Russische hybride Angriffe: Deutsche Firmen im Fokus

Es ist ein früher Sonntagmorgen im Juni 2022, als ein Mitarbeiter des IT-Dienstleisters "Count + Care" geistesgegenwärtig einen Stein nimmt und damit eine Glastür einwirft. Hacker waren ins Firmensystem eingedrungen und kontrollierten bereits die Schließanlage. Der Mitarbeiter verschaffte sich Zugang zu einem Büro, zog dem infizierten Rechner den Stecker und unterbrach so den Angriff. Sofort kam die Frage auf: Was konnten die Hacker anrichten?

Betroffen war damals auch der Energieversorger Entega, der Kunde und Hauptaktionär der "Count + Care" ist. Beide Firmen sitzen im hessischen Darmstadt. Die Entega betreibt Wind- und Solarparks, Gaskraftwerke und Umspannwerke, kurzum: Energieinfrastruktur für rund eine Million Kundinnen und Kunden. Doch die kritische Infrastruktur sei gut geschützt gewesen, so Entega-Chefin Marie-Luise Wolff gegenüber ZDF frontal:

Hinter dem Angriff steckt die russischsprachige Hackergruppe AlphV, auch "BlackCat" genannt. "Hochkriminell, hochprofessionell, das konnte man ja alles dann nachlesen, und entweder vom russischen Staat geduldet oder incentiviert oder bezahlt - das haben wir nicht herausgefunden", so Wolff.

Nach dem Angriff forderten die Hacker 15 Millionen Euro Lösegeld. Die Beteiligten entschieden, nicht zu zahlen, auch weil sie die Daten wiederherstellen konnten. Zwar landeten Datensätze später im Darknet, doch die Kunden hätten verständnisvoll reagiert, so Entega-Chefin Wolff.

Was dem Energieversorger passierte, passt zur Bedrohungslage seit Beginn des Ukraine-Kriegs. Der BND warnt, Deutschland sei für Russland "Zielfläche Nummer eins in Europa". Die Hacker von "Blackcat" gelten zwar als Cyberkriminelle, aber keine direkten Staatshacker.

• Bedrohung aus Russland - "Wir stehen schon jetzt im Feuer"

Doch in Putins Russland verschwimmen diese Grenzen, weiß die Präsidentin des für Cybersicherheit zuständigen Bundesamts, Claudia Plattner: "Wir sehen schon seit vielen Jahren eine zunehmende, unheilige Allianz zwischen kriminellen Gruppen und dem russischen Staat an dieser Stelle."

Cyberattacken, Spionage, Sabotage, Diebstahl - der deutschen Wirtschaft entsteht dadurch laut einer Bitkom-Studie ein Schaden von zuletzt 289 Milliarden Euro im Jahr. Die Angreifer kamen demnach meist aus China und Russland, der Anteil ausländischer Geheimdienste wachse.

• Verfassungsschutzpräsident: "Haben es mit multiplen Bedrohungen zu tun"
• Moskaus Helfernetzwerk in Deutschland

Sabotage steht oft am Ende, doch Angriffe müssen vorbereitet, Ziele ausgespäht werden. Russland setzt mittlerweile low-level-Agenten ein, die für wenig Geld einfache Aufträge erfüllen. Deutsche Sicherheitsbehörden warnen in einer eigenen Kampagne davor, "kein Wegwerfagent" zu werden.

Johannes Strümpfel, Präsident des Verbandes für Sicherheit in der Wirtschaft, hat für ZDF frontal bei Unternehmen nachgefragt - und berichtet von Fällen, bei denen er low-level-Agenten vermutet:

• Auf einem Besucherparkplatz in der Nähe eines Rüstungsunternehmens sei dem Werkschutz ein Camper mit russischem Kennzeichen aufgefallen, der auffällige Solarzellen und Antennen auf dem Dach gehabt habe, so Strümpfel. Die Insassen hätten schlecht Deutsch gesprochen und seien dann schnell weggefahren.
• Am Hauptsitz eines Technologiekonzerns hätten zwei Personen Fotos von der Abfahrt zur Tiefgarage und den Innenhöfen gemacht, wo Kameras hängen, also auch deren Positionen erkennbar sind, so Strümpfel. Vom Werkschutz angesprochen, hätten sie sich als Ukrainer ausgegeben. Angeblich seien sie von einem anderen Ukrainer in der Ukraine gebeten worden, die Fotos zu machen.

Strümpfel vermutet, "dass deutsche Unternehmen das Ziel von systematischer Aufklärung sind, dass man möglicherweise sogar kartiert, dass man sagt: Wo sind denn lohnenswerte Angriffsziele?"

Russischer General beschrieb hybride Kriegsführung schon 2013

Besonders im Fokus stehen Rüstungskonzerne. Auf der Korvette "Emden" hatten Unbekannte Metallspäne in den Antrieb gekippt. ZDF frontal kommt bei Recherchen mit einer Quelle in Kontakt, die von einem ähnlichen Vorfall berichtet:

"Bei einem Militärgerät, das sich im Bau befand, wurde eine zerknüllte Getränkedose in einem Rohr gefunden. Wäre das nicht aufgefallen, wäre das Gerät stark beschädigt worden. Höchstwahrscheinlich war das Sabotage. Ein Täter wurde nicht ermittelt."

Öffentlich bekannt sind vergleichsweise wenige Fälle, deshalb lassen sich Muster nur schwer ableiten.

Aus einem regelmäßigen Lagebild könnten Unternehmen ihre Schlüsse ziehen und sich besser schützen.

Hoffnungen ruhen auch auf dem Nationalen Sicherheitsrat, dem neuen Gremium im Kanzleramt. Statt föderalem Klein-Klein könnte er langfristige Strategien gegen hybride Bedrohungen entwickeln. Doch das Gremium befindet sich noch im Aufbau und ist personell dünn aufgestellt.

Eine weitere Baustelle ist das Kritis-Dachgesetz, das eine EU-Richtlinie von 2022 umsetzen soll. Doch die Frist ist verstrichen, schon die Ampel-Koalition hatte daran gearbeitet. Das Gesetz soll Betreiber kritischer Infrastrukturen verpflichten, sich besser zu schützen und Angriffe zu melden. Auch aus Eigenschutz mache das Sinn, so Petretto vom BDI: "Das Kritis-Gesetz ist überfällig."

Für den angegriffenen Energieversorger Entega bleibt ein schwacher Trost: Die Hackergruppe Blackcat wurde zerschlagen. Der Stein, der damals Schlimmeres verhinderte, ruht nun in einer Vitrine. Eine goldene Plakette erinnert an den Mitarbeiter: "Mikes Schlüssel. Danke an alle, die an der Wiederherstellung der Systeme beteiligt waren."