Russische Hackergruppen sind weltweit für ihre hochentwickelten und weitreichenden Cyberangriffe bekannt. Oft werden diese Gruppen mit staatlicher Unterstützung in Verbindung gebracht. Sie verfolgen eine Vielzahl von Zielen, darunter politische Manipulation, Spionage, wirtschaftliche Sabotage und Desinformation. Insofern sind sie auch längst Teil einer hybriden Kriegsführung. Seit dem großflächigen Angriff auf die Ukraine im Jahr 2022 hat Russland diese Form der Kriegsführung weiter ausdifferenziert.
Neben klassischen Cyberangriffen durch Gruppen wie Fancy Bear oder Sandworm nutzt der Kreml zunehmend kriminelle Netzwerke als „Force Multiplier“. Dies hat zur Folge, dass laut aktuellen Erhebungen über 27 % der für russische Sabotageakte in Europa identifizierten Personen Vorstrafen haben – von Kleinkriminalität bis zu organisierter Kriminalität. Diese als „Spook-Gangster-Nexus“ bezeichnete Symbiose zwischen Geheimdiensten und kriminellen Akteuren ermöglicht es Moskau, Angriffe plausibel abzustreiten und gleichzeitig operative Flexibilität zu gewinnen. Diese Hacker-Aktivitäten haben, wie zu erwarten, erhebliche Auswirkungen auf die globale Cybersicherheit und stellen eine ernsthafte Bedrohung für staatliche und private Organisationen dar.
Das russische Hacker-Ökosystem ist als komplexes und vielseitiges Netzwerk von Akteuren, Plattformen und Methoden wahrzunehmen, das sowohl für finanziell motivierte als auch staatlich unterstützte Cyberangriffe genutzt wird. Die enge Verknüpfung zwischen kriminellen Akteuren und staatlichen Stellen macht dieses Ökosystem besonders gefährlich und schwer zu bekämpfen.
Hauptakteure
Es gibt beim russischen Hacking eine handvoll Akteure, die man kennen sollte:
- Fancy Bear (APT28):
Fancy Bear, auch bekannt als APT28 oder Sofacy, wird oft mit dem russischen Militärgeheimdienst GRU in Verbindung gebracht. Diese Gruppe ist bekannt für ihre Angriffe auf politische Institutionen, Medien und Militärorganisationen. Fancy Bear verwendet eine Vielzahl von Techniken, darunter Phishing, Zero-Day-Exploits und maßgeschneiderte Malware. - Cozy Bear (APT29):
Cozy Bear, auch bekannt als APT29 oder The Dukes, wird oft dem russischen Auslandsgeheimdienst (SVR) zugeschrieben. Diese Gruppe ist für ihre Spionageaktivitäten bekannt und hat wiederholt Regierungsbehörden, Think Tanks und internationale Organisationen angegriffen. Cozy Bear setzt hochentwickelte und versteckte Malware ein, um unentdeckt zu bleiben und langfristig Informationen zu sammeln. - Sandworm Team:
Sandworm, auch bekannt als Unit 74455, ist eine weitere Gruppe, die mit dem GRU in Verbindung steht. Diese Gruppe ist berüchtigt für ihre destruktiven Angriffe, wie die BlackEnergy-Malware-Attacke auf das ukrainische Stromnetz und den NotPetya-Ransomware-Angriff, der weltweit erhebliche Schäden verursachte. - Gamaredon:
Diese Gruppe, die mit dem FSB in Verbindung gebracht wird, ist bekannt für ihre gezielten Phishing-Kampagnen und Spionageangriffe, insbesondere gegen ukrainische Institutionen. Gamaredon nutzt einfache, aber effektive Techniken, um Zugang zu Netzwerken zu erhalten und Informationen zu stehlen.
