Qilin-Ransomware: Russische Gruppe attackiert US-Behörde ATF

Die US-Behörde für Alkohol, Tabak, Waffen und Sprengstoffe (ATF) hat einen schwerwiegenden Sicherheitsvorfall in ihrer IT-Infrastruktur eingeräumt. Wie die Behörde Ende August mitteilte, wurde ein eigenständiges System, das sensible Informationen zu Ermittlungszielen enthielt, zum Ziel der Ransomware-Gruppe Qilin.

Das US-Justizministerium (DOJ) hat den Vorfall offiziell als „major incident“ eingestuft und die Koordination der weiterführenden Untersuchungen übernommen.

Nach Angaben der ATF war das betroffene Standalone-System physisch und logisch vom restlichen Enterprise-Netzwerk der Behörde getrennt. Es bestanden zudem keine Verbindungen zum eForms-System oder zu anderen missionskritischen Anwendungen.

Durch eine konsequente Netzwerksegmentierung sei es gelungen, den potenziellen Schaden erheblich zu begrenzen. Das betroffene System wurde unmittelbar nach Entdeckung der Unregelmäßigkeiten abgeschaltet.

Die Behörde betonte, dass der Vorfall keine Auswirkungen auf ihre laufende Mission oder die allgemeine Betriebsfähigkeit habe. Ob tatsächlich Daten exfiltriert wurden, konnte zum jetzigen Zeitpunkt noch nicht bestätigt werden.

Massive Expansion der Qilin-Aktivitäten

Angesichts der massiven Zunahme von Ransomware-Angriffen ist ein proaktiver Schutz der IT-Infrastruktur für Unternehmen jeder Größe unerlässlich. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt, wie Sie Sicherheitslücken ohne hohe Investitionen schließen können. Gratis-E-Book: Cyber Security Bedrohungen abwenden

Die Gruppierung Qilin, die in Fachkreisen auch unter dem Namen Agenda bekannt ist, hat die Verantwortung für den Angriff bereits auf ihrer Leak-Seite im Darknet für sich beansprucht. Eine unabhängige Bestätigung für diese Behauptung steht allerdings noch aus.

Die Gruppe ist seit dem Jahr 2022 aktiv und wird von Sicherheitsexperten dem russischen Einflussbereich zugeordnet. Bekanntheit erlangte Qilin unter anderem durch einen großflächigen Angriff auf den Dienstleister Synnovis im Jahr 2024.

Strukturell agiert Qilin nach einem Ransomware-as-a-Service-Modell (RaaS). Dabei behält die Kerngruppe lediglich einen kleinen Teil der Lösegelder ein, während die ausführenden Partner, sogenannte Affiliates, zwischen 70 und 85 Prozent der Einnahmen erhalten. Dieses Modell scheint zu einer rapiden Skalierung geführt zu haben.

Im Jahr 2025 verzeichnete die Gruppe etwa 1.400 Opfer, was einem Anstieg von 538 Prozent gegenüber dem Vorjahr entspricht. Branchenanalysten von Check Point meldeten zudem, dass Qilin zwischen April 2025 und März 2026 insgesamt 1.358 Opfer auf ihren Plattformen auflistete – eine Steigerung von 443 Prozent.

Allein im zweiten Quartal 2026 seien 279 neue Opfer hinzugekommen. Seit Beginn ihrer Aktivitäten im Jahr 2022 wird die Gesamtzahl der Betroffenen auf mehr als 2.200 geschätzt.

Aktuelle Angriffe auf die Privatwirtschaft

Wer die Sicherheit im eigenen Unternehmen erhöhen möchte, muss auch die psychologischen Manipulationstaktiken moderner Cyberkrimineller verstehen. Der kostenlose Ratgeber zur Hacker-Abwehr bietet eine detaillierte Analyse aktueller Angriffsmethoden wie CEO-Fraud und zeigt effektive Schutzmaßnahmen auf. Anti-Phishing-Paket jetzt kostenlos herunterladen

Neben der US-Bundesbehörde gerieten in den vergangenen Tagen vermehrt private Unternehmen in den Fokus der Gruppierung. Am 28. und 29. August 2026 erweiterte Qilin ihre Leak-Liste um mehrere internationale Ziele. Dazu gehören das US-amerikanische Fertigungsunternehmen AUM Construction sowie die Unternehmen THE FRAME GROUP, LA MAISON DES TRAVAUX und die spanische Kanzlei Alter Consultores Legales.

Auffällig bei den jüngsten Veröffentlichungen war die zeitliche Abfolge. Experten eines Threat Intelligence Teams beobachteten, dass die Einträge für LA MAISON DES TRAVAUX und THE FRAME GROUP innerhalb weniger Sekunden nacheinander erfolgten. Dies deute auf eine koordinierte Veröffentlichung hin.

Wie im Fall der ATF liegen auch für diese Unternehmen derzeit keine detaillierten Beweise für den Umfang des Datenabflusses oder die konkreten Auswirkungen vor.

Unabhängige Verifizierungen der Angriffe stehen bei diesen Neulistungen noch aus. Das Justizministerium und spezialisierte Ermittler setzen die Analyse der Vorfälle fort, um das gesamte Ausmaß der Kampagne gegen staatliche und zivile Institutionen zu bewerten.