KillSec: Hacker-Netzwerk aufgelöst, Schweiz beteiligt

Kontext

Kurz gesagt

• Drei Personen im Rahmen der Operation gegen KillSec festgenommen
• Fünf Server beschlagnahmt und 110 Terabyte wiederhergestellt
• Acht Suchaktionen in Spanien, Griechenland, dem Vereinigten Königreich und Rumänien
• Die Schweizer Verfahren laufen noch immer

Wichtige Fakten

• Gruppe → KillSec oder KillSecurity
• Festnahmen → drei Personen
• Beschlagnahmte Server → fünf
• Daten wiederhergestellt → 110 Terabyte
• Suchanfragen → acht in vier Ländern
• Angriffe auf Schweizer Unternehmen → Oktober 2023–Juni 2025
• Schweizer Verfahren → im Juli 2025 gegen unbekannte Personen eingeleitet
• Koordination → Europol und Eurojust mit sieben weiteren Ländern

Drei Personen wurden festgenommen und fünf Server, die zur Speicherung der Daten der Opfer dienten, wurden bei der internationalen Operation beschlagnahmt, die die IT-Infrastruktur von KillSec, einer für Ransomware-Angriffe verantwortlichen Gruppe, zerstörte. Zu den beteiligten Behörden gehören das Büro des Generalstaatsanwalts der Schweiz (OAG) und das Bundesamt für Polizei (fedpol).

Die Operation fand gestern statt, so eine gemeinsame Erklärung der Schweizer Behörden. Die acht Durchsuchungen, die in Spanien, Griechenland, Großbritannien und Rumänien durchgeführt wurden, ermöglichten es, 110 Terabyte gestohlener Daten wiederherzustellen. Die veröffentlichte Bilanz enthält daher Festnahmen, Beschlagnahmungen und die Bergung einer großen Menge gestohlener Informationen.

Die Schweizer Beteiligung geht auf ein Strafverfahren zurück, das die Bundesstaatsanwaltschaft im Juli 2025 gegen unbekannte Personen eingeleitet hat. Die Untersuchung betrifft Ransomware-Angriffe, die von der KillSec-Gruppe, deren vollständiger Name KillSecurity ist, gegen mehrere Schweizer Unternehmen im Zeitraum zwischen Oktober 2023 und Juni 2025 verübt wurden. Der Beginn des Verfahrens erfolgt daher nach dem von den Behörden angegebenen Zeitintervall der Angriffe.

Das Schweizer Verfahren

Laut der Aussage verwendet die Gruppe sogenannte doppelte Erpressung. Zuerst dringt sie unrechtmäßig in das System des Opfers ein, kopiert und extrahiert die relevanten Daten und verschlüsselt die Server; dann fordert sie ein Lösegeld im Austausch für den Entschlüsselungsschlüssel. Wenn das Unternehmen sich weigert zu zahlen, zum Beispiel weil es vor dem Diebstahl der Daten ein Backup gemacht hat, drohen die Täter, die Informationen im Darknet zu veröffentlichen.

Das OAG und Fedpol beteiligten sich an den internationalen Ermittlungen, die von Europol und Eurojust zusammen mit sieben weiteren Ländern koordiniert wurden. Die Verfahren in der Schweiz laufen weiterhin und zu den mutmaßlichen Straftaten zählen Datendiebstahl, missbräuchlicher Zugang zu einem Computersystem, Datenschäden und Erpressung.

Die Rekonstruktion der Behörden beschreibt Ransomware als eine Abfolge von Eindringen, Kopieren und Extrahieren von Daten, Verschlüsselung von Servern und Zahlungsforderung. Das Lösegeld wird häufig in Kryptowährungen gefordert. Dies ist die Dynamik, die in der Schweizer Akte zu den KillSec-Angriffen beschrieben wird.

Operative Details

Warum der Fall Schweizer Unternehmen betrifft

Die nationale Bedeutung des Falls liegt darin, dass die Schweizer Verfahren mehrere Schweizer Unternehmen betreffen, die zwischen Oktober 2023 und Juni 2025 von Angriffen betroffen waren. Für diejenigen, die in einem Unternehmen arbeiten, entspricht das beschriebene Risiko nicht einem einzigen Moment: Es umfasst Zugang zum System, Datendiebstahl, Serversperre und Lösegelddruck.

