Cyberspionage. Wer angreift, wie, warum. Und was Europa regelt.

Strategie: Sieg durch Spaltung

Moskau trennt in seiner Militärdoktrin nicht zwischen offenem und verdecktem Kampf. Die Drohung mit regulärer Gewalt hält den Raum offen, in dem subversive Operationen wirken sollen: gegen politische, soziale und wirtschaftliche Schwachstellen der Zielstaaten. Ein Bericht des britischen Royal United Services Institute (RUSI) führt diese Linie bis zu den Methoden der Bolschewiki zurück, über KGB und GRU bis zu den Ausbildungszentren von heute, etwa dem „161. Zentrum“ der GRU-Einheit 29155. Auf den Bericht stieß Jens Ferner über Anne Applebaums Buch „Achse der Autokraten“.

Neu ist die Reichweite. Desinformation über soziale Netzwerke, Angriffe auf Infrastruktur und die Anwerbung lokaler Helfer greifen ineinander; die vereitelten Umsturzversuche in Montenegro und der Republik Moldau zeigen das Muster. In Afrika hat die GRU die Netzwerke der Wagner-Gruppe übernommen, und in Europa baut Russland seine Fähigkeiten nach den massenhaften Ausweisungen von Agenten wieder auf.

Wer dahintersteht

Drei Dienste teilen sich das Feld. Der Militärgeheimdienst GRU steht hinter APT28, hinter den Saboteuren von Sandworm und hinter der Einheit 29155. Der Auslandsgeheimdienst SWR (häufig SVR geschrieben) gilt als Auftraggeber von APT29. Dem Inlandsgeheimdienst FSB werden Turla, Star Blizzard und die Gruppe Gamaredon zugerechnet, die vor allem ukrainische Stellen ausspäht.

Der Spook-Gangster-Nexus

Seit 2022 setzt Russland zunehmend auf Wegwerf-Agenten: Menschen ohne nachrichtendienstliche Ausbildung, über Telegram angeworben, für Brandstiftung oder Vandalismus oft mit weniger als 1.000 Euro bezahlt. Zwischen 2022 und 2025 wurden in Europa 110 solcher Vorfälle gezählt, darunter ein vereitelter Anschlag auf den Vorstandschef von Rheinmetall. Mehr als ein Viertel der identifizierten Täter war vorbestraft; die Dienste werben in Schmugglernetzen und Gefängnissen. Eine Auswertung der Universität Leiden zählt 6 Russland zugerechnete Hybridangriffe in Europa im Jahr 2022 und 44 im Jahr 2024, nach der Ausweisung von rund 600 russischen Geheimdienstmitarbeitern seit 2018.

Auch Erpressungssoftware ist nicht immer nur Kriminalität. Geleakte Chats der Gruppe Conti zeigen Kontakte zu Regierungsvertretern. Ransomware-Angriffe häufen sich vor Wahlen in großen Demokratien, und Unternehmen, die sich nach 2022 aus Russland zurückgezogen haben, wurden öfter getroffen. Im Gegenzug genießen solche Gruppen in Russland Schutz vor Strafverfolgung.

Was der Krieg gegen die Ukraine gezeigt hat

Schon im Januar und Februar 2022 stiegen die zerstörerischen Angriffe gegen die Ukraine deutlich an; kurz vor dem 24. Februar wurde das Satellitennetz KA-SAT von Viasat angegriffen. Mit der Dauer des Krieges wechselte Russland zu schnellen, einfachen Mitteln: Überlastungsangriffe und modulare Löschprogramme, die wenig Planung brauchen. Als Russland im Herbst 2022 das Stromnetz angriff, wurde Notstrom für Funkmasten und Rechenzentren zur ersten Frage der Cybersicherheit.

Der Informationskrieg richtet sich an den Westen. Die Kampagne „Winter is coming“ sollte Europäern einreden, ohne russisches Gas zu frieren; die Operation Doppelgänger baute Nachrichtenseiten nach und verbreitete das Bild der Ukraine als rechtsextremer Staat.

