Im Kampf gegen die internationale Cyberkriminalität ist den Ermittlungsbehörden in Nordrhein-Westfalen ein beispielloser Erfolg gelungen. Wie Innenminister Herbert Reul (CDU) am Dienstag in Düsseldorf mitteilte, wurde ein 28-jähriger Russe festgenommen, der zu den führenden Köpfen der berüchtigten Hackergruppe Qilin gehören soll. Der Mann war bereits im Mai in Tokio verhaftet und am vergangenen Freitag nach Deutschland ausgeliefert worden. Er befindet sich inzwischen in einer Justizvollzugsanstalt.
«Das ist der größte Schlag, den deutschen Ermittlern im Kampf gegen Cyberkriminalität je gelungen ist», sagte Reul. Qilin gilt als eine der gefährlichsten Cybercrime-Banden der Welt. Seit 2024 soll die Gruppe weltweit fast 4000 Unternehmen und Institutionen angegriffen haben, darunter 150 in Deutschland und 30 in Nordrhein-Westfalen. Die Lösegeldforderungen beliefen sich nach Angaben des Ministers auf fast drei Milliarden US-Dollar, von denen mehr als 140 Millionen Dollar tatsächlich gezahlt wurden. «Die Dunkelziffer ist wahrscheinlich noch höher», so Reul.
Die Gruppe verfolgt ein Geschäftsmodell, das die Ermittler als «Ransomware as a Service» bezeichnen. Dabei verschlüsseln die Täter Daten und Computersysteme oder stehlen sensible Informationen, um von den Opfern Geld zu erpressen. Qilin ist nach Erkenntnissen der deutschen Ermittler mit mehreren Hundert sogenannten Affiliates verbunden, also Mittätergruppen, die im Auftrag der Bande agieren. Ob die Kriminellen nach einer Geldzahlung tatsächlich die Systeme wiederherstellen, ist ungewiss – ein Deal mit Erpressern gilt als höchst unsicher.
Justizminister Benjamin Limbach (Grüne) schilderte, wie die Ermittler dem Russen auf die Spur kamen. Spezialisten des Landeskriminalamtes und der Zentral- und Ansprechstelle Cybercrime (ZAC) infiltrierten die Hackergruppe und beobachteten sie monatelang. Sie verfolgten Zahlungsströme in Kryptowährungen und setzten unzählige digitale Spuren zu einem Gesamtbild zusammen. «Am Ende stand ein Name hinter dem Pseudonym», sagte Limbach. Der 28-Jährige habe in Japan Urlaub machen wollen, wovon die deutschen Ermittler erfuhren. Daraufhin seien die japanischen Behörden eingebunden worden. Reul kommentierte die Festnahme mit den Worten: «Statt Sushi gibt es jetzt Käsebrot in einer deutschen JVA.»
Die Operation, die das Landeskriminalamt ins Leben rief, trägt den Namen «Operation Albus» – eine Anspielung auf Albus Dumbledore aus der Harry-Potter-Welt. Qilin selbst ist ebenfalls ein Fabelwesen aus dieser Romanwelt. Von Zauberei wollte Reul jedoch nichts wissen: «Das war Hartnäckigkeit, Können und Ausdauer, also richtig gute Polizeiarbeit.» LKA-Spezialisten seien unbemerkt in die Rechner der Täter eingedrungen und hätten deren digitale Kommunikation mitgelesen. «Aus Jägern wurden Gejagte, ohne dass die das mitbekommen haben», sagte der CDU-Politiker. Heute kenne man Qilin von innen. «Die können sich ihrer Sache und auch ihrer eigenen Leute nicht mehr sicher sein.»
Beide Minister appellierten an Unternehmen, sich bei Cyberangriffen an die Behörden zu wenden und keine Lösegelder zu zahlen. «Wenn's Sie erwischt: Nicht zahlen. Anzeigen!», sagte Reul. Solch eine Situation müsse niemandem peinlich sein. «Wer zahlt, füttert das Raubtier, das ihn gerade gebissen hat. Wer anzeigt, hilft allen.» Limbach betonte, die Behörden gingen vertraulich mit den Informationen um. Der Ermittlungserfolg zeige zudem, dass Ausgaben für die Cyberabwehr gut investiertes Geld seien. Für den inhaftierten Russen kommt nun ein Gerichtsverfahren in Deutschland auf ihn zu. Reul fasste es so zusammen: «Der Zauber ist vorbei.»
40
