Hackergruppe saugt Daten von Bundesräten und Elitesoldaten ab

• Der NDB verzichtet derzeit auf ausländische Operationen, weil Daten von Agenten mit Tarnidentität abgeflossen sein dürften.
• Der Bundessicherheitsdienst verschärft die Überwachung der Regierungsmitglieder, und der Bund setzt eine Taskforce ein.
• Ausgangspunkt ist ein Hackerangriff auf einen Publica-Softwarelieferanten, hinter dem laut «Tages-Anzeiger» die Gruppe Akira steckt.

Ende September ist ein externer Softwarelieferant der Pensionskasse des Bundes, Publica, Opfer eines Cyberangriffs geworden. Vor rund zwei Wochen informierte der Bund darüber, dass Daten entwendet worden seien. Die rund hundert Gigabyte Daten sind «für die Sicherheit der Schweiz weit gravierender als bisher kommuniziert», schreibt der «Tages-Anzeiger» am Dienstag. «Sicherheitskritische Daten sind abgeflossen.»

Die Hacker verfügen nun wohl über sensible Informationen von mehr als 100’000 aktuellen und ehemaligen Angestellten des Bundes sowie bundesnaher Betriebe. Im Artikel werden neben Putzfachkräften und gewöhnlichen Verwaltungsangestellten auch Mafiajäger, Geheimagenten und Elitesoldaten genannt. Auch Daten von alt Bundesräten sollen betroffen sein. Verschont blieben jedoch jene von amtierenden Bundesrätinnen und Bundesräten.

Diese Daten sind betroffen

Unter den entwendeten Daten könnten sich folgende befinden:

• Vorname und Name
• Geburtsdatum
• AHV-Nummer
• Adresse
• E-Mail-Adresse (Geschäft und Privat)
• Telefonnummer (geschäftlich und privat)
• Vorsorgedaten (z. B. versicherter Verdienst, Vorsorgeguthaben)
• Zivilstand
• Angaben zu (Ehe-)Partner/in
• IBAN

Möglich ist, dass die Betroffenen nun mit authentischen Betrugsversuchen konfrontiert werden. Das Staatssekretariat für Sicherheitspolitik hat solche gemäss dem «Tages-Anzeiger» bereits festgestellt.

Es wird eine Taskforce beim Bund eingesetzt. Diesem bereitet ein weiterer Aspekt Kopfzerbrechen: Unter den entwendeten Daten befinden sich wohl auch solche von Bundesangestellten, die dort unter einer Tarnidentität beim Fedpol oder dem Nachrichtendienst beschäftigt werden. «Für sie besteht Gefahr für Leib und Leben», heisst es in einer internen Einschätzung. Denn die Daten könnten in die Hände ausländischer Geheimdienste oder Organisationen mit kriminellem Hintergrund gelangen. Als Folge verzichtet der NDB derzeit auf ausländische Operationen. Der Bundessicherheitsdienst hat zudem die Überwachungsmassnahmen für Regierungsmitglieder verschärft.

Bund warnte vor der Hackergruppe

Laut dem «Tages-Anzeiger» steckt Akira hinter dem Cyberangriff. Die Gruppe ist dem Bund bekannt. Im Oktober teilte er mit, dass ungefähr 200 Unternehmen bereits Opfer von Ransomware-Angriffen durch Akira wurden. Der Schaden belaufe sich auf mehrere hundert Millionen Dollar. Seit April 2024 führt die Bundesanwaltschaft ein Strafverfahren.

Betroffen war auch der Rüstungskonzern Ruag. Für Aufregung sorgte, dass der bundeseigene Rüstungskonzern entgegen den offiziellen Empfehlungen des Bundes Lösegeld gezahlt hatte, um wieder Zugriff auf die entwendeten Daten zu erhalten.

Das ist Akira

Die Hackergruppe Akira ist im März 2023 erstmals aufgetaucht. Sie agiert mittels spezieller und eigens entwickelter Software und verfügt über eine IT-Infrastruktur, die international über mehrere Länder verteilt ist. Sie praktiziert die sogenannte doppelte Erpressung, bei der Daten des Opfers erst entwendet und dann verschlüsselt werden. Nach der Verschlüsselung der Daten ist für das Opfer nur noch die teilweise oder vollständige Blockade seines IT-Netzwerks festzustellen, was die Geschäftstätigkeit des betroffenen Unternehmens verunmöglichen kann.

Wird das Lösegeld nicht innert der gesetzten Frist entrichtet, wird dem Opfer nicht nur der Entschlüsselungscode zu den Daten weiter vorenthalten, sondern Akira publiziert diese Daten auch auf einem Blog im Darknet. Der Name dieses Blogs lautet «DLS» für «Data Leak Site». Die Zahlung des Lösegelds erfolgt in Kryptowährung, meistens in Bitcoin. Die Behörden weisen darauf hin, dass man kein Lösegeld bezahlen soll, denn dieses dient der Finanzierung der kriminellen Aktivitäten.

Die Schweizer Behörden gehen von einer gewissen Dunkelziffer betroffener Unternehmen aus. Dies ist darauf zurückzuführen, dass die Opfer der Hackergruppe aus Angst um ihren Ruf das geforderte Lösegeld zahlen und/oder auf Strafantrag verzichten.

Auch im aktuellen Fall rund um die Schweizer Pensionskassen fordert Akira eine Zahlung. Wird die nicht ausgelöst, sollen die sensiblen Daten veröffentlicht oder verkauft werden. Bisher sind die Daten im Darknet nicht aufgetaucht.

Bist du oder ist jemand, den du kennst, von Cybercrime betroffen?

Hier findest du Hilfe:

Meldestellen:

Aufklärung:

Justin Arber (jar), Jahrgang 1999, arbeitet seit 2022 als Redaktor am Newsdesk. Zeitweise übernimmt er da die Schichtleitung im Früh- und Spätdienst.