Zehn internationale Haftbefehle und vier vorläufige Festnahmen und vier vorläufige Festnahmen

Frankfurt(pm). Die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) haben am 28. und 29.05.2024 in einer international abgestimmten Aktion gemeinsam mit Strafverfolgungsbehörden aus den Niederlanden, Frankreich, Dänemark, Großbritannien sowie den USA, unterstützt durch Europol und Eurojust, sechs der derzeit einflussreichsten Schadsoftware-Familien vom Netz genommen. An den Maßnahmen waren im Rahmen der Internationalen Rechtshilfe zudem die portugiesischen, ukrainischen, schweizerischen, litauischen, rumänischen, bulgarischen, armenischen und österreichischen Strafverfolgungsbehörden beteiligt. Die Behörden konnten
dabei auf die Unterstützung zahlreicher privatwirtschaftlicher IT-Sicherheitsdienstleister zurückgreifen. Bei den maßgeblich durch die ZIT und das BKA koordinierten Maßnahmen wurden im Zuge der internationalen „Operation Endgame“ weltweit über 100 Server beschlagnahmt sowie über 1.300 kriminell genutzte Domains unschädlich gemacht. Gegen einen identifizierten Betreiber und Administrator wurde ein Vermögensarrest in Höhe von 69 Millionen Euro erwirkt. Zudem wurden 99 Krypto-Wallets mit einem aktuellen Gesamtvolumen in Höhe von mehr als
70 Millionen Euro bei zahlreichen Kryptobörsen gesperrt. Weiterhin wurden 10 internationale Haftbefehle erlassen und vier Personen vorläufig festgenommen. Im Rahmen der Gesamtmaß-
nahmen fanden Durchsuchungen an insgesamt 16 Objekten in Armenien, den Niederlanden, Portugal und der Ukraine statt, bei denen zahlreiche Beweismittel sichergestellt worden sind.
Die bei der Operation Endgame sichergestellten Daten werden derzeit ausgewertet und können zu Anschlussermittlungen führen.

BKA-Vizepräsidentin, Martina Link:
„Mit der bislang größten internationalen Cyber-Polizeioperation ist den Strafverfolgungsbehörden ein
bedeutender Schlag gegen die Cybercrime-Szene gelungen. Der aktuelle Erfolg stützt sich auf Maßnah-
men gegen Infrastrukturen, Akteure und ihre Finanzmittel und ist geeignet, das Vertrauen innerhalb
der Underground Economy zu beeinträchtigen. Durch die intensive, internationale Zusammenarbeit
konnten gleich sechs der größten Schadsoftware-Familien unschädlich gemacht werden. Wir werden
Cybercrime auch weiterhin gemeinsam mit unseren nationalen und internationalen Partnern aktiv ent-
gegenwirken, um den Kriminellen möglichst dauerhaft ihre Arbeitsgrundlage zu entziehen.“

Den „Takedowns“ gingen langwierige und aufwändige Ermittlungen in den beteiligten Staaten voraus. In Deutschland werden die Ermittlungen u. a. wegen Verdachts der banden- und
gewerbsmäßigen Erpressung sowie der Mitgliedschaft in einer kriminellen Vereinigung im Ausland geführt. Ziel der internationalen „Operation Endgame“ ist die nachhaltige Bekämpfung der weltweiten Cybercrime, indem nicht nur gegen einzelne Schadsoftware-Familien vorgegangen wird, sondern Maßnahmen gegen die täterseitig genutzte technische und finanzielle Infrastruktur
und gegen die Akteure gleich mehrerer solcher teilweise kollaborierender Tätergruppen gebündelt werden.

Die aktuellen Maßnahmen richteten sich in erster Linie gegen die Täterschaft hinter den sechs Schadsoftware-Familien IcedID, SystemBC, Bumblebee, Smokeloader, Pikabot und Trickbot, die als sogenannte „Dropper“ mit mindestens 15 Ransomware-Gruppierungen in Verbindung standen. Dropper sind Schadsoftware-Varianten (sogenannte Malware), die zur Erstinfektion genutzt werden und Cyberkriminellen als Türöffner dienen, um unbemerkt Opfersysteme zu infizieren und dann weitere Schadsoftware nachzuladen. Dies geschieht etwa mit dem Ziel, persönliche Daten wie Nutzernamen und Passwörter abzugreifen oder infizierteSysteme beziehungsweise dadurch betroffene Netzwerke im Fall von Ransomware in erpresserischer Absicht zu verschlüsseln. Der aus deutscher Sicht gefährlichste Dropper war die Schadsoftware Smokeloader, die bereits seit über zehn Jahren existierte und sich fortlaufend weiterentwickelte. Bei den internationalen Maßnahmen wurde die technische Infrastruktur von Smokeloader sowie fünf weiterer Dropperdienste beschlagnahmt und deren Kontrolle von den Strafverfolgungsbehörden übernommen. Damit wurde den Tätern der Zugriff auf tausende Opfersysteme entzogen. Allein das Botnetz von Smokeloader umfasste im Verlauf des vergangenen Jahres mehrere hunderttausend Systeme. Für die Benachrichtigung der Opfer einer Botnetz-Infektion ist das Bundesamt für Sicherheit in der Informationstechnik (BSI) zuständig.

ZIT-Leiter Oberstaatsanwalt, Dr. Benjamin Krause:
„Die internationale Kooperation der Strafverfolgungsbehörden zur Bekämpfung von Cybercrime funktioniert und wird ständig fortentwickelt. Denn nur mit gemeinsamen Maßnahmen wie der Beschlagnahme krimineller IT-Infrastruktur und der Abschöpfung kriminell erlangter Finanzmittel können die Verantwortlichen von global tätigen Schadsoftware-Gruppierungen effektiv verfolgt werden.“

Gegen insgesamt acht Akteure wurden von Deutschland Haftbefehle erlassen. Auf dieser Grundlage fahnden BKA und ZIT gemeinsam nach sieben identifizierten Personen, die im dringenden Verdacht stehen, sich als Mitglied an einer kriminellen Vereinigung zum Zwecke der Verbreitung der Schadsoftware Trickbot beteiligt zu haben. Zudem wird nach einem weiteren Beschuldigten gefahndet, der dringend verdächtig ist, einer der Rädelsführer der Gruppierung hinter der Schadsoftware Smokeloader zu sein. Lichtbilder und Beschreibungen der Beschuldigten können über folgenden Link auf der BKA-Webseite abgerufen werden: www.bka.de/endgame_fahndung.