Neben den etablierten APT-Gruppen setzt Russland seit 2022 zunehmend auf „disposable agents“: zivile Personen ohne professionelle Geheimdienstausbildung, die über Plattformen wie Telegram angeworben werden. Sie führen einfache Sabotageakte wie Brandstiftungen oder Vandalismus aus und erhalten dafür geringe finanzielle Anreize (oft unter 1.000 Euro). Allein zwischen 2022 und 2025 wurden 110 solcher kinetischer Vorfälle in Europa dokumentiert, darunter der versuchte Anschlag auf den CEO von Rheinmetall. Besonders alarmierend ist die Instrumentalisierung organisierter Kriminalität: Russlands Geheimdienste nutzen bestehende Schmuggelnetzwerke (zum Beispiel zur Umgehung von Sanktionen) und Gefängnisstrukturen, um Rekruten zu werben.
Auf einen Blick: Das russische Hacker-Ökosystem
Das russische Cybercrime-Ökosystem ist eines der komplexesten und dynamischsten der Welt. Es umfasst eine Vielzahl von Akteuren, Plattformen und Methoden, die sowohl für finanziell motivierte Cyberkriminalität als auch für staatlich unterstützte Cyberangriffe genutzt werden. Die enge Verknüpfung zwischen Cyberkriminellen und staatlichen Stellen macht dieses Ökosystem besonders gefährlich.
Hauptakteure und Plattformen
- APT-Gruppen: Zu den bekanntesten Advanced Persistent Threat (APT) Gruppen gehören „Fancy Bear“ (APT28) und „Cozy Bear“ (APT29). Diese Gruppen sind für ihre hochentwickelten Cyberangriffe bekannt, die oft staatlich unterstützt werden. Ihre Operationen umfassen Spionage, Sabotage und Datendiebstahl und zielen auf Regierungen, kritische Infrastrukturen und Unternehmen weltweit ab.
- Dark Web Foren: Russischsprachige Foren wie XSS.is, Exploit.in, RAMP, RuTor und CrdClub sind zentrale Dreh- und Angelpunkte für Cyberkriminalität. Diese Foren bieten eine Plattform für den Austausch von Hacking-Tools, gestohlenen Daten und anderen illegalen Waren und Dienstleistungen. Sie sind bekannt für ihre strengen Sicherheitsmaßnahmen, die Anonymität der Nutzer und die Exklusivität ihrer Mitgliedschaft.
- Telegram: Diese verschlüsselte Messaging-Plattform hat sich als bevorzugtes Kommunikationsmittel für Cyberkriminelle etabliert. Telegram wird genutzt, um Hacking-Tools zu verbreiten, Angriffe zu koordinieren und gestohlene Informationen zu handeln. Die Plattform bietet eine sichere Umgebung, die es schwierig macht, kriminelle Aktivitäten zu überwachen und zu verhindern.
Einfluss des Russland-Ukraine-Kriegs
Der Krieg in der Ukraine hat erhebliche Auswirkungen auf das russische Cybercrime-Ökosystem gehabt. Der Konflikt hat die russischsprachigen Bedrohungsakteure polarisiert, wobei einige Gruppen die russische Regierung unterstützen, während andere finanziellen Gewinn aus der geopolitischen Instabilität ziehen. Dieser Konflikt hat zu einer Zunahme von Hacktivismus, Ransomware-Aktivitäten und finanziellen Betrügereien geführt.
Staatliche Unterstützung
Viele russische Cyberkriminelle und Hackergruppen stehen in direkter oder indirekter Verbindung zur russischen Regierung, auch wenn dies nach außen hin gerne bestritten wird. Diese Verbindungen ermöglichen es den Gruppen, auf Ressourcen und staatlichen Schutz zuzugreifen. Insbesondere die APT-Gruppen Sandworm und Turla sind für ihre Verbindungen zu russischen Geheimdiensten wie dem GRU und dem FSB bekannt. Diese Gruppen führen komplexe und koordinierte Angriffe durch, die oft den strategischen Interessen Russlands dienen. Die staatliche Steuerung russischer Cyberaktivitäten ist zunehmend dokumentiert: Eine Analyse der Leiden University zeigte beispielsweise, dass die Zahl der Russland zugerechneten Hybridangriffe in Europa von sechs im Jahr 2022 auf 44 im Jahr 2024 stieg – eine direkte Folge der Vertreibung von 600 russischen Geheimdienstmitarbeitern seit 2018.
