NRW: Mutmaßlicher Qilin-Hacker aus Japan nach Deutschland ausgeliefert
Nordrhein-Westfalens Ermittler haben nach Angaben von Innenminister Herbert Reul (CDU) einen mutmaßlichen Kopf der russischen Hackergruppe Qilin gefasst. Der 28-Jährige wurde im Mai in Tokio festgenommen und ist nun in Deutschland in Haft. Die Gruppe soll fast 4000 Unternehmen und Institutionen angegriffen und erpresst haben.
Ermittler aus Nordrhein-Westfalen haben nach eigenen Angaben einen Schlag gegen die russische Hackergruppe Qilin geführt. Sie soll für digitale Angriffe und Erpressungen von fast 4000 Unternehmen und Institutionen verantwortlich sein. NRW-Innenminister Herbert Reul (CDU) bezeichnete die Gruppe in Düsseldorf als eine der gefährlichsten Cybercrime-Banden der Welt.
Ein 28-jähriger Russe war laut Reul bereits im Mai in Tokio festgenommen worden und wurde am vergangenen Freitag nach Deutschland ausgeliefert. Er gilt als dringend tatverdächtig und soll zu den führenden Köpfen der Gruppe gehören. Reul sprach vom größten Erfolg, den deutsche Ermittler im Kampf gegen Cyberkriminalität bislang erzielt hätten.
Nach Reuls Schilderung wollte der Mann in Japan Urlaub machen. Die deutschen Ermittler hätten davon erfahren und daraufhin die japanischen Behörden eingebunden. Mittlerweile sitzt der Verdächtige in einer Justizvollzugsanstalt. Reul scherzte, statt Sushi gebe es für ihn nun Käsebrot in einer deutschen JVA. Auf den Mann kommt ein Gerichtsverfahren zu.
Seit 2024 soll die Gruppe laut Reul weltweit wohl fast 4.000 Unternehmen und Institutionen angegriffen haben, davon 150 in Deutschland und 30 in NRW. Die Dunkelziffer liege wahrscheinlich noch höher. Die Lösegeldforderungen hätten sich auf fast drei Milliarden US-Dollar belaufen, mehr als 140 Millionen Dollar seien tatsächlich gezahlt worden.
Qilin zählt Reul zufolge zu den aktivsten und skrupellosesten kriminellen Banden weltweit. Das Geschäftsmodell sei Erpressung im ganz großen Stil, bekannt als „Ransomware as a Service“. Bei solchen Angriffen verschlüsseln Cyberkriminelle Daten und Computersysteme oder stehlen sensible Informationen, um von Unternehmen und anderen Organisationen Geld zu erpressen. Nach Erkenntnissen der deutschen Ermittler ist Qilin mit mehreren Hundert sogenannten Affiliates verbunden, also Mittätergruppen.
Die Täter bieten den Betroffenen häufig an, nach einer Zahlung den Schaden zu beheben und die Systeme wieder zum Laufen zu bringen. Ob das stimmt oder ob die Kriminellen das IT-System kurz darauf erneut angreifen, ist unklar. Ein solcher Handel mit Kriminellen gilt als fragwürdig.
Justizminister Benjamin Limbach (Grüne) sprach von geduldiger Detailarbeit. Ermittlerinnen und Ermittler des Landeskriminalamtes und der Zentral- und Ansprechstelle Cybercrime (ZAC) hätten die Hackergruppe infiltriert und über Monate beobachtet. Zudem hätten sie Zahlungsströme in Kryptowährungen verfolgt. Aus unzähligen digitalen Spuren sei schließlich ein Gesamtbild entstanden, an dessen Ende ein Name hinter dem Pseudonym gestanden habe.
Beim Geschäftsmodell Ransomware gingen die Täter davon aus, selbst unerreichbar zu sein, sagte Limbach. Sie glaubten, aus sicherer Entfernung Krankenhäuser, Kommunen und mittelständische Firmen erpressen zu können, ohne Folgen zu tragen. Diese Annahme stelle der Ermittlungserfolg nun infrage. Die Ermittler seien geduldig und vergäßen nichts.
Reul erklärte, LKA-Spezialisten seien unbemerkt in die Rechner der Täter eingedrungen und hätten deren digitale Kommunikation mitgelesen. Aus Jägern seien so Gejagte geworden, ohne dass diese es bemerkt hätten. Heute kenne man Qilin von innen, und die Gruppe könne sich weder ihrer Sache noch ihrer eigenen Leute sicher sein. Der Erfolg zeige zudem, dass Ausgaben für die Cyberabwehr gut investiertes Geld seien.
Der Name Qilin stammt von einem Fabelwesen aus der Romanwelt von Harry Potter. Das Landeskriminalamt nannte seine Ermittlungen deshalb „Operation Albus“, in Anspielung auf Albus Dumbledore, den Schulleiter der Zauberschule Hogwarts. Mit Zauberei habe der Fall nichts zu tun gehabt, sagte Reul. Entscheidend seien Hartnäckigkeit, Können und Ausdauer gewesen, also gute Polizeiarbeit. Für den Mann in Haft sei der Zauber nun vorbei.
Reul und Limbach riefen Unternehmen, die Opfer von Cyberkriminalität werden, dazu auf, sich an die Behörden zu wenden. Betroffene sollten nicht zahlen, sondern Anzeige erstatten, so Reul. Das müsse niemandem peinlich sein. Wer zahle, füttere das Raubtier, das ihn gerade gebissen habe, und wer anzeige, helfe allen. Limbach betonte, die Behörden gingen mit den Informationen vertraulich um.