IT-Sicherheitsvorfälle in Berlin 2023

Wie viele IT-Sicherheitsvorfälle wurden 2023 durch Behörden und Institutionen der Berliner Verwaltung gemeldet? Das habe ich den Senat wie im vergangenen Jahr gefragt (Drucksache 19/17898). Aus der Antwort geht hervor, dass im Zeitraum vom 01.01.2023 – 31.12.2023 insgesamt 15 Meldungen an das Berlin-CERT gegeben wurden. Eine mehr als als 2022. Neben den 15 Meldungen gab es 1.188 Meldungen an die Berliner Beauftragte für Datenschutz und Informationsfreiheit, davon fallen 180 auf öffentliche Stellen und 1.008 auf nicht öffentliche.

Im Jahr 2023 wurden 89 Meldungen im Intranet vom Berlin-CERT veröffentlicht, eine detaillierte Liste findet sich in der PDF der Anfrage. Im Vergleich zum letzten Jahr, ist keine starke Steigung zu verzeichnen, wohl aber bei den Meldungen an die Berliner Beauftragte für Datenschutz und Informationsfreiheit.

Trotz der niedrigen Zahlen zeichnet Berlin bei der IT-Sicherheit kein gutes Bild: IT-Sicherheitsberichte der letzten zwei Jahren wurden dem Parlament immer noch nicht vorgelegt, es fehlt an IT-Sicherheitsbeauftragten, Sicherheitsübungen finden nicht statt und noch immer werden Windows Server 2012, unter anderem bei der Polizei, eingesetzt. Die Digitalisierung der Verwaltung braucht gute IT-Sicherheit die vertrauen schafft – ein wichtiger Schritt wäre eine Zentralisierung der IT-Vergabe, dies würde einheitliche Sicherheitsstandards sorgen.

1. Wie viele IT-Sicherheitsvorfälle wurden 2023 durch Behörden und Institutionen der Berliner Verwaltung gem. § 23 II EGovGBln oder ggf. anderer Rechtsgrundlagen gemeldet?

Das IT-Dienstleistungszentrum Berlin (ITDZ Berlin) betreibt als zentraler IKT-Dienstleister zur Unterstützung und Beratung der Behörden der Berliner Verwaltung bei sicherheitsrelevanten Vorfällen in IKT-Systemen ein Computersicherheits-Ereignis- und Reaktionsteam (Berlin-CERT). Die an das Berliner Landesnetzwerk angeschlossenen Behörden und Einrichtungen haben dem Berlin-CERT gemäß dem festgelegten Meldeprozess sicherheitsrelevante Vorfälle unverzüglich zu melden. Im Zeitraum vom 01.01.2023 – 31.12.2023 erfolgten gem. § 23 Abs. 2 EGovG Bln insgesamt 15 Meldungen von Senatsverwaltungen, Landesämtern oder Bezirksämtern an das Berlin-CERT. Eine Meldung von IT-Sicherheitsvorfällen durch Behörden und Institutionen nach anderen Rechtsgrundlagen erfolgte nicht.

2. Wie viele IT-Sicherheitsvorfälle wurden 2023 durch landeseigene Betriebe gem. § 23 II EGovGBln oder ggf. anderer Rechtsgrundlagen gemeldet?

Im Zeitraum 01.01.2023 – 31.12.2023 wurden zwei IT-Sicherheitsvorfälle durch landeseigene Betriebe gem. § 23 Abs. 2 EGovG Bln gegenüber dem Berlin-CERT gemeldet. Eine Meldung von IT-Sicherheitsvorfällen durch Behörden und Institutionen nach anderen Rechtsgrundlagen erfolgte nicht.

3. Wie viele der gemeldeten IT-Sicherheitsvorfälle wurden auch an die Berliner Beauftragte für Datenschutz und Informationsfreiheit nach § 51 BlnDSG oder ggf. anderer Rechtsgrundlagen gemeldet?

Seitens des Senats erfolgt keine Erfassung der an die Berliner Beauftragte für Datenschutz und Informationsfreiheit gemeldeten IT-Sicherheitsvorfälle. Nach Mitteilung der Berliner Beauftragten für Datenschutz und Informationsfreiheit wurden im Jahr 2023 insgesamt 1.188 Vorgänge angelegt zu Meldungen an die Berliner Beauftragte für Datenschutz und Informationsfreiheit nach Artikel 33 Datenschutzgrundverordnung (DSGVO) zu Verletzungen des Schutzes personenbezogener Daten. Darunter fallen 180 Vorgänge auf Stellen im öffentlichen Bereich (darunter jedoch keine zum Anwendungsbereich des § 51 Berliner Datenschutzgesetz (BlnDSG)) und 1.008 Vorgänge auf nichtöffentliche Stellen.

