Putins Bären, Teil 2: Die großen Angriffe — vom Bundestag bis 2026

Kurz gesagt: Den Gruppen aus Teil 1 werden einige der folgenreichsten Cyberangriffe seit 2015 zugeschrieben. Sie folgen drei Mustern: Spionage (Bundestag, SolarWinds), Sabotage (NotPetya, Viasat, Polens Energienetz) und Abgreifen von Zugangsdaten über Umwege, die niemand im Blick hat. Spektakulär ist dabei selten die Technik. Meist funktioniert etwas Banales: ein Klick auf einen Link, ein Konto ohne zweiten Faktor, ein vergessenes Gerät.

Rückblick auf Teil 1: APT28 (Fancy Bear) und Sandworm werden dem Militärgeheimdienst GRU zugeordnet, APT29 (Cozy Bear) dem Auslandsgeheimdienst SVR, Turla und Berserk Bear dem FSB. Alle Zuordnungen stammen von Behörden und Sicherheitsfirmen, nicht von Gerichten. Die Grundlagen stehen in Teil 1.

2015: Der Bundestag #

Der Fall, der in Deutschland alles veränderte. Laut Auswärtigem Amt erließ der Ermittlungsrichter am Bundesgerichtshof 2020 Haftbefehl gegen einen russischen Staatsangehörigen, der als Mitglied von APT28 für den Angriff auf den Bundestag im April und Mai 2015 verantwortlich sein soll; es gebe belastbare Hinweise, dass er zur Tatzeit dem GRU angehörteBelegt. Laut BleepingComputer hielt der Rat der EU bei den Sanktionen im Oktober 2020 fest, dass der Angriff das Parlament mehrere Tage in seiner Arbeit beeinträchtigte, große Datenmengen abfloss und E-Mail-Konten mehrerer Abgeordneter betroffen waren, auch das der damaligen KanzlerinBelegt.

Wie so etwas funktioniert: Ein häufiger Einstieg solcher Gruppen ist Spearphishing — eine gezielte, persönlich zugeschnittene Phishing-Mail, die zum Klick auf einen Link oder Anhang verleiten soll. Ist ein Rechner im Netz übernommen, suchen die Angreifer nach Administratorrechten und breiten sich aus („laterale Bewegung“). Das Ziel ist nicht Zerstörung, sondern möglichst viel lesen, solange niemand es merkt.

2017: NotPetya — Sabotage im Kostüm #

Im Juni 2017 legte eine Schadsoftware Tausende Firmenrechner lahm, von Reedereien bis zu Pharmakonzernen. Die britische Regierung machte 2018 das russische Militär dafür verantwortlich: NotPetya habe sich als kriminelle Erpressung getarnt, sei aber vor allem auf Zerstörung angelegt gewesen, habe Finanz-, Energie- und Regierungssektor der Ukraine getroffen, sich unkontrolliert weiterverbreitet und europäische Organisationen Hunderte Millionen Pfund gekostetBelegt.

Das Prinzip: NotPetya sah aus wie Ransomware und zeigte eine Lösegeldforderung — aber die Daten waren praktisch nicht wiederherstellbar. Die US-Behörde CISA beschrieb 2017, dass die Schadsoftware über die kompromittierte Entwicklungsumgebung der ukrainischen Steuer-Buchhaltungssoftware M.E.Doc in Umlauf kam, sich dann mit gestohlenen Windows-Zugangsdaten und einer bereits im März 2017 gepatchten SMB-Lücke in Netzen ausbreitete und sich eher wie Zerstörungs- denn wie Erpressungssoftware verhieltBelegt. MITRE zählt NotPetya ebenso zu den Sandworm zugeschriebenen Operationen wie die Angriffe auf ukrainische Stromversorger 2015 und 2016 und den Angriff auf die Olympischen Winterspiele 2018Belegt.

Die Lehre für jeden, der Daten hat: Gegen Löschangriffe hilft nur ein Backup, das die Schadsoftware nicht erreicht.

2020: SolarWinds — der Angriff über den Lieferanten #

SolarWinds ist das Paradebeispiel für einen Supply-Chain-Angriff (Lieferkettenangriff): Statt Tausende Ziele einzeln anzugreifen, manipuliert man ein Produkt, das all diese Ziele ohnehin benutzen. Laut CISA hatte der Angreifer verdeckten, langfristigen Zugriff auf den Build-Prozess von SolarWinds und brachte so eine Hintertür in mehrere Versionen der Netzwerk-Überwachungssoftware OrionBelegt — Kunden installierten den Schadcode also selbst, mit ganz regulärer Software. Die US-Regierung ordnete die Kampagne 2021 mit „hoher Zuversicht“ dem SVR zu und erklärte, die Kompromittierung von SolarWinds habe dem Dienst die Möglichkeit gegeben, mehr als 16.000 Computersysteme weltweit auszuspähen oder potenziell zu störenBelegt.

Das Muster passt zu dem, was Teil 1 über APT29 sagt: maximaler Zugang, minimale Sichtbarkeit.

2022: Viasat — eine Stunde vor dem Einmarsch #

Mit dem russischen Großangriff auf die Ukraine rückten Cyberangriffe unmittelbar neben militärische Operationen. Großbritannien, die EU, die USA und Verbündete machten im Mai 2022 Russland für einen Angriff auf den Satellitenbetreiber Viasat verantwortlich, der etwa eine Stunde vor dem Einmarsch am 24. Februar begann; betroffen waren auch Windparks in Mitteleuropa und Internetnutzer in ganz Europa, Zehntausende Endgeräte wurden laut Viasat irreparabel beschädigtBelegt.

