Berlin-Leak größer als bekannt: Personalakten, Bußgeldverfahren und Behörden-E-Mails im Darknet

Der Cyberangriff auf die Berliner Verwaltung entwickelt sich zu einem der schwerwiegendsten Datenschutzvorfälle einer deutschen Behörde. Nachdem bereits bekannt war, dass rund 1,4 Millionen Dateien mit einem Umfang von etwa 5,8 Terabyte im Darknet veröffentlicht wurden, zeigt eine aktuelle Auswertung der B.Z., wie tief der Angriff offenbar in die Berliner Verwaltung hineinreicht.

Danach befinden sich in dem Datenbestand nicht nur technische Unterlagen und allgemeine Verwaltungsdokumente. Betroffen sein sollen vollständige E-Mail-Postfächer, Personalakten, Geburtsurkunden, Bürgerbeschwerden, Bußgeldverfahren, Führerscheine, Meldeauskünfte und Dokumente über kritische Infrastrukturen.

Die neuen Erkenntnisse verschärfen die datenschutzrechtliche Bewertung erheblich. Zugleich wächst der Handlungsdruck auf das Land Berlin, betroffene Personen konkret und unverzüglich zu informieren.

BZ öffnet Suchtool für Bürger

Die BZ hat auf Ihrer Webseite ein Suchtool freigeschaltet in den Betroffene nach Ihren Daten suchen können:

B.Z.: „Berlin Leaks! Sind Ihre Daten auch dabei?“

Das Tool erhebt keine Anspruch auf Vollständigkeit und die Daten werden fortlaufend ergänzt. Falls Sie Ihren Namen in den geleakten Akten finden, helfen wir Ihnen gerne weiter.

Was die B.Z. in den veröffentlichten Daten gefunden hat

Nach eigenen Angaben liegen der B.Z. die im Darknet veröffentlichten Dateien vor. Ein Team aus Journalisten und Datenexperten habe das Material seit mehreren Tagen systematisch ausgewertet. Bereits das Inhaltsverzeichnis soll mehr als eine Million Zeilen umfassen.

Der Datenbestand soll weit über einzelne Sachakten der Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt hinausgehen. Die B.Z. berichtet unter anderem über:

• vollständige E-Mail- und Archivbestände aus der Behördenleitung,
• interne Vermerke und Aufsichtsratsunterlagen,
• Bürgerbeschwerden und Verwaltungsvorgänge,
• vertrauliche Notfall- und Katastrophenschutzpläne,
• Unterlagen zur Berliner Wasser- und Energieversorgung,
• Akten zu Großprojekten und Unternehmen,
• Ordnungswidrigkeitenverfahren mit Klarnamen,
• Führerscheine, Zulassungsbescheinigungen und Meldeauskünfte,
• vollständige Personalakten einschließlich Geburtsurkunden,
• Lebensläufe, Personalgespräche und weitere Beschäftigtendaten.

Besonders groß ist offenbar der Anteil der E-Mail-Kommunikation. Nach der Auswertung sollen sich allein in einem Ordner vollständige Postfachsicherungen von 858 Beschäftigten mit einem Umfang von rund 2,5 Terabyte befinden. Hinzu kämen fast 130.000 einzelne E-Mail-Dateien.

Im Personalbereich soll der Leak unter anderem 45 vollständige Personalakten mit Geburtsurkunden sowie mehr als 9.000 Dateien zu Personalangelegenheiten in einem ausdrücklich als vertraulich bezeichneten Ordner enthalten.

Tausende Bürger könnten unmittelbar betroffen sein

Besonders schwer wiegen die Erkenntnisse zu Ordnungswidrigkeitenverfahren. Die B.Z. berichtet von einem als personenbezogen gekennzeichneten Bereich mit 29.758 Dateien. In den Unterordnern sollen Aktenzeichen und Klarnamen enthalten sein. Teilweise sei bereits aus dem Ordnernamen ersichtlich, welcher Verstoß einer Person vorgeworfen wurde.

