Pro ArtikelWie wichtig sind russische Hacker für den hybriden Krieg des Kremls gegen den Westen? Ein Prozess in Zürich bringt EinsichtenEin Ukrainer in der Schweiz hat jahrelang bei Ransomware-Angriffen auf Firmen weltweit mitgeholfen. Die Staatsanwaltschaft sieht Verbindungen zum russischen Staat.14.08.2026, 05.29 Uhr6 LeseminutenIllustration Ida Götz / NZZDas Treffen der «bad motherfuckers» fand im «Vega Izmailovo Hotel» in Moskau statt. Im März 2012 kamen mehrere Cyberkriminelle in einem Konferenzraum in dem grossen Hotelkomplex zusammen, der für die Olympischen Sommerspiele 1980 gebaut worden war. Einer der Teilnehmer war der Ukrainer Olexander Jeremenko, damals 21 Jahre alt. Er machte Videoaufnahmen vom Treffen und sprach darin von einer Zusammenkunft der «bad motherfuckers». Jahre später werden diese Hacker die Justiz noch intensiv beschäftigen, auch in der Schweiz.Optimieren Sie Ihre BrowsereinstellungenNZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.Bitte passen Sie die Einstellungen an.Ein prominentes Opfer Jeremenkos ist der Zugbauer Stadler Rail. Im Jahr 2020 drangen Cyberkriminelle in die IT-Systeme der Schweizer Firma ein, kopierten Daten und verschlüsselten anschliessend die Rechner, um sie unbenutzbar zu machen. Dann forderten sie ein Lösegeld von 6 Millionen Dollar in Bitcoin. Das übliche Vorgehen bei Ransomware-Angriffen. Zuvor hatten die Kriminellen um Jeremenko weitere Schweizer Unternehmen angegriffen und erpresst, etwa das Gebäudetechnik-Unternehmen Meier Tobler oder die Softwarefirma Crealogix.Nun kommt es wegen dieser Cyberangriffe zum Prozess in Zürich. Brisant dabei ist: Die Staatsanwaltschaft sieht eine Verbindung von Olexander Jeremenko zum russischen Inlandgeheimdienst FSB. Der ukrainische Hacker soll eine Tarnidentität des FSB erhalten haben, heisst es in der Anklageschrift. Das ist mehr als nur ein falscher Pass, nämlich offenbar eine offizielle Registrierung unter neuem Namen.Die Verbindung von Jeremenko wirft Fragen mit politischer Sprengkraft auf: Wie genau hat Jeremenko für den FSB gearbeitet, damit er als ausländischer Staatsbürger eine offizielle russische Tarnidentität erhält? Waren die Ransomware-Angriffe eine verdeckte Operation des Kremls gegen den Westen? Gaben Geheimdienste möglicherweise konkrete Ziele vor – als Teil ihrer Spionage- und Sabotageaktivitäten?Russland nutzt seine kriminellen NetzwerkeDass es zumindest lose Kontakte zwischen Russlands Geheimdiensten, insbesondere dem FSB, und russischen Cyberkriminellen gibt, ist bekannt. Das Vorgehen funktioniert ähnlich wie bei der organisierten Kriminalität. Russland benutzt diese kriminellen Netzwerke seit Jahren als Instrument seiner Aussenpolitik, etwa zur Umgehung von Sanktionen, als Quelle von Schwarzgeld, für Sabotage oder gar für Ermordungen. Mit dem Ukraine-Krieg hat die Bedeutung dieser Netzwerke noch zugenommen.Im Cyberbereich toleriert Russland die Angriffe von Ransomware-Gruppen und anderen Cyberkriminellen bewusst, solange sich die Aktivitäten auf das Ausland beschränken. Die russischen Behörden verweigern faktisch die internationale Kooperation bei der Strafverfolgung. Im Gegenzug helfen die Kriminellen den Geheimdiensten mit gewissen Angriffen. Oder sie überlassen ihnen gelegentlich interessante Informationen, wenn sie zum Beispiel in die IT-Systeme von Behörden oder Rüstungsfirmen eingedrungen sind.Für diese Zusammenarbeit gibt es bekannte Beispiele. So programmierte Jewgeni Bogatschow Ende der 2000er Jahre den Trojaner Zeus, mit dem er äusserst erfolgreich E-Banking-Systeme angriff. 