KillSec zerschlagen: Teenager soll Ransomware-Gruppe geführt haben, nachdem Polizei Leak-Site und Server beschlagnahmt hat
Am 30. September 2026 führten die Strafverfolgungsbehörden von vier europäischen Ländern einen koordinierten Aktionstag gegen die KillSec-Ransomware- und Erpressungsgruppe durch. Koordiniert wurde die Operation von Europol und Eurojust; in der Berichterstattung ist von Operation KillSwitch die Rede. Am Ende des Tages waren fünf Server beschlagnahmt, die Leak-Site der Gruppe und ihre Domains übernommen und drei Verdächtige festgenommen worden, und es gab acht Hausdurchsuchungen in Griechenland, Rumänien, Spanien und dem Vereinigten Königreich.
Ein Teenager im Mittelpunkt
Nach Angaben von Europol ist der mutmaßliche Administrator und führende Kopf von KillSec ein 16-jähriger Rumäne. Der Verdächtige wurde im Rahmen des Aktionstags zusammen mit zwei weiteren Personen festgenommen. Man sollte klar sagen, was das bedeutet: Diese Person ist ein Verdächtiger, dem vorgeworfen wird, die Operationen der Gruppe geführt zu haben. Es gibt keine Verurteilung, und die Ermittlungen laufen. Dennoch hat das Alter des mutmaßlichen Administrators Aufmerksamkeit erregt, weil es nicht zum Bild von Ransomware-Banden als disziplinierten kriminellen Unternehmen passt. Was die Operation ausgeschaltet hat
- Fünf Server während des Aktionstags beschlagnahmt
- Die Leak-Site von KillSec und ihre Domains von den Behörden übernommen
- Drei Festnahmen in den beteiligten Ländern
- Acht Hausdurchsuchungen in Griechenland, Rumänien, Spanien und dem Vereinigten Königreich
Ransomware as a Service senkte die Hürde
Die Berichterstattung über den Fall, unter anderem bei The Record, konzentrierte sich auf den Ransomware-as-a-Service-Aspekt (RaaS), und der Fall zeigt gut, was dieses Modell bedeutet. In einem RaaS-Modell halten die Personen hinter der Marke die Leak-Site, die Verhandlungsinfrastruktur und die Verschlüsselungstools am Laufen, während Affiliates die Intrusionen durchführen und die Erlöse teilen. Die Kerngruppe muss kein Team erfahrener Entwickler sein; sie muss einen Dienst betreiben. Die Eintrittshürden sind niedrig, die Tools werden geteilt, und Ansehen in kriminellen Foren ersetzt den Lebenslauf. Genau diese Struktur macht einen jugendlichen Administrator plausibel: Die Marke erledigt einen Großteil der Arbeit, und Koordination erfordert, so schwerwiegend die Folgen sind, keine jahrzehntelange Erfahrung. „Teenager soll KillSec-Ransomware-Gruppe geführt haben: Behörden beschlagnahmen Server und Leak-Site.“ Der Titel der Europol-Pressemitteilung fasst den Fall in einer Zeile zusammen.
Doppelte Erpressung, kurz erklärt
KillSec zählt zu den Gruppen, die doppelte Erpressung einsetzen. Der Mechanismus ist einfach. Zuerst verschlüsseln die Angreifer die Systeme des Opfers und legen den Betrieb lahm. Zweitens kopieren sie vor dem Start der Verschlüsselung sensible Daten. Das Opfer sieht sich dann zwei Bedrohungen gleichzeitig ausgesetzt: Die Wiederherstellung aus Backups gelingt, und die gestohlenen Daten werden dennoch veröffentlicht. Für Organisationen mit funktionierenden Backups ist die Verschlüsselung selbst zu überstehen; die Veröffentlichungsdrohung hält den Druck aufrecht, und deshalb sind Leak-Sites zum Kernstück des Modells geworden. Dort erscheinen die Namen der Opfer, manchmal mit Datenproben und Countdowns, als öffentlicher Druck zu zahlen. Europol bringt KillSec mit rund 1.000 Angriffen weltweit und einem geschätzten Schaden von etwa 4 Millionen Euro in Verbindung. Beide Zahlen stammen von der Behörde und sind als Schätzungen zu lesen; Schäden in Erpressungsfällen lassen sich schwer beziffern, da die meisten Opfer nie preisgeben, ob sie gezahlt haben. Was eine Beschlagnahmung der Leak-Site nimmt – und was nicht
Eine Leak-Site zu übernehmen nimmt mehr als eine Website. Die Seite ist das öffentliche Gesicht der Gruppe: Dort werden Opfer genannt, dort wird der Beweis gestohlener Daten präsentiert, und dort werben Affiliates mit abgeschlossenen Aufträgen, um künftige Kunden zu gewinnen. Die Beschlagnahmung der Domains und der Server dahinter kappt diesen Kanal sofort. In der Praxis nimmt eine solche Beschlagnahmung der Gruppe die Fähigkeit, zu beweisen, dass sie überhaupt jemanden angreifen kann: Ohne funktionierende Leak-Site kann ein Affiliate einem Opfer nicht zeigen, dass Daten wirklich gestohlen wurden, und anderen Kriminellen nicht zeigen, dass die Marke aktiv ist. Vor der Beschlagnahmung gelistete Opfer sind keiner aktiven Veröffentlichungsdrohung dieser Marke mehr ausgesetzt, und neue Opfer können nicht gelistet werden. Die Fähigkeit selbst nimmt sie jedoch nicht weg. Verschlüsselungstools lassen sich neu bauen, gestohlene Daten können auf anderen Servern liegen, und Affiliates können zu einer anderen Marke wechseln oder ein Rebranding abwarten. Das war nach vergleichbaren Beschlagnahmungen das Muster: Die Personen zerstreuen sich, der Name stirbt, und etwas Ähnliches erscheint unter neuem Label. Für einen genaueren Blick darauf, wie diese Sites als Infrastruktur funktionieren, siehe unseren Explainer zu Ransomware-Leak-Sites im Tor-Netzwerk. Die Ermittlungen laufen weiter
Europol und Eurojust unterstützten die nationalen Behörden mit Koordination und operativer Analyse. Die Ermittlungen laufen weiter, und es ist noch nicht bekannt, ob weitere Festnahmen folgen. Für die beteiligten Teams ist das praktische Ergebnis des Tages greifbar: Eine Marke, die über eine öffentliche Leak-Site operierte, hat ihre Server, ihre Domains und, jedenfalls vorerst, ihre Stimme verloren.