Werkzeugkasten

Spearphishing, unbekannte Sicherheitslücken, Löschsoftware, das unauffällige Arbeiten mit den Bordmitteln der Opfersysteme, Desinformation und zunehmend kinetische Sabotage: Brandsätze in Paketen, die Frachtflugzeuge zum Absturz bringen sollten. Gehandelt wird in russischsprachigen Untergrundforen wie XSS, Exploit, RAMP und RuTor mit strenger Aufnahme und über Telegram.

Deutschland

Die Bundesregierung hat am 12. Dezember 2025 den Angriff auf die Deutsche Flugsicherung vom August 2024 APT28 zugeschrieben und die Kampagne Storm-1516 mit ihren Fälschungen zur Bundestagswahl Russland zugerechnet; das Auswärtige Amt bestellte den Botschafter ein. Der Verfassungsschutz beobachtet daneben Aufklärung von Berserk Bear gegen Versorger und Rüstungsfirmen.

Einordnung

Technische Abwehr allein reicht gegen dieses Vorgehen nicht, weil die Schwachstelle der Mensch ist: der käufliche Politiker, der manipulierte Demonstrant, der angeworbene Kleinkriminelle. Jens Ferner sieht drei Ansatzpunkte: Risikogruppen über die Anwerbung aufklären, kleine Zahlungen über Neobanken und Kryptowerte gezielt auswerten und organisierte Kriminalität bei Europol und den nationalen Behörden als Teil der hybriden Bedrohung behandeln, mit gemeinsamen Ermittlungsgruppen aus Polizei, Zoll und Finanzermittlung. Für das Strafrecht bleibt eine Aufgabe, die bisher kaum gelöst ist: Täterschaft und Beteiligung in Netzwerken zu benennen, in denen Kriminalität und staatlich gelenkte Sabotage ineinander übergehen.

Grundlage: J. Ferner, „Russische Hacker und ihre Aktivitäten“ (früherer Kanzleiblog, 2025, aktualisiert Januar 2026); RUSI-Bericht zur unkonventionellen Kriegsführung Russlands; Universität Leiden; BfV, Verfassungsschutzbericht 2025, S. 348 ff.

Vom Opfer zum Angreifer

Teheran hat sich Cyberfähigkeiten aus Erfahrung zugelegt. Die Niederschlagung der Grünen Bewegung 2009 lief auch digital, 2010 zerstörte Stuxnet Zentrifugen in Natanz, danach kam die Spionagesoftware Flame. Seitdem nutzt Iran den Cyberraum für das, was ihm militärisch und wirtschaftlich fehlt: Druck auf überlegene Gegner zu geringen Kosten und mit der Möglichkeit, alles abzustreiten.

Die Pyramide der Auftragnehmer

Anders als die meisten Staaten führt Iran seine Operationen selten direkt über die Dienste. Ideologisch zuverlässige Manager übersetzen die Vorgaben der Führung in Aufträge und vergeben sie an Firmen und Hochschulen, die miteinander konkurrieren; wer liefert, bleibt im Geschäft. Talente kommen aus geschlossenen Foren wie dem der Gruppe Ashiyane. Das Modell hat einen eingebauten Konflikt: Die technisch Besten sind selten die ideologisch Treuesten.

Wer dahintersteht

Die Revolutionsgarden (IRGC) unterhalten eine eigene Organisation für elektronische Kriegsführung und Cyberabwehr und seit 2011 das Khaybar-Zentrum für Informationstechnologie, von dem Angriffe auf Ziele in den USA, Saudi-Arabien und der Türkei ausgingen. Das Geheimdienstministerium MOIS arbeitet über Tarnfirmen und Hochschulen. Die Basij-Miliz behauptet, über mehr als 1.000 Cyber-Bataillone zu verfügen. Zu den bekannten Gruppen zählen Charming Kitten, APT33, MuddyWater, OilRig und die Tarnfirma Emennet Pasargad.

