Ein Jugendlicher steht im Zentrum einer internationalen Ermittlung gegen eine mutmaßlich besonders aktive Hacker-Gruppe. Der 16-Jährige soll die Ransomware-Gruppierung KillSec als Hauptbetreiber angeführt haben. Am 30. September schlugen Strafverfolgungsbehörden in mehreren Ländern zu. Sie übernahmen die Kontrolle über die Datenplattform der Gruppe und sicherten riesige Mengen gestohlener Informationen.
Die Aktion mit dem Namen "Operation KillSwitch" wurde von deutschen Behörden geleitet und von Europol und Eurojust koordiniert. Insgesamt wurden drei Verdächtige vorläufig festgenommen und acht Objekte in Griechenland, Rumänien, Spanien und Großbritannien durchsucht. Die Ermittlungen beziehen sich auf rund 1.000 mutmaßliche Angriffe weltweit. Etwa 500 davon konnten bisher als erfolgreich eingestuft werden.
Alexandru Nicola Stoica vom an der Aktion beteiligten Anbieter von Cybersicherheitslösungen, Bitdefender, spricht von "einer besonders aktiven Ransomware-Gruppe, die den Opfern erheblichen Schaden zugefügt hat". Brisant ist das Ausmaß der gesicherten Daten. Mindestens 110 Terabyte konnten vor einem weiteren unbefugten Zugriff geschützt werden. Die Ermittler übernahmen außerdem fünf zentrale Server und beschlagnahmten Domains der Gruppe.
Die bekannte Leak-Seite von KillSec, auf der gestohlene Daten veröffentlicht oder angedroht wurden, steht nun unter Kontrolle der Behörden. KillSec soll seit etwa 2024 aktiv gewesen sein. Die Gruppe verschaffte sich laut Ermittlern über Sicherheitslücken und schlecht geschützte Zugänge Zugriff auf die IT-Systeme von Unternehmen und anderen Organisationen. Besonders Cloud-Speicher waren betroffen.
Anschließend kopierten die Täter sensible interne Daten und drohten damit, diese zu veröffentlichen, wenn kein Lösegeld bezahlt wurde. In einigen Fällen soll KillSec erhebliche Zahlungen erbeutet haben. Die Gruppe setzte dabei auch auf künstliche Intelligenz. Ermittler fanden Hinweise darauf, dass KI beim Aufbau und Betrieb der Infrastruktur sowie bei der Suche nach möglichen Opfern zum Einsatz kam.
Der mutmaßliche Hauptbetreiber ist nicht der einzige Verdächtige. Die Ermittler identifizierten auch einen mutmaßlichen Entwickler, einen möglichen Verhandler und einen sogenannten Affiliate. Letztere können bei solchen Modellen etwa Angriffe durchführen oder Opfer vermitteln. Der mutmaßliche Entwickler wurde im August 2026 18 Jahre alt und soll bei einigen der vorgeworfenen Taten noch minderjährig gewesen sein.
Die Ermittlungen begannen Anfang 2025. Beteiligt waren Behörden aus Belgien, Finnland, Deutschland, Griechenland, den Niederlanden, Rumänien, Spanien, der Schweiz, Großbritannien und den USA. Auch private Sicherheitsunternehmen unterstützten die Ermittler. Dazu zählte das Bitdefender DracoTeam, das nach eigenen Angaben mit Expertise, Ressourcen und Anleitungen zur Operation beitrug.
Die beschlagnahmten Geräte und Daten werden nun ausgewertet. Die Behörden wollen weitere Opfer, mögliche Angriffe und zusätzliche Beteiligte identifizieren. Zudem verfolgen sie mutmaßliche kriminelle Einnahmen, darunter auch Kryptowährungen.
