Betreiber der Conti-Ransomware zu vier Jahren Haft in den USA verurteilt

Haftstrafe folgt auf Festnahme und Auslieferung aus Irland

Ein US-Gericht hat den ukrainischen Staatsangehörigen Oleksii Oleksiyovych Lytvynenko wegen seiner Beteiligung an der Conti-Ransomware-Operation zu vier Jahren Haft verurteilt.

Das Urteil wurde am 11. September 2026 bekannt, das genaue Datum der Verkündung ist jedoch nicht veröffentlicht worden. Lytvynenko, 44, bekannte sich im Juni 2026 schuldig. Ihm drohten maximal 20 Jahre Haft.

Die Angaben zur Verurteilung unterscheiden sich geringfügig. Teilweise wird sie als Überweisungsbetrug, teilweise als Verschwörung zum Überweisungsbetrug bezeichnet. Das zugrunde liegende Verhalten wird in den verfügbaren Berichten jedoch übereinstimmend beschrieben: Lytvynenko half dabei, Unternehmen zu kompromittieren, kontrollierte gestohlene Informationen, verschickte Erpressungsforderungen und entwickelte Malware, die bei Conti-Angriffen eingesetzt wurde.

Die irische Polizei An Garda Síochána nahm ihn im Juli 2023 auf Ersuchen der USA in seinem Haus in Cork fest. Lytvynenko, der zuvor in Irland gelebt hatte, verbrachte mehrere Jahre in einem irischen Gefängnis, während er sich gegen seine Auslieferung wehrte.

Schließlich wurde er in die Vereinigten Staaten überstellt. Einem Bericht zufolge erfolgte die Auslieferung Ende 2025. Das Strafverfahren lief damit noch lange weiter, nachdem Conti seinen Betrieb unter dem ursprünglichen Namen eingestellt hatte.

Lytvynenko verband Malware-Entwicklung mit direkten Angriffen

Lytvynenko schloss sich nach eigenen Angaben im Rahmen seines Schuldbekenntnisses im September 2021 der Conti-Organisation an. Die Staatsanwaltschaft beschrieb ihn nicht lediglich als Affiliate, der Zugänge kaufte oder von anderen bereitgestellte Ransomware einsetzte.

Seine Aufgaben umfassten offenbar mehrere Phasen eines Eindringens in Netzwerke. Er arbeitete in einem von einem anderen Conti-Verschwörer geleiteten Team, war an Angriffen auf mindestens 12 Unternehmen beteiligt und bewahrte gestohlene Daten von acht US-Opfern sowie vier Opfern außerhalb der USA auf.

Außerdem verschickte er Lösegeldforderungen. Diese Nachrichten bildeten die Erpressungskomponente des Geschäftsmodells von Conti: Die kompromittierten Organisationen wurden unter Druck gesetzt, in Bitcoin zu zahlen, um den Zugriff wiederzuerlangen und eine Veröffentlichung ihrer Daten zu verhindern.

Darüber hinaus schrieb Lytvynenko Code für einen Malware-„Loader“. Die Komponente wurde nicht unter einem eigenen Namen identifiziert; Hashes, Dateinamen oder andere technische Indikatoren wurden nicht veröffentlicht.

Ein Loader stellt typischerweise einen Mechanismus für die erste Ausführung oder Zustellung zusätzlicher Software bereit. In diesem Fall beschrieben die Behörden den Code als in der Lage, die für einen Angriff benötigte Malware und unterstützende Tools zu installieren oder zu starten.

Diese Rolle bei der Entwicklung ist bedeutsam. Sie verortet Lytvynenko nicht nur beim Kontakt mit den Opfern, sondern auch innerhalb der technischen Infrastruktur, die die Ausführung späterer Payloads ermöglichte.

Zu den ihm zugeschriebenen Aktivitäten gehörten:

• Entwicklung bösartiger Tools
• Unterstützung von Netzwerk-Einbrüchen
• Speicherung und Kontrolle exfiltrierter Informationen
• Ermöglichung der Ausführung zusätzlicher Malware
• Beteiligung an der Verbreitung von Ransomware
• Versand von Erpressungsforderungen an Opfer

Von Ermittlern sichergestellte Beweise deuteten außerdem darauf hin, dass seine Ransomware-Aktivitäten nach der Einstellung des Conti-Betriebs fortgesetzt wurden. Wann diese Aktivitäten endeten und welche spätere Operation er mutmaßlich unterstützte, ist nicht bekannt. Die Behörden haben ihn keiner bestimmten Conti-Nachfolgegruppe zugeordnet.

