Qilin Ransomware: Japan liefert Russen an Deutschland aus

Ein 28-jähriger russischer Staatsbürger, den die Ermittler zum Kern der Qilin Ransomware zählen, ist am Freitag, 2. Oktober, von Japan nach Deutschland überstellt worden. Festgenommen wurde er bereits im Mai während einer Japanreise in Osaka. Für die Behörden in Nordrhein-Westfalen ist es nach eigenem Bekunden der bislang größte Erfolg gegen organisierte Cyberkriminalität – und ein juristisch ungewöhnlicher Vorgang.

Denn ein bilaterales Auslieferungsabkommen zwischen Japan und Deutschland existiert nicht. Wie das Digital Watch Observatory berichtet, erfolgte die Übergabe auf Grundlage des japanischen Auslieferungsgesetzes und nach einer Entscheidung des Tokyo High Court. Der Beschuldigte gilt bis zu einer Verurteilung als unschuldig; Angaben zu einer Anklage oder einem Prozessbeginn liegen nicht vor.

Qilin Ransomware: Wie der Zugriff zustande kam

Getragen wurde das Verfahren vom Landeskriminalamt NRW und der Zentral- und Ansprechstelle Cybercrime NRW (ZAC). Laut UNN firmierte die eingesetzte Sonderkommission unter dem Namen „Albus" und ermittelte seit Mitte 2024. Die Gruppe selbst sei über Monate hinweg heimlich infiltriert und beobachtet worden, berichtet das ZDF unter Berufung auf Innenminister Herbert Reul und Justizminister Benjamin Limbach.

Der Beschuldigte soll unter dem Pseudonym „Snake" zu einer Kerngruppe von acht Personen gehört haben. Seine Funktion beschreiben japanische Berichte als Aufbau der Systeme, über die Ransomware ausgeliefert wird; einen Teil des Lösegelds soll er erhalten haben. Ein vollständiger Name, den UNN unter Berufung auf die Bild-Zeitung mit „Vladimir K." angibt, ist behördlich nicht bestätigt – Pseudonym und zugeschriebene Rolle sollten sauber getrennt bleiben.

Die Festnahme datiert auf den Mai, die Übergabe an die deutschen Behörden auf den 2. Oktober. Beides bestätigt auch SecurityWeek.

Wie Qilin als Ransomware-as-a-Service arbeitet

Technisch gehört Qilin zu den Ransomware-as-a-Service-Anbietern (RaaS). Die Kerngruppe stellt Schadsoftware und Infrastruktur bereit, angeschlossene Tätergruppen führen die eigentlichen Angriffe aus und beteiligen die Betreiber an den Einnahmen. Nach Angaben von Check Point liegt der Anteil der RaaS-Gruppe bei 15 bis 20 Prozent der gezahlten Lösegelder. Die Erpressung läuft doppelt: Daten werden verschlüsselt und zusätzlich mit der Veröffentlichung gestohlener Kopien gedroht.

Die Namenshistorie reicht bis 2022 zurück: Zuerst als Agenda entdeckt, wurde die Gruppe bis September 2022 zu Qilin umbenannt. Zielsysteme sind überwiegend Windows, daneben existieren Linux-Varianten, die auf VMware ESXi zielen. Als Infektionsvektoren nennt Check Point Phishing, die Ausnutzung offengelegter Anwendungen wie Citrix und RDP, Infostealer sowie den Zugriff über kompromittierte VPN-Zugänge.

Genau hier liegt die strukturelle Schwäche der Branche: Das RaaS-Modell trennt Entwicklung von Ausführung und senkt damit die Einstiegshürde für Angreifer. Eine Festnahme trifft zuerst den Lieferanten von Schadcode und Infrastruktur – die angeschlossenen Partnerbanden bleiben davon zunächst unberührt.

Fast 4.000 Opfer: Die Lage für deutsche Unternehmen

Die Zahlen, die Reul nennt, sind erheblich. Seit 2024 soll Qilin weltweit fast 4.000 Unternehmen erpresst haben, davon rund 150 in Deutschland und etwa 30 in NRW. UNN beziffert die Opfer konkreter mit 3.954 weltweit. Die Lösegeldforderungen summierten sich nach LKA-Erkenntnissen auf fast drei Milliarden US-Dollar; mehr als 140 Millionen Dollar seien tatsächlich geflossen. UNN nennt 2,88 Milliarden Dollar Forderungssumme.

Ausgangspunkt der Ermittlungen war ein Angriff im September 2024 auf ein Unternehmen aus NRW. Daten wurden gestohlen und verschlüsselt, es gab eine Veröffentlichungsdrohung. Die erpresste Summe lag bei rund 165.000 US-Dollar in Kryptowährung, nach ZDF-Angaben in Bitcoin; dig.watch nennt ein Logistikunternehmen als Opfer. Zu den weiteren bekannten Zielen zählen ein Cyberangriff auf die Partei Die Linke im März 2026 sowie der Angriff auf den japanischen Asahi-Konzern im Jahr 2025.

Was der Fall für die Strafverfolgung bedeutet

Reul bezeichnet die Festnahme als „größten Erfolg deutscher Ermittler im Kampf gegen Cyberkriminalität". Nach Darstellung der Behörden ist es der erste Fall, in dem ein russischer Hacker außerhalb Russlands gefasst wurde. Die internationale Suche nach weiteren mutmaßlichen Mitgliedern des Qilin-Kerns läuft; weitere Ermittlungsdetails wurden nicht bekannt gegeben.

Für betroffene Unternehmen ändert der Zugriff nichts an der operativen Lage. Qilin operiert als RaaS-Anbieter weiter, und die Gruppe bleibt aktiv. Wer die von Check Point beschriebenen Eintrittspunkte im Blick behält – Phishing, exponierte Dienste wie Citrix und RDP, schwache VPN-Zugänge – reduziert das Risiko eines erfolgreichen Angriffs. Entscheidend ist zusätzlich eine Backup-Strategie, die auch dann trägt, wenn Daten bereits abgeflossen sind: Gegen die Veröffentlichungsdrohung hilft kein Restore.

Quellen