Europäische Polizei zerschlägt KillSec-Ransomware-Gruppe unter Führung eines 16-Jährigen in Spanien

Operation KillSwitch und Festnahmen

Strafverfolgungsbehörden in ganz Europa haben das KillSec-Cybercrime-Syndikat in einer koordinierten Aktion namens Operation KillSwitch zerschlagen. Unter der Leitung deutscher Behörden mit Unterstützung von Europol und Eurojust richtete sich die Operation gegen ein Netzwerk, das mit rund 1.000 Ransomware-Angriffen innerhalb von zwei Jahren in Verbindung gebracht wird, von denen etwa 500 erfolgreich waren. Die Beamten führten acht Durchsuchungen in Spanien, Griechenland, Rumänien und dem Vereinigten Königreich durch, die zu mehreren Festnahmen führten. Die Ermittler bestätigten, dass die Gruppe Software-Schwachstellen und Fehler in Cloud-Speichern ausnutzte, um vertrauliche Daten zu stehlen, und drohte, diese im Darknet zu veröffentlichen, wenn die Opfer kein Lösegeld in Kryptowährung zahlten.

Der jugendliche Rädelsführer in Alicante

In Spanien verhafteten die Guardia Civil und die katalanische Polizei (Mossos d'Esquadra) einen 16-jährigen rumänischen Staatsangehörigen in der Ortschaft La Romana, einer Gemeinde mit 2.700 Einwohnern in der Provinz Alicante. Die Ermittler identifizierten den Jugendlichen als den Hauptadministrator und Betreiber von KillSec, der die Leak-Site des Syndikats im Darknet von dem Haus aus verwaltete, das er mit seiner Mutter teilte. Der Verdächtige ging nicht zur Schule, war völlig autodidaktisch und begann im Alter von 12 Jahren mit Cyberkriminalität. Seine Mutter wurde ebenfalls wegen mutmaßlicher Beteiligung an seinen illegalen Aktivitäten angeklagt. Bei Durchsuchungen in seinem Haus und einem Hotelbüro vor Ort beschlagnahmte die Polizei Computer, Mobiltelefone, Kryptowährungs-Wallets und Verschlüsselungswerkzeuge.

„Er war der Hauptadministrator der Website, die sie im Darknet betrieben. Ein Entwickler, der die IT-Infrastruktur kontrollierte. Neben ihren eigenen Angriffen vermieteten sie die Plattform auch an Dritte.“

Ermittlungsansätze und technische Infrastruktur

Die Ermittlungen kamen nach einem Angriff auf die katalanische öffentliche Infrastrukturbehörde Infraestructuras de la Generalitat voran, bei dem KillSec ein Lösegeld von 15 Millionen Dollar (13,3 Millionen Euro) in Kryptowährung forderte. Ein technischer Fehler bei diesem Angriff legte eine IP-Adresse offen, die direkt zur Wohnadresse des Jugendlichen in Alicante führte. Parallel zur IP-Spur glich die Zentrale Operative Einheit der Guardia Civil den Verdächtigen mit einem Bild eines knallbunten Motorrads auf WhatsApp ab, das mit einer spanischen Telefonnummer in Verbindung stand. Dieser Fotobeweis wurde vom Federal Bureau of Investigation geliefert, das das Netzwerk nach Angriffen in Puerto Rico verfolgt hatte. Die Ermittler stellten außerdem fest, dass KillSec künstliche Intelligenz einsetzte, um Ransomware-Infrastruktur aufzubauen und zu warten und Opferziele auszuwählen.

Internationale Verdächtige und Datensicherstellung

Über die spanischen Festnahmen hinaus beschlagnahmten internationale Behörden das Leak-Portal von KillSec und sicherten mindestens 110 Terabyte gestohlener Daten. Im Vereinigten Königreich verhaftete die Polizei den niederländischen Staatsangehörigen Fouad E., online bekannt als Archduke, der von einer Bundes-Grand-Jury in Puerto Rico wegen eines Angriffs im März 2025 mit 180 Gigabyte geleakter Unternehmensdateien angeklagt wurde. Die US-Behörden streben derzeit seine Auslieferung an. Die grenzüberschreitende Razzia identifizierte zudem einen 18-jährigen Entwickler, der im August 2026 18 Jahre alt wurde, sowie zwei in ihren Zwanzigern stehende Verdächtige, die im Vereinigten Königreich und in Rumänien festgenommen wurden. Die Polizei analysiert weiterhin die beschlagnahmten Geräte, um Finanzströme nachzuvollziehen und weitere Opferorganisationen zu identifizieren.

Untersuchte Angriffe1.000

Erfolgreiche Angriffe500

Durchsuchungen8

Untersuchte Angriffe

1000 Anzahl

Erfolgreiche Angriffe

500 Anzahl

Durchsuchungen

8 Anzahl

Daten aus dem Artikeltext