Über 300 Unternehmen angegriffen – was der Fall eines der meistgesuchten Cyberkriminellen Europas zeigt
Ransomware ist längst kein Delikt einzelner Hacker mehr. Hinter schweren Cyberangriffen stehen zunehmend arbeitsteilig organisierte, international agierende Netzwerke. Ein aktueller Fahndungsfall zeigt eindrucksvoll, welche Dimension diese Form der Wirtschaftskriminalität inzwischen erreicht hat.
Ein mutmaßlich führender Cyberkrimineller steht erneut prominent auf der europäischen Fahndungsliste „EU Most Wanted“. Nach aktuellen Angaben der Ermittlungsbehörden soll der gesuchte ukrainische Staatsangehörige eine zentrale Rolle innerhalb einer international agierenden und mit dem Ransomware-Netzwerk HIVE verbundenen Gruppierung gespielt haben.
Der Verdacht wiegt schwer: Gemeinsam mit weiteren Beteiligten soll die Gruppierung weltweit mehr als 300 Unternehmen und Organisationen angegriffen, sensible Daten entwendet, IT-Systeme verschlüsselt und anschließend hohe Lösegeldforderungen gestellt haben.
Der wirtschaftliche Schaden wird auf einen hohen dreistelligen Millionenbetrag geschätzt. Allein in Deutschland soll er nach Angaben des Cybercrime-Zentrums Baden-Württemberg mehr als 50 Millionen Euro betragen. Die US-Regierung hat für Informationen, die zur Ergreifung des Gesuchten führen, eine Belohnung von bis zu zehn Millionen US-Dollarausgelobt. wird zur organisierten Wirtschaftskriminalität
Der Fall zeigt eine Entwicklung, die für Unternehmen von erheblicher Bedeutung ist.
Das klassische Bild des einzelnen Hackers, der nachts von einem Computer aus versucht, in fremde Systeme einzudringen, beschreibt die heutige Realität nur noch unzureichend.
Professionelle Cyberkriminalität funktioniert zunehmend wie ein Unternehmen.
Entwickler stellen Schadsoftware bereit. Andere Akteure suchen nach verwundbaren Unternehmensnetzwerken. Spezialisten übernehmen das Eindringen in die Systeme. Wieder andere kümmern sich um Verhandlungen mit den Opfern, die Veröffentlichung gestohlener Daten oder das Waschen der erlangten Kryptowährungen.
Genau dieses Prinzip wird häufig als Ransomware-as-a-Service bezeichnet.
Im Fall von HIVE gingen die Beteiligten nach Angaben der Ermittlungsbehörden arbeitsteilig vor. Sogenannte Affiliates drangen in die IT-Netzwerke der Opfer ein, entwendeten sensible Daten und verschlüsselten anschließend die Systeme mit der von HIVE bereitgestellten Schadsoftware. improvisierte Internetkriminalität.
Es handelt sich um professionell organisierte, grenzüberschreitende Wirtschaftskriminalität.
Unternehmen werden doppelt unter Druck gesetzt
Moderne Ransomware-Angriffe verfolgen häufig nicht mehr lediglich das Ziel, Daten zu verschlüsseln.
Zunehmend werden sensible Unternehmensinformationen zunächst kopiert und anschließend als zusätzliches Druckmittel eingesetzt.
Für ein betroffenes Unternehmen entsteht damit eine doppelte Bedrohung.
Zum einen können Produktionssysteme, Verwaltung, Kommunikation oder operative Prozesse ausfallen. Zum anderen besteht die Gefahr, dass vertrauliche Daten veröffentlicht, verkauft oder für weitere Straftaten genutzt werden.
Das können Kundendaten sein.
Aber ebenso interne Verträge, Geschäftszahlen, Entwicklungsunterlagen, Zugangsdaten, Kommunikationsinhalte, Informationen über Mitarbeiter oder strategische Unternehmensinformationen.
