EU, USA und UK sanktionieren Trickbots „Stern“ wegen Ransomware-Erpressungen in Höhe von 300 Millionen Dollar

Ein koordinierter Schlag gegen einen Ransomware-Boss

Die Europäische Union hat eine Person, die online als „Stern“ bekannt ist, offiziell sanktioniert. Sie wird als Administrator hinter der Ransomware-Operation Trickbot identifiziert. Nach Angaben der Blockchain-Analysefirma Chainalysis hat Sterns Netzwerk mehr als 300 Millionen US-Dollar an Lösegeldzahlungen eingesammelt – eine der bedeutendsten Cybercrime-Sanktionen der jüngeren Vergangenheit. Die Maßnahme erfolgte zusammen mit parallelen Sanktionen der Vereinigten Staaten und des Vereinigten Königreichs und ist Teil einer breiter angelegten, koordinierten Aktion gegen die Infrastruktur, die Ransomware profitabel hält.

Sterns Rolle war nicht die eines einsamen Hackers, der in Netzwerke einbricht. Vielmehr deuten Berichte darauf hin, dass die Person wie eine Führungskraft agierte und ein kriminelles Unternehmen leitete, das die Trickbot-Malware entwickelte und lizenzierte, mit der weltweit Opfer kompromittiert wurden. Trickbot selbst blickt auf eine lange Geschichte als grundlegendes Werkzeug im Ransomware-Ökosystem zurück und diente häufig als erster Zugangspunkt, der später zerstörerischere Ransomware-Angriffe auf Krankenhäuser, Unternehmen und Regierungsbehörden ermöglichte.

Warum Sanktionen bei der Durchsetzung gegen Ransomware wichtig sind

Sanktionen funktionieren anders als eine Festnahme oder Anklage. Statt eine Auslieferung anzustreben (oft unmöglich, wenn Verdächtige aus Ländern ohne kooperative Strafverfolgungsabkommen agieren), frieren Sanktionen den finanziellen Zugang ein und stellen jede Transaktion mit der benannten Person oder den ihr zugeordneten Wallets unter Strafe. Für jemanden wie Stern, dessen Imperium auf Kryptowährungszahlungen angewiesen ist, die über Börsen und Mixer fließen, kann das den Geldfluss auch ohne eine gerichtliche Verurteilung spürbar stören.

Diese Art von Ransomware-Sanktionen sendet zugleich ein Signal an die Unternehmen, die Lösegeldzahlungen ermöglichen. Cyber-Versicherer, Incident-Response-Firmen und die bei einem Angriff beauftragten Verhandlungsführer setzen sich nun rechtlichen Risiken aus, wenn sie wissentlich Gelder an eine sanktionierte Einheit weiterleiten. Diese Realität hat bereits die Abläufe hinter den Kulissen von Ransomware-Verhandlungen verändert, wie wir in unserem Bericht über einen BlackCat-Ransomware-Verhandler, der seine eigenen Klienten betrog, detailliert dargestellt haben – ein Fall, in dem die Anreize rund um Lösegeldzahlungen undurchsichtiger waren, als die Opfer erwartet hatten.

Der Fall Trickbot zeigt auch, wie sich Ransomware zu einem vielschichtigen Geschäftsmodell entwickelt hat. Gruppen wie Stormous, die kürzlich die Verantwortung für das Leaken von 10 GB Daten aus dem Netzwerk einer niederländischen Kirche übernahmen, sind häufig auf Zugangsvermittler und Malware-as-a-Service-Infrastruktur angewiesen, ähnlich dem, was Trickbot bereitstellte. Wenn die Betreiber der Infrastruktur sanktioniert werden und nicht nur die Ransomware-Markennamen, ist das der Versuch, die Lieferkette zu ersticken, von der kleinere Gruppen abhängig sind.