Betroffen seien unter anderem Verfahren wegen mutmaßlicher Verstöße gegen das Abfall-, Verpackungs- oder Straßenreinigungsrecht. Die veröffentlichten Unterlagen sollen Anhörungen, Bußgeldbescheide, Meldeauskünfte, Fotos, Führerscheine, Zulassungsbescheinigungen sowie Informationen über Ratenzahlungen und Vollstreckungsmaßnahmen enthalten.

Brisant ist, dass sich darunter offenbar auch eingestellte Verfahren befinden. Dadurch können Personen mit einem Vorwurf in Verbindung gebracht werden, obwohl dieser gerade nicht zu einer Verurteilung oder bestandskräftigen Sanktion geführt hat. Der mögliche Schaden beschränkt sich daher nicht auf Identitätsdiebstahl. Denkbar sind auch Rufschädigungen, berufliche Nachteile und die Verbreitung falscher oder unvollständiger Verdächtigungen.

Auch die politische Leitung und kritische Infrastruktur betroffen

Nach der B.Z.-Auswertung reichen die Datenbestände bis in die Leitungsebene der Verkehrsverwaltung. Aufgeführt seien E-Mail-Archive aus dem Umfeld der amtierenden Verkehrssenatorin sowie ihrer Amtsvorgängerinnen und verschiedener Staatssekretäre aus den Jahren 2022 bis 2026.

Daneben sollen Unterlagen zur kritischen Infrastruktur veröffentlicht worden sein. Genannt werden Gefährdungsabschätzungen zur Berliner Wasserversorgung, Szenarien für einen großflächigen Stromausfall, interne Prüfberichte über Cyberrisiken sowie Dokumente zur Netzleitstelle und zu Rechenzentren des Stromnetzbetreibers.

Weitere Dateien sollen sich auf den „Operationsplan Deutschland“, den Erweiterungsbau des Bundeskanzleramts, die BND-Zentrale, die A100, das Tempelhofer Feld, ein mögliches Hertha-Stadion und Genehmigungsverfahren im Zusammenhang mit Tesla beziehen.

Damit ist der Vorgang nicht mehr nur ein Datenschutzproblem. Er berührt möglicherweise auch den Geheimschutz, die Sicherheit kritischer Infrastrukturen und staatliche Schutzinteressen.

Warum die neuen Erkenntnisse Fragen an die Berliner Verwaltung aufwerfen

Verantwortlich für den Angriff sind zunächst die Täter. Ein erfolgreicher Cyberangriff bedeutet nicht automatisch, dass die betroffene Behörde gegen die DSGVO verstoßen hat. Kein IT-System kann einen absoluten Schutz vor professionellen Angreifern gewährleisten.

Art. 32 DSGVO verlangt aber technische und organisatorische Maßnahmen, die dem bestehenden Risiko angemessen sind. Je sensibler und umfangreicher die gespeicherten Daten sind, desto höher sind die Anforderungen an Zugriffsschutz, Verschlüsselung, Protokollierung, Überwachung und Trennung der Systeme.

Die neuen Berichte werfen daher mehrere kritische Fragen auf:

Warum waren so unterschiedliche Daten gemeinsam erreichbar?

Wenn Angreifer gleichzeitig auf E-Mail-Archive, Personalunterlagen, Bußgeldakten, Bürgerbeschwerden und Dokumente zur kritischen Infrastruktur zugreifen konnten, spricht dies zumindest für eine erhebliche Reichweite der kompromittierten Zugangsrechte.

Zu prüfen ist, ob die Systeme ausreichend segmentiert waren und ob Beschäftigte oder technische Konten nur auf diejenigen Daten zugreifen konnten, die für ihre Tätigkeit erforderlich waren.

Warum wurden vollständige Postfächer über Jahre gespeichert?

Vollständige E-Mail-Archive aus mehreren Jahren enthalten regelmäßig zahlreiche personenbezogene Daten, vertrauliche Kommunikation und Informationen über unbeteiligte Dritte. Die Speicherung solcher Bestände muss sich an den Grundsätzen der Datenminimierung und Speicherbegrenzung aus Art. 5 DSGVO messen lassen.

