Blog · 06.09.2026
Berlin lässt sich nicht erpressen. Die Daten interessiert das wenig.
Ein Gastbeitrag aus der Underground-Hackerszene
Von Ehemaliger Hacker mit SzeneerfahrungWas ist eigentlich vorgefallen...
Wenn eine Hackergruppe über mehrere Tage weitgehend unbemerkt Zugriff auf Teile des Berliner Landesnetzes hat, anschließend rund 1,44 Millionen Dateien mit einem Umfang von etwa 5,8 Terabyte außerhalb der eigenen Systeme liegen und die Täter dafür 30 Bitcoin, also ungefähr zwei Millionen Euro, verlangen, könnte man zunächst auf die Idee kommen, dass jetzt vor allem eine möglichst nüchterne Risikoanalyse gefragt wäre. Welche Daten wurden tatsächlich gestohlen, wie sensibel sind diese, welche davon lassen sich durch Passwortwechsel, Sperrungen oder technische Maßnahmen praktisch entwerten, welche Informationen bleiben dagegen auch in zehn Jahren noch problematisch und welche Konsequenzen hätte es für Bürger, Unternehmen oder kritische Infrastruktur, wenn genau diese Daten veröffentlicht werden?
Berlin entschied sich stattdessen relativ früh für eine deutlich griffigere Botschaft: „Das Land Berlin lässt sich nicht erpressen.“
Das klingt zunächst ausgesprochen entschlossen und eignet sich hervorragend für Pressemitteilungen. Für eine technische und sicherheitspolitische Bewertung eines Cyberangriffs ist es allerdings ungefähr so nützlich wie die Feststellung, dass man grundsätzlich gegen Verbrechen ist.
Zwischen dem 7. und 12. August hatten sich die Täter nach bisherigem Kenntnisstand Zugriff auf Teile des Landesnetzes verschafft, betroffen waren insbesondere die Senatsverwaltungen für Bauen sowie für Verkehr. Bemerkenswert ist dabei bereits, dass der Angriff zunächst unbemerkt blieb und erst am 14. August festgestellt wurde. Wenige Tage später wurde der Vorfall öffentlich bekannt gemacht. Später stellte sich heraus, dass eine erhebliche Datenmenge abgeflossen war, nämlich rund 1,44 Millionen Dateien mit einem Umfang von etwa 5,8 Terabyte.
Die Gruppe Rhysida, der der Angriff zugeschrieben wird, versuchte anschließend, die gestohlenen Daten zu verkaufen beziehungsweise das Land Berlin mit deren Veröffentlichung unter Druck zu setzen. Das Mindestgebot lag bei 30 Bitcoin, also etwa zwei Millionen Euro. Nachdem Berlin nicht zahlte, wurden die Daten nach Ablauf des Ultimatums veröffentlicht.
Dabei sollte eines direkt klargestellt werden: Daraus folgt nicht, dass der Berliner Senat einfach zwei Millionen Euro in Bitcoin hätte überweisen sollen. Eine Zahlung an eine Ransomware-Gruppe ist schon deshalb problematisch, weil niemand garantieren kann, dass die Daten anschließend tatsächlich gelöscht werden, weil damit kriminelle Strukturen finanziert werden und weil jedes erfolgreiche Geschäft das Modell für weitere Angriffe attraktiver macht.
Die Frage ist deshalb nicht, ob Berlin hätte zahlen müssen.
Die Frage ist, ob Berlin überhaupt zu einem Zeitpunkt belastbar beurteilen konnte, was die Alternative zum Zahlen tatsächlich kostet.
Und genau dort beginnt das Problem.
Nicht zahlen ist eine Entscheidung. Keine Risikoanalyse.
