Geopolitische Bedrohungen
Cyberbedrohungen mit Russland-Bezug: die Risiken für Belgien verstehen
Hinter dem Ausdruck „russische Cyberbedrohung“ verbergen sich Hacktivisten, Kriminelle und Spionageoperationen. Sie zu unterscheiden hilft, eine verhältnismäßige Reaktion vorzubereiten.
Jeremy Kraft · 6 Min. Lesezeit
In diesem Artikel
Eine öffentliche Website, die eine Stunde lang nicht erreichbar ist, ein Mitarbeiter, der ein sehr glaubwürdiges gefälschtes Dokument erhält, ein unauffälliger Zugang, der monatelang im Netzwerk eines Lieferanten fortbesteht: Solche Vorfälle werden oft unter dem Etikett „russische Cyberbedrohung“ zusammengefasst. Der Begriff ist bequem, vermischt aber Akteure, Ziele und Schweregrade, die sich stark unterscheiden.
Um das Risiko in Belgien zu verstehen, muss man zuerst trennen zwischen dem, was Lärm machen will, und dem, was unbemerkt bleiben will.
Drei Realitäten hinter einem Ausdruck
Die erste Kategorie umfasst prorussische Hacktivisten-Kollektive. Sie bekennen sich zu DDoS-Angriffen, veröffentlichen Ziellisten und streben eine unmittelbare politische Wirkung an. Ihr Erfolg bemisst sich vor allem in Bildschirmfotos, Medienresonanz und dem Gefühl einer Störung.
Die zweite Kategorie ist kriminell. Diese Gruppen sind auf Geld aus: Ransomware, Erpressung, Diebstahl von Zugangsdaten, Zahlungsbetrug oder Weiterverkauf von Zugängen. Sie können aus dem russischsprachigen Raum heraus agieren, ohne im Alltag von einem staatlichen Dienst gesteuert zu werden. Ihre Interessen decken sich mitunter mit denen eines Staates, doch die Zuordnung bleibt heikel.
Die dritte Kategorie vereint Operationen, die mit Nachrichtendiensten oder staatlich unterstützten Gruppen verbunden sind. Sie zielen auf dauerhaften Zugang, Informationsbeschaffung und die Vorbereitung von Fähigkeiten, die später eingesetzt werden können. Sie sind weniger sichtbar als ein DDoS-Angriff und potenziell weit gravierender.
Diese Unterscheidung vermeidet zwei Fehler: alle Operationen zu verharmlosen, weil eine DDoS-Kampagne schnell abgefangen wurde, oder jede Störung als strategischen Angriff darzustellen.
Warum Belgien besonders exponiert ist
Belgien wird nicht nur wegen seiner eigenen Institutionen ins Visier genommen. Brüssel beherbergt die europäischen Institutionen, die NATO, diplomatische Vertretungen, Berufsverbände und zahlreiche Organisationen, die sich mit Energie, Verteidigung, Sanktionen oder der Unterstützung der Ukraine befassen.
Ein Angreifer kann sich daher für eine kleine belgische Organisation interessieren, nicht wegen dessen, was sie selbst besitzt, sondern weil sie einen Dienst erbringt, Geräte wartet oder Dokumente mit einer sensibleren Organisation teilt. Der IT-Dienstleister, die Beratungsfirma, der Branchenverband und der Logistik-Subunternehmer gehören zur selben Angriffsfläche.
Die 2025 beobachteten Kampagnen veranschaulichen diese Vielfalt. Das CCB verzeichnete fünf koordinierte Wellen prorussischer DDoS-Angriffe, oft abgestimmt auf das geopolitische Geschehen. Ihre Wirkung blieb dank der Vorbereitung der Organisationen, der Internetanbieter und des „Red Button“-Verfahrens in der Regel begrenzt. Gleichzeitig suchten staatlich unterstützte Akteure weiterhin langfristigen Zugang, indem sie bekannte Schwachstellen, gestohlene Zugangsdaten und exponierte Geräte ausnutzten.
DDoS: viel Sichtbarkeit, ein vor allem politisches Ziel
Ein DDoS-Angriff besteht darin, einen Dienst mit so viel Datenverkehr zu überfluten, dass er ihn nicht mehr verarbeiten kann. Für die Öffentlichkeit ist das Ergebnis einfach: Die Website oder App reagiert nicht mehr.
Diese Kampagnen werden oft angekündigt. Öffentlichkeit gehört zur Operation: Sie erlaubt es der Gruppe, einen Erfolg zu verkünden, selbst wenn die Unterbrechung kurz ist oder nur eine Nebenseite betrifft. Jede Bekennung unkritisch weiterzuverbreiten, kann die beabsichtigte Wirkung dann noch verstärken.
Das heißt nicht, dass man DDoS ignorieren sollte. Ein Portal, das im falschen Moment ausfällt, kann einen Behördengang, die Krisenkommunikation oder einen wesentlichen Dienst blockieren. Die richtige Antwort verbindet vorgelagerten technischen Schutz, einen bereitstehenden Ansprechpartner beim Hoster, eine Minimalversion des Dienstes und sachliche Kommunikation, die den Angreifer nicht mächtiger erscheinen lässt, als er ist.
