Putins Bären, Teil 3: Wie Staaten reagieren — und was du tun kannst

Kurz gesagt: Staaten wehren sich gegen Cyberangriffe mit vier Werkzeugen: öffentliche Zuordnung, Haftbefehle und Anklagen, Sanktionen und technische Eingriffe wie das Abschalten von Botnetzen. Festnahmen sind selten, weil die Beschuldigten meist in Russland leben. Und jede Zuordnung bleibt eine Einschätzung mit Unsicherheit. Für dich als Privatperson oder kleine Firma ist der wichtigste Punkt ein anderer: Die dem GRU zugeordnete Gruppe APT28 hat laut US-Behörden in den vergangenen Jahren mehrfach gewöhnliche Heim- und Büro-Router missbraucht. Dein Router gehört damit zur Angriffsfläche — auch wenn du selbst gar nicht gemeint bist.

Rückblick: In Teil 1 ging es um die Gruppen und ihre Zuordnung zu GRU, SVR und FSB, in Teil 2 um die großen Angriffe vom Bundestag bis 2026. Jetzt die Frage: Was folgt daraus?

Werkzeug 1 bis 3: Benennen, anklagen, sanktionieren #

Am Fall Bundestag lässt sich die ganze Kette zeigen. Nach dem Haftbefehl gegen einen mutmaßlichen GRU-Offizier bestellte die Bundesregierung 2020 den russischen Botschafter ein, verurteilte den Angriff „auf das Schärfste“ und kündigte an, sich in Brüssel für den Einsatz des EU-Cybersanktionsregimes gegen die Verantwortlichen einzusetzenBelegt. Laut BleepingComputer verhängte die EU im Oktober 2020 Einreiseverbote und Vermögenssperren gegen zwei GRU-Offiziere, darunter den damaligen GRU-Chef, sowie gegen die GRU-Einheit selbstBelegt.

Ein Haftbefehl gegen jemanden in Moskau wirkt zunächst symbolisch. Er hat trotzdem Folgen: Die Person kann kaum noch in Länder reisen, die ausliefern, und Ermittler haben eine Akte, die bei einem Seitenwechsel oder Regimewechsel Gewicht bekommt. Wichtiger dürfte die Signalwirkung sein: Öffentliche Zuordnungen zeigen, dass die Täter gesehen werden, und erschweren es ihnen, dieselben Werkzeuge weiter zu nutzen, sobald technische Details veröffentlicht sindEvidenz: Spekulation.

Das Verfahren dauert. Den in Teil 2 erwähnten Angriff auf die Deutsche Flugsicherung vom August 2024 ordnete die Bundesregierung laut heise erst im Dezember 2025 offiziell APT28 und dem GRU zu, bestellte den russischen Botschafter ein und kündigte Unterstützung für neue EU-Sanktionen anBelegt.

Werkzeug 4: Botnetze von innen abschalten #

Der vierte Weg ist der handfesteste. US-Behörden haben in den letzten Jahren mehrfach mit richterlicher Erlaubnis in fremde, gekaperte Geräte eingegriffen, um sie den Angreifern wegzunehmen.

Februar 2024 — Ubiquiti-Router. Laut BleepingComputer legte das FBI ein Netz aus mehreren Hundert gekaperten Ubiquiti-Routern lahm, das die GRU-Einheit 26165 für Spionage und Phishing nutzte; zuerst hatten gewöhnliche Kriminelle die Geräte übernommen, weil sie aus dem Internet erreichbar waren und noch die bekannten Standardpasswörter hatten; die GRU-Hacker nutzten diese Schadsoftware anschließend, um eigene Werkzeuge aufzuspielenBelegt. Ein Botnetz ist ein Verbund gekaperter Geräte, die ein Angreifer fernsteuert.

April 2026 — TP-Link-Router. Der aktuelle Fall, und der lehrreichste. Laut FBI, NSA und Partnerbehörden aus 15 Ländern, darunter Deutschland, drang APT28 seit mindestens 2024 über eine bekannte Lücke in TP-Link-Router ein und stellte dort DHCP und DNS auf eigene Server um; angeschlossene Laptops und Handys übernahmen diese Einstellungen automatischBelegt.

Zur Erklärung: DNS ist das Telefonbuch des Internets, es übersetzt Namen wie example.com in Adressen. DHCP ist der Dienst, über den dein Router jedem Gerät im Heimnetz sagt, welche Adresse es bekommt und welchen DNS-Server es fragen soll. Wer den Router kontrolliert, entscheidet also, welches Telefonbuch alle Geräte benutzen.

Für ausgewählte Dienste wie Outlook im Web lieferten die manipulierten DNS-Server falsche Antworten; wer dann eine Zertifikatswarnung im Browser oder Mailprogramm wegklickte, sprach mit den Angreifern, die Passwörter, Anmelde-Token und E-Mails mitlasenBelegt. Ein Angriff dieser Art heißt Adversary-in-the-Middle: Jemand sitzt unbemerkt zwischen dir und dem echten Dienst. Die Zertifikatswarnung war dabei die letzte Verteidigung — und sie funktionierte nur, wenn niemand sie ignorierte.

Das US-Justizministerium meldete am 7. April 2026 eine gerichtlich genehmigte Operation, bei der das FBI Befehle an kompromittierte Router in den USA schickte, die GRU-Server aus den Einstellungen entfernten, wieder die DNS-Server des Providers eintrugen und den ursprünglichen Zugangsweg blockiertenBelegt. In Deutschland stellte der Verfassungsschutz rund 30 verwundbare Geräte fest, kontaktierte ab dem 13. März mit den Landesbehörden deren Betreiber und bestätigte in einzelnen Fällen eine Kompromittierung; viele Router wurden ausgetauschtBelegt.