Der Satz „Wir lassen uns nicht erpressen“ suggeriert eine relativ einfache Situation: Auf der einen Seite stehen Kriminelle, auf der anderen der Staat, die Kriminellen verlangen Geld und der Staat zeigt Stärke, indem er dieses Geld nicht bezahlt. Nur funktioniert moderne Cybererpressung nicht so einfach, denn wenn Daten bereits kopiert wurden, geht es nicht mehr nur darum, ob irgendwelche Server wieder eingeschaltet werden können. Es geht um Informationen, die der Angreifer bereits besitzt und die sich möglicherweise überhaupt nicht mehr zurückholen lassen. Damit verändert sich die Entscheidung grundlegend, denn plötzlich steht nicht mehr nur die Frage im Raum, ob man einem Täter Geld überweist, sondern welche Folgen eintreten, wenn das nicht passiert.
Und genau dafür müsste man zunächst wissen, was sich eigentlich in diesen 5,8 Terabyte befindet. Inzwischen zeigen die Auswertungen, dass darunter personenbezogene Daten, Personalangelegenheiten, Arbeitszeugnisse und Notfallpläne liegen können. Berichtet wird außerdem über Daten zu besonders schützenswerten Einrichtungen, Heizkraftwerken, Tanklagern, Notstromanlagen, Umspannwerken, Gefängnissen, Wasserwerken sowie über Unterlagen zu Bundeswehr, Rüstungsunternehmen und der Erweiterung des Bundeskanzleramts. Selbst sensible Informationen zum Zustand der Berliner Wasserversorgung sollen sich darunter befinden.
Damit reden wir irgendwann eben nicht mehr über das klassische Szenario „ein paar Adressen sind abgeflossen“, sondern über einen Datenbestand, dessen Wert für einen Angreifer teilweise gerade darin besteht, dass sich bestimmte Informationen eben nicht einfach ändern lassen. Ein Passwort kann man zurücksetzen, ein Zertifikat sperren und ein Benutzerkonto schließen. Bei technischen Unterlagen, Standortinformationen, Notfallplänen, internen Kommunikationswegen oder Informationen über kritische Infrastruktur funktioniert das wesentlich schlechter. Einen Standort eines Umspannwerks verschiebt man schließlich nicht, weil dessen Dokumentation plötzlich im Darknet liegt, und auch ein Wasserwerk bekommt selten spontan eine neue Adresse, nur damit alte Unterlagen wertlos werden.
Genau deshalb ist auch die reine Datenmenge eine ziemlich nutzlose Kennzahl. 5,8 Terabyte können weitgehend belanglos sein oder ausgesprochen problematisch. Entscheidend ist nicht, wie viele Gigabyte ein Angreifer besitzt, sondern welche Informationen darin stecken, wie lange diese Informationen nutzbar bleiben und welche weiteren Angriffe sie ermöglichen. Gerade bei Behörden kommt hinzu, dass solche Daten nicht isoliert betrachtet werden können. Wenn aus Dokumenten hervorgeht, wer für bestimmte Bereiche zuständig ist, mit welchen Stellen kommuniziert wird, wie interne Abläufe funktionieren oder welche technischen Systeme eingesetzt werden, entsteht aus einem erfolgreichen Angriff möglicherweise gleich die Grundlage für den nächsten.
Der eigentliche Schaden beginnt möglicherweise erst jetzt
Bei personenbezogenen Daten sind die Folgen relativ offensichtlich. Namen, Anschriften, Personalinformationen, Ausweisdokumente oder interne Kontaktdaten können für Identitätsmissbrauch, gezieltes Phishing oder Social Engineering genutzt werden. Je mehr Informationen über eine Person vorhanden sind, desto glaubwürdiger kann ein späterer Angriff aufgebaut werden. Bei Behörden wird das zusätzlich problematisch, weil Angreifer möglicherweise nicht nur wissen, wer dort arbeitet, sondern auch wofür jemand zuständig ist, mit welchen anderen Stellen diese Person kommuniziert und welche internen Abläufe existieren.
