Fraunhofer-Virus: Spur führt ins Ausland

„Es gibt nichts Neues“, sagt Matthias Huber – außer neuen Angriffen. Der Oberstaatsanwalt aus Bamberg von der Zentralstelle Cybercrime in Bayern berichtet von „mehreren Anzeigen in ganz Bayern“. Aber Spuren? Nein. Nur eines sei „unwahrscheinlich“: Dass der oder die Täter „in Deutschland sitzen“. Die Zentralstelle kümmert sich auch um den Angriff auf die Fraunhofer Projektgruppe Prozess-Innovation an der Universität Bayreuth. Etwa 60 Rechner hatte das Verschlüsselungsprogramm Locky vor knapp zwei Wochen lahmgelegt. Der Angriff kam unangekündigt und unerwartet.

Auch am Fraunhofer-Ableger in Bayreuth gibt es „nichts Neues“ zu vermelden. Rolf Steinhilper (62), Chef der betroffenen Projektgruppe des Fraunhofer-Institutes, verweist auf den Pressesprecher des Fraunhofer-Institutes. Fred Nemitz spricht von einer „unveränderten“ Lage, „partiell“ werde aber wieder an den Computern gearbeitet.

Wie schwer es ist, die Täter zu finden, darüber könnte Günter Younger, Leiter Dezernat Cybercrime beim Landeskriminalamt in München verzweifeln. Aber er ist es gewohnt, „jahrelang“ im Internet nach Spuren und Tätern zu suchen. Denn die verwischen ihre Spuren geschickt.

Meist greifen sie über „Bot-Netze“ an. Sie schicken vor dem Hauptangriff mit Viren verseuchte E-Mails nach dem Zufallsprinzip an ganz normale Menschen mit ganz normalen Computern. Öffnet jemand diese Mail, hat er einen Virus auf dem Rechner – merkt das aber nicht. Haben genügend Menschen diese bösen Mails auf ihrem Computer geöffnet, haben die Hacker ein Netz von infizierten Rechnern, ein Bot-Netz von Zombie-Computern, die nur auf Befehle von einem fremden Server warten. „Ein weltweites Phänomen“, sagt Cyber-Polizist Younger, und „sehr sehr komplex.“

Er rechnet mit 50.000 bis 60.000 infizierten Rechner, die auf der ganzen Welt verstreut seien, von denen die Locky-Angriffe gesteuert werden. „Das ist sehr frustrierend für uns Polizei.“ Denn selbst wenn sie einen der Zombies des Bot-Netzes fänden, einen Täter hätten sie noch lange nicht. Die Ermittler müssten in den Zombie „eindringen“ und dort nach Spuren suchen. Die wichtigste, wäre den Server zu finden, von dem er seinen Befehl bekommt, wann er die Mail mit dem gefährlichen Trojaner abzuschicken hat. Und zwar in dem Moment, in dem der Zombie mit seinem Befehlsgeber im Ausland kommuniziert. Aber sobald ein infizierter Privat-Rechner vom Netz genommen werde, so Younger, schalte sich der Trojaner ab – und ist nicht mehr zu finden. Darüber hinaus floriere der Handel mit Bot-Netzen, die man sich stundenweise mieten könne.

Wenn Locky angegriffen hat, ist es also bereits zu spät. Jetzt koordiniert das Bundeskriminalamt alle Anzeigen von Betroffenen und alle Ermittlungen, darunter auch den Angriff auf die Fraunhofer Projekt-Gruppe in Bayreuth. Man wolle sehen, ob ein System dahinterstecke und ob es auch außerhalb Deutschlands passiere.

Die Spur führt ins Ausland

Auch Younger ist sicher: „Die Spur führt ins Ausland.“ Was er nicht bestätigt, aber für viele Experten fast sicher ist: Sie führt nach Russland. Für Straftäter im virtuellen Raum gebe es keine Grenzen mehr. „Die meisten Server stehen nicht in Deutschland.“ Der Haupt-Computer, der die Befehle ausgibt, steht vielleicht in Russland. Dahinter aber könnte einer im Senegal stecken, dahinter der nächste in Nigeria. Und selbst wenn die gefunden sind, hat die Polizei längst den Täter nicht. Und selbst wenn es gelingt, Locky unschädlich zu machen, droht bald ein neuer Angriff: Die Täter ändern nur eine Zeile in dem Verschlüsselungsprogramm und „schicken ihn wieder auf die Reise“.

Das wissen auch die Verantwortlichen des gesamten Fraunhofer-Institutes. Es sei wie bei einem Grippe-Virus. Nach einer Impfung sei man nicht für immer immun, sagte Steinhilper in einem Radio-Interview. Denn gegen einen neuen Virus helfe die alte Impfung nicht.

Lesen Sie auch:

Trojaner legt Fraunhofer lahm.

Trojaner: Fraunhofer nicht das einzige Opfer.