Behörde veröffentlicht neue Details zum Angriff: Mit dieser Methode drangen die Hacker offenbar in Berlins IT-Netz ein
Die Sichtung des Daten-Leaks aus Berlins Verwaltung ist in vollem Gange. Ein Sicherheitsbericht liefert neue Erkenntnisse darüber, wie sich die Hacker wohl Zugriff zum IT-Netz verschafft haben.
- 3 min read
Ein einziger falscher Klick auf einen Link in einer Phishing-Mail – mehr brauchte es offenbar nicht, um den größten Daten-Leak in der Geschichte des Landes Berlin auszulösen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun neue Details zu dem Vorfall veröffentlicht. In einem Schreiben vom 4. September beschreibt die Behörde eine Angriffsmethode namens „TerminalFix“, mit der Kriminelle in Netzwerke eindringen. Die Analyse stützt sich auch auf Erkenntnisse von Microsoft.
Im BSI-Bericht selbst wird der Hackerangriff auf Berlins Verwaltung an keiner Stelle genannt. Lediglich von der „Kompromittierung des Netzwerks einer staatlichen Institution“ ist die Rede. Den Bezug zu Berlin stellte das BSI über einen Beitrag bei Mastodon her. Dort schreibt die Behörde, sie sei intensiv in die Aufarbeitung des Vorfalls in Berlin eingebunden und verlinkt auf den Bericht. „Damit steht fest: Die Senatsverwaltungen für Bauen und Verkehr wurden per TerminalFix attackiert“, heißt es in einem Beitrag des IT-Mediums „Heise“.
TerminalFix ist dem Bericht des BSI zufolge eine Weiterentwicklung der bereits bekannten Betrugsmasche „ClickFix“, vor der Microsoft laut „Heise“ schon Anfang 2026 gewarnt hatte. Neu ist demnach vor allem, dass die Angreifer damit nicht mehr nur einzelne Computer, sondern ganze Behördennetzwerke ins Visier nehmen können. In dem Bericht stuft das BSI die Bedrohung durch TerminalFix auf der zweiten von vier Warnstufen ein. „Maßnahmen müssen zeitnah ergriffen werden. Temporäre Beeinträchtigungen des Regelbetriebs möglich“, heißt es in der Erklärung.
Der allgemein beschriebene Ablauf sieht folgendermaßen aus: Nutzer landen auf einer manipulierten Internetseite. Im Fall Berlins war es ein Mitarbeiter der Senatsverkehrsverwaltung, der eine Phishing-E-Mail nicht erkannte und arglos einen Link anwählte. Angekommen auf der Webseite taucht ein vermeintlicher Sicherheitstest auf, ein sogenanntes Captcha, wie es häufig verwendet wird. Um diesen Test zu „bestehen“, sollen die Betroffenen einen Befehl in ein Windows-Programm eingeben, in dem man Kommandos an den Computer schicken kann.
Dieser Befehl wird in die Zwischenablage kopiert, die Nutzer müssen ihn nur noch ausführen. Während auf dem Bildschirm ein angeblich erfolgreicher Captcha-Test angezeigt wird, lädt der Computer im Hintergrund unbemerkt Schadsoftware herunter.
In Bildern versteckte Schadsoftware
Zusätzlich werden Bilddateien heruntergeladen, in denen noch mehr Schadcode versteckt ist. Dieser Schadcode wird „von der Malware auf dem System zusammengesetzt“, heißt es. Die Schadsoftware richtet sich anschließend dauerhaft auf dem Computer ein, versteckt eigene Dateien und meldet sich in regelmäßigen Abständen bei den Angreifern.
Danach können sich die Täter laut BSI im Netzwerk des Opfers umschauen. So finden sie heraus, wie wertvoll das gekaperte System für sie ist. Teils bereiten sie schon vorab Speicherplatz in der Cloud vor, um später gestohlene Daten dorthin zu kopieren. Außerdem bauen sie eine Art Fernzugang zum Netzwerk auf, über den sie von außen weiter Befehle schicken können, ohne dass dies zwangsläufig protokolliert wird.
Leichtes Spiel für die Hacker
Zudem erhalten die Angreifer laut „Heise“ Zugriff auf das Netz der attackierten Organisation. Alles, was der Nutzer tue, könne also überwacht und abgefangen werden, sofern es nicht sinnvoll verschlüsselt sei. In der Folge hören die Angreifer demnach mit und können auf die Dateien des Nutzers zugreifen. Mit den öffentlichen Passwortlisten der Berliner Behörden hätten die Hacker dann wohl leichtes Spiel dabei gehabt, tiefer ins System einzudringen, heißt es in dem „Heise“-Beitrag.
Als eingesetzte Schadsoftware nennt das BSI in dem Bericht die Familie „LoremIpsumLoader“ (auch „AxolotLoader“ genannt), die nach Kenntnis der Behörde der Hackergruppe „Rhysida“ zugeordnet wird. Dass die Gruppe hinter dem Angriff auf Berlins Verwaltung stecken soll, ist bereit seit Längerem bekannt.
Das BSI erklärte auf Mastodon, es sei intensiv an der Aufarbeitung des Berliner Vorfalls beteiligt gewesen und habe die dabei gewonnenen Erkenntnisse genutzt, um den Schutz von Bund, Ländern und kritischer Infrastruktur zu verbessern. Zudem habe man Institutionen für die Gefahr sensibilisiert.