Noch kritischer wird es dort, wo technische Informationen oder Unterlagen über kritische Infrastruktur betroffen sind. Solche Daten verlieren ihren Wert nicht automatisch nach ein paar Wochen. Manche Informationen können Jahre relevant bleiben, insbesondere dann, wenn sie sich auf Standorte, technische Systeme, Sicherheitskonzepte, Versorgungsinfrastruktur oder interne Notfallplanung beziehen. Deshalb lässt sich der Schaden heute auch noch gar nicht seriös beziffern, denn er besteht nicht nur aus IT-Forensik, neuen Passwörtern, zusätzlichen Servern oder Überstunden in irgendwelchen Behörden. Der eigentliche Schaden kann sich über Jahre fortsetzen, wenn personenbezogene Daten für Betrug genutzt werden, Sicherheitskonzepte geändert werden müssen, neue Angriffe vorbereitet werden oder technische Informationen über Infrastruktur weiterverwendet werden.
Und genau deshalb ist auch der Vergleich mit den verlangten zwei Millionen Euro relativ sinnlos. Die zwei Millionen Euro waren die Forderung der Täter, sie waren nicht automatisch der Schaden. Der tatsächliche Schaden kann geringer sein, er kann aber auch um Größenordnungen höher liegen und teilweise aus Dingen bestehen, die sich überhaupt nicht vernünftig in Euro ausdrücken lassen. Wer ausschließlich darüber diskutiert, ob man zwei Millionen Euro hätte bezahlen sollen, verengt die ganze Angelegenheit auf eine Zahl, obwohl die wesentlich wichtigere Frage lautet, welche Folgekosten und Sicherheitsrisiken durch die Veröffentlichung entstehen und ob diese vor der Entscheidung überhaupt ausreichend bekannt waren.
Besonders „clever“ war es auch, die laufende Erpressung öffentlich zu machen
Noch fragwürdiger wird die Sache allerdings an einem anderen Punkt, der in der bisherigen Diskussion aus meiner Sicht viel zu wenig berücksichtigt wird: Berlin machte nicht nur den Cyberangriff öffentlich, sondern später auch relativ detailliert die laufende Erpressung, die Forderung und sogar die mögliche Veröffentlichung der Daten. Nun ist Transparenz bei einem Angriff auf staatliche Systeme selbstverständlich notwendig. Bürger müssen irgendwann erfahren, dass ihre Daten betroffen sein könnten, Unternehmen müssen gegebenenfalls gewarnt werden und eine Regierung kann einen solchen Vorfall auch nicht einfach dauerhaft verschweigen. Aber Transparenz bedeutet eben nicht, während einer laufenden Erpressung freiwillig die gesamte Dramaturgie öffentlich aufzuführen.
Berlin teilte öffentlich mit, dass die Täter 30 Bitcoin verlangen, dass die Daten versteigert werden und dass eine Veröffentlichung unmittelbar bevorstehen könne. Gleichzeitig wurde öffentlich betont, dass sich Berlin nicht erpressen lasse. Damit wusste anschließend nicht nur die Berliner Öffentlichkeit, wie die Lage aussieht, sondern auch die Täter wussten ziemlich genau, wie sich die politische Führung öffentlich festgelegt hatte.
Und das ist bei einer laufenden Erpressung mindestens genauso töricht wie die Vorstellung, eine politische Parole könne eine Risikoanalyse ersetzen. Denn sobald eine Regierung öffentlich erklärt, nicht zahlen zu wollen, reduziert sie ihren eigenen Handlungsspielraum. Selbst wenn eine Zahlung niemals ernsthaft geplant gewesen wäre, kann Kommunikation mit einem Angreifer trotzdem sinnvoll sein, weil man Zeit gewinnen kann, zusätzliche Informationen bekommt, technische Gegenmaßnahmen vorbereitet oder schlicht versucht, die Veröffentlichung hinauszuzögern. Wer sich dagegen öffentlich festlegt, sorgt dafür, dass jede spätere Abweichung von dieser Position politisch als Einknicken interpretiert würde und baut sich seine eigene Sackgasse gleich mit dazu.
