Am 30. September 2026 nahmen Behörden im Rahmen der internationalen Operation KillSwitch drei Verdächtige vorläufig fest und führten acht Durchsuchungen in Griechenland, Rumänien, Spanien und dem Vereinigten Königreich durch.

Strafverfolgungsbehörden beschlagnahmten fünf zentrale Server und übernahmen die Kontrolle über eine Leak-Website mit mindestens 110 TB an Informationen, wodurch weiterer unbefugter Zugriff verhindert wurde.

Ermittler halten einen 16-Jährigen für den wahrscheinlichen Administrator und Hauptbetreiber von KillSec.

Strafverfolgungsbehörden beschlagnahmten am 30. September 2026 Infrastruktur, die mit der Gruppe KillSec in Verbindung steht, und nahmen im Rahmen der internationalen Operation KillSwitch drei Verdächtige vorläufig fest. Die Maßnahme störte eine Gruppe, die Ermittler mit rund 1.000 mutmaßlichen Cyberangriffen weltweit in Verbindung bringen, und verhinderte weiteren unbefugten Zugriff auf mindestens 110 TB an Informationen.

Das Landeskriminalamt Hamburg und die Staatsanwaltschaft Hamburg leiteten die Operation, wie Europol mitteilte. Die Behörden führten acht Durchsuchungen in Griechenland, Rumänien, Spanien und dem Vereinigten Königreich durch und nahmen drei Verdächtige vorläufig fest.

Ermittler halten einen 16-jährigen Jugendlichen für den wahrscheinlichen Hauptbetreiber von KillSec. Ein weiterer Verdächtiger, der nach Einschätzung der Ermittler als Entwickler der Gruppe tätig gewesen sein soll, wurde im August 2026 18 Jahre alt, könnte jedoch einige der mutmaßlichen Straftaten noch als Minderjähriger begangen haben.

Behörden beschlagnahmen Server und Leak-Website

Strafverfolgungsbehörden übernahmen die Kontrolle über fünf zentrale Server, die zur Verwaltung der Aktivitäten von KillSec und zur Speicherung gestohlener Informationen genutzt wurden. Die Behörden beschlagnahmten zudem Geräte und Vermögenswerte und leiteten die Domains der Gruppe auf einen Hinweis der Strafverfolgungsbehörden über die Beschlagnahmung der Infrastruktur um.

Ermittler erlangten die Kontrolle über die Ransomware-Leak-Website von KillSec, auf der die Angreifer Informationen ihrer Opfer veröffentlichten oder mit deren Veröffentlichung drohten. Die beschlagnahmte Infrastruktur enthielt mindestens 110 TB an Informationen, die nach Angaben der Behörden nun gegen weiteren unbefugten Zugriff geschützt sind.

KillSec ist seit etwa 2024 aktiv. Nach Angaben der Ermittler nutzten Mitglieder Software-Schwachstellen und unzureichend gesicherte Zugangspunkte, einschließlich Zugängen zu Cloud-Speichern, um in die Systeme von Organisationen einzudringen und sensible interne Informationen zu kopieren.

Die Angreifer drohten anschließend damit, das gestohlene Material auf einer Darknet-Website zu veröffentlichen. Wenn eine Organisation kein Lösegeld zahlte, konnten die Dateien zum kostenlosen Download angeboten werden. In einigen Fällen erhielten die Angreifer erhebliche Zahlungen.

Ermittler haben bislang etwa 500 erfolgreiche Angriffe unter rund 1.000 mutmaßlichen Vorfällen bestätigt. Die endgültige Gesamtzahl kann sich ändern, nachdem die Behörden die beschlagnahmten Geräte und Informationen ausgewertet haben.

Strafverfolgungsbehörden stellten außerdem fest, dass KillSec künstliche Intelligenz nutzte, um seine Ransomware-Infrastruktur aufzubauen und zu warten sowie potenzielle Opfer zu identifizieren.

Ermittlungen betreffen mutmaßlich minderjährige Betreiber

Ermittlungen zu Angriffen, die mit KillSec in Verbindung stehen, begannen Anfang 2025 in mehreren Ländern. Die Behörden identifizierten mehrere Personen, die verdächtigt werden, unterschiedliche Rollen in der Gruppe ausgeübt zu haben, darunter die eines Administrators, Entwicklers, Verhandlungsführers und Affiliates.

Der mutmaßliche Administrator und Hauptbetreiber ist nach Angaben der Ermittler 16 Jahre alt. Die Ermittlungen zu weiteren möglichen Beteiligten dauern an.

Die Behörden prüfen die beschlagnahmten Materialien und verfolgen mutmaßliche kriminelle Erträge, einschließlich Kryptowährungstransaktionen. Strafverfolgungsbehörden aus Belgien, Finnland, Deutschland, Griechenland, den Niederlanden, Rumänien, Spanien, der Schweiz, dem Vereinigten Königreich und den Vereinigten Staaten beteiligten sich gemeinsam mit Europol und Eurojust an den Ermittlungen.

Im Juni 2026 schlossen Europol und Strafverfolgungsbehörden aus mehreren Ländern zudem den Krypto-Dienst AudiA6, der nach Angaben der Ermittler zur Geldwäsche von rund 389 Millionen US-Dollar genutzt wurde, die mit Ransomware-Gruppen in Verbindung standen.

Quelle: HODL Press