2011 entwickelte er für den FSB eine spezielle Version von Zeus, die Russland für staatliche Spionageaktionen einsetzen konnte. Möglicherweise war Bogatschow, der damals von den USA gesucht wurde, vom FSB erpresst und zur Zusammenarbeit gezwungen worden.Deutlich enger sind die Verbindungen von Maxim Jakubez zum FSB. Jakubez ist seit etwa 2007 als Cyberkrimineller aktiv, unter anderem zusammen mit Bogatschow. Später wurde er ein Anführer der Gruppe Evil Corp, die ab 2017 auch Ransomware-Angriffe durchführte. 2019 belegten die amerikanischen Behörden Evil Corp und mehrere Mitglieder mit Sanktionen. Auf Jakubez wurde ein Kopfgeld von 5 Millionen Dollar ausgesetzt.Jakubez soll laut der amerikanischen Justiz seit mindestens 2017 direkt für den FSB tätig gewesen sein. Im April 2018 sei Jakubez dabei gewesen, eine Genehmigung für die Bearbeitung klassifizierter russischer Informationen zu erhalten. Das deutet auf eine direkte Einbindung in den Staatsapparat hin.Jakubez ist seit 2017 zudem mit der Tochter des FSB-Offiziers Eduard Benderski verheiratet. Benderski wiederum soll der Führungsoffizier des Tiergarten-Mörders gewesen sein, der 2019 in Berlin einen Georgier erschoss.Der Kriminelle Maxim Jakubez fuhr als Kopf der Bande Evil Corp einen auffälligen Lamborghini. Die britische Nationale Kriminalbehörde veröffentlichte 2019 das Bild.National Crime AgencyJeremenko lässt neue Ransomware entwickelnDie Anklage der Zürcher Staatsanwaltschaft, die ab Montag vor dem Bezirksgericht verhandelt wird, bringt nun neue Verbindungen einer Ransomware-Gruppe zum FSB ans Licht. Die Rolle von Olexander Jeremenko ist dabei entscheidend. Er ist ein seit Jahren international gesuchter Cyberkrimineller, auf den die USA eine Belohnung von 1 Million Dollar ausgesetzt haben.Jeremenko steht zwar in Zürich nicht selbst vor Gericht, aber er war ein Kopf der Ransomware-Bande. Angeklagt ist der 52-jährige ukrainische Softwareentwickler Artem Melnik (Name geändert). Dieser war in der Schweiz wohnhaft und soll jahrelang entscheidend an den Ransomware-Angriffen mitgewirkt haben, bis ihn die Polizei Basel-Landschaft im Rahmen einer international koordinierten Aktion im Oktober 2021 verhaftete. Bei ihm scheint die Staatsanwaltschaft keine Hinweise auf Verbindungen zum FSB gefunden zu haben.Dass Jeremenko für einen russischen Geheimdienst gearbeitet hat, war bisher nicht öffentlich bekannt. Es erscheint aber plausibel – auch aufgrund des Treffens der «bad motherfuckers» im «Vega Izmailovo Hotel» in Moskau 2012. Andere Teilnehmer des Treffens hatten später ebenfalls Verbindungen zum FSB. Die russischen Behörden setzten sich bei zweien für eine Rückführung nach Russland ein, als sie im Ausland verhaftet wurden und ihnen die Ausschaffung in die USA drohte.Jeremenko war damals, 2012, von Kiew aus bereits seit zwei Jahren als Hacker an einer grossen Betrugsmasche mit Insiderhandel beteiligt. Seiner Gruppe war es gelungen, den Zugriff auf sogenannte Newswire-Systeme mit vertraulichen Geschäftsmitteilungen zu erlangen, bevor diese veröffentlicht wurden. Mit diesen Informationen erzielten die Kriminellen einen Gewinn von mindestens 30 Millionen Dollar.Amerikanische Ermittler waren Jeremenko allerdings bereits auf der Spur. Ende 2012 führten die ukrainischen Behörden in seiner Wohnung in Kiew eine Hausdurchsuchung durch, bei