläre Veröffentlichung benötigt möglicherweise nur Stunden, um sich über soziale Netzwerke zu verbreiten. Die Prüfung eines umfangreichen internen Dokuments auf Authentizität und Kontext kann dagegen Tage dauern. Damit entsteht ein strukturelles Ungleichgewicht: Die Behauptung reist schneller als ihre Überprüfung.

Vertrauen wird zur kritischen Ressource

Hinzu kommt eine zweite Wirkungsebene. Ein erfolgreicher Hackerangriff beschädigt nicht nur IT-Systeme. Er kann Vertrauen beschädigen.

Schon die Erkenntnis, dass Angreifer über Tage Daten aus einer staatlichen Infrastruktur abziehen konnten, wirft Fragen nach der Leistungsfähigkeit staatlicher Cybersicherheit auf. Wenn anschließend bekannt wird, dass Zugangsdaten, interne Dokumente oder personenbezogene Informationen im Darknet verfügbar sind, wird aus einer abstrakten Cyberbedrohung eine unmittelbar erfahrbare Verwundbarkeit des Staates.

In einem politisch polarisierten Umfeld besitzt das besondere Sprengkraft. Demokratische Institutionen sind auf eine Ressource angewiesen, die sich weder durch eine Firewall schützen noch aus einem Backup wiederherstellen lässt: Vertrauen.

Dabei wäre es voreilig, aus dem Berliner Hackerangriff bereits einen gezielten Angriff auf dieses Vertrauen abzuleiten. Dafür gibt es bislang keine Belege. Doch die entscheidende Frage lautet inzwischen auch nicht mehr allein, welche Absichten die ursprünglichen Täter hatten.

Mit der Veröffentlichung der Daten entsteht ein Raum für sekundäre Nutzung und Instrumentalisierung. Und der steht prinzipiell jedem offen, der Zugriff auf das veröffentlichte Material hat.

Cyberresilienz endet nicht am Rand des Landesnetzes

Daraus folgt eine Konsequenz, die weit über Berlin hinausweist: Cyberresilienz wird häufig technisch gedacht: sichere Netze, aktuelle Software, Multifaktor-Authentifizierung, Segmentierung, Backups, Redundanzen und Wiederanlaufpläne. Der Berliner Fall zeigt, dass das nicht genügt.

Solange ein Angriff innerhalb eines Netzes stattfindet, kann der Staat versuchen, ihn technisch einzugrenzen. Sind große Datenbestände einmal veröffentlicht, lässt sich diese Grenze nicht wiederherstellen.

Dann werden andere Fähigkeiten entscheidend: Welche Daten wurden veröffentlicht? Welche davon sind authentisch? Welche benötigen Kontext? Welche Personen müssen geschützt oder informiert werden? Welche Behauptungen verbreiten sich? Wo werden echte Dokumente möglicherweise mit falschen Interpretationen verbunden?

Damit wird Krisenkommunikation selbst zu einem Bestandteil der Cyberabwehr. Und möglicherweise muss die Berliner Verwaltung in den kommenden 13 Tagen genau diese Fähigkeit unter Beweis stellen: nicht nur kompromittierte Systeme zu schützen, sondern auf eine politische Instrumentalisierung kompromittierter Informationen schnell reagieren zu können.

Zwei Krisen, ein Hackerangriff

Berlin hat es deshalb inzwischen mit einer eigentümlichen Bipolarität des Cyberangriffs zu tun. Da ist auf der einen Seite die technische Krise innerhalb der staatlichen IT. Sie lässt sich forensisch untersuchen. Sicherheitslücken können geschlossen, Passwörter geändert, Netze segmentiert und Systeme gehärtet werden. Die dafür notwendigen Investitionen können beziffert und Verantwortlichkeiten untersucht werden.

Auf der anderen Seite steht eine informationelle und potenziell politische Krise außerhalb dieser Systeme. 5,8 Terabyte gestohlene Daten lassen sich nicht zurückholen. Ihre weitere Verbreitung lässt sich kaum kontrollieren. Und niemand kann derzeit sicher vorhersagen, welche Informationen darin noch gefunden und wie sie verwendet werden.

Ob daraus tatsächlich eine politische Einflussnahme auf die Berliner Abgeordnetenhauswahl entsteht, ist offen. Vielleicht bleiben die kommenden Tage in dieser Hinsicht ereignislos. Vielleicht wird der Hackerangriff am Ende tatsächlich vor allem als schwerer IT-Sicherheitsvorfall und als Lehrstück mangelhafter Cyberresilienz aufgearbeitet.

Eine resiliente Demokratie darf sich darauf jedoch nicht verlassen. Sie muss sich auf beides vorbereiten: auf den Angriff auf ihre Systeme und auf den möglichen Angriff mit den daraus gestohlenen Informationen.

Am 20. September wird Berlin ein neues Abgeordnetenhaus wählen. Bis dahin bleiben Thirteen Days.

Dreizehn Tage, in denen sich zeigen wird, ob aus dem Hackerangriff auf die Berliner Verwaltung noch etwas anderes wird: ein Stresstest für die demokratische Resilienz der Hauptstadt.

Abonnieren Sie unseren WhatsApp-Kanal, um die Neuigkeiten direkt auf Ihr Handy zu erhalten. Einfach den QR-Code auf Ihrem Smartphone einscannen oder – sollten Sie hier bereits mit Ihrem Mobile lesen – diesem Link folgen: