Täter ausbremsen, Stärke zeigen! : Ein Gast-Kommentar vom Stuttgarter Experten für Cybersicherheit Mirko Ross
Der Angriff der Rhysida-Gruppe auf die Berliner Senatsverwaltung wirft die Frage auf, wie der Staat Ransomware-Attacken auf öffentliche Stellen verfolgen soll. Mirko Ross fordert, sie als Terrorismus zu behandeln.
Der Angriff der Rhysida-Ransomware-Gruppe auf den Berliner Senat hat eine öffentliche Debatte über das Ausmaß möglicher Schäden durch die Veröffentlichung sensibler Daten im Darknet entfacht. Das Problem: Berliner Senat, Politik und Presse reduzieren diesen Vorgang auf gewöhnliche Cyberkriminalität. Doch der Fall legt nahe, dass die Veröffentlichung von internen Daten der Verwaltung und Bürger im Darknet eine schwerwiegende Störung des öffentlichen Lebens darstellt. Daher wäre es richtiger, diese Attacke sowohl rechtlich als auch politisch als das einzustufen, was sie faktisch ist: ein Terrorakt, der sich gegen Einrichtungen des Staates und gegen dessen Vertreter und Bürger richtet.
Von enormer Wichtigkeit ist es nun, die Täter mit allen Mitteln der Terrorabwehr zu verfolgen. Denn wenn unser Staatswesen durch Cyberattacken angegriffen wird, muss sich dieser Staat als widerstandsfähig erweisen. Die aktuelle Reaktion auf den Vorfall in Berlin lässt genau diese Signale der Stärke in Richtung der Angreifer vermissen. Unter diesen Gesichtspunkten ist die Reduzierung des Berliner Cybervorfalls auf eine kriminelle Tat unzulänglich und ein Signal der Schwäche gegenüber den Angreifern. Denn allein mit polizeilichen Mitteln ist den Tätern im internationalen Kontext der verübten Tat nur schwer habhaft zu werden.
Die Aktion der Täter gegenüber dem zahlungsunwilligen Erpressungsopfer dient in erster Linie dazu, für Verhandlungen mit weiteren Erpressungsopfern eine deutliche Entschlossenheit zu zeigen und damit die Zahlungen von Lösegeldern zu erwirken. Es geht also nicht nur um Berlin, sondern um erneute aktuelle und zukünftige Ransomware-Angriffe. Der Terror durch Ransomware wird nicht einfach durch Mittel der Strafverfolgung enden. Also sollten wir die Angriffe durch Ransomware auf Staat und Wirtschaft nicht nur als Terror bezeichnen, sondern auch als Taten von Terroristen behandeln.
Gute Argumente für eine Terrorismus-Einstufung sind vorhanden. Ein gezielter Angriff auf die Berliner Senatsverwaltung hat auch gravierende Konsequenzen für die staatliche Daseinsvorsorge. Sofern Bürger ihre Rechte nicht mehr wahrnehmen können und staatliche Stellen handlungsunfähig werden, droht die gesellschaftliche Ordnung ins Wanken zu geraten.
Das Erpressen von Lösegeld durch die Androhung der Veröffentlichung schutzwürdiger Daten führt in der Bevölkerung zur Herausbildung eines Gefühls der Ausgeliefertseins und untergräbt das Vertrauen in die Schutzfunktion des Staates. Aus dieser Perspektive erscheint die Klassifizierung solcher Taten als reine Kriminalität als nicht angemessen, da sie die reale Zerstörungskraft in der gesellschaftlichen Dimension nicht adäquat widerspiegelt. Zudem sind Ransomware Akteure ein fester Bestandteil der hybriden Kriegsführung. Kriminelle Akteure handeln zwar aus vorwiegend monetären Interessen, sind aber eingebunden in einem ideologischen Rahmen und ein System, das die zerstörerische und zersetzende Wirkung von Ransomware gegenüber westlichen Staaten gezielt nutzt und fördert.
Eine Ausweitung des Begriffs des Terrorismus auf Ransomware-Akteure, die unsere staatliche Infrastruktur angreifen, würde es erlauben, die Instrumente der Terrorabwehr zu nutzen. Dazu gehört der Einsatz und die Anwendung von nachrichtendienstlichen Mitteln, um den Verfolgungsdruck auf Akteure zu erhöhen. Ermittlungsbehörden bedürfen einer Ausstattung, die derjenigen in der Terrorbekämpfung entspricht, um Geldströme im Netz offenzulegen, kriminelle Akteure und Unterstützer zu identifizieren und deren Handlungen nachrichtendienstlich aufzuklären.
Nur wenn der Staat deutlich seine Zähne zeigt, werden Ransomware-Akteure die Angriffe einschränken.
Autor
Mirko Ross ist Gründer und CEO der asvin GmbH, Stuttgart. Der Beitrag gibt die persönliche Auffassung des Autors wieder.
Hinweis: Wer mehr von Mirko Ross hören und sehen will, hat dazu auf der DNS-Konferenz während der Fachmesse Security in Essen Gelegenheit. Dort spricht er über „Robotik und agentische KI: Wenn Maschinen eigenständig handeln – Chancen und Risiken“ – über Angriffsvektoren auf KI-Agenten und wie sich Unternehmen davor schützen können. Das Konferenzprogramm mit allen wichtigen Informationen ist hier verfügbar.