«Sollte sich herausstellen, dass Schutzmechanismen bewusst nicht eingehalten wurden und der dringend notwendige Geheimschutz nicht gewährleistet war, wären auch personelle Konsequenzen unausweichlich»
„Sollte sich herausstellen, dass Schutzmechanismen bewusst nicht eingehalten wurden und der dringend notwendige Geheimschutz nicht gewährleistet war, wären auch personelle Konsequenzen unausweichlich.“
Nach einmal drüber schlafen, war es leider doch kein schlechter Traum..... Das Berliner #Datenleck ist kein Datenschutzvorfall, sondern der Beleg strukturellen Versagens. Personal- und Zugangsdaten, Notfallplanungen sowie KRITIS-/Zivilschutzangaben ermöglichen Identitätsdiebstahl, Social Engineering, Spionage, Sabotage, Erpressung und gezielte Störungen. Ich lehre seit Jahren auch über den Schutz Kritischer Infrastrukturen. Dazu gehört zwingend die Aufrechterhaltung der Regierungs- und Verwaltungsfunktion sowie die Themen Geheim- u Sabotageschutz. Es wurden Konzepte entwickelt und übergeben um für wenig Geld sichere Kommunikation zu ermöglich, beispielgebend Räume gehärtet und Hardware angeschafft um Daten eben nicht zentral sondern auf BSI zertifizierten externen Datenträgern offline abzulegen die weggeschlossen werden können, uvm. Genau diese Vorschläge wurden zerredet, ignoriert, belächelt, als nicht notwendig abgetan und im Ergebnis wurde hier gründlich alles mit Anlauf und Vorwarnung gegen die Wand gefahren. Ebenso lange warne ich hier und persönlich vergebens an entscheidenden Stellen vor den Defiziten im Geheim- und Sabotageschutz. Auch die @AG_KRITIS war und ist da immer sehr deutlich! Besonders krass: Sollte es zutreffen wie mir zugetragen, dass Sicherheitsüberprüfungen von IT-Beschäftigten mit Verweis auf deren Persönlichkeitsrechte durch den Verantwortlichen abgelehnt wurden, wäre die Ironie kaum zu übersehen: Persönlichkeitsschutz als Begründung, bis die Persönlichkeitsdaten anderer im Darknet liegen – bitterer wird Ironie selten. Bei konsequenter Umsetzung von VSA Berlin und BSI-Standards hätten Verschlusssachen und sensible Daten nicht in diesem Umfang gemeinsam erreichbar sein dürfen. Über welche Benutzerrolle war der Zugriff auf solche heterogene Bestände möglich? „Kenntnis nur, wenn nötig“ ist kein Text für ein Wandtattoo sondern dient eben genau dazu, dass niemand alles weiss sondern nur das für ihn Notwendige. Nach intensiver Sichtung ergibt sich zum Glück keine Schritt-für-Schritt-Anleitung für einen Anschlag. Und eine hilfreiche Praxiserkenntnis spielt in die Karten Berlins, es kommt nie so wie im Plan vorgesehen, damit sind nur Eckdaten aber keine lagespezifischen Schritt für Schritt Abläufe veröffentlicht worden und damit unbrauchbar für direkten Nutzen. Der Missbrauch personenbezogener Daten bleibt dennoch tragischerweise real. ⚠️Wer die Daten herunterlädt, darf sie keinesfalls weitergeben oder veröffentlichen – das kann rechtswidrig und strafbar sein! #berlin #leak #datenschutz #geheimschutz #sicherheit #sabotage #datenleak #bsi #datenschutz #datenleak #sicherheit
Ich bin in Cybersecurity & Compliance geschult – und genau deshalb würde ich beim Berlin-Leak zwei Dinge strikt trennen: Der Datenabfluss ist offenbar real. Der genaue Inhalt muss forensisch verifiziert werden. Sollten sich jedoch Klartext-Credentials, KRITIS-Schwachstellenanalysen oder tatsächlich VS-/Geheimschutz-Unterlagen bestätigen, reden wir nicht mehr über einen „normalen Datenschutzvorfall“. Dann geht es um Informationssicherheit, Geheimschutz, kritische Infrastruktur und mögliche Folgekompromittierungen. Bei 5,79 TB und ~1,44 Mio. Dateien beginnt die eigentliche Aufarbeitung gerade erst. Nicht hysterisch werden. Aber bitte auch nicht kleinreden. Ansonsten: schönes Wochenende. In und um Berlin. Und überall. 😹 #Berlin #CyberSecurity #Compliance #KRITIS #Rhysida #Datenschutz #CyberSecurity #Compliance #Datenschutz
