Führender Kopf der russischen Hackergruppe Qilin in NRW festgenommen

Im Mai dieses Jahres saß ein 28-jähriger Russe in Tokio, wahrscheinlich in der Erwartung, seinen Urlaub zu genießen. Stattdessen warteten japanische Polizeibeamte auf ihn — und dahinter stand monatelange Arbeit von Ermittlern aus Nordrhein-Westfalen. Der Mann, so teilte Innenminister Herbert Reul am Mittwoch mit, soll einer der führenden Köpfe der Qilin-Hackergruppe sein, jenes Netzwerks, das die NRW-Landesregierung als eines der aggressivsten und bekanntesten Hacker-Kollektive der Welt einstuft. Im Oktober wurde er nach Deutschland ausgeliefert — ein Moment, den Reul als "historischen Ermittlungserfolg" des Landeskriminalamtes beschrieb.

Die Geschichte dieser Festnahme beginnt nicht in Japan, sondern in den Büros des LKA und der Zentral- und Ansprechstelle Cybercrime in Nordrhein-Westfalen. Ermittler hatten die Qilin-Gruppe über Monate hinweg infiltriert, waren unbemerkt in ihre Computersysteme eingedrungen und verfolgten die Zahlungsströme in Kryptowährungen. "Aus Jägern wurden Gejagte", sagte Reul — eine Umkehrung, die das Ausmaß der Operation andeutet. Die Spezialisten analysierten die technische Infrastruktur der Bande, kartografierten ihre Netzwerke, verstanden ihre Methoden. Das alles geschah im Verborgenen, während die Hacker ahnungslos weitermachten.

Der festgenommene 28-Jährige wird nach Berichten einer japanischen Zeitung, die sich auf Ermittlerkreise berief, für einen Ransomware-Angriff auf ein deutsches Logistikunternehmen verantwortlich gemacht. Die Methode ist brutal in ihrer Einfachheit: Die Hacker verschlüsseln die Daten eines Unternehmens, machen sie unzugänglich, und erpressen dann Lösegeld für die Freigabe. In diesem Fall forderte der Täter knapp 150.000 Euro in Bitcoin — unter Androhung, die gestohlenen Daten zu veröffentlichen. Das Bundesamt für Sicherheit in der Informationstechnik erklärt, dass Ransomware-Programme auf die Blockade von Computersystemen oder die Verschlüsselung von Betriebs- und Nutzerdaten abzielen. Es ist eine Form der digitalen Geiselnahme.

Die Dimensionen der Qilin-Operationen sind beeindruckend und beängstigend zugleich. Seit 2024 hat die Gruppe weltweit fast 4.000 Unternehmen, Behörden und Krankenhäuser angegriffen. In Nordrhein-Westfalen allein waren es mindestens 30 Ziele — darunter die Deutsche Bischofskonferenz und die Partei Die Linke. Die erbeutete Summe ist gigantisch: 140 Millionen Euro wurden tatsächlich als Lösegeld gezahlt. Reul nannte dies die "Champions League" des Verbrechens, und nun, sagte er, hätten die Ermittler "zugeschlagen".

Doch die Festnahme eines Mannes, so bedeutsam sie auch sein mag, ist nicht das Ende der Geschichte. Sie ist ein Punkt in einer laufenden Auseinandersetzung zwischen Strafverfolgung und organisierter Cyberkriminalität. Reul nutzte die Gelegenheit, um Unternehmen direkt anzusprechen: Investiert in Cybersicherheit, sagte er. Und wenn Erpresser anklopfen — zahlt nicht. "Wer zahlt, füttert das Raubtier, das ihn gerade gebissen hat." Die Botschaft ist klar: Jede gezahlte Summe finanziert die nächste Attacke, die nächste Infiltration, die nächste Geiselnahme. Die Ermittler in NRW haben gezeigt, dass es möglich ist, in diese Netzwerke einzudringen und ihre Mitglieder zur Rechenschaft zu ziehen. Ob dieser Erfolg ein Wendepunkt ist oder nur ein Nadelstich in einem viel größeren Problem, wird sich zeigen.