Pro-ukrainische Bearlyfy setzt eigene GenieLocker-Ransomware gegen Russland ein, LeakBase-Admin festgenommen, EU-Parlament kippt CSAM-Scanning

Die pro-ukrainische Hackergruppe Bearlyfy entwickelt sich von Script-Kiddie-Anfängen zum Einsatz eigener GenieLocker-Ransomware gegen große russische Unternehmen. Russland nimmt den mutmaßlichen Administrator des LeakBase-Cybercrime-Forums fest — Wochen nach einem globalen Takedown. Das Europäische Parlament stimmt in einer wegweisenden Datenschutzentscheidung gegen die Verlängerung des CSAM-Scannings. Das niederländische Finanzministerium untersucht unautorisierten Zugriff auf interne Systeme. Spaniens Hafen von Vigo muss nach einem Ransomware-Angriff auf die Frachtsysteme auf Handbetrieb umstellen.

1. Bearlyfy setzt eigene GenieLocker-Ransomware ein — über 70 Angriffe auf russische Unternehmen

Eine pro-ukrainische Hackergruppe namens Bearlyfy hat sich von einer wenig versierten Operation gegen kleine russische Unternehmen zu dem gewandelt, was die russische Sicherheitsfirma F6 „einen echten Albtraum für große russische Unternehmen“ nennt. Erstmals im Januar 2025 aufgetreten, hat die Gruppe in etwas mehr als einem Jahr mehr als 70 Cyberangriffe gegen russische Ziele ausgeführt.

Entwicklung eigener Malware

Seit Anfang März 2026 setzt Bearlyfy GenieLocker ein — einen selbst entwickelten Windows-Ransomware-Strang, der vermutlich vollständig von der Gruppe selbst stammt. Das markiert eine deutliche Evolution weg von der früheren Nutzung geleakter Werkzeuge wie LockBit 3 Black (aus dem LockBit-Builder-Leak von 2022) und modifizierter Babuk-Ransomware für Linux-Ziele.

Anders als typische Ransomware-Operationen generiert GenieLocker nicht immer automatisch Erpresserschreiben. Die Angreifer verfassen die Nachrichten teils manuell — von knappen Anweisungen mit Kontaktdaten bis zu spöttischen Provokationen gegen die Opfer.

Operatives Profil

• Über 70 Angriffe in rund 14 Monaten Aktivität
• Lösegeldforderungen stiegen von einigen Tausend Dollar auf Hunderttausende
• Etwa 1 von 5 Opfern zahlt das Lösegeld
• Ziele sind sowohl finanziell als auch politisch — maximaler Schaden für russische Unternehmen
• Zusammenarbeit mit Head Mare und anderen pro-ukrainischen Gruppen beobachtet
• Westliche Forscher haben mangels Zugang zu russischen Netzen nur begrenzte Sicht

Strategischer Kontext

Bearlyfy steht für einen wachsenden Trend politisch motivierter Ransomware-Operationen aus dem Russland-Ukraine-Konflikt. Die rasche Entwicklung der Gruppe — vom amateurhaften Script-Kiddie-Betrieb zur eigenen Malware-Entwicklung in nur einem Jahr — zeigt, wie Kriegsbedingungen die Reifung von Bedrohungsakteuren beschleunigen.

2. Russland nimmt mutmaßlichen Administrator des LeakBase-Cybercrime-Forums fest

Russlands Innenministerium meldete die Festnahme eines Bewohners von Taganrog, der im Verdacht steht, LeakBase betrieben zu haben — einen der größten Online-Marktplätze für gestohlene personenbezogene Daten. Das Forum hostete Hunderte Millionen kompromittierter Nutzerdatensätze, darunter Bankinformationen, Zugangsdaten und Unternehmensdokumente.

Zeitlinie und Koordination

Die Festnahme folgt auf eine koordinierte internationale Operation Anfang dieses Monats, in der das FBI und europäische Partner mehr als 100 Strafverfolgungsmaßnahmen gegen 45 Personen in mehr als einem Dutzend Ländern durchführten. Mehrere LeakBase-Domains wurden beschlagnahmt und auf FBI-kontrollierte Server umgeleitet.

Zentrale Details

• Über 147.000 registrierte Nutzer auf der abo-basierten Plattform
• Aktiv seit 2021 als Marktplatz für kompromittierte Zugangsdaten und PII
• Premium-Zugang kostete Hunderte Dollar
• Interne Regeln verboten den Verkauf russischer Daten — obwohl von einem russischen Admin gehostet
• Infrastruktur beim früheren Takedown in den Niederlanden und Malaysia beschlagnahmt
• Die Polizei beschlagnahmte Computerausrüstung aus Wohnung und Garage des Verdächtigen

Bedeutung

Die Festnahme ist bemerkenswert, weil Russland selten mit westlichen Cybercrime-Ermittlungen kooperiert — Europol setzte die Zusammenarbeit nach der Invasion der Ukraine 2022 aus. Ob die russischen Behörden mit westlicher Strafverfolgung koordinierten oder eigenständig handelten, bleibt unklar. Die Regel des Forums gegen den Verkauf russischer Daten legt nahe, dass der Admin geglaubt haben könnte, dies biete inländischen Schutz — eine Rechnung, die nicht aufging.