Die Datenschutz-Folgen für Alltagsnutzer

Während Sanktionen auf eine bestimmte Person abzielen, betreffen die Datenschutz-Implikationen jeden, dessen persönliche Daten durch ein Netzwerk gelaufen sind, das Trickbot mit kompromittiert hat. Ransomware-Operationen entwenden häufig sensible Datensätze, bevor sie Systeme verschlüsseln, und diese gestohlenen Daten verschwinden nicht, sobald Sanktionen verkündet werden. Besonders hart trifft dieses Muster das Gesundheitswesen, wie sich zeigte, als Irlands HSE mit 300.000 Euro Strafe belegt wurde, nachdem ein Ransomware-Angriff das Tullamore Hospital getroffen hatte, wobei Patientendaten offengelegt wurden.

Ransomware-Akteure nutzen zudem häufig Anonymisierungswerkzeuge, die speziell für kriminelle Zwecke entwickelt wurden und sich von legitimen VPN-Diensten für Verbraucher unterscheiden. Strafverfolgungsbehörden haben begonnen, diese Infrastruktur direkt ins Visier zu nehmen, wie die Abschaltung zeigte, über die wir in unserem Bericht zur Beschlagnahmung von 33 Servern eines kriminellen VPN-Dienstes durch Europol berichteten. Diese Maßnahmen unterstreichen einen wichtigen Unterschied: Datenschutztools für gewöhnliche Nutzer sind nicht dasselbe wie zweckgebaute kriminelle Infrastruktur, und Regulierungsbehörden ziehen diese Grenze zunehmend klar.

Was das für Sie bedeutet

Für die meisten Leser werden die Sanktionen gegen Stern den Alltag nicht direkt verändern, doch sie spiegeln eine größere Wahrheit wider: Ransomware ist keine abstrakte Bedrohung aus der Ferne. Es ist eine profitorientierte Branche mit Führungskräften, Lieferketten und finanziellen Anreizen – ähnlich wie jedes andere Unternehmen. Wenn dieses Unternehmen ein Krankenhaus, eine Schule oder ein Unternehmen betrifft, das Ihre persönlichen Daten speichert, treffen die Konsequenzen ganz normale Menschen, nicht nur IT-Abteilungen.

Wenn Sie in den letzten Jahren eine Benachrichtigung über eine Datenschutzverletzung erhalten haben, insbesondere von einem Gesundheitsdienstleister, einem Finanzinstitut oder einer öffentlichen Einrichtung, besteht die reale Möglichkeit, dass der zugrunde liegende Angriff auf eine Infrastruktur zurückgeht, wie Stern sie mutmaßlich aufgebaut hat. Das ist ein guter Grund, wachsam zu bleiben, wo Ihre Daten liegen und wie sie geschützt werden.

Umsetzbare Empfehlungen

• Verfolgen Sie Benachrichtigungen über Datenschutzverletzungen, insbesondere von Gesundheits- und Finanzdienstleistern, aufmerksam und melden Sie sich für eine angebotene Kreditüberwachung an.
• Verwenden Sie überall einzigartige, starke Passwörter und aktivieren Sie, wo immer möglich, die Multi-Faktor-Authentifizierung, da der Diebstahl von Zugangsdaten oft der erste Schritt bei Ransomware-Einbrüchen ist.
• Seien Sie skeptisch gegenüber unerwünschten E-Mails und Anhängen, da sich Trickbot und ähnliche Malware-Familien in der Vergangenheit über Phishing-Kampagnen verbreitet haben.
• Verstehen Sie den Unterschied zwischen seriösen Datenschutztools und kriminellen Anonymisierungsdiensten, wenn Sie sich über VPN- oder Sicherheitsprodukte informieren.

Die Sanktionen gegen Stern werden Ransomware nicht über Nacht beenden, aber sie stellen eine bedeutende Eskalation dar, wie Regierungen die finanziellen Lebensadern abwürgen, die diese Operationen überhaupt erst profitabel machen.