Ein internationaler Zusammenschluss von Ermittlern hat in der Ukraine offenbar eine weltweit operierende Hackerbande zerschlagen. Die Gruppierung soll in mehr als 70 Ländern die Server von großen Unternehmen oder Organisationen angegriffen und Hunderte Millionen Euro Schaden verursacht haben, teilte  Europol in Den Haag mit. Bei einem der Verdächtigen seien Bitcoin mit einem Eurogegenwert im sechsstelligen Bereich sichergestellt worden.

Den Angaben zufolge war es in der Ukraine trotz des andauernden Krieges bereits am 21. November zu insgesamt 30 Durchsuchungen und fünf Festnahmen gekommen. Die Durchsuchungen fanden im Zentrum und Westen des Landes im Raum Kiew, Tscherkassy, Riwne und Winnyzja statt. Dabei wurde auch der mutmaßliche Anführer der Gruppierung festgenommen, ein 32-Jähriger. Alle Beschuldigten sollen einem Netzwerk angehören, das für sogenannte Ransomwareattacken verantwortlich gemacht wird.

Bei solchen Angriffen dringen die Hacker in die Systeme von Unternehmen und Behörden ein, verschlüsseln ihre Daten und geben sie erst gegen Zahlung eines Lösegelds wieder frei. Europol beschuldigt die Bande, ihre Opfer mit entsprechender Schadsoftware angegriffen zu haben. Die Hacker hätten es dabei besonders auf große Unternehmen abgesehen, so die Ermittler: Eingesetzt wurden ihnen zufolge verschiedene Formen von Schadsoftware, wie etwa die Ransomwareprogramme Hive, LockerGoga, Dharma oder MegaCortex.

14 Ziele allein in Deutschland

Allein in Deutschland werden der Gruppe Attacken auf 14 Ziele vorgeworfen, darunter sowohl Unternehmen als auch Behörden. Das erklärte ein Sprecher der an der Aktion beteiligten Staatsanwaltschaft Stuttgart auf SPIEGEL-Anfrage.

Die Ransomware Hive etwa wurde unter anderem mit einem erfolgreichen Angriff auf MediaMarktSaturn im November 2021 in Verbindung gebracht. Damals wurden Daten des Unternehmens verschlüsselt, woraufhin die Erpresser angeblich ein Lösegeld in Höhe von 50 Millionen Dollar forderten. Zeitweise funktionierten einige digitale Systeme des Unternehmens nicht.

Die aktuellen Ermittlungen gehen Europol zufolge auf eine Initiative Frankreichs aus dem Jahr 2019 zurück. 2021 hatte es erste Festnahmen und Durchsuchungen gegeben. Einen wichtigen Anstoß für den jetzigen Erfolg gaben im Januar 2023 öffentlich gewordene Ermittlungen des Polizeipräsidiums Reutlingen. Damals konnte technische Infrastruktur zerschlagen und eine Darknetseite von Hive abgeschaltet werden. Laut einem Sprecher der Staatsanwaltschaft Stuttgart war es dabei möglich, an Chats und Daten der Hacker zu gelangen und so schließlich die Verdächtigen zu identifizieren.

Grundsätzlich vermuten Ermittler, dass viele Ransomware-Erpresser aus Russland heraus agieren. Als Botschaft an die Cybercrimeszene wurde das Abschaltebanner auf der Darknetseite von Hive im Januar wohl deshalb auch auf Russisch veröffentlicht. (Lesen Sie hier mehr über die Masche der Erpresser.)