NRW: Mutmaßlicher Qilin-Kopf nach Festnahme in Tokio in Deutschland
Ermittler aus Nordrhein-Westfalen haben nach eigenen Angaben einen mutmaßlichen führenden Kopf der russischen Hackergruppe Qilin nach Deutschland gebracht. Der 28-Jährige war im Mai in Tokio festgenommen worden und sitzt nun in einer Justizvollzugsanstalt.
Ermittler aus Nordrhein-Westfalen haben nach eigenen Angaben einen mutmaßlichen führenden Kopf der russischen Hackergruppe Qilin nach Deutschland gebracht. Bei dem Mann handelt es sich um einen 28 Jahre alten Russen, der als dringend tatverdächtig gilt und einer der Anführer der Gruppe sein soll.
Festgenommen wurde er den Angaben zufolge bereits im Mai, als er in Tokio Urlaub machte. Am vergangenen Freitag wurde er nach Deutschland ausgeliefert und befindet sich seither in einer Justizvollzugsanstalt. Auf ihn kommt ein Gerichtsverfahren zu.
NRW-Innenminister Herbert Reul (CDU) stufte Qilin als eine der gefährlichsten Cybercrime-Banden weltweit ein. Für die deutschen Ermittler sei es nach seinen Worten der bislang größte Erfolg im Kampf gegen Cyberkriminalität. NRW-Justizminister Benjamin Limbach (Grüne) schilderte, die Ermittler hätten dem Russen in geduldiger Detailarbeit auf die Spur kommen können.
Qilin soll seit 2024 weltweit fast 4000 Unternehmen und Institutionen angegriffen haben. In Deutschland sind demnach 150 Fälle bekannt, 30 davon in Nordrhein-Westfalen. Die geforderten Lösegelder summierten sich auf fast drei Milliarden US-Dollar, mehr als 140 Millionen Dollar wurden tatsächlich gezahlt.
Nach Erkenntnissen der Ermittler arbeitet die Gruppe mit mehreren Hundert sogenannten Affiliates zusammen. Diese Mittätergruppen führen die Angriffe aus, bei denen Daten verschlüsselt oder gestohlen werden. Danach verlangen die Täter Geld für die Wiederherstellung der Systeme oder drohen damit, sensible Informationen zu veröffentlichen.
Limbach zufolge infiltrierten das Landeskriminalamt und die Zentral- und Ansprechstelle Cybercrime die Gruppe und beobachteten sie über Monate. Die Ermittler verfolgten dabei auch Zahlungsströme in Kryptowährungen und werteten zahlreiche digitale Spuren aus. Die Ermittlungen liefen unter dem Namen „Operation Albus“. Reul erklärte, Spezialisten des LKA seien unbemerkt in Rechner der Täter eingedrungen und hätten deren Kommunikation mitlesen können.
Reul und Limbach forderten betroffene Unternehmen auf, Ransomware-Angriffe bei den Behörden anzuzeigen. Reul fasste seinen Appell in die Worte „Nicht zahlen. Anzeigen!“. Limbach äußerte zudem die Hoffnung auf weitere Erfolge gegen Cyberkriminalität.
Der Name Qilin verweist auf ein Fabelwesen aus der Romanwelt von Harry Potter. Die Ermittlungsoperation spielt mit „Albus“ auf Albus Dumbledore an, den Schulleiter der Zauberschule Hogwarts. Reul betonte, der Erfolg beruhe nicht auf Zauberei, sondern auf Hartnäckigkeit, Können und Ausdauer.
Der Fall steht für ein arbeitsteiliges Modell der Cyberkriminalität, das als „Ransomware as a Service“ bezeichnet wird. Dabei stellen zentrale Betreiber Schadsoftware, Infrastruktur und Erpressungsplattformen bereit, während Affiliates einzelne Angriffe übernehmen. Betroffen sind nicht nur große Konzerne, sondern auch Kommunen, Krankenhäuser und mittelständische Betriebe. Verschlüsselung, Datendiebstahl und die Drohung mit einer Veröffentlichung erhöhen den Druck auf die Opfer, Kryptowährungen erschweren die Nachverfolgung der Zahlungen.
Die Festnahme zeigt, dass sich internationale Ermittlungen auch gegen mutmaßliche Führungspersonen richten können, wenn digitale Spuren, Kommunikationsdaten und Zahlungsflüsse zusammengeführt werden. Das Geschäftsmodell endet dadurch aber nicht automatisch: Die Vielzahl beteiligter Gruppen und die internationale Infrastruktur erschweren eine dauerhafte Zerschlagung.
Für Unternehmen bleibt eine rasche Meldung an Polizei und zuständige Cybercrime-Stellen wichtig. Sie kann Ermittlungen ermöglichen, weitere Opfer schützen und Zahlungsströme nachvollziehbar machen. Die Folgen eines Angriffs lassen sich außerdem mit Sicherungskopien, getrennten Netzwerken, aktuellen Systemen und eingeübten Notfallplänen verringern.