Aus einem technischen Sicherheitsvorfall wird damit sehr schnell ein wirtschaftlicher Ermittlungsfall.
Die entscheidenden Fragen lauten anschließend nicht mehr nur:
Wie konnte die Schadsoftware in das System gelangen?
Sondern ebenso:
Welche Informationen wurden entwendet? Wer hatte Zugriff darauf? Gab es möglicherweise interne Unterstützer? Wohin wurden die Daten übertragen? Werden Informationen bereits im Darknet angeboten? Welche Personen oder Strukturen stehen hinter dem Angriff?
Genau an dieser Schnittstelle treffen Cybersecurity, digitale Forensik, OSINT und klassische Corporate Investigations aufeinander.
Selbst Krankenhäuser waren kein Tabu
Wie skrupellos professionelle Ransomware-Strukturen vorgehen können, zeigt einer der deutschen Fälle besonders deutlich.
Anfang 2022 wurde der Medizin Campus Bodensee mit Standorten in Friedrichshafen und Tettnang Opfer eines HIVE-Angriffs.
Durch die Verschlüsselung von Daten wurden medizinische Abläufe erheblich beeinträchtigt. Nach den bekannt gewordenen Ermittlungsinformationen konnten zeitweise keine Patienten aufgenommen und bestimmte computergestützte Untersuchungen durchgeführt werden.
Die Angreifer sollen 100.000 US-Dollar in Bitcoin verlangt haben. Eine Zahlung erfolgte nach Angaben der Ermittler nicht. Der wirtschaftliche Schaden dieses einzelnen Angriffs wurde auf rund 600.000 Euro beziffert. erkenswert sind Erkenntnisse aus ausgewerteten Chatverläufen.
Mitglieder der Gruppierung sollen intern darüber diskutiert haben, ob Angriffe auf medizinische Einrichtungen vertretbar seien. Nach Angaben des Cybercrime-Zentrums Baden-Württemberg wurde schließlich entschieden, dass auch solche Ziele angegriffen werden könnten.
Der Fall verdeutlicht, dass Unternehmen und Organisationen nicht darauf vertrauen können, aufgrund ihrer gesellschaftlichen Funktion oder Branche von professionellen Cyberkriminellen verschont zu bleiben.
Internationale Ermittlungen über Jahre
Die Dimension solcher Verfahren zeigt sich auch an der Dauer und internationalen Zusammenarbeit der Ermittlungsbehörden.
Bereits 2023 gelang es internationalen Behörden, wesentliche Teile der Infrastruktur von HIVE zu zerschlagen. Darknet-Strukturen wurden abgeschaltet, später wurden in der Ukraine mehrere Tatverdächtige festgenommen.
Damit war der Fall jedoch nicht beendet.
Ermittler werteten umfangreiche Datenbestände aus. Dazu gehörten unter anderem Chatkommunikation und Kryptowährungstransaktionen.
Auf Grundlage dieser Ermittlungen gelang schließlich die Identifizierung eines mutmaßlichen Hauptakteurs einer mit HIVE zusammenarbeitenden Affiliate-Gruppierung. Im September 2025 wurde ein europäischer Haftbefehl bekannt gegeben.
Seit Juli 2026 wird der Beschuldigte von Deutschland auch über die Plattform Europe’s Most Wanted öffentlich gesucht. Sein derzeitiger Aufenthaltsort ist nach Angaben der Behörden unbekannt. Die am 1. August 2026 veröffentlichte Meldung zeigt, dass die Fahndung mit hoher Priorität weitergeführt wird. onen Dollar für einen Hinweis
Dass die amerikanische Regierung eine Belohnung von bis zu zehn Millionen US-Dollar für Informationen zur Ergreifung des Gesuchten ausgelobt hat, macht die Bedeutung des Falles deutlich.