Nicht jede dienstliche E-Mail muss dauerhaft aufbewahrt werden. Archivierungsinteressen rechtfertigen keine unbegrenzte Vorratsspeicherung vollständiger Postfächer.

Warum konnte der Datenabfluss mehrere Tage andauern?

Nach dem bisherigen Stand sollen die Angreifer zwischen dem 7. und 12. August Daten kopiert haben. Bemerkt wurde der Angriff am 14. August. Medien berichten unter Berufung auf Recherchen des Tagesspiegels, Ausgangspunkt könne ein angeklickter Phishing-Link gewesen sein. Abschließend bestätigt ist der konkrete Angriffsweg bislang nicht.

Unabhängig vom ersten Eindringen stellt sich die Frage, warum ungewöhnlich große Datenbewegungen nicht früher erkannt und unterbrochen wurden. Bei einem Abfluss von mehreren Terabyte geht es nicht nur um die Wirksamkeit von Spamfiltern, sondern auch um Netzwerküberwachung, Zugriffskontrollen und Systeme zur Erkennung auffälliger Aktivitäten.

Das Land muss die Betroffenen selbst informieren

Die B.Z. bietet Lesern eine Möglichkeit, anhand bestimmter Angaben zu prüfen, ob eine eigene Betroffenheit in Betracht kommt. Dies kann ein hilfreicher erster Hinweis sein. Es ersetzt jedoch nicht die gesetzlichen Pflichten der Berliner Behörden.

Nach Art. 34 DSGVO müssen betroffene Personen ohne unangemessene Verzögerung benachrichtigt werden, wenn die Datenschutzverletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat.

Bei vollständigen Personalakten, Geburtsurkunden, Meldeauskünften, Führerscheinen, E-Mail-Postfächern oder Unterlagen über Vollstreckungsmaßnahmen liegt ein solches hohes Risiko regelmäßig nahe. Die Betroffenen dürfen deshalb nicht darauf verwiesen werden, selbst Medienberichte oder Datenbanken zu durchsuchen.

Die Information muss verständlich erläutern:

• welche Daten der konkreten Person betroffen sind,
• aus welchem Verwaltungsvorgang sie stammen,
• welche möglichen Folgen bestehen,
• welche Schutzmaßnahmen die Behörde ergriffen hat und
• an wen sich die betroffene Person wenden kann.

Eine pauschale Mitteilung, Daten könnten möglicherweise betroffen sein, dürfte bei bereits identifizierten Personen nicht genügen.

Welche Rechte haben Betroffene jetzt?

Wer in den vergangenen Jahren mit der Verkehrs- oder Bauverwaltung zu tun hatte, dort beschäftigt war, sich beworben hat oder Adressat eines Verwaltungs- oder Bußgeldverfahrens war, kann Auskunft nach Art. 15 DSGVO verlangen.

Die Anfrage sollte insbesondere folgende Punkte umfassen:

• Sind meine personenbezogenen Daten Bestandteil der entwendeten Dateien?
• Welche konkreten Dokumente und Datenkategorien sind betroffen?
• Wurden meine Daten im Darknet veröffentlicht?
• Wann hat die Behörde von meiner individuellen Betroffenheit erfahren?
• Welche Sicherheits- und Schutzmaßnahmen wurden ergriffen?
• Welche Speicher- und Löschfristen galten für die betroffenen Daten?

Daneben kommt eine Beschwerde bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit in Betracht. Gerne helfen wir Ihnen weiter.

Schadensersatz nach Art. 82 DSGVO

Betroffene können nach Art. 82 DSGVO Ersatz materieller und immaterieller Schäden verlangen. Ein Zahlungsanspruch entsteht allerdings nicht bereits automatisch durch jeden Datenschutzverstoß.

