Berlin wusste seit Jahren, dass sein Landesnetz für Verschlusssachen nicht ausreichend gerüstet war. Trotzdem blieb es bei Zwischenlösungen, Einzelrechnern und Papierakten. Dann kamen die Angreifer früher als die geplante Lösung. Doc Storage kommentiert Behörden-IT zwischen Versäumnissen, Aktionismus und erstaunlicher Gelassenheit.

Kommentar Doc Storage:

Ernsthaft!!! Nach langer Zeit muss ich mal wieder. Man hält es ja nicht mehr aus!

Berlin. In einer auf den 2. Dezember 2024 datierten internen Unterlage, die laut Medienberichten für die Senatssitzung am 25. Februar 2026 bestimmt war, benennt die Innenverwaltung eine »bislang bestehende Fähigkeitslücke: flächendeckende Lagerung, Empfang und Versand von Verschlusssachen. Unterlagen der Stufe VS-NfD können nicht über den normalen Dienstweg verteilt werden. Nur per Hauspost oder verschlüsselt.«

Im April 2025 hält eine Handreichung der Senatskanzlei fest: »Das Berliner Landesnetz ist für die Übertragung elektronischer Verschlusssachen aktuell noch nicht zugelassen.« Man einigt sich auf eine Verschlüsselungs-Software. Laut Handreichung handele es sich dabei lediglich um eine »Zwischenlösung, bis das Berliner Landesnetz für VS-NfD ertüchtigt ist«.

Diese Zwischenlösung für 37(!) Behörden: jeweils ein Rechner ohne Netzanschluss, ein USB-Stick, ein abschließbarer Schrank und ein Aktenvernichter. Kosten laut Handreichung: knapp 1.000 Euro pro Arbeitsplatz. Die verschlüsselte Datei darf dann laut der beigefügten Anleitung sogar per normaler, unverschlüsselter Mail verschickt werden.

Hauptstadt als Hochwertziel – Lösung irgendwann 2027

Im März 2026 wird in einer »Dringlichkeitssitzung« die »Neuausrichtung der zivilen Verteidigung« diskutiert. Die Senatsvorlage nennt »Berlin als Hauptstadt ein Hochwertziel«. Die Senatskanzlei soll mit dem Landes-IT-Dienstleister ITDZ »bis 2027« eine Lösung für den sicheren digitalen Austausch von Verschlusssachen erarbeiten. Ob diese Systeme »gehärtet« werden müssen, wollte die Senatskanzlei erst noch prüfen.

Bis Juni 2026 sollte jede Katastrophenschutzbehörde einen Einzelrechner für Verschlusssachen erhalten. Ob dies allerdings tatsächlich umgesetzt wurde, geht aus keiner Akte hervor. Am 8. Juli 2026, einen Monat vor dem nun allgemein bekannten Vorfall, hält die Umweltverwaltung im Entwurf eines »Notfallplans« für die Trinkwasserversorgung fest: »Da die IT-Strukturen der Abt. II SenMVKU weder vom BSI zertifiziert sind noch den Anforderungen einer Zertifizierung durch das BSI genügen, ist es nicht möglich, sensible Dokumente des WVU oder Unterlagen mit der Klassifizierung VS-NfD digital zu speichern und zu bearbeiten.« Der vertrauliche Teil des Plans existiere deshalb »nur in Papierform«.

Und dann kommen die Kriminellen

Man weiß nicht, ob man lachen oder weinen soll. Kurz nachdem die Kriminellen die 37 betroffenen Behörden datenmäßig auf links gedreht und mehrere TByte an Daten abgezogen haben – vom Senat euphemistisch als »Vorfall« bezeichnet –, sagt Staatssekretär F. Hauer, natürlich ein Beamter, im Innenausschuss, es seien »nur« Daten der niedrigsten Geheimhaltungsstufe VS-NfD gestohlen worden. Nur im Sinne von »lediglich«! Also genau die Stufe, für die das Landesnetz laut den eigenen Akten ebenfalls nicht zugelassen war oder ist. Zugleich räumt derselbe Hauer »strukturelle Defizite« ein, welche »schon vor Jahren entstanden« seien. Geplant seien Maßnahmen, »die auch nicht wenig Geld kosten werden, um das System kurzfristig auch zu erhärten«.

Das Einfallstor der Kriminellen war nach Angaben des BSI – natürlich – ein gefälschtes Captcha auf einer Webseite. Also ein kleiner Test, der verwendet wird, um festzustellen, ob ein Mensch oder eine Maschine beteiligt ist. Ob diese Lücke den Angriff tatsächlich erleichtert hat, ist allerdings nicht belegt. Belegt dagegen ist: Sowohl die Berliner Regierung als auch die betroffenen Behörden wissen seit knapp zwei Jahren, dass ihre Netze für Verschlusssachen nicht zugelassen sind. Die Lösung wurde für 2027 geplant. Die Kriminellen hielten sich allerdings unverschämterweise nicht an diesen Plan und kamen bereits im August 2026.

Der gespielte Witz: Ein großer Teil dieses »Plans« lag auf genau dem Server, der einen Monat später geplündert wurde. Ob dort auch als »VS-NfD« eingestufte Dateien lagen, lässt sich aus den Akten nicht sicher sagen. Natürlich nicht.

Und was machen die »Experten« jetzt?

Nur als kleiner Hinweis: Es gibt mehrere deutsche Firmen, die all das hätten verhindern können. Was machen die »Experten«? Natürlich! Sie kaufen ohne Ausschreibung in einer Art Panikreaktion eine völlig überteuerte US-amerikanische Software, die vor zwei Jahren Hunderte Flughäfen und Tausende andere Nutzer durch eine Fehlfunktion lahmgelegt hat. Was soll man dazu noch sagen? Duck and cover. Was anderes bleibt den Bürgern da nicht mehr.

Leider trifft die Amtshaftung in Deutschland in aller Regel den Staat und nicht den Beamten persönlich. Natürlich nicht! Die können anrichten, was sie wollen, ohne zur Verantwortung gezogen zu werden. Solange das so bleibt, wird es immer wieder Vorfälle wie diesen geben. Und in Zukunft werden nicht nur die Kriminellen, sondern auch die zu deren Abwehr eingesetzte Software dafür sorgen!

Jedes private Unternehmen wäre pleite. Und falls es so etwas tatsächlich überlebt hätte, wäre zumindest die gesamte EDV-Abteilung ihren Job los! Aber natürlich nicht unsere lieben Beamten und Regierungsabteilungen. Wenn ich da mal einfach meinen Sohn zitieren darf: »Diese verf*ckten Amateure!« Mein Sohn ist 19 …

Grüße
Doc Storage

Anmerkung der Redaktion
Der Inhalt des Artikels entspricht der persönlichen Ansicht des Autors und spiegelt nicht unbedingt die Meinung der Redaktion wider.