Für Hinweise, die zur Festnahme oder Verurteilung weiterer führender Köpfe führen, können nach den aktuellen Angaben ebenfalls erhebliche Belohnungen gezahlt werden.
Die Fahndung ist damit längst keine regionale deutsche Cybercrime-Ermittlung mehr.
Sie ist Teil einer internationalen Auseinandersetzung mit hochprofessionellen kriminellen Netzwerken.
Auch Europol beschreibt Cybercrime zunehmend als ein Ökosystem spezialisierter Akteure. Die Infrastruktur reicht von Schadsoftware und anonymisierten Kommunikationsdiensten über Darknet-Plattformen bis hin zu Kryptowährungen und professionellen Geldwäschestrukturen.
Derartige Netzwerke können über zahlreiche Staaten verteilt sein und ihre Infrastruktur permanent verändern.
Das erschwert nicht nur die Strafverfolgung.
Es macht auch die Aufklärung für betroffene Unternehmen erheblich komplexer.
Nach dem Cyberangriff beginnt die eigentliche Ermittlungsarbeit
Für Unternehmensleitungen ist deshalb entscheidend, einen Cybervorfall nicht ausschließlich als Aufgabe der IT-Abteilung zu betrachten.
Die technische Wiederherstellung der Systeme ist nur ein Bestandteil der Reaktion.
Parallel muss geklärt werden, was tatsächlich passiert ist.
Welche Systeme wurden kompromittiert?
Welche Informationen wurden kopiert?
Wann begann der Angriff?
Welche Accounts wurden verwendet?
Gab es ungewöhnliche Zugriffe bereits Wochen oder Monate zuvor?
Existieren Verbindungen zu Mitarbeitern, Geschäftspartnern oder ehemaligen Beschäftigten?
Tauchen gestohlene Informationen auf einschlägigen Plattformen oder in anderen öffentlich oder spezialisiert recherchierbaren Quellen auf?
Gibt es Hinweise auf eine gezielte Auswahl des Unternehmens?
Erst die Kombination verschiedener Informationsquellen ermöglicht es häufig, aus einzelnen technischen Spuren ein Gesamtbild zu entwickeln.
OSINT und Corporate Intelligence gewinnen an Bedeutung
Gerade bei komplexen Cyber- und Wirtschaftsstraftaten spielt Open Source Intelligence – OSINT eine zunehmende Rolle.
Dabei geht es weit über eine einfache Internetrecherche hinaus.
Digitale Identitäten, Unternehmensverbindungen, Domains, Infrastruktur, Social-Media-Aktivitäten, Veröffentlichungen, Datenlecks, Kryptowährungsbezüge und internationale Firmenstrukturen können miteinander korreliert werden.
Bei professionellen Ermittlungen entsteht daraus ein Lagebild.
Besonders relevant wird dies, wenn neben einem externen Cyberangriff der Verdacht besteht, dass interne Informationen abgeflossen sind oder Täter über Kenntnisse verfügten, die normalerweise nur innerhalb des Unternehmens verfügbar sein sollten.
Cybercrime und klassische Wirtschaftskriminalität lassen sich deshalb immer weniger voneinander trennen.
Der Faktor Mensch bleibt eine zentrale Schwachstelle
Selbst hochentwickelte Angriffstechniken benötigen häufig einen ersten Zugang.
Phishing-Mails, gestohlene Zugangsdaten, kompromittierte Dienstleister, Social Engineering oder unzureichend geschützte Benutzerkonten können den Einstieg ermöglichen.
Hinzu kommt ein Risiko, das Unternehmen häufig unterschätzen:
Insiderwissen.
Nicht jeder Informationsabfluss entsteht durch einen hochkomplexen technischen Angriff.
Unzufriedene Mitarbeiter, ehemalige Beschäftigte, externe Dienstleister oder Personen mit legitimen Zugriffsrechten können für Täter wertvolle Informationen liefern.
Deshalb gehört zu einer professionellen Reaktion auf Verdachtsfälle nicht nur die Sicherung technischer Spuren.