Drei Zielkreise

Im Inland trifft es Oppositionelle und Minderheiten; die Überwachung endet nicht selten mit Festnahmen. In der Region steht Saudi-Arabien im Mittelpunkt, der Rivale in den Stellvertreterkriegen im Jemen und in Syrien: Luftfahrt, Öl und Gas, Telekommunikation, Verteidigungs- und Außenministerium. International richten sich die Angriffe gegen Nichtregierungsorganisationen, Wissenschaft, Medien, Luft- und Raumfahrt und die Diaspora.

Werkzeuge: Masse statt Raffinesse

Die meisten Angriffe sind technisch schlicht und wirken durch Beharrlichkeit: Phishing in großer Zahl, gezieltes Spearphishing, Überlastungsangriffe und Datendiebstahl. Dass Iran auch zerstören kann, zeigt die Löschsoftware Shamoon, die 2012 bei Saudi Aramco rund 30.000 Rechner unbrauchbar machte und 2016 und 2018 wiederkehrte. Hinzu kommen Lücken in Industriesteuerungen und der Ausbau der Fernmeldeaufklärung: Abhöranlagen für Satelliten und der Zugriff auf Seekabel, die iranisches Gebiet queren.

Unruhe als Ziel

Als am 12. Juni 2025 die Angriffe auf iranische Militär- und Cyberinfrastruktur begannen, verstummten schlagartig zahlreiche anonyme X-Konten, die zuvor für die schottische Unabhängigkeit getrommelt hatten. Die Clemson University hatte 2024 mehr als 80 solcher Konten mit Bezug zu den Revolutionsgarden gezählt, teils viermal so aktiv wie die Konten der Parteien. Überzeugen müssen solche Kampagnen niemanden; es genügt, Konflikte im Westen zu verschärfen.

Deutschland

Das Bundesamt für Verfassungsschutz warnte im Cyber-Brief 01/2023 vor Charming Kitten. Die Gruppe späht in Deutschland Exil-Iraner und Regimekritiker aus und geht in Stufen vor: Sie erkundet Interessen aus öffentlichen Profilen, baut mit maßgeschneiderten Identitäten Vertrauen auf, lädt zu einem Videochat ein und lenkt das Opfer auf eine gefälschte Anmeldeseite. Der BfV rät, Kontakte über einen zweiten Kanal zu prüfen, offizielle Schreiben von Freemail-Adressen zu misstrauen und Mehrfaktor-Anmeldung zu nutzen. Diaspora und politisches Umfeld bleiben nach dem Verfassungsschutzbericht 2025 der Schwerpunkt.

Einordnung

Für Iran ist der Cyberraum Teil asymmetrischer Kriegsführung. Im Konfliktfall könnten Angriffe Kommunikations- und Führungssysteme vor einem konventionellen Schlag blenden oder Banken und Börsen treffen. Berichte, nach denen russische Akteure iranische Infrastruktur nutzten, deuten auf eine Zusammenarbeit, die über den Austausch von Wissen hinausgehen kann.

Grundlage: J. Ferner, „Irans Cyberfähigkeiten und Hacker“ (früherer Kanzleiblog, 2024, aktualisiert Januar 2026); BfV, Cyber-Brief 01/2023; Clemson University 2024; BfV, Verfassungsschutzbericht 2025, S. 353 f.

Strategie: Technik beschaffen, ohne sie zu entwickeln

Chinesische Cyberspionage dient zuerst der eigenen Industrie. Wer Konstruktionsdaten, Rezepturen und Verfahren stiehlt, spart Entwicklungskosten und Zeit bis zur Marktreife, besonders in Halbleitern, Pharma und erneuerbaren Energien. Langfristig geht es um Führung in künstlicher Intelligenz, Quantencomputing und Raumfahrt, wie sie die Strategie „Made in China 2025“ vorgibt. Daneben stehen die Aufklärung fremder Regierungen und Streitkräfte und die Überwachung von Dissidenten, Menschenrechtlern und Minderheiten, auch im Ausland.