Noch problematischer ist, dass durch die öffentliche Bekanntgabe auch für die Täter der Druck steigt, ihre Drohung tatsächlich umzusetzen. Ransomware-Gruppen leben davon, dass zukünftige Opfer ihre Drohungen ernst nehmen. Wenn eine Gruppe groß ankündigt, Daten zu veröffentlichen, falls nicht bezahlt wird, und anschließend nach einer öffentlich breit diskutierten Ablehnung einfach nichts passiert, verliert diese Drohung beim nächsten Opfer einen Teil ihres Wertes. Durch die öffentliche Eskalation kann deshalb eine Situation entstehen, in der plötzlich auch die Täter ein eigenes Interesse daran haben, demonstrativ zu zeigen, dass sie ihre Drohungen umsetzen.
Berlin wollte öffentlich Stärke demonstrieren und hat damit möglicherweise gleichzeitig dafür gesorgt, dass Rhysida ebenfalls Stärke demonstrieren musste. Das ist eine bemerkenswert schlechte Ausgangslage für eine Verhandlung, selbst dann, wenn man gar nicht ernsthaft vorhat zu zahlen.
Transparenz und operative Kommunikation sind zwei verschiedene Dinge
Dabei wäre es ohne Weiteres möglich gewesen, die Öffentlichkeit zu informieren, ohne gleichzeitig Forderung, Verhandlungsposition und zeitlichen Ablauf auszubreiten. Man hätte mitteilen können, dass ein schwerer Cyberangriff festgestellt wurde, dass Daten abgeflossen sein könnten, dass Strafverfolgungs- und Sicherheitsbehörden eingebunden sind und dass Betroffene informiert werden, sobald hierzu belastbare Erkenntnisse vorliegen. Mehr braucht die Öffentlichkeit während der akuten Phase zunächst nicht.
Welche Forderung die Täter stellen, welche Kommunikation mit ihnen stattfindet und wie die Regierung mit dieser Forderung umgeht, gehört dagegen zumindest so lange nicht in eine politische Inszenierung, wie die Lage noch läuft. Das ist eigentlich keine revolutionäre Erkenntnis. Bei einer Geiselnahme würde auch niemand ernsthaft erwarten, dass Polizei und Innenministerium live erklären, welche Forderungen gestellt wurden, welche Verhandlungsstrategie verfolgt wird und was man auf keinen Fall tun werde. Bei Cyberangriffen scheint man dagegen bisweilen zu glauben, weil niemand mit Sturmhaube vor einer Bank steht, handle es sich hauptsächlich um ein IT-Problem und ein bisschen Pressearbeit.
Tut es nicht.
Und anschließend beginnt man mit der zentralen Krisensteuerung
Besonders interessant wird der zeitliche Ablauf nach der Veröffentlichung. Nachdem die gestohlenen Daten veröffentlicht worden waren, begannen Sicherheitsbehörden und IT-Forensiker, die Daten intensiv zu prüfen und daraus weitere Maßnahmen abzuleiten. Kurz darauf richtete die Senatskanzlei eine zusätzliche zentrale Steuerungseinheit unter Leitung des Chief Digital Officer ein, welche die Sichtung, Prüfung und Bewertung der abgeflossenen Daten koordinieren, Betroffene unterstützen und sicherstellen soll, dass relevante Landes- und Bundesstellen informiert werden. Die Analyse erfolgt ausdrücklich risikobasiert.