Auch personelle, organisatorische und wirtschaftliche Zusammenhänge müssen betrachtet werden.
Cybersecurity verhindert Angriffe – Ermittlungen erklären sie
Unternehmen investieren zu Recht erhebliche Summen in Firewalls, Endpoint Security, Backups und Sicherheitsüberwachung.
Diese Maßnahmen sind unverzichtbar.
Doch hundertprozentige Sicherheit existiert nicht.
Wenn ein Vorfall eingetreten ist, verändert sich die Aufgabenstellung.
Dann geht es nicht mehr ausschließlich um Prävention.
Es geht um Aufklärung, Beweissicherung und Risikobegrenzung.
Eine strukturierte Corporate Investigation kann dabei technische Erkenntnisse mit Informationen über Personen, Unternehmen, wirtschaftliche Verbindungen und mögliche Motivlagen verbinden.
Das Ziel muss sein, möglichst früh ein belastbares Gesamtbild zu erhalten.
Denn Unternehmen können nur dann angemessen reagieren, wenn sie wissen, womit sie tatsächlich konfrontiert sind.
Was Unternehmen aus dem HIVE-Fall lernen können
Der aktuelle Fahndungsfall zeigt vor allem eines:
Cyberkriminalität darf nicht isoliert als IT-Problem betrachtet werden.
Hinter professionellen Angriffen können arbeitsteilig organisierte internationale Täterstrukturen stehen, deren Vorgehensweise eher einem kriminellen Unternehmen als einem einzelnen Hacker entspricht.
Unternehmen benötigen deshalb nicht nur technische Schutzmaßnahmen.
Sie benötigen Strukturen, mit denen sich Verdachtslagen schnell analysieren, digitale und klassische Informationen zusammenführen, Beweise sichern und Verantwortlichkeiten nachvollziehen lassen.
Je früher dies geschieht, desto größer ist die Chance, Schäden zu begrenzen und belastbare Entscheidungsgrundlagen für Geschäftsführung, Rechtsanwälte, Versicherer und gegebenenfalls Strafverfolgungsbehörden zu schaffen.
Detegere – Ermittlungen an der Schnittstelle zwischen Wirtschaftskriminalität und Cybercrime
Moderne Wirtschaftskriminalität findet längst gleichzeitig in der realen und der digitalen Welt statt.
Privat Investigation Service Detegere unterstützt Unternehmen, Kanzleien und Entscheidungsträger bei komplexen Verdachtslagen unter anderem durch Corporate Investigations, OSINT-Recherchen, Background-Checks, digitale Forensik und die strukturierte Aufklärung wirtschaftskrimineller Sachverhalte.
Dabei geht es nicht darum, staatliche Ermittlungsbehörden zu ersetzen.
Private Ermittlungen können vielmehr dort ansetzen, wo Unternehmen kurzfristig eigene Entscheidungsgrundlagen benötigen, interne Zusammenhänge aufgeklärt werden müssen oder Informationen für arbeitsrechtliche, zivilrechtliche oder strafrechtliche Maßnahmen strukturiert und beweissicher aufbereitet werden sollen.
Der Fall HIVE zeigt, wie international, arbeitsteilig und professionell moderne Täterstrukturen agieren.
Unternehmen sollten ihre Ermittlungsfähigkeit deshalb genauso ernst nehmen wie ihre technische IT-Sicherheit.
Quellenhinweis:
Grundlage sind unter anderem die aktuelle dpa-Berichterstattung vom 1. August 2026, die öffentliche Fahndung des Polizeipräsidiums Reutlingen und der Generalstaatsanwaltschaft Karlsruhe, Europe’s Most Wanted sowie Veröffentlichungen von Europol. Für den Beschuldigten gilt bis zu einer rechtskräftigen Verurteilung die Unschuldsvermutung.
Bild: KI generiert
