Lagebild zur hybriden Bedrohung: Ein aktuelles multinationales Lagebild belegt eindrucksvoll: Die russische Militärgeheimdienst-Einheit GRU 85. GTsSS (militärische Einheit 26165), besser bekannt unter Namen wie APT28, Fancy Bear oder BlueDelta, intensiviert ihre Cyberaktivitäten gegen westliche Logistik- und Technologieunternehmen. Betroffen sind insbesondere Akteure, die direkt oder mittelbar in die Lieferung von Hilfsgütern an die Ukraine involviert sind.
Wer steckt hinter den Angriffen?
Die GRU-Einheit 26165 ist seit Jahren als zentraler Akteur staatlich gelenkter Cyberoperationen bekannt. Ihr Schwerpunkt liegt auf Cyber-Spionage, wobei sie ein Arsenal an Werkzeugen nutzt, das von klassischen Phishing-Kampagnen bis hin zur Ausnutzung von Zero-Day-Schwachstellen reicht. Das Besondere: Diese Aktivitäten richten sich nicht nur gegen Regierungsinstitutionen, sondern auch gezielt gegen privatwirtschaftliche Unternehmen – insbesondere in der Logistik und im Technologiesektor.
Zielsektor: Logistik als strategische Schwachstelle
Seit Beginn der russischen Invasion in der Ukraine wurde die Logistik – insbesondere grenzüberschreitende Lieferketten – zu einem hochsensiblen Ziel. Die Angriffe richten sich auf Akteure entlang der gesamten Transportkette: Frachtunternehmen, Betreiber von Luft- und Seehäfen, Bahninfrastruktur, aber auch IT-Dienstleister, die deren digitale Systeme betreiben.
Ein besonders perfider Angriffsvektor: Die kompromittierung internetfähiger IP-Kameras an Grenzübergängen, Bahnhöfen und Lagerhallen, um reale Bewegungen von Hilfsgütern zu verfolgen. In mindestens einem Fall wurde eine Firma, die Industriekomponenten für Bahnsysteme fertigt, direkt angegriffen.
Taktiken, Techniken und Werkzeuge
Die GRU greift auf ein bekanntes, aber raffiniert eingesetztes Repertoire an Angriffsvektoren zurück:
- Brute-Force- und Passwortspray-Attacken, oft verschleiert über TOR oder kommerzielle VPNs.
- Spearphishing, auch mit echten Dokumenten als Köder, häufig mehrstufig abgesichert durch Geolokalisierung und Browser-Fingerprinting.
- Exploits von Schwachstellen, u. a. in Outlook (CVE-2023-23397), Roundcube oder WinRAR.
- Post-Exploitation mit Tools wie Impacket, PsExec und ADExplorer zur Ausweitung der Rechte im Netzwerk.
- Datendiebstahl, insbesondere E-Mails und Informationen zu Frachtlisten, Absendern, Transportmitteln und Routen.
Im Mittelpunkt steht nicht Zerstörung, sondern das systematische Sammeln sensibler Informationen – mit eindeutig nachrichtendienstlichem Charakter.
Gezielte Länder, vernetzte Behörden
Die Angriffe betreffen Unternehmen in zahlreichen NATO-Staaten, darunter Deutschland, Frankreich, die Niederlande, Polen, Rumänien und die USA. Die Cybersecurity-Warnung wurde von einem breiten Bündnis westlicher Behörden veröffentlicht – darunter NSA, FBI, BSI, BfV, BND, ANSSI, MIVD, NCSC-UK, ASD (Australien) und viele weitere. Diese enge internationale Kooperation verdeutlicht die Relevanz des Bedrohungsszenarios.
Was Unternehmen jetzt tun sollten
Konkrete Schutzmaßnahmen: Für IT-Sicherheitsverantwortliche ergeben sich daraus klare Handlungsaufforderungen:
- Zero-Trust-Architekturen aufbauen und Netzwerke segmentieren.
- Protokollanalyse und Anomalieerkennung für internen Datenverkehr etablieren.
- NTLM und veraltete Authentifizierungsprotokolle deaktivieren.
- IP-Kameras absichern, etwa durch VPN-Zugang, MFA, Deaktivierung unnötiger Ports und Logging.
- Erhöhte Awareness und Schulung zu Spearphishing, insbesondere im Kontext von Fracht, Verteidigung und staatlicher Kommunikation.
Die Empfehlungen folgen Frameworks wie MITRE ATT&CK und MITRE D3FEND und basieren auf realen Vorfällen mit konkreten IoCs (Indicators of Compromise), Malware-Signaturen und bekannten Angriffsskripten.
Die Angriffe der GRU zeigen deutlich, wie sich klassische Spionage mit digitalen Mitteln und geopolitischen Interessen verknüpfen lässt – und welche Auswirkungen Geopolitik auf Unternehmenspolitik hat: Ziel ist nicht nur Informationsgewinnung, sondern auch strategische Einschüchterung und die Erschwerung logistischer Hilfeleistungen für die Ukraine. Unternehmen, die bislang glaubten, nur „indirekt“ betroffen zu sein, müssen umdenken: Auch Dienstleister, Zulieferer und Infrastrukturpartner geraten ins Visier, wenn sie in sicherheitspolitisch relevanten Bereichen tätig sind.
Fazit
Die aktuelle Cybersecurity-Warnung ist ein Weckruf für Unternehmen in der EU – insbesondere in Transport, Logistik und IT. Staatlich gesteuerte Spionage ist keine abstrakte Bedrohung mehr, sondern eine konkrete Realität. Die Antwort darauf liegt nicht allein im technischen Schutz, sondern auch in klarer politischer Kommunikation, abgestimmter internationaler Zusammenarbeit und einer aktiven Resilienzstrategie in der digitalen Infrastruktur.
Erreichbarkeit: Per Mail, Rückruf, Threema oder Whatsapp.
Unsere Anwaltskanzlei ist spezialisiert auf Strafverteidigung, Cybercrime, Wirtschaftsstrafrecht samt Steuerstrafrecht sowie IT-Recht und Managerhaftung. Von Verbrauchern werden allein Strafverteidigungen übernommen - wir sind im Raum Aachen zu finden und bundesweit tätig.
- Grenzen des Vermögensschadens beim Betrug - 19. November 2025
- Zweifelssatz: in dubio pro reo - 19. November 2025
- Untreue oder Unterschlagung bei missbräuchlicher Nutzung überlassener Bankkarten - 19. November 2025
