Ein wenig Häme konnte sich Herbert Reul am Ende eines für die NRW-Sicherheitsbehörden bedeutenden Tages nicht verkneifen: „Statt Sushi gibt es jetzt Käsebrot in einer deutschen JVA“, spottete der Innenminister am Mittwochnachmittag vor laufenden Kameras.
Montag, Mittwoch, Freitag
Hauptstadt Inside von Jörg Quoos, Chefredakteur der FUNKE Zentralredaktion
Hinter den Kulissen der Politik - meinungsstark, exklusiv, relevant.
Mit meiner Anmeldung zum Newsletter stimme ich der Werbevereinbarung zu.
Im Mai hatte die japanische Polizei in Osaka den mutmaßlichen 28-jährigen Cyberkriminellen Vladimir K. festgenommen. Ein junger Mann mit weichen Gesichtszügen, kurzen Haaren und Geheimratsecken. Der Russe weilte damals zwei Wochen im Japan-Urlaub. Kurz vor der Heimreise erfolgte der Zugriff und in der vergangenen Woche schließlich die Auslieferung nach Deutschland. Vom Frankfurter Flughafen ging es geradewegs in die Untersuchungshaft nach Köln.
Auch interessant
Hacker-Netzwerks „Qilin“: Name steht für Fabelwesen aus Harry Potter
Dem Mann wird vorgeworfen, dass er zur Kerngruppierung des weltweit gefürchteten Hacker-Netzwerks „Qilin“ gehört. Der Name steht für ein Fabelwesen aus der Harry-Potter-Reihe, halb Reh, halb Drache. Die kriminelle Vereinigung hat in den vergangenen Jahren ein Geschäftsmodell mit Schadsoftware (Ransomware) perfektioniert und so Millionen erpresst.
Weltweit wurden fast 4000 Unternehmen, Kliniken und Behörden angegriffen. Mindestens 140 Millionen Dollar Lösegeld sollen geflossen sein. Allein in Deutschland sind 150 Fälle bekannt. In NRW kennen die Behörden 30 Unternehmen und Institutionen, die Opfer wurden.
„Qilin“ stellt mutmaßlich von Russland aus die technische Infrastruktur für weltweit Hunderte Mittäter – sogenannte „Affiliates“ – zur Verfügung. Sie versuchen, über E-Mails oder Schwachstellen im IT-System die Netzwerke von Firmen, Verwaltungen und Institutionen lahmzulegen. Sensible Daten, Patente oder andere Geschäftsgeheimnisse werden entwendet. Die Opfer sollen hohe Lösegelder in Kryptowährungen überweisen, um wieder arbeiten zu können. Als Faustformel gilt, dass zehn Prozent des Firmengewinns gefordert werden.
Lesen Sie auch
In Aachen nahm alles seinen Anfang
„Diese Leute machen Firmen kaputt. Die legen Krankenhäuser lahm“, schimpfte Reul. In England seien nach einem solchen Hacker-Angriff Blutproben nicht rechtzeitig ausgeliefert worden, was ein Menschenleben gekostet habe.
Dass es ausgerechnet nordrhein-westfälischen Ermittlern gelungen ist, einen der mutmaßlich führenden Köpfe von „Qilin“ dingfest zu machen, erfüllt Reul und seinen Justizminister-Kollegen Benjamin Limbach (Grüne) erkennbar mit großem Stolz. Sieben Spezialisten des Landeskriminalamtes und zwei besonders geschulte Staatsanwälte der Kölner Cybercrime-Einheit „ZAC“ hätten zwei Jahre lang die Spur aufgenommen, lobte Limbach: „Sie haben die Infrastruktur der Täter analysiert, Zahlungsströme in Kryptowährungen nachverfolgt und aus unzähligen digitalen Spuren ein Bild zusammengesetzt.“
Ausgangspunkt war ein gewöhnlicher Hacker-Angriff auf einen Mittelständler in Aachen. Dort hatte die örtliche Polizei früh gute forensische Spuren im Betriebssystem der Firma sichern können. Alles wirkte zwar zunächst nur wie ein Korn in einem ganzen Sandkasten. Mit Beharrlichkeit und ein wenig Ermittlerglück scheint es jedoch gelungen zu sein, die Linie bis zu einem Netzwerk junger IT-Spezialisten in Russland nachvollziehen zu können. Das weitverzweigte System mit gemieteten Servern und Franchise-Mittätergruppen sieht verworren aus wie der Schaltplan eines Kraftwerks. Besonders im Blickpunkt für die NRW-Behörden: Vladimir K., der unter dem Pseudonym „Snake“ entscheidend in der Softwareentwicklung der Hacker-Gruppe tätig gewesen sein soll.
Dass seine Festnahme und Auslieferung am Ende wirklich glückten, verdankt sich offenbar der exzellenten Zusammenarbeit mit der japanischen Polizei. „Zum ersten Mal wurde ein russischer Hacker durch deutsche Behörden außerhalb Russlands festgenommen“, freute sich Reul. Hinweise auf den russischen Staat als Auftraggeber der Hacker-Angriffe gibt es dem Vernehmen nach nicht, obschon auffällt, dass vor allem westliche Unternehmen Opfer solcher Taten werden.
Lesen Sie auch
Erste Festnahme eines Russen
Limbach lobte die internationale Abstimmung mit Europol, den USA, Kanada und Großbritannien. Sechs Monate bleiben der Staatsanwaltschaft nun Zeit, um eine Anklage gegen den inhaftierten russischen Hacker zu schreiben, die vor Gerichten Bestand hat. Ob wirklich eine Schneise ins Netzwerk der Cyberkriminellen geschlagen werden konnte, vermögen selbst die hochspezialisierten Ermittler nicht abzuschätzen. Doch Limbach ist sicher: „Dieser Fall zeigt, was entsteht, wenn Landeskriminalamt und ZAC eng zusammenarbeiten, dann ist Nordrhein-Westfalen ein Gegner, mit dem auch die professionellsten Banden der Welt rechnen müssen.“
Das Landeskriminalamt hat seiner Operation gegen „Qilin“ ironischerweise den Namen „Albus“ gegeben – wie der Vorname des mächtigen Leiters der Zauberschule Hogwarts bei Harry Potter. „Schöner Name“, findet Reul, „aber Zauberei war das nicht.“
