Qilin-Hacker: NRW lässt mutmaßlichen russischen Bandenchef aus Japan ausliefern

Nordrhein-westfälische Ermittler haben nach Angaben des Landes einen mutmaßlichen führenden Kopf der weltweit aktiven russischen Hackergruppe Qilin festnehmen lassen.

Festnahme in Japan, Auslieferung nach Deutschland

Der 28-jährige Russe sei bereits im Mai in Tokio festgenommen worden und am vergangenen Freitag nach Deutschland ausgeliefert worden, teilten Innenminister Herbert Reul (CDU) und Justizminister Benjamin Limbach (Grüne) in Düsseldorf mit. Der Mann sitze inzwischen in einer Justizvollzugsanstalt und sei dringend tatverdächtig.

Der Beschuldigte soll einer der führenden Köpfe der Gruppe sein. Er habe in Japan Urlaub machen wollen, nachdem deutsche Ermittler davon erfahren und die japanischen Behörden eingeschaltet hätten. Auf ihn kommt ein Gerichtsverfahren zu.

Fast 4000 Unternehmen angegriffen

Qilin soll seit 2024 weltweit fast 4000 Unternehmen und Institutionen angegriffen haben. In Deutschland seien 150 Fälle bekannt, davon 30 in Nordrhein-Westfalen. Die Lösegeldforderungen hätten sich auf fast drei Milliarden US-Dollar belaufen; mehr als 140 Millionen Dollar seien gezahlt worden.

Die Gruppe zählt nach Einschätzung der deutschen Ermittler zu den aktivsten und skrupellosesten Cybercrime-Banden. Sie arbeitet demnach mit mehreren Hundert sogenannten Affiliates zusammen. Diese Mittätergruppen führen Angriffe aus oder unterstützen sie innerhalb des Modells „Ransomware as a Service“.

Ermittler verfolgten digitale Spuren

Das Landeskriminalamt und die Zentral- und Ansprechstelle Cybercrime infiltrierten die Hackergruppe und beobachteten sie monatelang. Außerdem verfolgten die Ermittler Zahlungsströme in Kryptowährungen und werteten zahlreiche digitale Spuren aus.

So sei es gelungen, hinter einem Pseudonym einen Namen zu ermitteln. Reul sprach vom größten Schlag deutscher Ermittler gegen Cyberkriminalität. Die Operation erhielt den Namen „Albus“, eine Anspielung auf Albus Dumbledore aus der Harry-Potter-Welt.

Appell an betroffene Unternehmen

Bei Ransomware-Angriffen verschlüsseln Täter Daten und Computersysteme oder stehlen sensible Informationen, um Geld zu erpressen. Reul und Limbach riefen betroffene Unternehmen dazu auf, sich an die Behörden zu wenden und Anzeige zu erstatten.

Reul appellierte zudem, kein Lösegeld zu zahlen. Die Behörden sagten vertraulichen Umgang mit den Informationen zu.

Ransomware als arbeitsteiliges Geschäftsmodell

Der Fall macht sichtbar, wie stark sich digitale Erpressung professionalisiert hat. Bei „Ransomware as a Service“ entwickeln oder betreiben zentrale Gruppen die Schadsoftware und stellen Infrastruktur bereit, während angeschlossene Tätergruppen die Angriffe ausführen. Dadurch können viele Akteure mit unterschiedlichen Aufgaben unter einem gemeinsamen Namen auftreten.

Für Unternehmen und Institutionen entsteht daraus ein besonderes Risiko: Ein Angriff kann nicht nur Daten verschlüsseln, sondern auch zuvor gestohlene Informationen zur zusätzlichen Erpressung nutzen. Die im Fall Qilin genannten Summen zeigen die Größenordnung des Geschäfts. Besonders gefährdet sind Organisationen, deren Ausfall unmittelbar den Betrieb, die Versorgung oder öffentliche Dienstleistungen beeinträchtigt.

Ermittlungen über Ländergrenzen hinweg

Die Festnahme in Japan und die anschließende Auslieferung nach Deutschland verdeutlichen, dass solche Verfahren internationale Zusammenarbeit voraussetzen. Digitale Spuren, Kryptowährungstransaktionen und Kommunikationsdaten müssen über längere Zeit ausgewertet und rechtssicher zusammengeführt werden. Zugleich kann ein einzelner Beschuldigter nur einen Teil eines weit verzweigten Netzwerks abbilden.

Für Betroffene bleibt die schnelle Information der Behörden zentral. Eine Anzeige kann Ermittlungen mit weiteren Fällen verbinden und hilft, Angriffsmuster sowie Zahlungswege zu rekonstruieren. Die Strafverfolgung setzt damit nicht nur auf technische Abwehr, sondern auch darauf, die Täter durch internationale Haftbefehle und Finanzermittlungen persönlich erreichbar zu machen.