Die Trennung der Passagen hilft, doppelte Erpressung korrekt zu lesen. Die Quelle behandelt Verschlüsselung und die Androhung der Veröffentlichung als zwei verknüpfte Hebel. Das Thema betrifft daher auch den aziende che assumono-Markt, obwohl nicht jedes Schweizer Unternehmen mit der untersuchten Gruppe in Verbindung gebracht wird.

Doppelte Erpressung in der Praxis

Das Backup spielt eine Rolle im berichteten Szenario: Es kann der Grund sein, warum das Opfer die Zahlung verweigert, aber laut Quelle beseitigt es nicht die Gefahr, die Daten öffentlich zu machen. Dies unterscheidet die Verfügbarkeit einer Kopie der Daten vom Schutz bereits gestohlener Informationen.

Die Beschlagnahmung der fünf Server und die Bergung von 110 Terabyte zeigen ebenfalls die doppelte Dimension der Operation: einerseits die Infrastruktur zur Speicherung der Opferdaten, andererseits die während der Durchsuchungen gewonnenen Informationen. Die Quelle wandelt diese Zahlen nicht in eine Schätzung des wirtschaftlichen Schadens oder der Höhe von Lösegeldern um.

Die Schweizer Verfahren sind weiterhin offen. Aus diesem Grund spricht die Erklärung von hypothetischen Straftaten und liefert keine endgültige Schlussfolgerung zur strafrechtlichen Verantwortung. Die Präsenz von Europol, Eurojust und sieben weiteren Ländern stellt das Schweizer Dossier zudem in eine internationale Untersuchung ein, mit Durchsuchungen in vier europäischen Ländern.

Nützliche Tools zum Schutz Ihres Nettolohns

Um Wechselkursverluste zu reduzieren, vergleichen Sie CHF-EUR-Wechseloptionen und Banken für Grenzgänger.

Wichtige Punkte

Von Nachrichten bis zur operativen Überprüfung

Um die Fakten in eine operative Lesart zu verwandeln, kann ein Schweizer Unternehmen die Episode nach der von den Behörden beschriebenen Reihenfolge rekonstruieren. Der Weg dient dazu, die Art der ergriffenen Maßnahme und die Phase, in der die wirtschaftliche Anfrage erscheint, zu unterscheiden, ohne Verfahren oder Fristen hinzuzufügen, die die Quelle nicht angibt.

Fünf Schritte, um den Angriff wieder aufzubauen

1. Überprüfen Sie das erste Element der Sequenz: unzulässiger Zugriff auf das Computersystem des Opfers. 2. Trennen Sie die Eingabe von der Kopie und Extraktion der relevanten Daten, die in der Ransomware-Beschreibung vor der Verschlüsselung stattfinden. 3. Feststellen, ob die Server verschlüsselt wurden, da die Sperre der Anfrage nach dem Entschlüsselungsschlüssel vorausgeht. 4. Identifizieren Sie den Lösegeldbrief und bedenken, dass laut Quelle die Zahlung oft in Kryptowährungen verlangt wird. 5. Bewerten Sie den zweiten Druck: Wenn das Opfer ablehnt, auch weil es ein Backup hat, ist die angezeigte Bedrohung die Veröffentlichung der Daten im Darknet.

Um eine Episode in die Schweizer Akte einzuordnen, ist die Zeitreferenz die, die von den Behörden gemeldet wurde: Die Angriffe, die KillSec auf mehrere Schweizer Unternehmen zugeschrieben werden, liegen zwischen Oktober 2023 und Juni 2025, während die strafrechtlichen Verfahren gegen unbekannte Personen im Juli 2025 eingeleitet wurden. Die Chronologie hilft beim Vergleich der Fakten, aber das Verfahren ist noch im Gange.

Die Abfolge ermöglicht es auch, die Beschlagnahmung der Server nicht mit dem Ergebnis der Untersuchung zu verwechseln. Die internationale Operation führte zu Festnahmen, Durchsuchungen und Datenbergung; auf Schweizer Ebene bleiben jedoch hypothetische Straftaten wie Datendiebstahl, missbräuchlicher Zugriff, Datenschäden und Erpressung angezeigt. Der Bezug auf Kryptowährungen betrifft die Lösegeldforderung und darf nicht mit den für conti bancari in Svizzera vorgesehenen Tools verwechselt werden.

Um die Lesung mit einem Portal-Tool abzuschließen, verwenden Sie das calcolatore stipendio.

Quelle: swissinfo.ch