Das ist sinnvoll. Die Frage ist lediglich, weshalb eine solche Struktur bei einem Angriff dieser Größenordnung offensichtlich erst nach der Veröffentlichung der Daten eingerichtet wurde, denn genau diese risikobasierte Bewertung hätte man eigentlich so früh wie möglich benötigt. Welche Daten sind besonders kritisch, wer muss sofort informiert werden, welche Zugänge müssen gesperrt werden, welche Systeme müssen verändert werden, welche Einrichtungen müssen ihre Sicherheitsmaßnahmen anpassen und welche Risiken sind kurzfristig beziehungsweise möglicherweise dauerhaft? All diese Fragen werden jetzt mit Hochdruck beantwortet, nur liegen die Daten inzwischen bereits außerhalb der Kontrolle des Landes.
Es ist ein wenig so, als würde man nach einem Einbruch zunächst erklären, dass man sich von Einbrechern nicht einschüchtern lasse, anschließend öffentlich bekannt geben, wann die Täter wahrscheinlich das Diebesgut verteilen werden und danach eine Arbeitsgruppe gründen, die klären soll, was eigentlich gestohlen wurde.
Und während man noch auswertet, tauchen weitere Zugangsdaten auf
Dass die Lage noch lange nicht abgeschlossen ist, zeigt auch die weitere Entwicklung. Die Täter veröffentlichten ein weiteres Datenpaket, das nach Angaben des Berliner Senats unter anderem Zugangsdaten enthält. Daraufhin wurden bereits bestehende Sicherheitsmaßnahmen erneut überprüft und teilweise nachgeschärft, wodurch es wiederum zu Einschränkungen bei Fachverfahren kommen kann.
Dieser Vorgang zeigt ziemlich gut, weshalb der eigentliche Schaden eben nicht mit der ersten Veröffentlichung feststand. Weitere Datenpakete können folgen, Zugangsdaten müssen bewertet werden, Systeme oder Dienste können dadurch erneut betroffen sein und mögliche Folgeangriffe müssen berücksichtigt werden. Jedes neu veröffentlichte Datenpaket kann die Risikobewertung erneut verändern, weshalb Sicherheitsmaßnahmen laufend angepasst werden müssen.
Dass solche Maßnahmen nachgeschärft werden, ist selbstverständlich richtig. Gleichzeitig verdeutlicht es aber, dass die Berliner Behörden inzwischen in einer Situation sind, in der die Täter faktisch mitbestimmen, wann neue Informationen bekannt werden und wann die Verwaltung darauf reagieren muss. Das ist keine besonders komfortable Position und schon gar keine, in die man sich durch unnötig frühe öffentliche Festlegungen zusätzlich hineinmanövrieren sollte.
Berlin verwaltet nicht nur seine eigenen Daten
Bei einem privaten Unternehmen könnte man noch argumentieren, dass dieses selbst entscheiden muss, welches wirtschaftliche Risiko es eingeht. Bei einer staatlichen Behörde ist die Situation deutlich komplizierter, denn der Staat besitzt große Mengen personenbezogener Informationen nicht deshalb, weil Bürger irgendwann begeistert entschieden hätten, möglichst viele Daten bei einer Verwaltung abzugeben. Er verlangt sie.
Wer einen Bauantrag stellt, einen Ausweis benötigt, Leistungen beantragt, mit Behörden kommuniziert oder in irgendeiner anderen Form mit staatlichen Stellen zu tun hat, kann sich der Datenverarbeitung oft überhaupt nicht entziehen. Daraus entsteht eine besondere Verantwortung. Dasselbe gilt für Unternehmen und andere öffentliche Stellen, die Informationen an eine Verwaltung übermitteln.
Wenn Berlin Daten über Infrastruktur, Unternehmen oder andere staatliche Einrichtungen besitzt und diese Informationen anschließend durch einen Angriff veröffentlicht werden, entscheidet Berlin eben nicht ausschließlich über ein eigenes Risiko. Die möglichen Folgen treffen auch Dritte. Und genau deshalb ist die Frage, ob man sich „erpressen lässt“, eigentlich vollkommen falsch gestellt.
Die entscheidende Frage müsste lauten: Welche Handlung reduziert unter Berücksichtigung sämtlicher Betroffener den Gesamtschaden am stärksten?
