Hadmut Danisch
Ansichten eines Informatikers

Über den Berlin-Hack – ist der überhaupt echt?

Hadmut
7.9.2026 17:14
Uncategorized

Irgendwie drängt sich mir die grundsätzliche Frage auf, ob das überhaupt ein Hack von außen war.

Könnte es sein, dass das ein Insider-Job war, der nur als Hack und Erpressung getarnt wird? Dass es in Wirklichkeit darum ging, terror- und sabotagerelevante Informationen an Linksextremisten weiterzugeben?

Mir geht dieser Gedanke durch den Kopf: Immer wieder passiert es, dass Parteien und Politiker Kritiker – wie mich – „markieren“, in dem sie sie öffentlich als „rechts“ oder „Holocaust-Relativierer“ bezeichnen, wie es mir mit dieser Kontext-Wochenzeitung passiert ist.

Was steckt dahinter?

Es geht darum, Leute für linke Terroristen als Angriffsziele zu markieren, ohne dass es dabei jemals zu einer Kommunikation käme, mit denen man sie hinter kompromittieren könnte, mit denen man ihnen nachweisen könnte, dass die etwas damit zu tun haben. Man kommuniziert typische Markierungseigenschaften einfach über öffentliche Medien – und sogenannte „autonome Zellen“, die nach außen hin mit gar niemandem kommunizieren, nicht so, dass man das entdecken oder nachweisen könnte, nehmen das dann auf, um Anschläge zu verüben. Und niemand kann einen Zusammenhang beweisen.

Was mir nämlich auffällt, ist die zeitliche Nähe dieses Datenleaks a) zu Anschlägen auf die Stromversorgung und b) zur Wahl in Sachsen-Anhalt. Und c) zu den absehbaren Zugewinnen der AfD bei der nächsten Berlin-Wahl am 20.9.2026, also in zwei Wochen.

Könnte es also sein, dass da linke Aktivisten, die es ja überall gibt, noch massenweise Daten rausgetragen haben, bevor die AfD in Berlin in irgendeine Machtposition kommt?

Normalerweise würde man dann, wenn es einen Anschlag etwa auf eine Stromversorgung gibt, fragen, wer da normalerweise Zugang zu diesen Daten hat. Ist der linksextrem? Hat der Kontakt mit Linksextremen? Das zurückverfolgen zu denen, die Zugang haben.

Baut man aber den großen Hack und eine Erpressung außenrum, hat man, wie die Geheimdienste das nennen würden, Legende dafür aufgebaut, wie diese Daten an die Öffentlichkeit gelangen konnten. Die, die regulär Zugang haben, stehen nicht mehr im Verdacht.

Ist das alles also ein bewusster, inszenierter Leak, um Anschlagsdaten an die Antifa zu übergeben?

Folgende Beiträge sind mir heute über den Weg gelaufen:

Gut, das ist nicht sehr logisch und eine kommentieren, das sei Mist, aber anhören kann man sich das mal und darüber nachdenken.

Interessanter wird inzwischen die Frage des Initial Access.
Der Tagesspiegel berichtet nach Gesprächen mit Beteiligten, ein Mitarbeiter der Verkehrsverwaltung habe eine Phishing-Mail nicht erkannt und einen darin enthaltenen Link geöffnet. Sollte sich diese Rekonstruktion bestätigen, wäre der erste Schritt des Angriffs zunächst bemerkenswert unspektakulär.

Das wäre allerdings keine Entschuldigung für den weiteren Verlauf.
Phishing gehört seit Jahren zum normalen Bedrohungsmodell großer Organisationen. Bei mehreren tausend Mitarbeitern muss eine Sicherheitsarchitektur grundsätzlich davon ausgehen, dass irgendwann ein Benutzer eine überzeugend gestaltete Phishing-Mail öffnet. Moderne IT-Sicherheit soll deshalb nicht ausschließlich verhindern, dass der erste Fehler geschieht. Sie soll verhindern, dass aus einem einzelnen kompromittierten Arbeitsplatz ein organisationsweiter Incident entsteht.

Genau hier liegen inzwischen die entscheidenden Fragen.
Nach der Rekonstruktion des Tagesspiegels wurde der Angriff offenbar nicht durch die Erkennung eines ungewöhnlich großen Datenabflusses entdeckt. Am 13. August wurde zunächst eine vermeintlich gewöhnliche Störung eines Domain Controllers gemeldet. Das CERT des ITDZ untersuchte den Vorgang und stellte dabei Auffälligkeiten fest, die schließlich auf größere Probleme innerhalb der Verkehrs- und Stadtentwicklungsverwaltung hindeuteten. Am folgenden Tag wurden beide Verwaltungen vom Netz getrennt.

Sollte diese Timeline forensisch bestätigt werden, wäre sie sicherheitstechnisch außerordentlich relevant. Denn nach bisherigem Kenntnisstand sollen bereits seit dem 7. August Daten abgeflossen sein.
Damit stellt sich nicht nur die Frage, wie die Täter Zugang erhielten.

Es stellt sich vor allem die Frage, warum die nachfolgenden Aktivitäten über mehrere Tage nicht ausreichend erkannt wurden.
Nach einem erfolgreichen Initial Access folgen bei professionellen Angriffen typischerweise weitere Phasen: Persistence, Discovery, Credential Access, Privilege Escalation, Lateral Movement, Collection, Staging und schließlich Exfiltration.

Jede dieser Phasen kann Telemetrie erzeugen.
Ungewöhnliche Authentifizierungen, Active-Directory-Abfragen, Massenzugriffe auf Dateien, auffällige Service Accounts, neue Prozesse, Archive, ungewöhnlicher East-West-Traffic oder externe Verbindungen sind genau die Ereignisse, für deren Erkennung EDR, NDR, SIEM und SOC-Strukturen existieren.

Das ist etwas leicht dahergeredet. Man müsste zunächst mal wissen, von wo die Daten abgeflossen sind, und wieviel der normale Umfang ist. War der Abfluss 10 Mal so hoch wie normal? Doppelt? Nur 10% mehr?

Ich mag das nicht, wenn die Leute so ins Blaue schlaumeiern.

Die Frage ist nämlich: Wurden die Daten überhaupt über das Netz übertragen? Oder auf Datenträgern herausgetragen?

Der Tweet ist ein schöner Aufsatz. Schön dahergesagt. Schön theoretisch. Die Praxis ist aber anders.

Ich würde zunächst mal fragen, ob die Sache überhaupt so abgelaufen ist, wie das dargestellt wird.