Erforderlich ist ein konkreter Schaden. Dieser kann beispielsweise bestehen in:

• einem nachweisbaren Kontrollverlust über besonders persönliche Daten,
• einer begründeten Angst vor Identitätsmissbrauch,
• konkreten Phishing- oder Betrugsversuchen,
• unberechtigten Vertragsabschlüssen oder Abbuchungen,
• beruflichen oder persönlichen Rufschäden,
• Kosten für neue Dokumente oder weitere Schutzmaßnahmen.

Bei vollständigen Personalakten, Ausweisdokumenten oder veröffentlichten Vorwürfen aus eingestellten Verfahren kann die Beeinträchtigung erheblich sein. Entscheidend bleibt jedoch immer die individuelle Situation.

Praxis-Tipp: Auskunft verlangen und Schäden dokumentieren

Betroffene sollten nicht selbst versuchen, den Datensatz im Darknet herunterzuladen. Dadurch können zusätzliche Sicherheitsrisiken entstehen. Außerdem können in den Dateien Daten zahlreicher anderer Personen enthalten sein.

Sinnvoller ist es, die zuständige Behörde schriftlich zur Auskunft aufzufordern. Verdächtige E-Mails, Anrufe, Vertragsbestätigungen, Kontobewegungen und sonstige Anzeichen eines Datenmissbrauchs sollten mit Datum dokumentiert werden. Passwörter sind zu ändern und, soweit möglich, durch eine Mehrfaktor-Authentifizierung abzusichern.

Wer eine behördliche Benachrichtigung erhält, sollte diese dauerhaft aufbewahren. Sie kann später ein wichtiges Beweismittel für die Durchsetzung von Schadensersatzansprüchen sein.

Fazit

Die neuen Recherchen der B.Z. zeigen, dass der Berliner Datenabfluss offenbar erheblich tiefer reicht als zunächst bekannt. Die Veröffentlichung vollständiger Postfächer, Personalakten, Bußgeldvorgänge und Unterlagen über kritische Infrastruktur lässt erhebliche Zweifel an der Begrenzung von Zugriffsrechten, an Löschkonzepten und an der Überwachung großer Datenbewegungen entstehen.

Jetzt genügt es nicht, lediglich abstrakt auf laufende Untersuchungen hinzuweisen. Das Land Berlin muss schnell feststellen, welche Personen konkret betroffen sind, und diese verständlich und individuell informieren.

Als Rechtsanwalt und Datenschutzbeauftragter unterstütze ich Beschäftigte, Bürger und Unternehmen bei der Durchsetzung ihrer Auskunftsrechte, bei Beschwerden gegenüber der Datenschutzaufsicht und bei der Prüfung möglicher Schadensersatzansprüche nach Art. 82 DSGVO.

 

FAQ

Kann ich beim Land Berlin Auskunft über meine Daten verlangen?

Ja. Nach Art. 15 DSGVO können Betroffene von der zuständigen Behörde Auskunft darüber verlangen, ob und welche personenbezogenen Daten vom Cyberangriff betroffen sind.

Muss Berlin mich von sich aus informieren?

Besteht voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten, muss die verantwortliche Behörde Sie nach Art. 34 DSGVO ohne unangemessene Verzögerung benachrichtigen.

Besteht automatisch ein Anspruch auf Schadensersatz?

Nein. Erforderlich ist neben einem Datenschutzverstoß ein konkreter materieller oder immaterieller Schaden. Dieser kann auch in einem nachweisbaren Kontrollverlust oder einer begründeten Angst vor Datenmissbrauch liegen.

Sollte ich selbst im Darknet nach meinen Daten suchen?

Davon ist abzuraten. Der Download kann Sicherheitsrisiken mit sich bringen und zugleich personenbezogene Daten zahlreicher anderer Menschen betreffen. Der bessere Weg ist eine förmliche Auskunftsanfrage bei der zuständigen Behörde.

Was sollte ich bei einem Missbrauch meiner Daten tun?

Beweise sichern, Passwörter ändern, Bank oder Vertragspartner informieren und bei Betrug oder Identitätsdiebstahl Strafanzeige erstatten. Anschließend sollte geprüft werden, ob Schadensersatzansprüche gegen die verantwortliche Stelle bestehen.