Foto. Cyberdefensa24/Canva
Die Europäische Union, Frankreich und die NATO haben öffentlich eine weit verbreitete russische Cyberkampagne im Zusammenhang mit dem Bundessicherheitsdienst angeprangert. Die Botschaft lautet nicht mehr nur, dass Russland Cyberspionage betreibt. Die Botschaft ist, dass Moskau ein Ökosystem aufgebaut hat, in dem Geheimdienste, Militäreinheiten, kriminelle Gruppen, Proxy-Hacker, Malware-Entwickler und private Unternehmen dasselbe strategische Ziel verfolgen: Druck auf Europa und die Ukraine auszuüben.
Am 13. Juli schrieb die Europäische Union dem 16. Zentrum des russischen Föderalen Sicherheitsdienstes FSB eine Reihe von Cyberoperationen zu. Frankreich machte die gleiche Zuschreibung im Zusammenhang mit Angriffen gegen französische Interessen mit dem Einbruchsgerät TURLA. Die NATO verurteilte außerdem die anhaltenden böswilligen Cyberaktivitäten Russlands und erklärte, diese stellten eine Bedrohung für die Sicherheit der Verbündeten dar. Dies ist wichtig, da der Vorwurf nicht abstrakt ist. Nennen Sie Strukturen, Methoden, Ziele und unterstützende Akteure. Zu den von dieser russischen Cyberaktivität betroffenen Ländern gehörten Frankreich, Deutschland, Polen, Zypern, die Niederlande, Österreich, die Slowakei, Rumänien und Finnland.
Zentraler Akteur ist das 16. FSB-Zentrum. Laut dem französischen C4-Bericht betreibt diese Struktur, auch bekannt als Militäreinheit 71330, mehrere Einbruchsanlagen, die gegen französische und europäische Interessen eingesetzt werden. Eines davon ist TURLA, ein Spionagetool, das seit mindestens 2004 aktiv ist. Der Bericht identifiziert auch die Militäreinheit 61240 in Krasnoje Selo in der Nähe von St. Petersburg als verantwortlich für den Angriff auf Frankreich. Das ist der entscheidende Punkt: Frankreich beschuldigt Russland nicht nur allgemein, sondern definiert auch nachrichtendienstliche Strukturen, die mit Signalaufklärung und offensiven Cyberaktivitäten verbunden sind.
Auch die technische Geographie des FSB-Systems ist wichtig. Der französische Bericht listet elf Abhörzentren auf, die über das gesamte russische Territorium verteilt sind, darunter Einheiten in der Nähe von Sotschi, Temrjuk, Aluschta auf der Krim, Balaschow, Pskow, Tschechow, Krasnoje Selo südlich von Moskau, Chabarowsk, Schkotowo bei Wladiwostok und Selenogradsk in der Region Kaliningrad. Dies zeigt ein verteiltes russisches Sammelsystem, das auf Europa, die Vereinigten Staaten und Asien ausgerichtet ist. Die Präsenz einer Einheit in Kaliningrad ist für die Ostflanke der NATO besonders relevant, da die Region nach wie vor eine der wichtigsten Militär- und Geheimdienstplattformen Russlands gegen Europa ist.
TURLA ist der bekannteste Teil dieses Ökosystems. Es wurde zur Informationsbeschaffung gegen Regierungs-, Diplomatie-, Verteidigungs-, Forschungs-, Technologie-, Bildungs-, Medien- und Energieziele eingesetzt. In dem französischen Bericht heißt es, dass TURLA seit der groß angelegten russischen Invasion in der Ukraine im Jahr 2022 auch Moskaus Kriegsanstrengungen durch das Sammeln von Geheimdienstinformationen gegen die Ukraine und ihre Verbündeten unterstützt habe. Ihre Aktivitäten umfassen Phishing, Watering-Hole-Angriffe, Ausnutzung von Sicherheitslücken, Server- und Website-Kompromittierung, Nutzung von Relays, Befehls- und Kontrollinfrastruktur und Datenexfiltration. Es hat sich auch auf Malware-Familien wie Agent.BTZ, Snake, Kazuar, Epic, ComRAT, Carbon, Mosquito, Penguin, Gazer, Crutch, TinyTurla, LightNeuron und Capibar verlassen.
Polen erscheint auch in der europäischen Bewertung. Die EU und Frankreich gaben an, dass das 16. FSB-Zentrum kürzlich in Polen Cyberangriffe mit Sabotagezielen gegen kritische Infrastrukturen, einschließlich der Wasserentsorgung und des Energiesektors, durchgeführt hat. Dies ist besonders wichtig für die Ostflanke. Für Polen sind die russischen Cyberaktivitäten nicht von Sabotage, Desinformation, Grenzdruck, Angriffen auf die Infrastruktur, Aufklärung und Versuchen, die Unterstützung für die Ukraine zu schwächen, zu trennen. Cyber ist ein Instrument innerhalb einer umfassenderen Hybridkampagne.
