NRW gelingt Erfolg gegen russische Hackergruppe "Qilin"

"Das ist ein historischer Schlag: Zum ersten Mal haben wir ein solches Netzwerk erfolgreich infiltriert." Die Zufriedenheit steht NRW-Innenminister Herbert Reul bei der Vorstellung des Ermittlungserfolgs deutlich ins Gesicht geschrieben.

Ein 28-jähriger russischer Staatsbürger, der zu den führenden Köpfen der Ransomware-Gruppe "Qilin" gehören soll, ist nach Deutschland ausgeliefert worden. Reul freut sich, die Auslieferung gemeinsam mit Justizminister Benjamin Limbach (Grüne) am Mittwoch in Düsseldorf bekannt geben zu können. Der Mann wurde im Mai in Japan festgenommen und am vergangenen Freitag nach Deutschland überstellt.

Das Landeskriminalamt NRW und die Zentral- und Ansprechstelle Cybercrime NRW (ZAC) hatten die Gruppe heimlich unterwandert und monatelang beobachtet. Limbach berichtete von aufwendiger Ermittlungsarbeit und der Auswertung zahlreicher digitaler Spuren.

Im September 2024 hatte "Qilin" ein Unternehmen aus NRW angegriffen. Dabei seien Daten gestohlen und verschlüsselt worden. Anschließend hätten die Täter mit deren Veröffentlichung gedroht. Im Rahmen dieser Ermittlungen stießen die Ermittler auf einen kleinen Puzzlestein, der die Ermittlungen möglich machte.

Japanische Medien berichten von einer Erpressung in Höhe von 165.000 US-Dollar in Bitcoin. Der Beschuldigte soll für den Aufbau der Angriffssysteme zuständig gewesen sein und einen Teil des Lösegeldes erhalten haben.

Nach Angaben Reuls soll "Qilin" seit 2024 weltweit fast 4.000 Unternehmen erpresst haben. Rund 150 davon seien in Deutschland betroffen gewesen, etwa 30 in Nordrhein-Westfalen. Die Dunkelziffer dürfte höher liegen. Auch der Cyberangriff auf die Partei "Die Linke" im März 2026 soll auf das Konto der Gruppe gehen.

Die Lösegeldforderungen hätten sich nach Erkenntnissen des LKA NRW auf fast drei Milliarden US-Dollar summiert. Mehr als 140 Millionen Dollar seien tatsächlich gezahlt worden. Diese Zahlen beziehen sich auf die gesamte Gruppe.

Reul und Limbach dankten den japanischen Behörden. Japan habe den Verdächtigen ausgeliefert, obwohl zwischen beiden Ländern kein bilaterales Auslieferungsabkommen bestehe.

Demnach wurde der Mann dort Ende Mai während einer Reise festgenommen, die Beweise der NRW-Behörden hätten auch die japanischen Gerichte überzeugt. "Qilin" soll auch für den Cyberangriff auf den japanischen "Asahi"-Konzern verantwortlich sein.

Die Ransomware-Kerngruppe "Qilin" stellt Schadsoftware und technische Infrastruktur bereit. Mehrere hundert angeschlossene Tätergruppen führen damit Angriffe aus und beteiligen die Betreiber dann an den erpressten Einnahmen. Neben der Verschlüsselung von Daten gehört die Drohung mit deren Veröffentlichung zum Geschäftsmodell.

Weitere Details zu den Ermittlungen wurden nicht bekannt gegeben. Denn die Tätersuche laufe weiter. Endlich sei man, so Limbach und Reul gemeinsam, mal in der Position, den Tätern zu sagen: "Ihr könnt euch nicht mehr sicher sein. Kann sein, dass wir bald schon vor der Tür stehen."

Hinweis