Taktiken und Methoden
Russische Hackergruppen verwenden eine Vielzahl von Taktiken, um ihre Ziele zu erreichen:
- Phishing und Spear-Phishing: Durch täuschende E-Mails versuchen sie, Zugangsdaten zu stehlen oder Malware zu installieren.
- Zero-Day-Exploits: Nutzung unbekannter Sicherheitslücken, um unbemerkt in Systeme einzudringen.
- Destruktive Angriffe: Einsatz von Ransomware und Wiper-Malware, um Daten zu verschlüsseln oder zu löschen und somit erheblichen Schaden anzurichten.
- Desinformation und Propaganda: Verbreitung falscher Informationen über Social Media und andere Plattformen, um politische Prozesse zu beeinflussen und gesellschaftliche Spaltungen zu vertiefen.
- Living off the Land: Nutzung legitimer Systemfunktionen und -tools, um Aktivitäten zu verschleiern und die Entdeckung zu vermeiden.
- Kinetische Cyberangriffe: Russlands Taktiken haben sich seit 2024 weiter radikalisiert. Neben digitalen Angriffen kommen zunehmend „kinetische” Cyberoperationen zum Einsatz, bei denen beispielsweise Brandvorrichtungen in kritischer Infrastruktur platziert oder Logistikketten für Militärgüter sabotiert werden. Ein Beispiel hierfür ist der Versuch, Frachtflugzeuge durch manipulierte Paketbomben zum Absturz zu bringen.
- Desinformation und „Doppelgänger“-Operationen: Parallel zu technischen Angriffen nutzt Russland gezielte Desinformationskampagnen, um gesellschaftliche Spaltungen zu vertiefen. Ein Beispiel hierfür ist die „Doppelgänger“-Operation, bei der Medienwebsites gefälscht wurden, um die öffentliche Meinung in Europa durch gefälschte Narrative (z. B. „Ukraine als rechtsextremer Staat“) zu beeinflussen.
Ziele und Motivation
Die Ziele russischer Hackergruppen sind vielfältig und umfassen:
- Politische Manipulation: Einflussnahme auf Wahlen und politische Prozesse in anderen Ländern.
- Spionage: Beschaffung sensibler Informationen von Regierungsbehörden, Militärs und Unternehmen.
- Wirtschaftliche Sabotage: Störung wirtschaftlicher Aktivitäten und Erpressung von Unternehmen.
- Desinformation: Verbreitung falscher Informationen zur Destabilisierung von Gesellschaften und politischen Systemen.
Die Motivation hinter diesen Angriffen reicht von geopolitischen Interessen und wirtschaftlichem Gewinn bis hin zu ideologischen Zielen und der Förderung der nationalen Sicherheit Russlands.
Fokus auf kritische Sektoren
Russische Hackergruppen haben spezifische Sektoren im Visier, die sie regelmäßig angreifen:
- Energiesektor: Angriffe auf Energieinfrastrukturen, um diese zu sabotieren oder auszuspionieren.
- Mediensektor: Angriffe auf Medienorganisationen, um Desinformation zu verbreiten und die öffentliche Meinung zu manipulieren.
- Regierungs- und Sicherheitssektor: Zielgerichtete Angriffe auf Regierungsbehörden und Sicherheitsorganisationen zur Sammlung von Informationen und zur Beeinflussung politischer Entscheidungen.
- Telekommunikationssektor: Angriffe auf Telekommunikationsunternehmen, um Kommunikationsnetzwerke zu stören und Informationen abzufangen.
