#Diese deutschen Ermittler besiegten Emotet

Hacker sind wie Wespen, die im Verborgenen leben. Man weiß, dass es sie gibt, und kann ahnen, dass sie jeden umschwirren, der sich im Internet bewegt. Man weiß aber nicht, wie sie fliegen, wen sie angreifen und ob man lieber stillhalten oder das Insektenspray herausholen sollte. Man hofft einfach inständig, nicht gestochen zu werden.

In letzter Zeit ist der Schwarm der Angreifer so groß geworden, dass es kaum noch jemand schafft, ihn zu ignorieren. Allein seit Weihnachten ist die Welt in gleich drei Wespennester im Internet hineingetreten. Als Erstes wurde im Dezember der „Solarwinds-Hack“ publik, bei dem Hacker eine Hintertür in die Updates eines verbreiteten Netzwerkprogramms einschmuggeln konnten. Mehr als 250 Unternehmen und Behörden in Amerika und Deutschland bekamen die Wespen also frei Haus geliefert, als sie das Programm auf dem neuesten Stand halten wollten.

Erst vor gut zwei Wochen gerieten dann kritische Sicherheitslücken in Microsofts verbreiteter E-Mail-Architektur Exchange Server in die Schlagzeilen. Auf einen Schlag war in den Computersystemen von mehreren hunderttausend Organisationen – Unternehmen, Behörden, Parlamente – eine Klappe weit offen. Zahlreiche Wespen flogen hinein, die Stiche waren schmerzhaft: Dem norwegischen Parlament wurden Daten gestohlen, die Europäische Bankenaufsicht und das Umweltbundesamt mussten ihre E-Mail-Systeme vom Netz nehmen.

Schäden von mindestens 2,5 Milliarden Dollar

Es gibt aber nicht nur Wespen im Internet, es gibt auch Kammerjäger. Zwei davon sind Linda Bertram und Carsten Meywirth. Die beiden sehen nicht unbedingt so aus, wie man sich Hacking-Ermittler vorstellt: keine Computerblässe in ihren Gesichtern, Sakko und Blazer statt Kapuzenpullover, und auch ihre Sätze sind eher mit juristischen Termini als mit Computer-Fachbegriffen gespickt.

F.A.Z. Frühdenker –
Der Newsletter für Deutschland

Jeden Morgen sorgfältig ausgewählt und kompetent eingeordnet. Die bedeutenden Ereignisse und Entwicklungen in Deutschland und der Welt.

Jetzt anmelden

Und doch gehören die beiden zur Speerspitze der digitalen Strafverfolgung in Deutschland. Bertram ist Staatsanwältin der Zentralstelle für die Bekämpfung der Internetkriminalität (ZIT) bei der Generalstaatsanwaltschaft in Frankfurt, Meywirth leitet die Cybercrime-Abteilung des Bundeskriminalamts (BKA). Beide zusammen haben dafür gesorgt, dass es maßgeblich deutsche Ermittler waren, die im Januar ein drittes akut bedrohliches Wespennest niederbrennen konnten. Das Schadprogramm „Emotet“ sorgte auf der Welt über sieben Jahre für bekanntgewordene Schäden von mindestens 2,5 Milliarden Dollar. Der Chef von Deutschlands technischer Cyber-Abwehrbehörde, dem Bundesamt für Sicherheit in der Informationstechnik (BSI), nannte es den „König der Schadsoftware“.

Die Entthronung begann mit einem Fehler. Der Erfolg, der vom Umfang her für deutsche Ermittler bislang einmalig ist, konnte nur gelingen, weil „Mummy Spider“ irgendwann nachlässig wurde. Diesen Spitznamen, englisch für „Mumienspinne“, gaben Sicherheitsforscher der Gruppe von Cyberkriminellen hinter Emotet. Den entscheidenden Fehler machte diese im August 2018, und zwar in Brasilien.

Dort stand einer der Server, der die Schadsoftware über die Welt verteilte. Er war nur ein Glied in einem globalen Netz von Rechnern, welche Mummy Spider gehackt und dafür zweckentfremdet hatte – „Botnetz“ heißt das in Fachkreisen. Doch bei ihm nahmen es die Hacker mit der Verschlüsselung, die ihnen sonst überall ihre Anonymität sicherte, mal nicht so genau. „Wenn die Täter keinen Fehler machen, dann haben wir in der Regel keine Chance“, sagt Ermittler Meywirth. Und so begann dank des Fehlers eine Jagd, die fast zwei Jahre dauern und über vier Kontinente führen sollte.