Das Ergebnis kann trotzdem lauten, nicht zu zahlen. Aber der Weg zu dieser Entscheidung ist dann ein vollkommen anderer.
Was hätte man stattdessen tun müssen?
Zunächst hätte unmittelbar nach Feststellung des Datenabflusses eine zentrale Lage geschaffen werden müssen, in der IT-Forensik, LKA, BSI, Datenschutz, betroffene Senatsverwaltungen und gegebenenfalls weitere Bundesstellen gemeinsam bewerten, welche Informationen wahrscheinlich kompromittiert wurden. Nicht erst nachdem sie veröffentlicht wurden.
Parallel hätte jede Information priorisiert werden müssen, die eine unmittelbare Gefahr erzeugen kann, also insbesondere Zugangsdaten, technische Dokumentationen, Sicherheitskonzepte, Informationen über kritische Infrastruktur und personenbezogene Daten, mit denen gezielte Angriffe ermöglicht werden. Darauf aufbauend hätte man Schutzmaßnahmen einleiten können, bevor die Täter ihre Daten veröffentlichen. Zugänge hätten gesperrt, Zertifikate ausgetauscht, Passwörter geändert, betroffene Personen informiert, besonders exponierte Einrichtungen gewarnt und technische Sicherheitskonzepte überprüft werden können.
Gleichzeitig hätte man die Kommunikation mit den Tätern so behandeln müssen, wie man Kommunikation mit Erpressern grundsätzlich behandeln sollte: als Teil der operativen Lage und nicht als Gelegenheit für politische Selbstdarstellung. Ob man am Ende zahlt oder nicht, wäre anschließend anhand der gewonnenen Informationen zu entscheiden gewesen. Wahrscheinlich hätte auch dann vieles dafür gesprochen, nicht zu zahlen. Aber man hätte wenigstens versucht, den Schaden einer Veröffentlichung möglichst weitgehend vorzubereiten und abzufedern und sich vor allem nicht öffentlich selbst den Handlungsspielraum genommen.
Die zwei Millionen Euro sind am Ende wahrscheinlich die uninteressanteste Zahl
Die Diskussion darüber, ob Berlin zwei Millionen Euro hätte bezahlen sollen, ist deshalb aus meiner Sicht ohnehin zu kurz gegriffen. Interessanter ist, welchen wirtschaftlichen und sicherheitspolitischen Wert die veröffentlichten Informationen besitzen. Wenn Sicherheitskonzepte geändert werden müssen, Zugänge neu organisiert werden, Behörden und Unternehmen ihre Infrastruktur prüfen, Mitarbeiter über Jahre mit Identitätsmissbrauch rechnen müssen und möglicherweise zusätzliche technische oder bauliche Sicherungsmaßnahmen notwendig werden, können zwei Millionen Euro plötzlich ausgesprochen überschaubar wirken.
Das bedeutet weiterhin nicht, dass man sie hätte überweisen sollen. Es bedeutet nur, dass eine vernünftige Risikoanalyse nicht bei der Höhe des Lösegeldes endet. Wenn die Vermeidung einer Zahlung von zwei Millionen Euro später zehn, zwanzig oder fünfzig Millionen Euro Folgekosten erzeugt, ist es zumindest legitim zu fragen, ob die Entscheidung richtig vorbereitet wurde. Und wenn einzelne veröffentlichte Informationen sicherheitsrelevante Auswirkungen besitzen, die sich überhaupt nicht sinnvoll in Euro beziffern lassen, wird diese Frage noch wichtiger.
Der Angriff ist die Schuld der Täter. Der Umgang damit ist Sache der Politik.