Spionage beginnt oft mit einer banalen Schwachstelle
Die gefährlichsten Operationen nutzen nicht unbedingt eine unbekannte Technik. Sie profitieren häufig von einem nicht eingespielten Patch an einem VPN, einem Netzwerkgerät, einer Kollaborationsplattform oder einem E-Mail-Gateway. Sie können auch mit einem bereits kompromittierten Passwort beginnen.
Die Raffinesse liegt anderswo: in der geduldigen Wahl des Ziels, der Kenntnis der Organisation, der Unauffälligkeit nach dem Eindringen und der Fähigkeit, Vertrauensbeziehungen auszunutzen. Einmal drin, sucht der Angreifer nach Administratorkonten, Arbeitsdokumenten, Sicherungen und Verbindungen zu Partnern.
Werkzeuge der künstlichen Intelligenz beschleunigen Aufklärung und Social Engineering. Sie helfen, öffentliche Informationen zusammenzufassen, Nachrichten in der Sprache des Ziels zu verfassen oder ein Szenario anzupassen. Die Grundlagen haben sie nicht ersetzt: Eine bekannte Schwachstelle, ein schlecht geschütztes Konto und ein zu weit gefasster Lieferantenzugang bleiben die lohnendsten Türen.
Zuordnung ist keine Kommunikationsübung
Eine ausländische IP-Adresse, eine bereits mit einer Gruppe in Verbindung gebrachte Software oder ein Bekennerschreiben auf Telegram genügen nicht. Unbeteiligte Rechner dienen als Relais, Werkzeuge werden kopiert, und manche Akteure ahmen bewusst die Methoden anderer nach.
Eine öffentliche Zuordnung verbindet technische Spuren, nachrichtendienstliche Erkenntnisse, Chronologie, Infrastruktur und operativen Kontext. Sie kann Zeit brauchen. Eine betroffene Organisation muss jedoch nicht auf dieses Ergebnis warten, um zu handeln: Die betroffenen Systeme isolieren, Beweise sichern, Zugänge widerrufen und die zuständigen Behörden informieren bleibt notwendig, wer auch immer der Täter ist.
Eine Vorbereitung, die zur Größe der Organisation passt
Für eine kleine Organisation besteht die Priorität nicht darin, eine komplexe Threat-Intelligence-Plattform anzuschaffen. Man muss wissen, welche Dienste im Internet erreichbar sind, wer sie betreut und wann sie zuletzt gepatcht wurden. Konten für E-Mail, Administration und Fernzugriff müssen eine phishingresistente Authentifizierung nutzen.
Für eine größere Organisation kommen Segmentierung, die Überwachung ungewöhnlicher Zugriffe, die Verwaltung von Lieferantenkonten und eine erprobte Reaktionsfähigkeit hinzu. Protokolle müssen lange genug aufbewahrt werden: Ein unauffälliger Spion kann weit länger als ein paar Tage präsent bleiben.
In beiden Fällen sind drei Fragen nützlich:
1. Wenn unsere öffentliche Website ausfällt, welcher Mindestdienst bleibt verfügbar?
2. Wenn ein Lieferant kompromittiert ist, wie weit reicht sein Konto bei uns?
3. Wenn wir heute einen sechs Monate alten Zugang entdecken, haben wir dann noch die Protokolle, um ihn zu verstehen?
Kommunizieren, ohne der gegnerischen Operation zu dienen
Bei einem Angriff, zu dem sich jemand bekennt, muss die Kommunikation zwischen Nichtverfügbarkeit, Eindringen und Datenabfluss unterscheiden. Eine nicht erreichbare Website beweist nicht, dass das interne Netz kompromittiert ist. Umgekehrt garantiert ein normal funktionierender Dienst nicht, dass keine Spionage stattfindet.
Zu sagen, was bestätigt ist, was nicht und was die Nutzer tun müssen, schützt besser als alarmistische Formulierungen. Diese Disziplin verringert Desinformation und hilft den technischen Teams, ohne unnötigen Druck zu arbeiten.
Eine Antwort, die europäisch sein muss
Lieferketten, Hoster und Angreifergruppen überschreiten Grenzen. Der Austausch von Indikatoren, Übungen zwischen CSIRTs, gemeinsame Verfahren und der Schutz strategischer Lieferanten sind daher ebenso wichtig wie die Maßnahmen innerhalb einer einzelnen Organisation.
Die Stellung Brüssels verleiht Belgien eine besondere Verantwortung: nationale Signale mit den europäischen Mechanismen zu verknüpfen und europäische Erkenntnisse in konkrete Mittel für lokale Akteure umzusetzen.
Offizielle Quellen
Redaktionelle Angaben
- Verfasst von
- Jeremy Kraft
- Zuletzt geprüft
- Methode
- Öffentliche Quellen, redaktionelle Prüfung und verhältnismäßige Empfehlungen.
Diskussion
Kommentare
Noch kein Kommentar. Eröffnen Sie die Diskussion gern mit einer Frage oder Ihrem eigenen Erfahrungsbericht.