Ransomware und Politik
Ransomware-Angriffe, lange Zeit als rein kriminelle Aktivitäten betrachtet, weisen zunehmend Anzeichen politischer Motivation auf, insbesondere wenn sie aus Russland stammen. Eine tiefgehende Untersuchung hat ergeben, dass einige dieser Angriffe nicht nur finanzielle Gewinne anstreben, sondern auch geopolitische Ziele verfolgen, die im Einklang mit den Interessen der russischen Regierung stehen. Verbindungen zur russischen Regierung: Es gibt wachsende Beweise dafür, dass einige in Russland ansässige Ransomware-Gruppen eine inoffizielle, aber kooperative Beziehung zur russischen Regierung unterhalten. Diese Gruppen genießen Schutz vor Strafverfolgung durch russische Behörden, was ihnen erlaubt, ihre Operationen ohne Furcht vor Verhaftung fortzusetzen. Im Gegenzug profitieren staatliche Stellen von den Fähigkeiten dieser Cyberkriminellen und nutzen deren Expertise für eigene Zwecke. Ein Beispiel hierfür sind geleakte interne Kommunikation der Ransomware-Gruppe Conti, die zeigt, dass Mitglieder dieser Gruppe Kontakt zu Regierungsvertretern hatten und gelegentlich in staatlich unterstützte Cyberoperationen involviert waren.
Eine bemerkenswerte Beobachtung ist der Anstieg von Ransomware-Angriffen durch russische Gruppen vor Wahlen in großen Demokratien. Diese zeitliche Korrelation legt nahe, dass solche Angriffe Teil einer umfassenderen Strategie zur Wahlbeeinflussung und Destabilisierung politischer Systeme sein könnten. Durch die Störung kritischer Infrastrukturen und das Schüren von Unsicherheit können solche Angriffe das Vertrauen der Öffentlichkeit in die Wahlergebnisse untergraben und somit die politische Stabilität schwächen. Zusätzlich wurde festgestellt, dass Unternehmen, die ihre Geschäftstätigkeit in Russland nach der Invasion der Ukraine 2022 eingeschränkt oder beendet haben, vermehrt Ziel von Ransomware-Angriffen wurden. Dies deutet darauf hin, dass diese Angriffe nicht nur aus wirtschaftlichen Motiven heraus erfolgen, sondern auch als Vergeltungsmaßnahmen für wahrgenommene politische oder wirtschaftliche Feindseligkeiten gegenüber Russland dienen können. Die Verbindungen zwischen Ransomware-Gruppen und der russischen Regierung sowie die politisch motivierten Angriffe heben Ransomware über das Niveau gewöhnlicher Cyberkriminalität hinaus und positionieren sie als eine ernsthafte internationale Sicherheitsbedrohung. Solche Angriffe destabilisieren nicht nur die wirtschaftlichen Strukturen der betroffenen Länder, sondern dienen auch als Werkzeuge in einem breiteren geopolitischen Spiel.
Russlands vorgehen im Cyberwar
Praktische Erfahrungen aus der Ukraine hinsichtlich russischer Cyberangriffe
Die praktischen Erfahrungen in der Ukraine bieten wichtige Einblicke in die russischen Cyber-Angriffe und ihre Auswirkungen auf den Konflikt. Während der russischen Invasion in der Ukraine wurde eine Vielzahl von Cyber- und Informationskriegstechniken mit unterschiedlichen Zielen und Auswirkungen eingesetzt. Auch wenn Russland viele seiner Ziele im Bereich der Cyber- und Informationskriegsführung nicht erreicht hat, lassen sich aus dem Gesamtbild dennoch Lehren ziehen.
Der Konflikt in der Ukraine hat viele Dimensionen, eine der bemerkenswertesten ist der Einsatz von Cyber- und Informationskrieg durch Russland. Der umfassende Krieg Russlands gegen die Ukraine hat zu einer Vielzahl von Cyberangriffen und Informationsoperationen geführt, die unschätzbare Einblicke in die Fähigkeiten und Strategien Russlands liefern. Im Mittelpunkt der Angriffe standen die Störung der Kommunikation, die gezielte Täuschung von Personen durch vernetzte Geräte, die selektive Zerstörung ziviler Telekommunikationsinfrastrukturen und die Integration von kinetischen und Cyber-/Informationsaktivitäten.