Man sollte dabei zwei Dinge nicht vermischen. Verantwortlich für den Angriff, den Datendiebstahl und die Veröffentlichung sind die Täter, nicht der Berliner Senat. Aber die Frage, wie gut Systeme geschützt waren, weshalb Angreifer offenbar mehrere Tage Zugriff hatten, welche Daten in diesen Systemen lagen, wie schnell der Vorfall erkannt wurde und wie anschließend mit der Erpressung umgegangen wurde, fällt selbstverständlich in die Verantwortung der zuständigen Behörden und letztlich der politischen Führung.
Deshalb muss aufgearbeitet werden, wann genau bekannt war, welche Daten betroffen sein könnten, welche Stellen zu welchem Zeitpunkt eingebunden wurden, wann die möglichen Auswirkungen auf kritische Infrastruktur erkannt wurden, weshalb die Erpressung öffentlich so detailliert kommuniziert wurde und auf welcher konkreten Risikoabwägung die Entscheidung beruhte, die Forderung vollständig abzulehnen. Besonders interessant wäre dabei die Frage, ob die Regierung bereits vor Ablauf des Ultimatums dieselbe detaillierte Vorstellung vom möglichen Inhalt der Daten hatte, die man sich jetzt nach deren Veröffentlichung mit einer eigens eingerichteten Steuerungseinheit erarbeitet.
Falls ja, muss erklärt werden, weshalb nicht früher umfassendere Maßnahmen ergriffen wurden.
Falls nein, muss erklärt werden, auf welcher Grundlage die Konsequenzen einer Veröffentlichung überhaupt bewertet wurden.
Beides ist politisch nicht sonderlich angenehm.
„Wir lassen uns nicht erpressen“ klingt trotzdem besser
Vielleicht ist genau das der Grund, weshalb der Satz so gut funktioniert. „Wir lassen uns nicht erpressen“ ist einfach. Er benötigt keine Erklärung zu Risikomodellen, Datenschutz, kritischer Infrastruktur, möglichen Folgeangriffen oder langfristigen Sicherheitsproblemen. Er produziert sofort eine klare Rollenverteilung: hier der Staat, dort die Kriminellen, hier Standhaftigkeit, dort Erpressung.
Nur haben technische Systeme die ausgesprochen unangenehme Eigenschaft, sich von politischen Erzählungen nicht beeindrucken zu lassen. Berlin hat nicht gezahlt, Rhysida hat Daten veröffentlicht und inzwischen sind weitere Datenpakete aufgetaucht, die unter anderem Zugangsdaten enthalten. Sicherheitsmaßnahmen werden nachgeschärft und die Behörden untersuchen weiterhin, welche Risiken aus den Veröffentlichungen entstehen.
Ob die Entscheidung, nicht zu zahlen, richtig war, lässt sich deshalb heute noch nicht abschließend beantworten. Es ist durchaus möglich, dass sie es war. Was sich allerdings schon jetzt hinterfragen lässt, ist der Weg dorthin: Eine laufende Erpressung öffentlich zu machen, sich anschließend öffentlich auf eine Position festzulegen und erst nach der Veröffentlichung eine zusätzliche zentrale Struktur zur risikobasierten Auswertung der gestohlenen Daten einzurichten, wirkt zumindest nicht wie die Art von Krisenmanagement, aus der andere Verwaltungen später ein Best-Practice-Handbuch machen sollten.
Denn am Ende kann ein Staat selbstverständlich beschließen, einem Erpresser kein Geld zu geben. Er sollte nur vorher ziemlich genau wissen, was ihn diese Entscheidung möglicherweise kostet, und vor allem sollte er währenddessen nicht dem Erpresser noch dabei helfen, aus einer laufenden Erpressung ein öffentliches Ereignis mit Countdown zu machen.
Geld kann man ersetzen, Passwörter kann man ändern und Server kann man neu aufsetzen.
Veröffentlichte Informationen bekommt man nicht zurück.
Glossar
Begriffe verstehen.
Karte für Karte.
Klicke auf eine Karte, um die Erklärung aufzudecken.
Weiterdenken