Die Reaktion der EU konzentrierte sich nicht nur auf staatliche Strukturen, sondern auch auf das sie umgebende Unterstützungsnetzwerk. Das Sanktionspaket fügte Einzelpersonen und Organisationen hinzu, die mit mehreren Gruppen und Tools verbunden waren: TrickBot, Conti, Wizard Spider, Media Land, ML.Cloud, CARR, Z-Pentest, LummaC2, GRU Unit 29155 und Impuls LLC. Diese Liste ist wichtig, weil sie zeigt, wie Russlands Cybersystem tatsächlich funktioniert. Einige Schauspieler sind Geheimdienstagenten. Einige sind Militäragenten. Einige sind Anbieter krimineller Infrastruktur. Einige sind Malware-Entwickler. Manche bezeichnen sich selbst als Hacktivisten. Zusammen bilden sie ein nützliches Ökosystem für Spionage, Störungen, Ransomware, Sabotage und verleugnbare Operationen.
TrickBot und Conti sind Teil der kriminellen Seite dieses Netzwerks. Die EU listete Vitaly Kovalev auf, der als eine der Hauptfiguren der Malware-Programme TrickBot und Conti beschrieben wird, die ursprünglich mit Wizard Spider in Verbindung standen. Diese Tools wurden in Ransomware-Kampagnen gegen Sektoren wie das Gesundheitswesen und das Bankwesen eingesetzt und haben in der Europäischen Union erheblichen wirtschaftlichen Schaden angerichtet. Dies ist die Logik der modernen russischen Cyberaktivität: Kriminelle Werkzeuge können Geld verdienen, Chaos verursachen und eine umfassendere Destabilisierung unterstützen.
Media Land und ML.Cloud repräsentieren die Infrastrukturschicht. Media Land beschreibt sich selbst als einen kugelsicheren Hosting-Dienst, der seit 2016 Malware-Angriffe erleichtert, indem er Hosting-Dienste anbietet, die die Identität der Benutzer verbergen und sich der Abschaltung durch die Strafverfolgungsbehörden widersetzen. Es ermöglichte Ransomware-Operationen, Befehls- und Kontrolldienste sowie Phishing, das auf kritische Infrastrukturen und wichtige Dienste abzielte. Zu den von Media Land unterstützten Operationen gehören LockBit, EvilCorp und BlackBasta. ML.Cloud präsentiert sich als Schwesterunternehmen, das technische Infrastruktur bereitstellt. Ohne diese Art von Hosting sind viele Cyber-Operationen schwieriger zu warten, zu verbergen und zu skalieren.
CARR, die Cyber Army of Russia Reborn, ist die pseudo-hacktivistische Schicht. Die EU verband CARR mit dem Hauptzentrum für Spezialtechnologien innerhalb der GRU und stellte fest, dass es Regierungsbehörden, Finanzinstitute, Medien und kritische Infrastrukturen in EU-Mitgliedstaaten, den Vereinigten Staaten und der Ukraine ins Visier genommen hat. Denis Degtyarenko und Yuliya Pankratova wurden im Zusammenhang mit CARR aufgeführt. Diese Art von Akteur ist für Russland nützlich, weil er ideologische Motive vorweisen kann, während er in einem Raum agiert, der sich mit staatlichen Zielen überschneidet.
Z-Pentest ist eine weitere pro-russische Hacktivistenformation. Es wird als eine Gruppe beschrieben, die sich aus Mitgliedern von CARR und NoName057 zusammensetzt und sich auf kritische Infrastrukturen, insbesondere den Energie- und Wassersektor, konzentriert. Die EU erwähnt ausdrücklich einen Angriff auf ein dänisches Wasserunternehmen im Dezember 2024. Yuliya Pankratova wird mit Z-Pentest und CARR in Verbindung gebracht. Dies ist ein Modell, das Russland häufig verwendet: Dieselben Personen und Gemeinschaften bewegen sich zwischen kriminellen, ideologischen und staatsgebundenen Umgebungen, was die Zuordnung komplexer, aber nicht unmöglich macht.
LummaC2 ist die Malware-Schicht als Dienst. Maksim Voronin und Maksim Gordienko wurden wegen ihrer angeblichen Rolle bei der Entwicklung, Verbreitung und dem Verkauf der Datendiebstahl-Malware LummaC2 aufgeführt. LummaC2 wird verwendet, um sensible Daten, Browser-Anmeldeinformationen, Krypto-Wallets und Systeminformationen zu stehlen und kann auch dazu beitragen, mehr Malware auf infizierten Geräten zu verteilen. Die EU weist darauf hin, dass es in den Jahren 2024 und 2025 eines der weltweit am häufigsten verwendeten Tools zum Informationsdiebstahl war. Dies ist wichtig, da gestohlene Zugangsdaten oft der erste Schritt vor größeren Spionage- oder Sabotageoperationen sind.