4. Wie viele IT-Sicherheitsvorfälle wurden 2023 bekannt, die nicht durch die betroffenen Institutionen oder Unternehmen gemeldet wurden? Welche Konsequenzen hatte ein Ausbleiben von Meldungen?

In drei Fällen erfolgte eine nachträgliche Meldung zu IT-Sicherheitsvorfällen:

• Die Sicherheitssysteme des ITDZ Berlin lösten einen Alert (technisch basierte Sicherheitsereignisalarmierung) aus, woraufhin das Berlin-CERT Kontakt zur betroffenen Dienststelle aufnahm und über den Vorfall informierte.
• Eine Dienststelle wurde durch den Landesbevollmächtigten für Informationssicherheit zur Meldung eines IT-Sicherheitsvorfalls an das Berlin-CERT aufgefordert.
• Ein Sicherheitsvorfall wurde auf Basis der Hinweise des Berlin-CERT als solcher erkannt, woraufhin die betroffene Behörde umgehend Meldung erstattete.

Die nachträgliche Meldung hatte in allen Fällen keine Konsequenzen von Seiten des Berlin-CERT.

5. Welche Empfehlungen hat das CERT des ITDZ in 2023 an betroffene Behörden, Institutionen und Unternehmen ausgesprochen? Wie viele der Empfehlungen wurden umgesetzt und in welchem Zeitraum? (Antwort bitte tabellarisch darstellen)

Das Berlin-CERT hat im Zeitraum 01.01.2023 – 31.12.2023 insgesamt 89 CERT- Meldungen (Aktualisierungen eingeschlossen, 74 ohne Aktualisierungen) im Intranet veröffentlicht und die Informationssicherheitsbeauftragten der Behörden der Berliner Landesverwaltung auf die Meldungen hingewiesen. Über den vom Berlin-CERT betriebenen Warn- und Informationsdienst zu Schwachstellen in IKT-Systemen wurden 4.024 Meldungen bereitgestellt. Zugriff auf dieses Portal haben alle an das Berliner Landesnetzwerk angeschlossenen Stellen. Auf Anfrage werden personalisierte Zugänge hierzu eingerichtet, womit die Möglichkeit besteht, sich per E-Mail zu Schwachstellen in vorausgewählten Produkten informieren zu lassen. Die im Tagesgeschäft des Berlin-CERT erhaltenen Anfragen und deren Beantwortung werden statistisch nicht erfasst. Die Umsetzung der Empfehlungen liegt in der Verantwortung der jeweiligen Institution. Aufgrund der heterogenen Systemlandschaft in den Verwaltungen ist eine Betroffenheit durch die jeweilige Stelle festzustellen und zu bewerten.

Folgende Meldungen sowie Aktualisierungen, Warnungen und Informationen wurden im Jahr 2023 vom Berlin-CERT veröffentlicht: Tabelle aller Meldungen findet sich ab Seite 3.

6. Welche erfolgreichen Angriffe gab es in 2023 auf die Behörden, Institutionen der Berliner Verwaltung und landeseigenen Betriebe und welche Konsequenzen wurden daraus gezogen? (Antwort bitte tabellarisch darstellen)

Folgende dem Berlin-CERT gemeldeten Sicherheitsvorfälle aus dem Jahr 2023 können als (potentielle) Angriffe gewertet werden:

• Erfolgreicher Phishing-Angriff (3x)
• Interaktion mit maliziöser Mail (2x)
• Verbindungsversuch mit C2-Server
• Diebstahl dienstliches Notebook

Das Berlin-CERT hat dabei Empfehlungen zur Bewältigung der Vorfälle an die betroffenen Dienststellen ausgesprochen, sofern entsprechende Maßnahmen nicht ohnehin schon durch diese ergriffen worden sind. Die Tätigkeit des Berlin-CERT hat grundsätzlich beratenden, empfehlenden und unterstützenden Charakter. Handlungsempfehlungen werden unter Berücksichtigung der Landesinteressen und der Interessen der dezentralen Behörden im Berlin-CERT abgestimmt. Die Umsetzung und Prüfung von empfohlenen Maßnahmen zählt nicht zu den Aufgaben des CERTs und verbleibt in der Verantwortung der örtlich zuständigen IT-Sicherheits-/ Verfahrensverantwortlichen und Behördenleitungen.