Ransomware: In der Schweiz fordert die Staatsanwaltschaft 12 Jahre Haft für Entwickler mit Verbindungen zu LockerGoga, MegaCortex und Nefilim

Anklage: Zehn Unternehmen betroffen, Schäden von über 130 Millionen Franken

Schweizer Staatsanwälte haben eine zwölfjährige Freiheitsstrafe für einen 52-jährigen ukrainischen Softwareentwickler gefordert, der sich vor dem Bezirksgericht Zürich verantworten muss. Die Behörden haben seine Identität nicht veröffentlicht.

Der Mann soll eine zentrale Rolle in einer internationalen Ransomware-Operation gespielt haben, die mit den Malware-Familien LockerGoga, MegaCortex und Nefilim in Verbindung gebracht wird. Laut Anklage war er der wichtigste Entwickler einer bislang nicht identifizierten kriminellen Gruppe. Diese soll Unternehmensnetzwerke kompromittiert, Daten gestohlen und Systeme verschlüsselt haben, um Zahlungen von den Opfern zu erpressen.

Die vorgeworfenen Angriffe sollen zwischen Dezember 2018 und Mai 2020 stattgefunden haben. Direkt betroffen waren demnach zehn Unternehmen in der Schweiz und anderen Ländern. Der verursachte Schaden soll mehr als 130 Millionen Schweizer Franken beziehungsweise rund 160 Millionen US-Dollar betragen.

Die Schätzung umfasst sowohl Umsatzausfälle während der Betriebsunterbrechungen als auch die Kosten für den Wiederaufbau von Infrastrukturen, Systemen und Daten. Es geht daher nicht nur um möglicherweise gezahlte Lösegeldsummen, sondern um die gesamten wirtschaftlichen Folgen, die den Angriffen zugerechnet werden.

Zu den im Verfahren genannten Unternehmen gehören Stadler Rail, ein Schweizer Zughersteller, Crealogix, ein Anbieter von Bankensoftware, sowie Meier Tobler, ein Unternehmen für Gebäudetechnik.

Die mutmaßliche technische Rolle in der kriminellen Operation

Das Verfahren beschreibt eine mehrstufige Angriffskette. Die Angreifer sollen sich Zugang zu Unternehmensnetzwerken verschafft, Informationen entwendet und anschließend Systeme und Daten verschlüsselt haben, sodass die betroffenen Organisationen nicht mehr darauf zugreifen konnten.

Diese Kombination erhöht den Druck auf die Opfer. Die Verschlüsselung legt den laufenden Betrieb lahm, während der Datendiebstahl den Erpressern ein zusätzliches Druckmittel verschafft: Die Informationen können genutzt werden, um mit einer Veröffentlichung oder weiteren Konsequenzen zu drohen.

Dem Beschuldigten wird die Rolle des Hauptentwicklers zugeschrieben. Die Anklage beschreibt ihn nicht lediglich als Ausführenden mit Netzwerkzugang, sondern als jemanden, der an der Entwicklung oder Verwaltung der bei den Einbrüchen eingesetzten Werkzeuge beteiligt gewesen sein soll. Das gerichtliche Kurzverfahren enthält jedoch keine Details zum Code, zu den initialen Zugriffstechniken, zu ausgenutzten Schwachstellen oder zu den konkreten Methoden der Datenexfiltration.

Die drei genannten Malware-Familien wurden bei Ransomware-Kampagnen eingesetzt, die bekanntermaßen Organisationen aus unterschiedlichen Branchen getroffen haben. Im Schweizer Fall sollen die Angriffe Schäden in Industrie, Finanzwesen und Technologie verursacht haben.

Das Verfahren beziffert die Verluste aus den zehn angeklagten Angriffen auf mehr als 130 Millionen Franken. Die internationale Operation insgesamt soll Schäden in Höhe von mehreren hundert Millionen US-Dollar verursacht haben. Unklar ist jedoch, welcher Anteil davon unmittelbar den vom Zürcher Gericht untersuchten Sachverhalten zuzurechnen ist.

Verteidigung bestreitet Entwicklung der Malware

Der Angeklagte weist die Vorwürfe zurück, Ransomware entwickelt oder an Cyberangriffen beteiligt gewesen zu sein. Er erklärt, der auf seinen Geräten gefundene Quellcode stamme von einem Cybersecurity-Kunden, für den er als Berater gearbeitet habe.

Mit dieser Verteidigungslinie soll der Besitz des Codes von seiner kriminellen Nutzung getrennt werden. Die Aufbewahrung von Tools oder Malware-Samples kann bei Analyse, Incident Response oder Sicherheitsforschung durchaus berufliche Gründe haben. Im konkreten Fall muss das Gericht prüfen, ob der gefundene Code mit der vom Angeklagten angegebenen Tätigkeit vereinbar ist oder auf eine operative Beteiligung an den Angriffen hindeutet.

Die Verteidigung hat zudem die Zuverlässigkeit der digitalen Beweismittel angefochten. Die Anwälte argumentieren, die Ermittler hätten die während der Durchsuchungen erhobenen Daten nicht vollständig dokumentiert.