GRU-Einheit 29155 und Impuls LLC zeigen Verbindungen zum militärischen Geheimdienst. Die EU hat Evgeniy Bashev und Roman Puntus im Zusammenhang mit der GRU-Einheit 29155 aufgeführt, denen Cyberaktivitäten vorgeworfen werden, die auf kritische Staatsfunktionen und wesentliche Dienste in Mitgliedstaaten, insbesondere im Verkehrssektor, abzielen. Impuls LLC wird als ein Unternehmen beschrieben, das technischen und materiellen Support, Betriebsabdeckung, Infrastruktur, Zahlungen und Servermanagement für Cyber-Operationen im Zusammenhang mit GRU bereitstellt. Die EU verweist auch auf die WhisperGate-Kampagne gegen die kritische Infrastruktur der Ukraine. Das ist nicht nur Piraterie. Hierbei handelt es sich um einen militärischen Geheimdienst, der private Strukturen nutzt, um Operationen unterhalb der Schwelle eines offenen Krieges zu unterstützen.
Daher ist der strategische Ausblick klar. Russland führt keine isolierten Cyberangriffe durch. Es nutzt ein ganzes Cyber-Ökosystem: den FSB für Spionage, den GRU für militärische Geheimdienstoperationen, kriminelle Gruppen für Ransomware und Störungen, Bulletproof-Hosting-Anbieter für Infrastruktur, Malware-Entwickler für Tools und Hacktivisten für Propaganda und plausible Leugnung. Dasselbe Ökosystem kann Daten von einem Ministerium stehlen, ein Wasserunternehmen angreifen, ein Verteidigungsunternehmen angreifen, eine Website stören, Operationen gegen die Ukraine unterstützen und europäische Unternehmen einschüchtern.
Die NATO-Erklärung fügt die Dimension der Abschreckung hinzu. Der Nordatlantikrat verurteilte die böswilligen Cyber-Aktivitäten Russlands, bekundete seine Solidarität mit den betroffenen Verbündeten und betonte, dass die NATO bereit sei, das gesamte Spektrum ihrer Fähigkeiten zur Abschreckung, Verteidigung und Abwehr von Cyber-Bedrohungen zu nutzen. Dies ist wichtig, da Cyber-Operationen gegen kritische Infrastrukturen und Regierungsnetzwerke mittlerweile Teil der Sicherheitsdebatte des Bündnisses sind und nicht nur ein technisches Thema für nationale Cyber-Behörden sind.
Die europäische Reaktion geht in die richtige Richtung, muss aber noch weiter gehen. Zuschreibung und Sanktionen sind notwendig, aber Russland wird nicht aufhören, weil es öffentlich erwähnt wird. Die wahre Reaktion muss eine stärkere Cyber-Abwehr, einen besseren Informationsaustausch, den Schutz kritischer Infrastrukturen, gemeinsame Übungen, öffentlich-private Zusammenarbeit, schnellere Reaktion auf Vorfälle und die politische Bereitschaft, Kosten aufzuerlegen, umfassen. Europa muss sich auch auf Angriffe im Zusammenhang mit Wahlen, Militärhilfe für die Ukraine und der Ostflanke der NATO vorbereiten.
Russlands Cyberkrieg gegen Europa ist bereits im Gange. Es handelt sich nicht um ein Zukunftsszenario. Es ist eine tägliche Kampagne der Spionage, Störung, Sabotage und Druck. Die Juli-Zuschreibung zeigt, dass Europa die Struktur der Bedrohung klarer versteht als zuvor. Die Frage ist nun, ob es mit der gleichen Geschwindigkeit reagieren kann, mit der sich Russlands Cyber-Ökosystem anpasst.
Aus diesem Grund müssen NATO- und EU-Staaten Cyber-Streitkräfte als permanentes Element der modernen Verteidigung und nicht als technische Hilfsfähigkeit betrachten. Die Entwicklung der Cyber-Einheiten in den 32 NATO-Mitgliedsstaaten zeigt, dass der Cyberspace zu einem militärischen Bereich geworden ist, in dem nationale Souveränität und alliierte Koordination zusammenarbeiten müssen. Einige Länder verfügen bereits über ausgereifte Cyber-Kommandos, andere befinden sich noch im Aufbau ihrer Strukturen. Jeder ernsthafte Staat braucht Kräfte, die in der Lage sind, Netzwerke zu verteidigen, militärische Operationen zu unterstützen, feindlichen Aktivitäten entgegenzuwirken und zur kollektiven Abschreckung beizutragen. Das russische Cyber-Ökosystem zeigt, dass die Bedrohung organisiert, anpassungsfähig und strategisch ist. NATO und EU brauchen daher nicht nur Sanktionen und Befugnisse, sondern auch stärkere Cyberkräfte, eine vertiefte Zusammenarbeit, gemeinsame Standards und die Fähigkeit, gemeinsam zu reagieren, wenn feindliche Cyberoperationen auf kritische Infrastrukturen, Regierungen, die Verteidigungsindustrie oder demokratische Prozesse abzielen.