Wer dahintersteht

Die bekannten Gruppen reichen von APT1, die einer Einheit der Volksbefreiungsarmee zugeordnet wurde, über APT10 mit der Kampagne gegen IT-Dienstleister, APT40 mit dem Blick auf die See und APT41 (Winnti) mit Spionage und Raubzügen auf eigene Rechnung bis zu Naikon (APT30), die Regierungen im asiatisch-pazifischen Raum angreift. Neuer sind Volt Typhoon, die sich in Versorgungsnetzen für den Ernstfall einrichtet, und Salt Typhoon in den Netzen der Telefongesellschaften. Das Datenleck von i-Soon hat gezeigt, wie Staatssicherheit und Polizei private Hackerfirmen beauftragen.

Der Hacker mit Bürozeiten

Mit dem Klischee des Einzelgängers im Kapuzenpulli haben chinesische Staatshacker wenig gemein. Die Angriffe auf Volkswagen, die staatlichen Akteuren zugeschrieben werden, folgten einem geregelten Arbeitstag: feste Zeiten, Mittagspause, freie Wochenenden, wenn keine Operation drängt. Die Einheiten arbeiten wie IT-Abteilungen, mit festen Teams, Zielvorgaben und laufender Fortbildung. Für Verteidiger hat das einen Vorteil: Wer den Takt des Gegners kennt, kann seine eigene Überwachung danach ausrichten.

Untergrund und Datenhandel

Neben dem Staat gibt es eine kriminelle Szene mit eigenen Foren wie Hacker Door und Evil Octal und mit Handel über Telegram. Der Schwarzmarkt für persönliche Daten wurde 2022 auf 100 bis 150 Milliarden Yuan geschätzt und überstieg bis Januar 2024 die Marke von 150 Milliarden. Die Grenze zwischen geduldeter Kriminalität und staatlichem Auftrag ist auch hier durchlässig.

Das Gesetz als Werkzeug

Das chinesische Cybersicherheitsgesetz von Juni 2017 verpflichtet Betreiber kritischer Infrastruktur, wichtige Daten in China zu speichern, und gibt den Behörden weitreichende Zugriffs- und Prüfrechte, bis hin zur Pflicht, technisch zu unterstützen. Seit Juli 2021 regelt ein weiteres Gesetz, dass Sicherheitslücken den Behörden zu melden sind. Die Sorge liegt nahe, dass gemeldete Lücken bei staatlich geduldeten Gruppen landen. Sicherheitsprüfungen ausländischer Produkte verschaffen Einblick in fremde Technik, und unklare Begriffe lassen den Behörden viel Spielraum.

Deutschland

Im Fokus steht der Mittelstand. Nach der Bitkom-Befragung von 2026 meldeten 52 Prozent der sicher betroffenen Unternehmen Angriffe aus China. Der Verfassungsschutz hat gemeinsam mit westlichen Partnern vor APT40 und Salt Typhoon gewarnt; Salt Typhoon versuchte es auch in Deutschland, drang aber nach bisherigen Erkenntnissen nicht tief ein.

Einordnung

Für Unternehmen ist die Lage ein Haftungsthema. Die Geschäftsleitung muss die Maßnahmen zur IT-Sicherheit billigen, ihre Umsetzung überwachen und sich schulen lassen; wer bekannte Lücken offen lässt und einen vermeidbaren Schaden verursacht, haftet. Gegen professionelle Angreifer helfen geschulte Beschäftigte, konsequente Updates, starke Anmeldung, ein vorbereiteter Notfallplan und der Austausch über Bedrohungen in Branchennetzwerken.

Grundlage: J. Ferner, „Hackeraktivitäten und Spionage aus China“ (früherer Kanzleiblog, 2024, aktualisiert Januar 2026); BfV, Verfassungsschutzbericht 2025, S. 351 ff.; Bitkom, Wirtschaftsschutz 2026

Vom Bankraub zum Kryptoraub

Spätestens seit dem Angriff auf Sony Pictures 2014 gilt Nordkorea als ernsthafter Cyberakteur. Zuerst richteten sich die Angriffe auf das SWIFT-Netz der Banken, mit dem Kryptoboom von 2017 auf Börsen, Wallets, Risikokapitalgeber und Einzelpersonen, zunächst in Südkorea, dann weltweit. 2022 wurden Nordkorea Diebstähle von 1,7 Milliarden US-Dollar zugerechnet, 2024 waren es 1,34 Milliarden und 2025 mindestens 2,02 Milliarden, davon allein rund 1,5 Milliarden bei der Börse Bybit. Nach einem Bericht der UN-Sanktionsbeobachter hat das Regime rund 3 Milliarden Dollar erbeutet und damit Atom- und Raketenprogramm finanziert.