Ich beschäftige mich mit Blick auf meine Tätigkeit im Bereich Cybercrime & Cybersecurity aus eigenem Interesse auch mit den Themen Internationales Hacking, Cyberwar & Desinformation. Dazu lese ich seit Jahren mit viel Zeitaufwand frei verfügbare Forschungsarbeiten und Dossiers, etwa vom ETH Zürich, BfVS, BND & sonstigen Ministerien – aber auch von CIA, EU-Parlament & NATO. Auf keinen Fall bin ich ein Experte, die Beiträge speziell im Rahmen „Internationales Hacking“ und „Cyberwar“ hier auf der Webseite sind schlicht Ausfluss beschriebener Arbeitsweise.
Hinweis: In meiner fachlichen Publikation „Cyberwar, Hackbacks und Desinformation – Juristische und technische Implikationen unklarer Begriffe“, erschienen bei Juris im AnwZert ITR 3/2025, gehe ich aus juristischer Sicht den Fragen rund um Cyberwar auf den Grund.
Erste Phase der Invasion und Vorbereitung
Bereits vor der groß angelegten Invasion im Februar 2022 waren Russlands Cyber- und Informationskräfte gut vorbereitet. Ein deutlicher Anstieg destruktiver Cyberangriffe gegen die Ukraine war bereits im Januar und Februar 2022 zu verzeichnen. Diese Angriffe zielten darauf ab, die Kommunikationsfähigkeit der ukrainischen Regierung und des Militärs zu unterdrücken, was auf eine langfristige, koordinierte Vorbereitung hinweist. Ein markantes Beispiel war der Angriff auf das Viasat KA-SAT-Netzwerk kurz vor dem 24. Februar, der durch konventionelle und elektronische Kriegsführung ergänzt wurde, um die ukrainischen Streitkräfte zu blenden.
Übergang zu weniger komplexen Angriffsmustern
Im Verlauf des Krieges hat Russland von komplexeren zu einfacheren Angriffsmustern gewechselt. Diese „fast and dirty“ Methoden umfassten verteilte Denial-of-Service (DDoS)-Angriffe und den Einsatz neuer, weniger komplexer und modularer „Wiper“-Malware. Diese Änderungen in den Angriffsmustern deuten auf eine Anpassung an die Erfordernisse eines längeren Konflikts hin, bei dem weniger Planung und einfache Implementierung erforderlich sind.
Praktische Lehren aus der Cyber-Kriegsführung
Die Erfahrungen in der Ukraine zeigen, dass Cyber- und Informationsoperationen oft eng mit physischen Ereignissen und Infrastrukturen verknüpft sind. Die Abhängigkeit der Telekommunikation vom Stromnetz ist ein einfaches Beispiel. Wenn der Gegner gezielt die Stromversorgung angreift, wie es Russland im Herbst 2022 in der Ukraine tat, wird die Bereitstellung von Notstrom für Telekommunikationsstandorte und Rechenzentren zu einer wesentlichen Priorität für die Cybersicherheit.
Russland hat in der Ukraine auch gezeigt, dass seine Informationskriegsführung über Jahrzehnte hinweg strategisch angelegt ist. Russland nutzt langfristige Desinformationskampagnen, um die Unterstützung für die Ukraine zu untergraben und falsche Narrative zu verbreiten. Dies stellt eine erhebliche Herausforderung für die westlichen Unterstützer der Ukraine dar, da falsche Vorstellungen über die Ukraine und die Eskalation des Konflikts die notwendige wirtschaftliche und politische Unterstützung beeinträchtigen können.
Informationskrieg und Desinformation
Russlands Informationskrieg richtete sich nicht nur gegen die Ukraine, sondern auch gegen westliche Länder. Dabei wurden verschiedene Narrative verfolgt, um die öffentliche Meinung zu beeinflussen und Unterstützung für die Ukraine zu untergraben. Beispiele hierfür sind die „Winter Is Coming“-Kampagne, die Europäer davon überzeugen sollte, dass sie ohne russische Energie frieren würden, und die falsche Darstellung von Präsident Selenskyj als korrupten Führer.
