Großangelegte Cyberangriffe auf Militärkommunikation in Rumänien und Griechenland aufgedeckt
Ein massiver Cyberangriff hat zwischen September 2024 und März 2026 mindestens 284 E-Mail-Konten von Militär- und Regierungsstellen kompromittiert, wobei die Hauptziele in der Ukraine lagen, aber auch NATO-Mitgliedstaaten wie Rumänien und Griechenland betroffen waren. Die Angriffe, die am 15. April 2026 publik wurden, richteten sich speziell gegen sensible Kommunikationskanäle von Streitkräften und wurden nach Analysen von Sicherheitsexperten mit russisch-verknüpften Hackergruppen in Verbindung gebracht.
Umfang und Ziele der kompromittierten Konten
Unter den gehackten Accounts befanden sich 67 E-Mail-Konten der rumänischen Luftwaffe, einschließlich mehrerer Konten auf NATO-Luftwaffenstützpunkten und mindestens eines Kontos eines hochrangigen Militärangehörigen. Parallel wurden 27 E-Mail-Konten des Generalstabs der Nationalen Verteidigung Griechenlands (Geniko Epiteleio Ethnikis Amynas) angegriffen. Die meisten der insgesamt 284 kompromittierten Postfächer gehörten ukrainischen Stellen, doch die systematische Infiltration von NATO-Militärkommunikation markiert eine deutliche Eskalation der Cyberaktivitäten.
Die Angriffe zielten darauf ab, Zugang zu internen militärischen Kommunikationen, sensiblen Verteidigungsinformationen und Daten über kritische Infrastruktur zu erhalten. Der Zugriff auf offizielle E-Mail-Konten öffnet potenziell Wege zu vertraulichen Informationen über Verteidigungsprozesse, operative Planungen und sensible Daten, die die Sicherheit der betroffenen Nationen direkt betreffen.
Zuordnung zu russisch-verknüpften Hackergruppen
Cybersicherheitsforscher von „Ctrl-Alt-Intel“ schreiben die Operation der bekannten russischen Hackergruppe „Fancy Bear“ zu, die Verbindungen zum militärischen Nachrichtendienst GRU des russischen Verteidigungsministeriums haben soll. Andere Analysten, die ebenfalls Verbindungen der Hacker nach Moskau sehen, äußern jedoch Zweifel an der direkten Beteiligung genau dieser Gruppe. Die Operation wurde aufgedeckt, nachdem die Angreifer einen kritischen Fehler begangen hatten: Sie ließen einen Server mit detaillierten Angriffsprotokollen offen zugänglich im Internet.
Die Entdeckung dieser umfangreichen Kampagne erfolgte zu einem Zeitpunkt, als das US-Justizministerium und das FBI Anfang April 2026 bekanntgaben, dass Cyberangreifer des 85. Hauptzentrums für Spezialdienste des GRU (bekannt als APT28, Fancy Bear oder Forest Blizzard) seit mindestens 2024 weltweit Authentifizierungsdaten sammelten und massiv Schwachstellen in Heim- und Büroroutern ausnutzten.
Breiterer Kontext globaler Cyberoperationen
Die kompromittierten Militär-E-Mail-Konten sind Teil einer langfristigen, systematischen Kampagne, die verschiedene Länder über Jahre hinweg ins Visier nimmt. Die Angreifer manipulierten die Einstellungen kompromittierter Router, leiteten Datenverkehr über ihre eigenen Server um und fingen so Passwörter, Authentifizierungstokens und E-Mail-Inhalte ab. Die USA führten bereits Operationen zur Neutralisierung von Teilen dieses Netzwerks im amerikanischen Segment durch und riefen gemeinsam mit internationalen Partnern Router-Besitzer weltweit dazu auf, Firmware zu aktualisieren, Passwörter zu ändern und veraltete Geräte auszutauschen.
Die anhaltende Natur dieser Cyberoperationen deutet auf langfristige Planung und erhebliche Ressourcen hin, die in solche Angriffe investiert werden. Die Aktivitäten hackergruppen, die mit russischen Militärgeheimdiensten verbunden sind, demonstrieren, dass der Cyberspace zu einem vollwertigen Operationsgebiet geworden ist, in dem staatliche Akteure aggressive Maßnahmen unter Leugnung direkter Verantwortung durchführen können.
Sicherheitsimplikationen für NATO und europäische Verteidigung
Der Diebstahl dienstlicher Daten von der rumänischen Luftwaffe, dem griechischen Verteidigungsgeneralstab und NATO-Luftwaffenstützpunkten schafft direkte Risiken für die Verteidigungsfähigkeiten europäischer Staaten. Mögliche Informationslecks könnten genutzt werden, um das Vertrauen zwischen Verbündeten zu untergraben – ein Schlüsselelement hybrider Kriegsführung. Die Angriffe folgen der Logik hybrider Kriegsführung, die Cyberangriffe, Desinformation und politischen Druck kombiniert, um die organisatorische Widerstandsfähigkeit von NATO-Verbündeten zu schwächen und das Vertrauen in das System kollektiver Sicherheit zu unterminieren.
Die systematischen Versuche, Zugang zu internen Kommunikationen militärischer und staatlicher Strukturen zu erhalten, verdeutlichen das strategische Ziel, sensible Informationen über Verteidigungsprozesse und kritische Infrastruktur zu sammeln. Für europäische Staaten ergibt sich daraus die Notwendigkeit, Cybersicherheit auf allen Ebenen zu verstärken, insbesondere durch die Implementierung multifaktorieller Authentifizierung und regelmäßige Software-Updates.
Effektive Gegenmaßnahmen gegen die Bedrohung durch kompromittierte E-Mail-Konten erfordern vertiefte internationale Zusammenarbeit. Der Austausch von Geheimdienstinformationen, gemeinsame Operationen zur Neutralisierung von Cybernetzwerken und koordinierte Sicherheitsmaßnahmen innerhalb der EU und NATO sind entscheidend, um dieser Form staatlich geförderter Cyberaktivitäten wirksam zu begegnen. Die Aufdeckung dieser weitreichenden Kampagne unterstreicht die anhaltenden Herausforderungen, die sich aus der Nutzung des Cyberspace als Werkzeug geopolitscher Auseinandersetzungen ergeben.