Conti kombinierte Verschlüsselung mit der Drohung einer Datenveröffentlichung

Conti operierte als Unternehmen für doppelte Erpressung. Die Mitglieder drangen in Netzwerke der Opfer ein, entwendeten sensible Daten, verschlüsselten Systeme und forderten anschließend Zahlungen in Kryptowährungen.

Die Verschlüsselung erzeugte unmittelbaren operativen Druck, weil der Zugriff auf Dateien, Geräte und geschäftliche Dienste unterbrochen wurde. Der Datendiebstahl bot eine zweite Druckmöglichkeit: Selbst Organisationen, die ihre Systeme aus Backups wiederherstellen konnten, mussten weiterhin eine öffentliche Veröffentlichung ihrer Daten befürchten.

Die Operation nahm weltweit mehr als 1.000 Organisationen ins Visier, darunter Gesundheitsdienstleister, Behörden, Unternehmen und Betreiber kritischer Infrastrukturen. Von 2020 bis 2022 erreichten die Angriffe 47 US-Bundesstaaten, den District of Columbia, Puerto Rico und 31 ausländische Staaten.

Das FBI schätzte, dass mit Conti verbundene Opfer bis Januar 2022 mehr als 150 Millionen US-Dollar gezahlt hatten. Andere Einschätzungen schreiben der Operation über ihre gesamte aktive Zeit mindestens diesen Betrag zu. Eine endgültige, verlässliche Summe der Einnahmen wurde jedoch nicht veröffentlicht.

Der Fall Lytvynenko steht für einen kleineren, individuell zurechenbaren Teil dieser Kampagne. Die Staatsanwaltschaft erklärte, er habe persönlich mindestens 12 Unternehmen geschädigt. Das entspricht den Berichten zufolge acht US-Opfern und vier Opfern im Ausland, deren Daten sich unter seiner Kontrolle befanden.

Die betroffenen Organisationen wurden nicht öffentlich benannt. Unbekannt ist auch, wie viel von ihnen gefordert wurde, ob jemand zahlte und um welche Art von gestohlenen Datensätzen es sich handelte.

Die Auflösung von Conti verstreute seine Mitglieder über die Ransomware-Szene

Conti ging 2020 aus der Cybercrime-Operation Ryuk hervor und unterhielt enge Verbindungen zur Malware-Organisation TrickBot. Das größere Syndikat wurde mit mehreren bösartigen Tools und Diensten in Verbindung gebracht, darunter Conti-Ransomware, TrickBot und BazarBackdoor.

Die interne Organisation wurde nach dem russischen Großangriff auf die Ukraine im Februar 2022 stärker sichtbar. Die Führung von Conti stellte sich öffentlich hinter Moskau. Daraufhin veröffentlichte ein offenbar ukrainisches Mitglied interne Gespräche und operative Aufzeichnungen.

Die Veröffentlichungen legten Einzelheiten über die beteiligten Personen, Managementpraktiken und Angriffsaktivitäten offen. Zusammen mit dem Druck durch die Strafverfolgungsbehörden trugen die Leaks 2022 zur Einstellung des Conti-Betriebs bei.

Die Auflösung beseitigte die vorhandenen Fähigkeiten jedoch nicht. Personal und Infrastruktur verteilten sich über das Cybercrime-Ökosystem; ehemalige Teile wurden in breitem Umfang mit Operationen wie BlackCat, Black Basta, ZEON, Hive, Quantum, BlackByte, Karakurt und Silent Ransom Group in Verbindung gebracht.

Es gibt keine öffentlich bekannten Belege, die Lytvynenko mit einer dieser Organisationen verbinden. Die Ermittler stellten lediglich fest, dass seine Beteiligung an Ransomware-Aktivitäten nach dem Ende der ursprünglichen Conti-Operation fortbestand.

Diese Unterscheidung ist wichtig, da Ransomware-Gruppen ihre Marken häufig aufgeben, ohne die zugrunde liegenden kriminellen Aktivitäten einzustellen. Betreiber können ihre Zugänge, Malware-Kenntnisse, Verhandlungserfahrung und Kontakte zur Geldwäsche in neu benannte Projekte einbringen.