Zukunftsaussichten und Empfehlungen
Die Erfahrungen aus der Ukraine bieten wichtige Lektionen für westliche Nationen, die sich auf zukünftige Konflikte vorbereiten müssen. Es wird empfohlen, die Cyberverteidigung weiter zu stärken und koordiniert auf Bedrohungen zu reagieren. Dies umfasst sowohl technische Maßnahmen zur Abwehr von Cyberangriffen als auch die Widerstandsfähigkeit gegen Informationskriegsführung durch gezielte Kommunikationsstrategien und die Förderung von Medienkompetenz.
Regime-Survival-Paket
Russlands unkonventionelle Kriegsführung: Alte Methoden in neuer Gestalt
Ein Bericht des Royal United Services Institute (RUSI) beleuchtet, wie Russland auch über den Krieg in der Ukraine hinaus auf bewährte Muster unkonventioneller Kriegsführung setzt – eine Strategie, die tief in der Geschichte der sowjetischen Geheimdienste verwurzelt ist und heute durch moderne Technologien eine neue Reichweite erlangt. Auf den Bericht wurde ich übrigens durch das Buch „Achse der Autokraten“ von Anne Applebaum aufmerksam und hier zeigt sich ein wichtiger Kontext zwischen Cyberkrisen und dem (strategischem) Denken moderner Autokratien.
Die Autoren der Analyse zeigen, dass Moskaus Militärdoktrin niemals strikt zwischen konventionellen und unkonventionellen Mitteln unterscheidet: Die latente Drohung mit offener Gewalt schützt und erweitert den Handlungsspielraum für subversive Operationen, die wiederum politische, soziale und wirtschaftliche Schwachstellen in Zielstaaten ausnutzen sollen. Diese Verzahnung aus „klassischem“ Geheimdiensthandwerk, Einflussoperationen und der Mobilisierung gewaltbereiter Akteure bildet das Rückgrat der russischen Theorie eines „Sieg(s) durch Spaltung“.
Historisch reichen die Wurzeln bis zur bolschewistischen Avantgarde zurück, deren Rezept für Revolution auf elitärer Unterwanderung, gezielter Desinformation und dem Schüren von Krisen beruhte. Diese Methode wurde vom KGB und später vom GRU systematisch weiterentwickelt und wird bis heute in Handbüchern und Trainingszentren wie dem berüchtigten 161 Centre (Unit 29155) gelehrt.
Neu ist, wie sehr Russland digitale Technologien als Verstärker nutzt: Desinformationskampagnen, orchestriert über soziale Medien, verschmelzen mit Cyberangriffen auf Infrastrukturen und der Rekrutierung lokaler Agenten bis in höchste politische Kreise. Beispiele wie die vereitelten Umsturzversuche in Montenegro und Moldawien zeigen, wie gezielt Moskau auf Proteste, „False Flag“-Aktionen und organisierte Kriminalität setzt, um Instabilität zu säen – flankiert von einem professionellen Apparat aus „legitimierten“ Akteuren, getarnt als Dissidenten, Studierende oder Geschäftsleute.
Besonders alarmierend ist die globale Expansion dieser Aktivitäten: Unter dem Deckmantel von Anti-Kolonialismus und Sicherheitskooperation dringt Russland – nun unter direkter GRU-Steuerung – in afrikanische Staaten vor, übernimmt Einflussnetze der Wagner-Gruppe und sichert sich Ressourcen sowie politische Loyalität. Gleichzeitig wird der europäische Raum wieder verstärkt ins Visier genommen: Die Reorganisation der Spezialeinheiten nach den massenhaften Ausweisungen russischer Spione zeigt, dass Moskau seine Subversionsfähigkeit nachhaltig regenerieren will.
