Putins Bären, Teil 1: Wer sind Fancy Bear, Cozy Bear und Sandworm?

Kurz gesagt: „Fancy Bear“, „Cozy Bear“ und „Sandworm“ sind Namen für Hackergruppen, die westliche Regierungen russischen Geheimdiensten zuordnen: Fancy Bear und Sandworm dem Militärgeheimdienst GRU, Cozy Bear dem Auslandsgeheimdienst SVR. Weitere Gruppen wie Turla gelten als Teil des Inlandsgeheimdienstes FSB. Die Namen stammen nicht von den Gruppen selbst, sondern von Sicherheitsfirmen, die jeweils eigene Schemata nutzen. Deshalb hat dieselbe Gruppe oft fünf oder mehr Namen. In diesem ersten Teil der Reihe „Putins Bären“ geht es darum, wer wer ist und wie diese Zuordnung zustande kommt. Was die Gruppen getan haben, folgt in Teil 2.

Wichtig vorweg: Wenn hier steht „wird dem GRU zugeordnet“, ist das die Einschätzung von Behörden und Sicherheitsforschern, kein Gerichtsurteil. Russland bestreitet die Vorwürfe regelmäßig. Wie belastbar solche Zuordnungen sind, ist Thema in Teil 3.

Was ist eine APT? #

Fast alle diese Gruppen tragen irgendwo das Kürzel APT im Namen. Das steht für Advanced Persistent Threat, wörtlich „fortgeschrittene, andauernde Bedrohung“. Das US-Standardisierungsinstitut NIST beschreibt damit einen Gegner mit hoher Expertise und erheblichen Ressourcen, der seine Ziele wiederholt über lange Zeit verfolgt und sich dauerhaft in der IT einer Organisation festsetzen will, um Informationen zu stehlen oder ihre Arbeit zu störenBelegt.

Der Unterschied zu gewöhnlichen Kriminellen liegt weniger in der Technik als im Ziel und in der Geduld. Eine Ransomware-Bande (Ransomware: Schadsoftware, die Daten verschlüsselt und Lösegeld fordert) will schnell Geld. Eine APT will oft monatelang unbemerkt mitlesen — oder im richtigen Moment etwas abschalten. Sie wählt ihre Ziele nach politischem oder militärischem Interesse aus, nicht danach, wer am leichtesten zahlt.

Warum jede Gruppe fünf Namen hat #

Sicherheitsfirmen sehen Angriffe aus ihren eigenen Daten: Virenscanner auf Millionen Rechnern, Logdaten aus Cloud-Diensten, Untersuchungen nach Vorfällen bei Kunden. Jede Firma bildet daraus Cluster — Gruppen von Angriffen, die dieselben Werkzeuge, Server und Vorgehensweisen teilen — und gibt ihnen einen Namen. Ob zwei Firmen dieselbe Gruppe meinen, zeigt sich oft erst Jahre später. Drei Schemata begegnen dir am häufigsten:

• Tiere (CrowdStrike): CrowdStrike vergibt für staatliche Akteure ein Tier je Herkunftsland, etwa BEAR für Russland und PANDA für China; kriminelle Gruppen heißen SPIDER, Hacktivisten JACKALHerstellerangabe. Daher kommen „Fancy Bear“, „Cozy Bear“ und „Venomous Bear“ — und damit auch der Titel dieser Reihe.
• Wetter (Microsoft): Microsoft nutzt Wetterbegriffe: Blizzard steht für Russland, Typhoon für China, Sleet für Nordkorea und Sandstorm für Iran; noch nicht zugeordnete Cluster bekommen vorläufig die Bezeichnung Storm mit einer vierstelligen NummerHerstellerangabe. Fancy Bear heißt bei Microsoft „Forest Blizzard“, Cozy Bear „Midnight Blizzard“.
• Nummern (Mandiant, heute Teil von Google): schlicht durchgezählt, also APT28, APT29 oder APT44 für Sandworm.

Dazu kommen ältere Namen, die sich an der eingesetzten Schadsoftware orientieren, etwa „Sofacy“ oder „Snake“. Die Wissensdatenbank MITRE ATT&CK führt für jede Gruppe eine Liste aller bekannten Aliasse. Das ist die schnellste Übersetzungshilfe, wenn zwei Artikel scheinbar über verschiedene Gruppen berichten.

„Putins Bären“ ist übrigens eine griffige Überschrift, keine Fachsprache. Die Gruppen werden Diensten zugeordnet, nicht einer Person.

Wer ist wer: die wichtigsten Gruppen #

GRU: APT28 und Sandworm #

Der GRU ist der Nachrichtendienst des russischen Generalstabs, also des Militärs. Ihm werden gleich zwei der bekanntesten Gruppen zugeordnet.

MITRE ATT&CK führt APT28 als Gruppe, die dem 85. Hauptzentrum für Spezialdienste (GTsSS) des GRU zugeordnet wird, Militäreinheit 26165, und die seit mindestens 2004 aktiv istBelegt. Für Deutschland ist sie die wichtigste der Gruppen. Das Bundesamt für Verfassungsschutz rechnet APT28 dem GRU zu und macht sie unter anderem für die Angriffe auf den Bundestag (2015), die SPD-Parteizentrale (Anfang 2023) und die Deutsche Flugsicherung (August 2024) verantwortlichBelegt. Typisch für APT28 ist Spionage: Zugangsdaten abgreifen, Postfächer mitlesen, Dokumente kopieren.