Strafverfolgung läuft Jahre nach den Angriffen weiter

Das Verfahren gegen Lytvynenko ist Teil einer umfassenderen Kampagne gegen die Netzwerke von Conti und TrickBot.

Sieben mit TrickBot und Conti verbundene Personen wurden im Februar 2023 sanktioniert, nachdem die Veröffentlichungen von ContiLeaks und TrickLeaks interne Informationen offengelegt hatten. Im September 2023 verhängten die USA und das Vereinigte Königreich Sanktionen gegen neun russische Staatsangehörige und klagten sie wegen Angriffen auf mehr als 900 Opfer an.

Vier weitere mutmaßliche Conti-Beteiligte wurden in einer separaten Anklageschrift beschuldigt, die im September 2023 entsiegelt wurde. Ukrainische Behörden nahmen 2024 in Kiew ein weiteres mutmaßliches Mitglied fest.

Im Mai 2025 identifizierte das deutsche Bundeskriminalamt den mutmaßlichen TrickBot- und Conti-Anführer Vitaly Nikolaevich Kovalev. Dem 36-jährigen Russen wurde vorgeworfen, unter dem Alias „Stern“ operiert zu haben.

Diese Maßnahmen stehen unabhängig vom Verfahren gegen Lytvynenko. Öffentlich zugängliche Informationen belegen nicht, dass die Angeklagten oder sanktionierten Personen bei den 12 ihm zugeschriebenen Angriffen direkt mit ihm zusammenarbeiteten.

Seine Festnahme zeigt jedoch, wie lange Ransomware-Akteure rechtlichen Konsequenzen ausgesetzt sein können. Geografische Entfernung und die Aufgabe einer kriminellen Marke verhindern nicht zwangsläufig eine spätere Identifizierung, Auslieferung und strafrechtliche Verfolgung.

Verteidiger sollten über das Verschlüsselungsereignis hinaus suchen

Im Zusammenhang mit dem Urteil wurden keine opferspezifischen Indikatoren veröffentlicht. Es gibt keine Malware-Hashes, Domains, IP-Adressen, Dateinamen, Erkennungsregeln oder Schwachstellen, die Verteidiger direkt nutzen können.

Der Fall lenkt stattdessen den Blick auf Verhaltensweisen, die bereits früher in der Angriffskette auftreten können. Sicherheitsteams sollten auf nicht erklärte Softwareinstallationen, verdächtige Kindprozesse und Loader achten, die nachgelagerte Payloads abrufen oder ausführen.

Die Schutzmaßnahmen sollten auch Datendiebstahl abdecken und sich nicht ausschließlich auf die Verschlüsselung durch Ransomware konzentrieren. Wichtige Ansatzpunkte für die Erkennung sind unter anderem das ungewöhnliche Erstellen von Archiven, umfangreiche Übertragungen an externe Dienste, nicht autorisierte Zugriffe auf Cloud-Speicher und die Ablage von Daten in Verzeichnissen, die von legitimen Geschäftsprozessen nur selten genutzt werden.

Organisationen, die mögliche Aktivitäten mit Bezug zu Conti untersuchen, sollten Telemetriedaten von Endpunkten, Authentifizierungsdaten, Netzwerkprotokolle und Belege für Erpressungskommunikation sichern. Gestohlene Datensätze und wiederverwendete Online-Konten können einen Betreiber mit mehreren Opfern in Verbindung bringen oder Aktivitäten aufdecken, die unter dem Namen einer anderen Gruppe fortgesetzt wurden.

Backups bleiben für die Wiederherstellung unverzichtbar, neutralisieren jedoch nicht die Gefahr einer Veröffentlichung. Reaktionspläne sollten daher neben der Wiederherstellung von Systemen auch die rechtliche Bewertung, Pflichten im Zusammenhang mit Datenschutzverletzungen und die Kommunikation mit betroffenen Parteien abdecken.

Wenn Belege auf Verbindungen zu Conti, TrickBot, BazarBackdoor oder damit verbundener Ransomware-Aktivität hindeuten, sollten Opfer eine frühzeitige Abstimmung mit den Strafverfolgungsbehörden in Betracht ziehen. Im Fall Lytvynenko führte die internationale Zusammenarbeit zwischen irischen und US-amerikanischen Behörden dazu, dass Beweise einer nicht mehr aktiven Ransomware-Marke in eine Festnahme, Auslieferung, ein Schuldbekenntnis und eine Haftstrafe mündeten.