Für westliche Demokratien folgt daraus eine klare Lehre: Cyberabwehr allein greift zu kurz. Die eigentliche Schwachstelle bleibt der Mensch – sei es der korrumpierbare Politiker, der manipulierte Protestierende oder der über soziale Medien polarisierte Bürger. Wirksame Gegenstrategien müssen daher Spionageabwehr, Resilienzförderung und strategische Kommunikation miteinander verbinden. Informationsräume zu sichern ist notwendig, aber nur wirksam, wenn zugleich die Netzwerke und Finanzen der Agenten neutralisiert werden.
Ausblick: Russische Hackeraktivitäten
Russische Hackergruppen sind hochentwickelte und gefährliche Akteure. Ihre Angriffe haben weitreichende Auswirkungen und stellen eine ernstzunehmende Bedrohung für die Sicherheit und Stabilität von Staaten und Unternehmen dar. Organisationen weltweit müssen ihre Cybersicherheitsmaßnahmen verstärken und sich gegen diese Bedrohungen wappnen. Durch die Analyse der Taktiken und Methoden russischer Hacker können bessere Schutzmaßnahmen entwickelt und die Widerstandsfähigkeit gegen zukünftige Cyberangriffe erhöht werden. Mögliche Ansätze sind:
- Stärkung der Resilienz: Gezielte Aufklärung von Risikogruppen (z. B. russischsprachige Migranten, ehemalige Strafgefangene) über Rekrutierungstaktiken.
- Finanzielle Überwachung: Systematische Analyse von „Neobanken“ und Kryptowährungstransaktionen, die für kleine Sabotagezahlungen genutzt werden.
- Institutionelle Anpassung: Europol und nationale Behörden müssen organisierte Kriminalität als Teil der Hybridbedrohung anerkennen, beispielsweise durch gemeinsame Task Forces aus Polizei, Zoll und Finanzermittlern.
Dabei muss Folgendes verstanden werden: Russlands unkonventionelle Kriegsführung ist kein Relikt des Kalten Krieges, sondern ein anpassungsfähiges Instrument, das im digitalen Zeitalter noch schwerer zu bekämpfen ist und dessen Eindämmung ebenso Wachsamkeit wie internationale Kooperation erfordert. Auch ist Russlands Cyberstrategie kein statisches Phänomen, sondern passt sich dynamisch an geopolitische Gegebenheiten an. Als Strafverteidiger und IT-Rechtsexperte beobachte ich mit Sorge, wie rechtliche Grauzonen – etwa bei der Abgrenzung von Kriminalität und staatlich gelenkter Sabotage – zunehmend ausgenutzt werden. Hier sind nicht nur technische Abwehrmaßnahmen erforderlich, sondern auch eine juristische Aufarbeitung, die Täterschaft und Mittäterschaft in diesen hybriden Netzwerken klar benennt.
Staatliche Hacker im Überblick
Wir beschäftigen uns mit Cyberrisks – dazu gehört auch das Thema Cyberwar, wozu zahlreiche Informationen auf unserer Seite finden. Insbesondere bieten wir eine Artikelserie zum staatlichen Hacking: Zu den bedeutsamsten internationalen Akteuren gehören vor allem staatliche Akteure aus Russland, China und Iran. Diese Länder setzen verschiedene Taktiken ein, um ihre geopolitischen Interessen zu fördern und die Stabilität der europäischen Demokratien zu untergraben. Die Aktivitäten in diesem Bereich zumindest im Grundsatz zu verstehen ist eine wichtige Grundlage um Zugang zur Cyberspionage oder auch der Notwendigkeit von Cyber-Diplomatie zu erhalten!