Dabei geht es um die Nachvollziehbarkeit der Beweismittel: Damit eine Datei, ein Gerät oder ein Logeintrag vor Gericht verwendet werden kann, müssen Erhebung, Aufbewahrung und Analyse dokumentiert sein. Lücken können den Beweiswert beeinträchtigen, insbesondere wenn die Anklage einen Zusammenhang zwischen Code, Geräten und kriminellen Aktivitäten herstellt.

Nach den verfügbaren Informationen ist nicht bekannt, welche konkreten Dateien beschlagnahmt, welche Metadaten untersucht oder welche forensischen Verfahren angewendet wurden.

Mögliche Koordination und Grenzen der Verbindungen zu Russland

Die Anklage behauptet, ein weiterer ukrainischer Hacker, Oleksandr Ieremenko, habe die von dem Angeklagten in der Schweiz ausgeführten Angriffe von Moskau aus koordiniert.

Die Staatsanwälte verwiesen auf die Aussage einer Quelle in der Ukraine. Demnach soll Ieremenko vom Föderalen Sicherheitsdienst Russlands, dem FSB, geschützt worden sein. Ieremenko soll 2022 nach einem Sturz aus einem Fenster in Moskau gestorben sein. Es konnte nicht geklärt werden, ob es sich um einen Unfall, Suizid oder ein Tötungsdelikt handelte.

Das Verfahren hat jedoch keine Beweise für direkte Verbindungen zwischen dem Angeklagten und dem russischen Nachrichtendienst vorgelegt. Ein möglicher Schutz Ieremenkos belegt daher für sich genommen keine Beziehung des Angeklagten zu russischen staatlichen Stellen.

Diese Unterscheidung ist in einem Fall relevant, der grenzüberschreitende Cyberkriminalität, Infrastrukturen in mehreren Ländern und den Verdacht gegen operative Akteure mit Sitz in Russland verbindet. Das Gericht muss feststellen, welche Elemente unmittelbar dem Angeklagten zugeordnet werden können und welche lediglich zum größeren Ermittlungszusammenhang gehören.

Multinationale Ermittlungen nach Angriffen auf Zürcher Unternehmen

Das Verfahren geht auf Ermittlungen zurück, die nach Ransomware-Angriffen auf Zürcher Unternehmen im Jahr 2019 eingeleitet wurden. Später beteiligten sich die Behörden aus der Schweiz, Frankreich, den Niederlanden, Norwegen, der Ukraine und den Vereinigten Staaten an den Ermittlungen.

Die Zusammenarbeit betraf Länder, in denen sich Infrastrukturen, Opfer, Verdächtige oder digitale Spuren befanden. Bei solchen Operationen können Server, Accounts, Geräte und Finanzströme auf verschiedene Staaten verteilt sein. Dadurch werden Rechtshilfeersuchen und koordinierte Ermittlungsmaßnahmen erforderlich.

Der Angeklagte befindet sich seit Oktober 2021 in Haft. Die Staatsanwaltschaft beantragte außerdem seine Ausweisung aus der Schweiz für zwölf Jahre sowie die Einziehung von 1,8 Millionen Schweizer Franken beziehungsweise rund 2,2 Millionen US-Dollar. Dabei soll es sich um Erträge aus kriminellen Aktivitäten handeln.

Das Urteil wird im September erwartet. Bis zu einer rechtskräftigen Entscheidung gelten die im Verfahren beschriebenen Verantwortlichkeiten als Vorwürfe der Anklage und nicht als Verurteilung.

Verfahren umfasst auch Vorwürfe wegen Missbrauchsdarstellungen

Neben den mit der Ransomware verbundenen Straftaten muss sich der Angeklagte auch wegen des Besitzes von Darstellungen sexuellen Missbrauchs von Kindern verantworten.

Bei einer Durchsuchung sollen die Ermittler in einem verschlüsselten Container fast 7.000 Bilder und mehr als 500 Videos mit Darstellungen sexuellen Missbrauchs von Kindern gefunden haben. Dokumente des Schweizerischen Bundesgerichts bestätigen, dass diese Vorwürfe Teil des Strafverfahrens sind.

Das Material wird nur insoweit beschrieben, wie es zum Verständnis des Umfangs der Vorwürfe erforderlich ist. Dieser zusätzliche Anklagepunkt ist vom Ransomware-Komplex und von der Bewertung der wirtschaftlichen Schäden der betroffenen Unternehmen getrennt.

Für Betreiber und Verantwortliche von Unternehmensinfrastrukturen liefert der Fall keine konkreten Hinweise auf einzuspielende Patches, Erkennungswerkzeuge, technische Indikatoren oder spezifische Maßnahmen zur Eindämmung. Verwundbare Softwareversionen oder eine einzelne zu korrigierende Angriffstechnik wurden nicht genannt. Im Mittelpunkt stehen vielmehr die gerichtliche Zuordnung einer kriminellen Operation und die Rekonstruktion der individuellen Verantwortlichkeiten.