Pro ArtikelDer Hackerangriff auf Berlin trifft Deutschland in einem kritischen Moment. Davon profitiert RusslandDer Kreml pflegt seit Jahren seine cyberkriminellen Netzwerke. Im Konflikt mit dem Westen kommt dieses strategische Instrument nun voll zum Tragen.08.09.2026, 05.30 Uhr4 LeseminutenIllustration Anja Lemcke / NZZDeutschland erlebt turbulente Tage. In Sachsen-Anhalt verfehlt mit der AfD eine russlandfreundliche Partei nur knapp die absolute Mehrheit, und das Land scheint im Visier verdeckter Aktionen Russlands zu sein. Die Bundesregierung ordnet den Drohnenvorfall in Leipzig von Anfang August dem Kreml zu. Seit dieser öffentlichen Anschuldigung vor einer Woche kommt es auch zu Anschlägen auf die Stromversorgung.Optimieren Sie Ihre BrowsereinstellungenNZZ.ch benötigt JavaScript für wichtige Funktionen. Ihr Browser oder Adblocker verhindert dies momentan.Bitte passen Sie die Einstellungen an.Ein Bekennerschreiben nennt klimapolitische Gründe für die Anschläge. Doch Zweifel bleiben. Die Ungewissheit ist zur neuen Normalität geworden. Das spaltet die Gesellschaft. Die politische Situation ist angespannt. Bei jedem Vorfall fällt der Verdacht sofort auf Russland . Das mag teilweise falsch sein. Doch es nützt dem Kreml: Er profitiert von dieser Unsicherheit.In dieses Muster passt auch der schwerwiegende Cyberangriff auf die Berliner Landesverwaltung. Die Angreifer drangen Anfang August in die IT-Systeme des Landes Berlin ein und kopierten Daten in grosser Menge. Die Behörden entdeckten den Angriff erst nach mehreren Tagen. Am Freitag ist nun die Tragweite der Attacke klargeworden.Nachdem Berlin eine Lösegeldzahlung abgelehnt hatte, veröffentlichte die Erpresserbande Rhysida rund 1,44 Millionen Dateien im Umfang von insgesamt 5,8 Terabyte im Darknet. In den Dokumenten finden sich auch vertrauliche Informationen über Tanklager, Notstromanlagen oder Gefängnisse. Der Schaden für Berlin ist riesig.Der Cyberangriff passt bezüglich Ziel und Zeitpunkt in die Reihe russischer Aktionen gegen Deutschland. Der Verdacht liegt nahe, dass der Kreml die Attacke in Auftrag gegeben haben könnte. Doch so einfach ist es nicht. Das liegt an den cyberkriminellen Netzwerken, die Moskau über Jahre hinweg indirekt aufgebaut hat.Moskau lässt die Cyberkriminalität anwachsenWas in Berlin passiert ist, geschieht weltweit jeden Tag: Erpresserbanden dringen in IT-Netzwerke von Firmen oder Organisationen ein, entwenden Daten und verschlüsseln die Computer. Dann fordern sie ein Lösegeld. Diese sogenannten Ransomware-Angriffe sind ein äusserst lukratives kriminelles Geschäftsmodell.Seit Jahren sind Dutzende von Gruppen in diesem Bereich tätig. In den allermeisten Fällen dürften die Angriffe rein finanziell motiviert sein und keinen politischen Hintergrund haben. Mit dem sogenannten «Ransomware-as-a-Service» ist zudem die Schwelle gesunken: Die Verschlüsselungssoftware muss nicht selbst entwickelt, sondern kann von den Ransomware-Gruppen gemietet werden. So können auch technisch weniger versierte Kriminelle solche Angriffe durchführen.Der Kreml hat entscheidend dazu beigetragen, dass Ransomware zu einer weltweiten Bedrohung geworden ist. Denn Russland lässt die Cyberkriminellen auf ihrem Staatsgebiet gewähren, solange sie keine russischen Firmen oder Institutionen angreifen. Internationale Rechtshilfe ist faktisch unmöglich. Die Kriminellen sind in Russland vor dem Zugriff ausländischer Strafverfolger geschützt. Dieser Schutz hat erst ermöglicht, dass die cyberkriminellen Netzwerke so stark gewachsen sind.Eine dieser Ransomware-Banden ist die Gruppe Rhysida, die hinter