LKA spürt Hintermann von Ransomware-Gruppe REvil auf – und ist machtlos

Offenbar haben deutsche Ermittler seit Monaten einen möglichen Verantwortlichen der größten Ransomware-Angriffe im Visier. Der Mann lebt in großem Reichtum in Russland – und ist dort unerreichbar.

Sogenannte Ransomware ist vermutlich eine der gefährlichsten und teuersten Geißeln des jüngeren Netzzeitalters: Kriminelle attackieren Unternehmen, Behörden, sogar Krankenhäuser mit Schadsoftware, die große Teile der Dateien im angegriffenen System verschlüsselt. In der Folge sind die angegriffenen Systeme meist komplett gelähmt.

Die Opfer werden dann von den Angreifern kontaktiert: Gegen Zahlung eines Lösegelds (engl. "Ransom") werde man das System wieder freigeben. Die Hackergruppe REvil ist in diesem Bereich besonders aktiv – und gierig: Allein in diesem Jahr forderten sie etwa vom taiwanischen Hardwarehersteller Asus 50 Millionen US-Dollar. Einige Wochen später glückte derselben Gruppe ein Angriff auf den US-amerikanischen IT-Dienstleister Kaseya. In der Folge hatten Hunderte Unternehmen, die Kunden von Kaseya waren, mit schweren Ausfällen zu kämpfen – eine schwedische Supermarktkette musste etwa 800 Filialen schließen, weil die Kassensysteme nicht funktionierten.

Hier forderte REvil sogar 70 Millionen Dollar Lösegeld. Welche Summen am Ende tatsächlich fließen, ist meist nicht bekannt. Klar ist aber, dass allein REvil in den vergangenen Jahren vermutlich Hunderte Millionen Dollar erbeutet haben dürfte. Das US-Finanzministerium schätzte jüngst, dass die gesamte Ransomware-Szene insgesamt rund fünf Milliarden Dollar an Lösegeld erbeutet habe. Der entstandene Schaden bei den betroffenen Unternehmen dürfte durch die Systemausfälle um ein Vielfaches höher liegen.

Angriffe von REvil werden vermutlich von Russland aus koordiniert

Dass die Ransomware-Angriffe der Gruppe REvil vermutlich von Russland aus koordiniert werden, gilt als recht sicher. Doch konkrete Personen ließen sich bislang nicht identifizieren. Laut einer gemeinsamen Recherche vom Bayerischen Rundfunk (BR) und "Zeit Online" haben deutsche Ermittler allerdings seit Monaten einen konkreten Mann im Visier, den sie "zweifelsfrei" zur Kerngruppe von REvil zählen.

Die Person präsentiere sich in Netzwerken als Händler von Kryptowährungen – und protzt offenbar auf Instagram mit dem eigenen Reichtum. Teure Uhr, Luxusauto, ein Haus mit Pool im Süden Russlands, teure Urlaube in Dubai oder auf den Malediven.

Doch der Prunk werde offenbar durch Lösegeld gekaperter Behörden und Unternehmen finanziert, schreiben BR und "Zeit Online". Da seien sich auch die Experten beim LKA Baden-Württemberg sicher. Ein Haftbefehl gegen die Person sei bereits in Vorbereitung – doch vollstreckt wird dieser womöglich nie. Denn festnehmen könne man den mutmaßlichen Cyberkriminellen nur, wenn er Russland verlässt und sich in einem Land aufhält, das ihn auch nach Deutschland ausliefern würde.

BR und "Zeit Online" schreiben, dass es dazu womöglich sogar eine Gelegenheit im vergangenen Jahr gegeben habe. Damals sei der Verdächtige mit seiner Frau für einen Urlaub in die Türkei gereist. Die Chance blieb jedoch ungenutzt, der Grund sei nicht klar. Mittlerweile dürften die Hintermänner des Netzwerks deutlich vorsichtiger geworden sein. Ob es eine zweite Gelegenheit zur Festnahme geben wird, ist deshalb unklar.

Laut dem Bericht von "Zeit Online" und BR gebe es aus diesem Jahr auf Instagram zwar auch Fotos von einem Türkeiurlaub – allerdings habe der mutmaßliche Cyberkriminelle seine Frau offenbar nicht dorthin begleitet.