der auch das Video vom Treffen im Moskauer Hotel gefunden wurde. Jeremenko wurde jedoch wieder freigelassen. Er lebte weiterhin unbehelligt in Kiew, obwohl ihn die amerikanische Justiz 2015 zur Verhaftung ausschrieb.Jeremenko zog mit einem Geschäftspartner ab 2016 nochmals eine ähnliche Form von Insiderhandel auf. Diesmal verschaffte er sich Zugang zu vertraulichen Geschäftsberichten, welche die Firmen im Voraus an die amerikanische Börsenaufsicht SEC übermittelten. Doch dann kam es zum Streit mit seinem Partner. Vermutlich 2017 siedelte Jeremenko nach Moskau über, wo er anfangs noch offen auf Social Media postete.Im Juni 2018, so vermutet die Zürcher Staatsanwaltschaft, hatten sich Jeremenko und der ukrainische Softwareentwickler Artem Melnik mit weiteren Personen zusammengeschlossen, um Ransomware-Angriffe gegen zahlungskräftige Unternehmen in Westeuropa und Nordamerika durchzuführen. Zu den prominenten Opfern gehörten ausserhalb der Schweiz das französische Beratungsunternehmen Altran und der norwegische Energiekonzern Norsk Hydro.Für die Angriffe entwickelte der angeklagte Artem Melnik zwei neue Schadprogramme zur Verschlüsselung, LockerGoga und Megacortex. Dass Jeremenko ein führender Kopf dieser Ransomware-Angriffe war, ist neu. Öffentliche Informationen gab es bislang dazu keine.Jeremenko soll in Moskau aus dem Fenster gestürzt seinOb Jeremenko diese Ransomware-Angriffe im Auftrag des FSB ausgeführt hatte, ist unklar. Ein Teil der Attacken könnte auf jeden Fall gemäss den Wünschen des Inlandgeheimdienstes ausgeführt worden sein. Dabei ist als Ziel sowohl Spionage als auch Sabotage denkbar. Ein Grossteil dürfte aber rein finanziell motiviert gewesen sein.Es muss jedoch in mindestens einem Bereich eine enge Zusammenarbeit von Jeremenko mit dem FSB gegeben haben. Dabei könnte es um die Ransomware-Angriffe gegangen sein, die nun in Zürich zur Verhandlung kommen. Es ist aber gut möglich, dass Jeremenko noch weitere Tätigkeiten für den FSB ausführte, die bislang nicht öffentlich bekannt sind.Der russische Inlandgeheimdienst musste auf jeden Fall ein starkes Interesse an dem Ukrainer und seinen Fähigkeiten gehabt haben – und daran, ihn zu schützen. Sonst hätte Jeremenko kaum eine offizielle Tarnidentität erhalten.In diesem Zusammenhang ist auch der mögliche Tod Jeremenkos zu sehen. Wie die Staatsanwaltschaft schreibt, soll Jeremenko im Februar 2022 – kurz vor dem russischen Grossangriff auf die Ukraine – durch einen Fenstersturz ums Leben gekommen sein. Ein Umstand, der auch bei Kennern der russischen Cyberkriminalität bekannt ist. Dem Vernehmen nach ist allerdings die Meinung weit verbreitet, dass dieser Tod inszeniert gewesen sei. Das hätte Jeremenko die Möglichkeit gegeben unterzutauchen – und unter anderer Identität weiterzuleben.Die russischen Netzwerke der Cyberkriminellen sind für den Kreml mit dem Ukraine-Krieg in den letzten vier Jahren wichtiger geworden. Die Intensität der Cyberoperationen hat insgesamt zugenommen. Russische Dienste greifen deshalb vermehrt auf die Fähigkeiten der Kriminellen zurück, indem sie zum Beispiel Schadsoftware programmieren lassen oder deren Server für Angriffe verwenden.Die Grenze zwischen Kriminalität und staatlichen Aktionen verwischt zunehmend. Dass es Verbindungen zwischen dem russischen Staat und Ransomware-Gruppen gibt, ist nicht völlig neu. Der Zürcher Fall bringt jedoch neue Erkenntnisse, die für das Gesamtbild wichtig sind.Passend zum Artikel