Der Weg des Geldes

Gestohlene Kryptowerte laufen über Mixer und Kettenwechsel, gestohlene Identitäten und manipulierte Fotos überlisten die Geldwäschekontrollen. Am Ende stehen Untergrundbanken, die auch andere nutzen: Über Kasinos auf den Philippinen wurden die rund 81 Millionen US-Dollar aus dem Angriff auf die Zentralbank von Bangladesch gewaschen, und im Mekong-Raum teilen sich Lazarus, Cyberbetrüger und Drogenhändler dieselben Netzwerke.

Rüstungsspionage

Ein gemeinsamer Sicherheitshinweis von Verfassungsschutz und südkoreanischem Dienst NIS vom 19. Februar 2024 beschreibt zwei Wege. Im ersten Fall kam der Angreifer über die Firma, die den Webserver eines Forschungszentrums für Schiffstechnik wartete, bewegte sich per SSH durch das Netz, stahl die Zugangsdaten eines Sicherheitsverantwortlichen und versuchte, Schadcode über das Patch-Management zu verteilen. Im zweiten Fall gab sich Lazarus auf Jobportalen als Headhunter aus, lockte Beschäftigte von Rüstungsfirmen auf WhatsApp, Telegram oder Skype und schickte Programmieraufgaben oder VPN-Clients mit Schadsoftware.

Der Angreifer auf der Gehaltsliste

Nordkoreanische IT-Kräfte bewerben sich mit gestohlenen Identitäten auf Remote-Stellen. Helfer in den USA nehmen die Firmenlaptops in „Laptop-Farmen“ an und richten den Fernzugriff ein, die eigentliche Arbeit erledigen Nordkoreaner etwa aus China oder Russland. Eine Organisatorin in Arizona verschaffte so Hunderten Unternehmen vermeintliche US-Beschäftigte; rund 17 Millionen US-Dollar flossen, sie wurde 2025 zu 102 Monaten Haft verurteilt. Eine Auswertung von Okta verbindet mehr als 130 Profile mit über 6.500 Erstgesprächen in mehr als 5.000 Unternehmen. Bei Amazon fiel ein angeblich in Arizona sitzender Administrator auf, weil seine Tastenanschläge im Mittel rund 110 Millisekunden zu spät ankamen.

Deutschland und die Haftung

Der Verfassungsschutz warnt seit Oktober 2024 deutsche Unternehmen vor nordkoreanischen IT-Freelancern: Wer sie beauftragt, hilft dem Regime bei der Devisenbeschaffung. Für die Geschäftsleitung ist das eine Organisationspflicht. In Rollen mit Zugriff auf Quellcode, Cloud oder Produktion müssen Identität, Einsatzort und Rechte belegbar geprüft sein, unterstützt durch Telemetrie zu Standort, Latenz, Gerät und Anmeldeverhalten. Wer das unterlässt, riskiert neben Datenabfluss und zivilrechtlicher Haftung auch Verstöße gegen Sanktions- und Außenwirtschaftsrecht.

Einordnung

Eine Änderung der Sanktionslage ist nach dem UN-Bericht nicht in Sicht, und Nordkorea hat seine militärischen Beziehungen zu Russland vertieft. Für Unternehmen heißt das: Die Angriffe lassen nicht nach, und die Verantwortung für Identitätsprüfung und Zugriffskontrolle liegt bei ihnen selbst.

Grundlage: J. Ferner, „Cyberkriminalität in Nordkorea und die Bedrohung der Kryptowährungsindustrie“ (2024), „Nordkoreanische Gruppierung LAZARUS“ (2024) und „Trojanische Pferde in Unternehmen“ (2025), jeweils früherer Kanzleiblog; BfV/NIS, Sicherheitshinweis vom 19.2.2024; Chainalysis; US-Justizministerium, Juli 2025