Sandworm ist die Gruppe für das Grobe. MITRE beschreibt Sandworm als zerstörerische Gruppe, die der GRU-Einheit 74455 zugeordnet wird und seit mindestens 2009 aktiv ist; 2020 erhoben die USA Anklage gegen sechs GRU-Offiziere, die mit der Gruppe in Verbindung gebracht werdenBelegt. Wo Rechner gelöscht oder Stromnetze gestört werden, fällt meist dieser Name.

SVR: APT29, die Leisen #

Der SVR ist Russlands ziviler Auslandsgeheimdienst, vergleichbar mit der Aufgabe des BND. APT29 wird laut MITRE dem SVR zugeordnet, ist seit mindestens 2008 aktiv und zielt vor allem auf Regierungsnetze in Europa und NATO-Staaten sowie auf Forschungseinrichtungen und DenkfabrikenBelegt. Die Gruppe gilt als geduldig und unauffällig: lieber monatelang unbemerkt in einem Netz als schneller Erfolg mit lautem Knall. Die US-Regierung benannte den SVR 2021 offiziell als Verantwortlichen einer großen Spionagekampagne und nannte dabei ausdrücklich die Namen APT29, Cozy Bear und The DukesBelegt — um welche Kampagne es ging, steht in Teil 2.

FSB: Turla und Berserk Bear #

Der FSB ist eigentlich der Inlandsgeheimdienst, Nachfolger des KGB im Inneren. Trotzdem werden ihm Gruppen zugeordnet, die weltweit spionieren. US-Behörden und ihre Partner ordneten 2023 die Spionagesoftware „Snake“ einer Einheit innerhalb des FSB-Zentrums 16 zu, die auch das übrige Werkzeugset von Turla betreibt; Snake sei seit fast 20 Jahren im Einsatz gewesen, mit Infrastruktur in mehr als 50 LändernBelegt. Als typische Ziele von Turla nennt MITRE Regierungen, Botschaften, Militär, Bildungs- und Forschungseinrichtungen sowie PharmaunternehmenBelegt.

Die zweite FSB-Gruppe interessiert sich für Industrie und Energie. Das FBI ordnete 2025 eine Kampagne gegen ungepatchte Netzwerkgeräte dem FSB-Zentrum 16 zu, das in der Sicherheitsbranche als Berserk Bear oder Dragonfly bekannt ist; die Täter sammelten Konfigurationsdateien Tausender Netzwerkgeräte und zeigten Interesse an IndustriesteuerungenBelegt.

Und die übrigen? #

Die Liste ist nicht vollständig. Microsoft allein führt mehr als zehn russische Cluster mit Blizzard-Namen, darunter etwa Aqua Blizzard, besser bekannt als Gamaredon. Für das Verständnis reichen aber die drei Dienste und ihre bekanntesten Gruppen: GRU für Spionage und Sabotage, SVR für leise Langzeitspionage, FSB für Spionage mit Schwerpunkt auf Regierungen und Infrastruktur.

Warum diese Unterscheidung wichtig ist #

Für dich als Leserin oder Leser von Nachrichten hat die Einordnung einen ganz praktischen Nutzen. Wenn eine Meldung von „Forest Blizzard“ spricht und eine andere von „APT28“, geht es um dieselbe Gruppe — und du kannst beides zusammenlesen. Und der Dienst verrät viel über das wahrscheinliche Ziel. Eine GRU-Gruppe, die in Netze eindringt, kann neben Spionage auch Sabotage vorbereiten; bei einer SVR-Gruppe ist dauerhafte, unbemerkte Spionage das naheliegendere MotivEvidenz: Theorie.

Für Firmen und Behörden geht es um mehr: Wer weiß, welche Gruppe sich typischerweise für seine Branche interessiert, kann deren bekannte Methoden gezielt abwehren. Genau dafür veröffentlichen Behörden technische Warnungen mit Gruppennamen.

Was heißt das für dich? #

Du bist sehr wahrscheinlich kein Ziel dieser Gruppen. Trotzdem kann deine Technik Teil ihrer Angriffe werden — etwa wenn ein schlecht gepflegter Router als Sprungbrett dient. Wie das konkret aussah, zeigt Teil 3 der Reihe. Für den Anfang reichen vier Gewohnheiten:

• Updates einspielen — am Router, am NAS, an jedem Gerät, das am Internet hängt. Die meisten Angriffe auf Geräte nutzen längst bekannte Lücken.
• Mehr-Faktor-Anmeldung (ein zweiter Faktor neben dem Passwort, etwa eine App oder ein Sicherheitsschlüssel) für E-Mail und wichtige Konten einschalten.
• Verwaltungsoberflächen nicht ins Internet stellen. Wer von unterwegs auf Router oder Homeserver zugreifen will, nimmt besser ein VPN — welche Variante zu dir passt, steht in Tailscale vs. WireGuard. Wie eine eigene Firewall sauber startet, zeigt die OPNsense-Grundkonfiguration.
• Namen nachschlagen statt Schlagzeilen glauben. Klingt eine Meldung dramatisch, hilft der Blick in die Alias-Liste bei MITRE ATT&CK, um sie mit anderen Berichten abzugleichen.

Morgen in Teil 2: die großen Angriffe — vom Bundestag 2015 über NotPetya und SolarWinds bis zu den Fällen aus 2025 und 2026 — und wie sie auf Konzeptebene funktioniert haben.