Die Jagd auf einen der mutmaßlichen Hauptakteure der Ransomware-Gruppierung Hive geht in eine neue Phase. Nachdem bereits die Infrastruktur der Kriminellen weitgehend zerschlagen werden konnte, rücken nun die führenden Köpfe in den Fokus internationaler Fahnder.
Ein digitaler Drahtzieher im Visier der Ermittler
Die internationale Strafverfolgung gegen organisierte Cyberkriminalität hat eine neue Eskalationsstufe erreicht. Ein ukrainischer Staatsbürger, der als zentraler Kopf hinter einer der aggressivsten Ransomware-Gruppierungen der letzten Jahre gilt, wurde in die Liste der „EU Most Wanted“ aufgenommen [1] [2]. Die Aufnahme in diese prestigeträchtige wie gleichermaßen berüchtigte Fahndungsliste unterstreicht die enorme Bedeutung, die die europäischen Behörden der Zerschlagung dieser kriminellen Netzwerke beimessen [3].
Für Informationen, die zur Ergreifung des Mannes führen, hat die US-Regierung ein Kopfgeld von bis zu 10 Millionen US-Dollar ausgelobt [4] [5]. Diese außergewöhnlich hohe Summe verdeutlicht den massiven wirtschaftlichen und gesellschaftlichen Schaden, den die Gruppe – namentlich „Hive“ – und ihre angeschlossenen Partner weltweit angerichtet haben.
Ransomware als Geschäftsmodell: Die Spur der Verwüstung
Die Gruppierung Hive hat sich in der Vergangenheit durch ein besonders skrupelloses Vorgehen einen Namen gemacht. Das Modell der „Ransomware-as-a-Service“ erlaubte es den Köpfen hinter der Infrastruktur, ihre Schadsoftware an zahlreiche kriminelle Partner zu vermieten, die dann gezielt Unternehmen und Institutionen angriffen [6]. Die Täter verschlüsselten sensible Daten und drohten mit deren Veröffentlichung, sofern kein Lösegeld – in der Regel in Kryptowährungen wie Bitcoin – gezahlt wurde [2].
Die Ermittler werfen dem Gesuchten und seinen mutmaßlichen Komplizen vor, weltweit mehr als 300 Unternehmen infiltriert zu haben [2]. In Deutschland schätzen die zuständigen Behörden den entstandenen wirtschaftlichen Schaden auf weit über 50 Millionen Euro [3]. Dabei machten die Kriminellen vor sensiblen Infrastrukturen nicht halt.
Angriffe auf deutsche Infrastruktur: Medizin Campus Bodensee und MediaMarktSaturn
Zu den bekanntesten Opfern der Gruppe in Deutschland zählen neben der Elektronikmarktkette MediaMarktSaturn auch medizinische Einrichtungen. Der Klinikverbund Medizin Campus Bodensee wurde Anfang 2022 Ziel eines solchen Angriffs [2]. Die Konsequenzen waren schwerwiegend: Aufgrund der verschlüsselten Systeme konnten an den Standorten in Friedrichshafen und Tettnang zeitweise keine Patienten aufgenommen oder computergestützte Untersuchungen durchgeführt werden [3].
Interne Chatprotokolle, die den Behörden vorliegen, belegen die menschenverachtende Haltung der Täter. Die Gruppierung diskutierte demnach explizit darüber, ob Angriffe auf Krankenhäuser ethisch vertretbar seien. Nach einer internen Debatte entschied man sich dafür, dass solche Ziele für die Erpressungen legitim seien – eine Entscheidung, die in den folgenden Monaten zu einer Welle von Attacken auf das Gesundheitswesen führte [3].
Internationaler Ermittlungsdruck hält an
Bereits im Jahr 2023 gelang den Strafverfolgungsbehörden, darunter das FBI und deutsche Spezialisten des Cybercrime-Zentrums (CCZ) Baden-Württemberg, ein entscheidender Schlag gegen die Infrastruktur von Hive [3] [6]. Server im Darknet wurden beschlagnahmt und Entschlüsselungstools konnten Opfern zur Verfügung gestellt werden. Dennoch blieben die Hauptverantwortlichen flüchtig.
Die aktuelle Fahndung nach dem ukrainischen Drahtzieher ist das Ergebnis einer jahrelangen, akribischen internationalen Zusammenarbeit. Die Kriminalpolizei Esslingen arbeitete hierbei eng mit US-amerikanischen Partnern zusammen, um den Mann zu identifizieren [3]. Die Aufnahme in die „EU Most Wanted“-Liste soll nun den Fahndungsdruck erhöhen. Da die Anzahl der Plätze auf dieser Liste streng limitiert ist, wertet das CCZ Baden-Württemberg dies als klares Signal für die hohe Priorität der Ermittlungen [3].