ATF bestätigt Qilin-Ransomware-Angriff: System mit Ermittlungszielen betroffen

ATF bestätigt den Vorfall und isoliert das kompromittierte System

Die US-amerikanische Behörde für Alkohol, Tabak, Schusswaffen und Sprengstoffe (ATF) hat bestätigt, einen Cyberangriff erlitten zu haben, der gemäß den Bundesrichtlinien als „schwerwiegender Vorfall“ eingestuft wurde. Die Ransomware-Bande Qilin hat am Mittwoch den Namen der Behörde auf ihrer Leak-Site veröffentlicht, ohne jedoch Proben gestohlener Daten zu veröffentlichen.

Ein Sprecher der ATF erklärte, dass der Verstoß ein eigenständiges Computersystem betraf, das Informationen über die Ermittlungsziele der Behörde enthielt. Das System war nicht mit anderen internen Umgebungen verbunden, einschließlich der Fallverwaltungssysteme, Labore und eForms-Plattformen. Bei Entdeckung der Kompromittierung trennten die Beamten sofort die Verbindungen zu der betroffenen Umgebung und schalteten das System ab.

Am Mittwochabend veröffentlichte die ATF eine öffentliche Erklärung, in der sie bekräftigte, dass der Angriff keine Auswirkungen auf andere interne Systeme hatte und die Fähigkeit der Behörde, ihre Aufgaben zu erfüllen, nicht beeinträchtigt wurde. Der Vorfall wurde von hochrangigen Beamten als „major incident“ eingestuft.

Qilin, eine der aktivsten Ransomware-Banden des Jahres 2026

Qilin gilt als eine der aktivsten und zerstörerischsten Ransomware-Operationen der letzten Jahre. Laut Forschern war die Bande im Juli 2026 mit 127 gemeldeten Angriffen die zweitaktivste Gruppe. Zu ihren Aktivitäten im Jahr 2025 gehörten Angriffe auf den internationalen Flughafen von Kuala Lumpur, den japanischen Getränkekonzern Asahi, die texanische Stadt Sugar Land, eine County-Verwaltung in North Carolina und mehrere Elektrizitätsunternehmen in Texas.

Die Gruppe erlangte 2024 nach einem verheerenden Angriff auf ein britisches Gesundheitsunternehmen, der zu erheblichen Unterbrechungen der medizinischen Dienste führte, Bekanntheit. Trotz verstärkter Aufmerksamkeit der Strafverfolgungsbehörden kehrte Qilin schnell mit Angriffen auf die Regierung von Palau und eine der größten Zeitungsketten der USA zurück. Anfang dieses Monats bestätigte der französische Rugby-Club Stade Français Paris, angegriffen worden zu sein, nachdem er auf die Leak-Site von Qilin gesetzt worden war.

Das Erscheinen der ATF auf der Leak-Site folgt dem typischen Muster der Gruppe: die Opfer werden aufgelistet, ohne sofort Beweise für die Datenexfiltration zu liefern, vermutlich um den Verhandlungsdruck zu erhöhen.

Welche Daten gefährdet waren und was passieren könnte

Das kompromittierte System enthielt Informationen über die Ermittlungsziele der ATF. Sollte Qilin diese Daten veröffentlichen, könnten die Folgen schwerwiegend sein: Laufende Ermittlungen könnten gefährdet und an Operationen beteiligte Personen in Gefahr gebracht werden.

Derzeit hat Qilin jedoch keine Proben gestohlener Daten veröffentlicht. Die einzige beobachtete Aktion ist die Aufnahme des ATF-Namens auf die eigene Leak-Site. Das schließt nicht aus, dass die Daten vor dem Abschalten des Systems exfiltriert wurden, verringert aber die unmittelbare Dringlichkeit hinsichtlich einer Veröffentlichung.

Die ATF erklärte, dass die Fallverwaltungssysteme, Labore und eForms-Plattformen nicht betroffen waren. Die Isolierung des kompromittierten Systems hat die operativen Auswirkungen begrenzt, aber das Reputations- und Ermittlungsrisiko bleibt hoch.

Die Reaktion der ATF und die Ermittlungen des Justizministeriums

Zu den sofortigen Maßnahmen der ATF gehörten die Trennung der Verbindungen zur kompromittierten Umgebung, das Abschalten des Systems sowie die Einleitung von Incident-Response- und forensischen Analysemaßnahmen. Der Sprecher präzisierte, dass es sich um eine laufende Untersuchung handelt und derzeit keine weiteren Details mitgeteilt werden können.

Das US-Justizministerium ermittelt zu dem Angriff. Es wurden keine weiteren spezifischen technischen Gegenmaßnahmen oder Kompromittierungsindikatoren wie Hashes, IP-Adressen oder Malware-Proben veröffentlicht. Organisationen, die eine mögliche Exposition prüfen möchten, haben derzeit keine konkreten Anhaltspunkte.

Ein Justizministerium unter wiederholtem Angriff

Der Vorfall bei der ATF ist der jüngste in einer Reihe von Cyberangriffen auf das Justizministerium und seine Behörden. Zuvor waren der U.S. Marshals Service und das FBI von Kompromittierungen betroffen. Anfang 2020 hatte das DOJ selbst einen Verstoß gegen das Docketing-System der Bundesgerichte erlitten.

Diese Abfolge verdeutlicht, dass US-Bundesbehörden weiterhin ein bevorzugtes Ziel für Ransomware-Gruppen und böswillige Akteure sind, selbst wenn die betroffenen Systeme isoliert und nicht direkt mit kritischen Infrastrukturen verbunden sind.

Was wir noch nicht wissen

Mehrere technische Details sind weiterhin unbekannt. Der anfängliche Zugriffsvektor, den Qilin zur Kompromittierung des Standalone-Systems verwendete, wurde nicht veröffentlicht. Es ist unklar, ob die Daten über die Ermittlungsziele tatsächlich vor dem Abschalten des Systems exfiltriert wurden. Es wurden keine Informationen über eine mögliche Lösegeldforderung oder Verhandlungen bereitgestellt.

Das Fehlen von auf der Leak-Site veröffentlichten Proben könnte darauf hindeuten, dass Qilin nicht über Daten verfügt oder dass die Gruppe abwartet, bevor sie weiteren Druck ausübt. Bis die Ermittlungen detailliertere Ergebnisse liefern, bleibt das Bild unvollständig.