Russland startet mit schwerem Hackerangriff das russische Mobilfunknetz lahm. Das Motiv wirft Fragen auf
Tagelang kämpft der größte Telekomanbieter gegen einen Ausfall von Telefonie und Internet. Dieser geht wohl auf einen Angriff des russischen Militärgeheimdienstes zurück.
In den letzten Tagen waren die Mobilfunkverbindungen mehrerer Millionen Abonnenten in der Ukraine wegen eines Cyberangriffs gestört.
Hennadii Minchenko / Imago
Ein offensichtlich aus Russland gesteuerter Hackerangriff auf den größten Mobilfunkanbieter der Ukraine hat die Bevölkerung in den letzten drei Tagen vor große Probleme gestellt. Die meisten der 24 Millionen Kunden von Kyivstar konnten laut Angaben des Unternehmens erst am Freitagmorgen wieder über ihre Handys unterwegs auf das Internet zugreifen.
Das Land ist stark digitalisiert, die meisten Dienstleistungen funktionieren über das Handy. Probleme gab es etwa mit der Verbindung zu Banken und Postdiensten. Auch das System, das die Bevölkerung vor russischen Luftangriffen warnt, war betroffen: Laut einem Uno-Bericht gab es Ausfälle in achtzig Ortschaften. Ohne Datenverbindung funktioniert auch die Warn-App auf den Mobiltelefonen nicht, die über das Kyivstar-Netz laufen.
Der stellvertretende Leiter des ukrainischen Militärgeheimdienstes Andri Jusow sprach von einer „Wiederholung und Weiterführung der terroristischen Praktiken gegen zivile Infrastruktur“ durch Russland. Die Armee sei weniger stark betroffen, weil sie an der Front über andere Kommunikationskanäle verfüge. Dort setzen die Streitkräfte stark auf das Satellitensystem Starlink. Allerdings ist auch klar, dass die Soldaten für ihre Kommunikation untereinander und mit ihren Angehörigen zivile Netze verwenden.
Militärgeheimdienst greift immer wieder Infrastruktur an
An einer russischen Urheberschaft des Cyberangriffs besteht kein Zweifel. Die ukrainische Cybersicherheitsbehörde SSSCIP verweist auf ein Bekennerschreiben, das die Gruppe Solnzepjok auf Telegram veröffentlicht hat. Dort sind auch Bildschirmaufnahmen zu sehen, die das Eindringen in die IT-Systeme von Kyivstar belegen sollen. Ihre Echtheit lässt sich von außen nicht überprüfen.
Bei Solnzepjok handelt es sich laut staatlichen Behörden um eine Tarnorganisation des russischen Militärgeheimdienstes GRU mit Verbindungen zur Cybereinheit Sandworm. Die IT-Sicherheitsfirma Mandiant schreibt auf Anfrage, die Gruppe Solnzepjok sei wahrscheinlich vom GRU erfunden worden, um Operationen in der Öffentlichkeit zu verschleiern. Microsoft geht zumindest von einer Zusammenarbeit von Solnzepjok und Sandworm aus.
Dass die Gruppe Sandworm hinter dem Angriff steht, erscheint höchst plausibel. Diese Einheit des GRU ist berüchtigt für ihre Angriffe auf zivile Infrastruktur, insbesondere die Stromversorgung. Die meisten derartigen Cyberangriffe in der Ukraine gehen auf das Konto von Sandworm.
Bei der Attacke auf das IT-System von Kyivstar dürfte es sich um den schwerwiegendsten Cyberangriff auf eine zivile Infrastruktur seit dem 24. Februar 2022 handeln. In den ersten Wochen nach der russischen Invasion hatte eine Cyberattacke etwa die Kommunikation über das Satellitensystem Viasat gestört. Versuche, die Stromversorgung zu unterbrechen, konnten die Ukrainer abwehren.
Hackerangriffe ohne direktes militärisches Ziel
Bemerkenswert ist ein Cyberangriff auf das ukrainische Stromnetz im Herbst 2022, der erst kürzlich veröffentlicht wurde und ebenfalls Sandworm zugeschrieben wird. Dabei gelang es den Angreifern, in mehreren Unterwerken den Strom auszuschalten. Wie viele Personen betroffen waren, ist nicht bekannt. Jene Attacke ereignete sich gleichzeitig mit intensiven russischen Raketenangriffen auf die Energieversorgung. Das Ziel Russlands war, die Bevölkerung in den russischen Städten zu zermürben. Ein direktes militärisches Ziel hatte die Aktionen nicht.
Die Attacke auf Kyivstar weist hier eine Parallele auf. Ein direkter militärischer Nutzen ist nicht erkennbar. Hingegen ist augenfällig, dass sie mit einer Intensivierung von Angriffen mit Raketen, Marschflugkörpern und Drohnen auf die großen ukrainischen Städte zusammenfällt. Diese Woche kam jede Nacht zu kleineren und größeren Angriffen. Die gleichzeitige Lahmlegung des mobilen Internets erhöht die Sicherheit in der Bevölkerung.
Die Probleme bei den Luftangriff-Warnsystemen deuten darauf hin, dass diese teilweise digital über Server von Kyivstar laufen. In den letzten Tagen kam es außerdem zu seltsamen Verzögerungen: Die Sirenen in Kiew gingen jeweils erst los, nachdem die Verteidigungssysteme ihre Ziele bereits abgeschossen hatten. Ob es einen Zusammenhang mit der Präsenz von Hackern in den Systemen gibt, bleibt allerdings spekulativ.
Haben die Hacker das System zuvor ausgespioniert?
Die IT-Systeme von Kyivstar galten als gut gesichert. Der ukrainische Cybersicherheits-Experte Olexi Baranowski geht deshalb von einer Vorbereitungszeit von mehreren Monaten aus. Kyivstar habe durch die Attacke zweifellos Verluste erlitten, aber das Verhältnis von Aufwand und Ertrag stimmte für die Angreifer, so dass sie denn mit dem GRU verbunden waren, kaum. «Hat der Angriff einen Einfluss auf die Verteidigungsfähigkeit der Ukrainer? Nein», meint Baranowski dezidiert.
Auch ein früherer stellvertretender Direktor der SSSCIP, Wiktor Schora, fragt auf X, warum die Russen die Infrastruktur beschädigen, anstatt die Daten von Kyivstar langfristig auszuspionieren. Allerdings ist gar nicht sicher, dass es beim Angriff doch nicht in erster Linie doch um Spionage geht.
Denkbar ist, dass sich die Angreifer bereits seit längerem in den IT-Systemen von Kyivstar aufgehalten und dabei Informationen abgegriffen haben. Erst als sie aufgrund technischer Hinweise davon ausgehen musste, entdeckt worden sein, aktivierten sie dann möglicherweise eine Schadsoftware.
Ob ein solches Szenario plausibel ist, wird erst die technische Untersuchung des Vorfalls zeigen. Zumindest ist bekannt, dass die Gruppe Sandworm laut dem ukrainischen Geheimdienst SBU seit Frühjahr 2023 immer wieder Versuche unternommen hat, militärische Kommunikationsinfrastruktur und die Positionen von Armee-Einheiten auszuspionieren.