dem Angriff auf Berlin steht. Sie ist seit gut drei Jahren aktiv und soll aus der Erpresserbande Vice Society heraus entstanden sein. In der Schweiz hatte Vice Society 2021 die Gemeinde Rolle angegriffen.Rhysida nimmt im Unterschied zu anderen Gruppen oft öffentliche Einrichtungen ins Visier. Im Frühjahr behauptete die Ransomware-Bande, die Stadt Stuttgart angegriffen zu haben, was die Behörden jedoch dementierten. Die Landesverwaltung Berlin passt also in das Beuteschema von Rhysida.Dass ein russischer Geheimdienst den Kriminellen den direkten Auftrag für den Angriff gegeben hat, lässt sich nicht belegen. Völlig ausgeschlossen ist es nicht. Aber angesichts der vielen Ransomware-Angriffe ist es plausibel, dass die Attacke auf Berlin nur zufällig mit anderen russischen Aktivitäten zusammenfällt.Eine direkte Zuordnung ist im Einzelfall praktisch unmöglich. Doch dass es generell Verbindungen zwischen dem russischen Inlandgeheimdienst FSB und russischen Cyberkriminellen gibt, ist bekannt. So kam es kürzlich in Zürich zum Prozess gegen ein wichtiges Mitglied einer Ransomware-Gruppe. Laut der Staatsanwaltschaft soll einer der Köpfe so gute Verbindungen zum FSB gepflegt haben, dass er eine offizielle Tarnidentität erhalten hat.In gewissen Fällen mag es direkte Aufträge des FSB an Ransomware-Gruppen geben, um zu spionieren oder einer bestimmten Organisation zu schaden. Gesamthaft gleicht das System der russischen Cyberkriminellen aber eher den Seeräubern früherer Jahrhunderte, die mit Billigung eines Staates ihre Überfälle auf eigene Rechnung durchführten.Der Kreml nutzt kriminelle NetzwerkeDer Kreml hat die cyberkriminellen Netzwerke zu einem aussenpolitischen Instrument entwickelt. Die Angriffe schaden dem Westen insgesamt, schwächen die Firmen und beschäftigen die Sicherheitskräfte. Der Westen sei Freiwild, schreibt der Kenner der russischen Unterwelt Mark Galeotti.Die Vermutung ist, dass einige Gruppen auf Anweisung des Kremls ihre Angriffe den politischen Entwicklungen anpassen und bestimmte Länder stärker ins Visier nehmen. Die Kosten für die politische Unterstützung der Ukraine sollen erhöht werden.Die Cyberangriffe schüren zudem Angst und Verunsicherung. Sie untergraben das Vertrauen in das Funktionieren des Staats. Das zeigt sich derzeit beim Angriff auf Berlin. Dass die Angreifer eine so grosse Menge vertraulicher und schützenswerter Daten abgreifen konnten, lässt die Verwaltung hilflos aussehen: Der Staat kann seine Bürger und seine Geheimnisse nicht mehr schützen.Dass der Kreml kriminelle Netzwerke pflegt, gilt nicht nur für den Cyberbereich. Er duldet auch die organisierte Kriminalität, um dafür Gegenleistungen einzufordern. Seit dem Grossangriff auf die Ukraine ist dieses Instrument für Moskau noch wichtiger geworden. Kriminelle helfen bei der Umgehung von Sanktionen, bei illegalen Geldflüssen, aber auch bei Brandanschlägen oder Tötungen in Westeuropa.Für Cyberoperationen greift Moskau seit 2022 ebenfalls stärker auf kriminelle Hacker, ihre Fähigkeiten und ihre IT-Infrastruktur zurück. Die Geheimdienste nutzen das Netzwerk, das sie jahrelang aufgebaut haben.Dass Russland direkt hinter dem Cyberangriff auf Berlin steckt, ist zu bezweifeln. Doch das ist gar nicht der entscheidende Punkt. Die kriminellen Cyberangriffe sind Teil der russischen Kampagne gegen den Westen. Indem der Kreml die kriminellen Netzwerke im Cyberbereich seit Jahren pflegt, hat er die Attacke in Deutschland erst ermöglicht.6 KommentareEster Mottini Heute1 EmpfehlungMit der AfD verfügt Russland nun ja bereits einen breit abgestützten Brückenkopf in Sachsen-Anhalt.