Im Hintergrund des Netzes läuft ein leiser, aber wichtiger Kampf. Server werden abgeschaltet, Daten gesichert, Täterstrukturen zerschlagen. Die aktuelle Aktion von Operation Endgame zeigt, wie ernst Staaten den Schutz vor Cyberangriffen inzwischen nehmen.
Hintergrund
In dieser Woche haben die Generalstaatsanwaltschaft Frankfurt am Main (ZIT) und das Bundeskriminalamt (BKA) gemeinsam mit internationalen Behörden zwei der gefährlichsten Malware-Varianten weltweit gestoppt.
Beteiligt waren Ermittler aus den Niederlanden, Frankreich, Dänemark, Belgien und den USA, unterstützt von Australien, Kanada, dem Vereinigten Königreich sowie Europol und Eurojust. Das Ziel war die technische Infrastruktur von Rhadamanthys und VenomRAT.
Rhadamanthys zählt zu den führenden sogenannten Stealern. Diese Schadprogramme durchsuchen infizierte Computer automatisiert nach sensiblen Daten und verkaufen sie an Kriminelle.
VenomRAT ist ein Remote-Access-Trojaner, der Angreifern ermöglicht, ein System aus der Ferne zu steuern. Beide Varianten werden heute oft genutzt, um Ransomware in Unternehmen oder privaten Systemen zu platzieren.
Was die Ermittler erreicht haben
Die Maßnahmen umfassten nicht nur Rhadamanthys und VenomRAT. Zusätzlich wurde auch das Botnet Elysium stillgelegt, das in der deutschen Mitteilung nicht erwähnt wurde.
Insgesamt wurden 1.025 Server weltweit abgeschaltet oder gestört, dazu 20 Domains beschlagnahmt, davon über 180 in Deutschland. Die Behörden konnten gestohlene Daten von über 650.000 Betroffenen sichern.
Es gab eine Festnahme in Griechenland. Der Hauptverdächtige im Zusammenhang mit VenomRAT wurde bereits am 3. November 2025 festgenommen. Zudem wurden elf Objekte durchsucht, eines davon in Deutschland.
Kryptowerte im Umfang von über 200 Millionen US-Dollar wurden gesperrt. Europol berichtet zusätzlich, dass der Hauptverdächtige Zugriff auf über 100.000 Krypto-Wallets von Opfern hatte. Damit verlieren Täter wichtige Möglichkeiten, ihre Gewinne zu verschleiern.
Wirkung auf das Cybercrime-Ökosystem
Die internationale Koordination wurde durch ein zentrales Einsatzkommando bei Europol unterstützt. Über 100 Ermittler aus mehreren Staaten arbeiteten dort parallel, tauschten Daten zu Servern, Opfern und Beschlagnahmen aus und führten Analysen und Crypto-Tracing durch.
Der Eingriff trifft Cyberkriminelle an einem zentralen Punkt. Stealer und RATs bilden oft den ersten Schritt in der Angriffskette. Sie öffnen die Tür, bevor später Ransomware nachgeladen wird.
Frühere Maßnahmen führten bereits dazu, dass Dropper und Loader stark zurückgingen. Täter wichen daraufhin verstärkt auf Stealer und RATs aus. Mit der aktuellen Aktion geraten auch diese Varianten in den Fokus.
Wie die Malware in Systeme gelangte
Rhadamanthys und VenomRAT nutzten alltägliche Wege, um Rechner zu infizieren.
- Phishing-Mails öffneten oft den Einstieg. Anhänge wie Rechnungen oder Zustellbenachrichtigungen wirkten vertraut.
- Gefälschte Webseiten boten angebliche Updates oder Formulare an, die in Wahrheit Malware enthielten.
- Manipulierte Downloads wie kostenlose Tools oder gecrackte Software brachten die Schadsoftware unbemerkt auf Systeme.
- ZIP-Archive wurden gezielt eingesetzt, weil Nutzer deren Inhalt oft ohne Vorsicht öffnen.
Was die Malware anrichten konnte
- Rhadamanthys stahl Passwörter, Browser-Verläufe, Cookies und Wallet-Daten. Damit konnten Konten übernommen, Identitäten missbraucht und weitere Angriffe vorbereitet werden.
- VenomRAT ermöglichte eine vollständige Fernsteuerung. Angreifer konnten Dateien kopieren, löschen, Screenshots machen, Tastatureingaben auslesen und weitere Malware wie Ransomware nachladen.
Beide Varianten ermöglichten tiefgehende Angriffe, die weit über einfachen Datendiebstahl hinausgehen.
Informationen für Opfer
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt die Operation durch Warnungen an Provider betroffener Systeme.
Betroffene können prüfen, ob ihre Daten kompromittiert wurden:
– http://www.politie.nl/en/topics/check-your-hack.html
– https://haveibeenpwned.com
Weitere Informationen zu Botnetzen und Bereinigungshilfen finden sich auf der BSI-Webseite.
Informationen für Täter und Zeugen
Im Rahmen der Operation Endgame setzen die Behörden auch auf direkte Ansprache. Erkenntnisse aus den Ermittlungen fließen in kurze Informationsvideos ein, die mit der Botschaft „Operation Endgame – think about (y)our next move“ veröffentlicht werden. Sie sollen Täter und ihr Umfeld zum Umdenken bewegen und weitere Taten verhindern.
Die Videos dienen auch möglichen Zeugen als Orientierung. Zudem wurden zahlreiche Nutzer krimineller Dienste kontaktiert und aufgefordert, Hinweise anonym über den Telegram-Kanal t.me/operationendgame zu melden.
Weitere Informationen sind fortlaufend auf der Webseite der internationalen polizeilichen Partner abrufbar: www.operation-endgame.com
Fazit
Die Aktion zeigt, wie wichtig internationale Zusammenarbeit für die digitale Sicherheit geworden ist. Wenn Behörden früh in die Angriffskette eingreifen, sinkt das Risiko für weitere Ransomware-Angriffe spürbar. Kritisches Prüfen und klare Information bleiben ein notwendiger Schutz.
Quelle: BKA – Abteilung „Cybercrime“ – Erneuter Schlag gegen Verbreitung von Ransomware; «Operation Endgame» schaltet Schadsoftware ab
Auch interessant: Gefälschte Polit-Skandale als Köder für Betrugsseiten – Kickl, Babler, Nehammer
Hinweis: Stand zum Veröffentlichungsdatum.
Verwendete Bilder, Screenshots und Medien dienen ausschließlich der sachlichen Auseinandersetzung im Sinne des Zitatrechts (§ 51 UrhG).
Teile dieses Beitrags können KI-gestützt erstellt und redaktionell geprüft worden sein.
(Mehr zur Arbeitsweise)