Neben den im Folgenden benannten Hauptakteuren gibt es auch andere Länder und nichtstaatliche Akteure, die versuchen, Wahlen in Europa zu beeinflussen. Dazu gehören beispielsweise Gruppen, die im Auftrag von Regierungen oder aus eigenem Interesse handeln, um bestimmte politische Agenden voranzutreiben. Diese Akteure nutzen eine Vielzahl von Methoden, darunter Cyberangriffe, Desinformation, wirtschaftlichen Druck und diplomatische Manöver, um ihre Ziele zu erreichen. Die Europäische Union und ihre Mitgliedstaaten stehen vor der Herausforderung, diese Bedrohungen zu erkennen und abzuwehren, um die Integrität ihrer demokratischen Prozesse zu schützen. Losgelöst zu dieser Thematik gibt es inzwischen bei uns auch einen Beitrag zu den Cyberfähigkeiten Israels.
Russland
Russland ist bekannt für seine umfangreichen Desinformationskampagnen und Cyberangriffe, die darauf abzielen, das Vertrauen in demokratische Prozesse zu schwächen. Zu den bekanntesten Beispielen gehört die Beeinflussung der US-Wahlen 2016 sowie die Versuche, die Brexit-Abstimmung zu beeinflussen. Russische Akteure nutzen häufig Social-Media-Plattformen, um falsche Informationen zu verbreiten und gesellschaftliche Spaltungen zu vertiefen.
China
China setzt zunehmend auf Cyberangriffe und Desinformationskampagnen, um seinen Einfluss in Europa auszubauen. Chinesische Hackergruppen sind dafür bekannt, Wirtschaftsspionage zu betreiben und sensible Informationen zu stehlen, die dann genutzt werden können, um politische Entscheidungen zu beeinflussen. Zudem versucht China, durch die Verbreitung von pro-chinesischen Narrativen in den Medien die öffentliche Meinung in Europa zu manipulieren.
Iran
Iranische Akteure nutzen ebenfalls Desinformationskampagnen und Cyberangriffe, um ihre geopolitischen Ziele zu verfolgen. Diese Kampagnen zielen oft darauf ab, die Politik der USA und ihrer Verbündeten in Europa zu destabilisieren. Iranische Hackergruppen greifen dabei auf ähnliche Techniken zurück wie ihre russischen und chinesischen Gegenstücke.
Nordkorea
Nordkorea ist ein weiterer internationaler Akteur, der versucht, durch Cyberaktivitäten Einfluss auf Wahlen und politische Prozesse weltweit zu nehmen, einschließlich in Europa. Während Nordkorea im Vergleich zu Russland, China und Iran weniger im Fokus steht, gibt es dennoch bedeutende Aktivitäten, die von nordkoreanischen Akteuren ausgehen. Nordkorea nutzt auch Desinformation, um seine geopolitischen Ziele zu fördern und politische Unruhen zu schüren. Während es weniger dokumentierte Fälle von direkter Wahlbeeinflussung durch Nordkorea gibt, nutzt das Regime dennoch Cyberoperationen, um politischen Druck auszuüben und seine Interessen zu wahren, etwa durch Veröffentlichung von kompromittierenden Informationen über politische Kandidaten oder die Verbreitung von Propaganda.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (IT-Strafprozessrecht, digitale Beweismittel). Überdies beschäftigt er sich mit den rechtsstaatlichen Grundlagen moderner Arbeit und moderner Technologie – insbesondere mit der Frage, wie Bewusstsein, Verantwortung und Cybersecurity-Awareness im KI-geprägten Alltag Freiheitsräume und europäische Rechtsprinzipien sichern.
Wir übernehmen im IT-Recht und Strafrecht nur bestimmte Bereiche. So im IT-Recht allein im Softwarerecht mit darauf bezogenem IT‑Vertragsrecht und Lizenzrecht sowie rund um Cybersicherheit. Im Strafrecht übernehmen wir ausschiesslich Strafverteidigungen in Bereichen, auf die wir uns spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Ende des Blogs. – 15. August 2026
- KI-Kennzeichnungspflicht nach Art. 50 KI-VO: Pflichten, Fristen, Bußgelder – 1. August 2026
- Der Spion im Labor: Wissenschaft als strafbares Sicherheitsrisiko – 31. Juli 2026