Router sind nicht das einzige Ziel dieser Art. Das FBI warnte 2025, dass das FSB-Zentrum 16 eine seit 2018 bekannte Lücke (CVE-2018-0171) in nicht aktualisierten Cisco-Netzwerkgeräten ausnutzte, darunter Geräte am Ende ihrer LebensdauerBelegt. Das Muster ist immer gleich: alte Geräte, alte Lücken, keine Updates.

Die Grenzen der Attribution #

Wer einen Angriff einem Staat zuordnet, stützt sich auf technische Spuren (Werkzeuge, Server, Arbeitszeiten, Sprachreste im Code), Geheimdienstinformationen und Vergleiche mit früheren Fällen. Vieles davon wird nicht veröffentlicht. Das hat zwei Folgen.

Erstens: Angreifer legen falsche Fährten. Die britische Regierung erklärte 2020, die GRU-Einheit hinter Sandworm habe beim Angriff auf die Eröffnung der Winterspiele 2018 versucht, sich als nordkoreanische und chinesische Hacker auszugeben; die eigene Zuordnung gab sie als „fast sicher (95 %+)“ anBelegt. Seriöse Stellen nennen deshalb immer einen Grad an Zuversicht statt eines Urteils.

Zweitens: Fachleute sind sich nicht immer einig. Das beste aktuelle Beispiel ist der Angriff auf Polens Energienetz aus Teil 2. Das polnische CERT stellte eine starke Überschneidung der Infrastruktur mit dem Cluster fest, der als Static Tundra, Berserk Bear oder Ghost Blizzard bekannt istBelegt; das FBI ordnet diesen Cluster dem FSB-Zentrum 16 zuBelegt. Die Sicherheitsfirma ESET ordnet die eingesetzte Löschsoftware dagegen mit mittlerer Zuversicht Sandworm zu, also dem GRU, und schränkt selbst ein, dass ihr der Einblick in den ersten Zugriff fehltHerstellerangabe. Beides kann zugleich stimmen, etwa wenn eine Gruppe den Zugang schafft und eine andere ihn nutzt — sicher wissen kann man es von außen nichtEvidenz: Theorie.

Für dich als Leser heißt das: Formulierungen wie „wird zugeordnet“ oder „nach Einschätzung von“ sind keine Floskeln, sondern präzise Sprache. Eine Schlagzeile, die aus „mit mittlerer Zuversicht“ ein „Russland war es“ macht, verkürzt.

Was heißt das für dich? #

Du wirst kaum persönlich ins Visier eines Geheimdienstes geraten. Aber dein Router, dein NAS oder deine Kamera können als Werkzeug dienen — und deine Zugangsdaten als Beifang. Die folgenden Punkte stammen im Kern aus den Empfehlungen von FBI und Justizministerium zum Router-Fall 2026, ergänzt um den Homelab-Blick.

Am Router (heute, 15 Minuten):

• Firmware aktualisieren und, wenn möglich, automatische Updates einschalten.
• Auf der Herstellerseite prüfen, ob dein Modell noch Updates bekommt. Geräte ohne Support (End of Life) ersetzen. Das ist die wichtigste Empfehlung aus beiden Router-Fällen.
• Standardpasswort ändern — für die Verwaltungsoberfläche, nicht nur fürs WLAN.
• Fernverwaltung aus dem Internet abschalten. Wer von unterwegs ran muss, nutzt ein VPN; Optionen vergleicht Tailscale vs. WireGuard.
• DNS-Einträge kontrollieren: Welche DNS-Server stehen im Router, und welche verteilt er per DHCP? Fremde Adressen, die du nicht kennst, sind ein Alarmzeichen.

Am Rechner und Handy:

• Zertifikatswarnungen nie wegklicken, schon gar nicht beim Login in Mail oder Firmenkonten. Genau an dieser Stelle hat der Angriff 2026 funktioniert.
• Phishing-resistente Anmeldung wie Passkeys oder Hardware-Sicherheitsschlüssel nutzen, wo es geht. Sie funktionieren nur auf der echten Seite und helfen deshalb auch gegen gefälschte Login-Seiten.

Im Homelab:

• Ein eigener DNS-Resolver macht dich unabhängiger und Manipulationen sichtbarer — etwa mit Pi-hole und Unbound. Er ersetzt aber nicht die Router-Pflege: Wer den Router übernimmt, kann auch die DHCP-Einstellungen ändern.
• Eine eigene Firewall mit sauberer Grundkonfiguration gibt dir Kontrolle über DHCP, DNS und offene Ports — Einstieg: OPNsense-Grundkonfiguration.
• Inventar führen: Welche Geräte hängen am Netz, wer pflegt sie, wann kam das letzte Update? Das vergessene Gerät ist das Einfallstor.

Bei Verdacht: Router auf Werkseinstellungen zurücksetzen, aktuelle Firmware einspielen, sofort ein neues Passwort setzen — sonst ist das Gerät nach dem Zurücksetzen genauso offen wie vorher. Danach Passwörter der Konten ändern, die du über dieses Netz genutzt hast.

Damit endet die Reihe „Putins Bären“. Die Kurzfassung aller drei Teile: Die Gruppen sind professionell, aber ihr Einstieg ist meist banal. Wer Updates einspielt, alte Geräte ersetzt, einen zweiten Faktor nutzt und Warnungen ernst nimmt, macht ihnen die Arbeit spürbar schwerer.