Bemerkenswert ist die Nebenwirkung: Ein Angriff, der vor allem ukrainische Kommunikation treffen sollte, erreichte über gemeinsam genutzte Technik auch zivile Anlagen in der EU. Bei vernetzter Infrastruktur gibt es kein sauber begrenztes Ziel.

2023 bis 2025: Konten, Postfächer, Logistik #

In den folgenden Jahren rückt ein anderes Ziel in den Vordergrund: Zugangsdaten. Wer ein Postfach oder Cloud-Konto übernimmt, braucht keine Schadsoftware mehr.

Microsoft meldete im Januar 2024, dass Midnight Blizzard (APT29) über eine Password-Spray-Attacke ein altes Testkonto ohne Mehr-Faktor-Anmeldung übernommen und darüber auf E-Mail-Konten im Unternehmen zugegriffen hatteHerstellerangabe. Password Spraying heißt: wenige gängige Passwörter gegen sehr viele Konten ausprobieren — unauffälliger als tausend Versuche gegen ein einziges Konto.

US-Behörden und internationale Partner warnten im Mai 2025, dass die GRU-Einheit 26165 Logistik- und Technologiefirmen ins Visier nimmt, die Hilfslieferungen an die Ukraine koordinieren, transportieren oder ausliefern; die Täter seien zudem wahrscheinlich mit breitflächigen Angriffen auf IP-Kameras in der Ukraine und angrenzenden NATO-Staaten verbundenBelegt. Kameras an Verkehrswegen verraten, wann was wohin fährt.

In Deutschland führt der Verfassungsschutz zwei jüngere Fälle als APT28-Angriffe: die SPD-Parteizentrale (Anfang 2023) und die Deutsche Flugsicherung (August 2024)Belegt. Wie heise berichtete, ordnete die Bundesregierung im Dezember 2025 den Angriff auf die Flugsicherung dem GRU und APT28 zu und bestellte den russischen Botschafter ein; betroffen war laut DFS die Bürokommunikation, der Flugverkehr nichtBelegt.

Ende 2025: Polens Energienetz #

Der jüngste große Sabotagefall in der EU. Am 29. Dezember 2025 griffen Täter laut dem polnischen CERT mehr als 30 Wind- und Solarparks, ein Industrieunternehmen und ein großes Heizkraftwerk an, das fast eine halbe Million Kunden mit Wärme versorgt; die Angriffe hatten einen rein zerstörerischen ZweckBelegt. Die Stromproduktion lief weiter, an den Parks fiel aber die Fernsteuerung aus. Im Heizkraftwerk stoppte eine Sicherheitssoftware auf den Rechnern das Löschprogramm, bevor die Wärmeversorgung litt.

Wer dahinter steckt, ist ausgerechnet hier umstritten — verschiedene Stellen nennen verschiedene russische Gruppen. Warum das so ist und was das über Attribution verrät, steht in Teil 3.

2026: Router und Hotel-WLANs #

Zwei Kampagnen prägen das laufende Jahr. Im April warnten FBI, Verfassungsschutz und Partner vor APT28-Angriffen auf Internetrouter — dazu ausführlich in Teil 3, weil es Privatleute direkt betrifft.

Die zweite zielt auf Reisende. Microsoft beschreibt eine seit Mai 2026 laufende Kampagne einer Untergruppe von Midnight Blizzard, die Netzwerke von Hotels und Konferenzorten manipuliert: Wer sich über die Anmeldeseite des Gast-WLANs verbindet, bekommt gefälschte Update- oder Sicherheitshinweise angezeigt, die Schadsoftware installieren oder Zugangsdaten abgreifen sollenHerstellerangabe. Das Prinzip ist alt, die Bühne neu: Man vertraut dem WLAN, weil man ihm vertrauen muss.

Was die Fälle gemeinsam haben #

Auffällig ist über alle Fälle hinweg: Der Einstieg ist selten eine unbekannte Hightech-Lücke, sondern meist ein Mensch, der klickt, ein Konto ohne zweiten Faktor, ein Lieferant, dem man vertraut, oder ein Gerät, das niemand mehr pflegt. Das ist die gute Nachricht: Die wirksamsten Gegenmittel sind bekannt und kosten wenig.

Was heißt das für dich? #

• Backups, die ein Angreifer nicht löschen kann. NotPetya und die Angriffe in Polen zeigen: Gegen Löschsoftware hilft keine Lösegeldzahlung, nur eine Kopie außer Reichweite. Wie du das zuhause umsetzt, steht in der Backup-Strategie nach 3-2-1.
• Mehr-Faktor-Anmeldung überall, auch bei alten Konten. Das Microsoft-Beispiel zeigt: Das vergessene Testkonto ist das Einfallstor. Räum Konten auf, die du nicht mehr brauchst.
• Updates nie von Webseiten installieren, schon gar nicht aus einem Hotel- oder Café-WLAN. Updates kommen über die Update-Funktion des Systems, sonst gar nicht.
• Geräte trennen, die du nicht kontrollierst. IP-Kameras und andere smarte Geräte gehören in ein eigenes Netzsegment — wie das geht, zeigt VLANs mit OPNsense einrichten.
• Misstrauen gegenüber perfekt passenden Mails. Spearphishing wirkt, weil es persönlich ist. Im Zweifel den Absender über einen zweiten Weg fragen.

Morgen in Teil 3: Wie Staaten zurückschlagen — Anklagen, Sanktionen, Botnetz-Abschaltungen —, wo Attribution an Grenzen stößt und was du an deinem Router und im Homelab konkret tun kannst.