3. EU-Parlament lehnt Verlängerung des CSAM-Scannings ab — wegweisende Datenschutzentscheidung

Das Europäische Parlament stimmte mit 311 Stimmen dagegen, Regeln zu verlängern, die es Technologieunternehmen seit fast zwei Jahrzehnten erlaubten, ihre Plattformen auf Material über sexuellen Kindesmissbrauch (CSAM) zu scannen. Das aktuelle Gesetz, das Plattformen von strengen EU-Datenschutzregeln ausnimmt, um das Scanning zu ermöglichen, läuft nächste Woche aus.

Datenschutz vs. Kinderschutz

Die Abstimmung erfolgte trotz intensiven Lobbyings von Strafverfolgung (Europol), Kinderrechtsorganisationen, dem deutschen Bundeskanzler Friedrich Merz, mehreren EU-Kommissaren und großen Technologieunternehmen wie Google, Snapchat, Microsoft, TikTok und Meta.

Ella Jakubowska von der Digitalrechtsgruppe eDRI verteidigte die Abstimmung: „Das ermöglicht großen Tech-Unternehmen faktisch, all unsere privaten Nachrichten zu scannen, unsere intimsten Details. Es richtet sich nicht gezielt gegen Personen, die des Kindesmissbrauchs verdächtigt werden — es zielt einfach auf alle, potenziell die ganze Zeit.“

Operative Auswirkung

• Europol verarbeitete letztes Jahr ~1,1 Millionen CyberTips aus dem CSAM-Scanning
• Europols Catherine De Bolle warnte vor einer „erheblichen Reduzierung“ der Ermittlungsansätze
• Technologieunternehmen verlieren die Rechtssicherheit für freiwillige CSAM-Erkennung in EU-Diensten
• Jakubowska verwies auf Fälle falscher Beschuldigung durch fehleranfällige Scanning-Tools
• Das Parlament verhandelt seit November 2023 ohne Einigung über einen dauerhaften Rahmen

Wie es weitergeht

Wenn die aktuellen Regeln nächsten Freitag auslaufen, haben Tech-Plattformen keine rechtliche Grundlage mehr, um innerhalb der EU zwischenmenschliche Kommunikation auf CSAM zu scannen. Das schafft eine erhebliche Lücke im Kinderschutz, während das Parlament weiter über einen dauerhaften Rahmen verhandelt, der Datenschutz und Sicherheit ausbalanciert.

4. Niederländisches Finanzministerium untersucht Einbruch in interne Systeme

Das niederländische Finanzministerium untersucht einen Cyberangriff, der interne Systeme kompromittierte und nach einem Hinweis eines Dritten auf verdächtige Aktivität entdeckt wurde. Betroffene Systeme wurden identifiziert und offline genommen, doch der Umfang möglicher Datenpreisgabe wird noch untersucht.

Kontext: niederländische Cyber-Belagerung

Der Einbruch ist der jüngste in einem besorgniserregenden Muster gegen niederländische Institutionen 2026:

• Niederländisches Finanzministerium — unautorisierter Zugriff auf interne Abteilungssysteme (dieser Vorfall)
• Niederländische Justizvollzugsbehörde — Daten von Gefängnis-/Haftpersonal im Februar offengelegt
• Odido-Telekom-Datenleck — 6,2 Millionen Kundendatensätze gestohlen, darunter Namen, Bankkonten, Pass- und Führerscheinnummern
• Einbruch bei der niederländischen Polizei — Beamtendaten kompromittiert (in früherem Briefing behandelt)

Reaktionsstatus

• Kompromittierte Systeme isoliert und Zugriff blockiert
• Steuer- und Zolldienste bleiben betriebsbereit
• Bürgerdienste nicht betroffen
• Noch keine Attribution oder Bekennerschreiben
• Untersuchung zu Einstiegsvektor und Datenpreisgabe läuft

5. Ransomware zwingt Spaniens Hafen von Vigo zum Handbetrieb

Ein früh am Dienstag entdeckter Ransomware-Angriff hat die digitalen Systeme im spanischen Hafen von Vigo gestört — einem der großen Fischerei- und Frachthäfen Europas in der Region Galicien. Der Angriff zielte auf Server, die den Frachtverkehr und digitale Dienste steuern, sperrte Ausrüstung und forderte eine Lösegeldzahlung.

Operative Auswirkung

Während der physische Betrieb — Schiffsbewegungen und Frachtabfertigung — weiterläuft, ist die gesamte normalerweise über digitale Plattformen gesteuerte Logistikkoordination gestört. Die Betreiber wurden angewiesen, auf manuelle Verfahren und Papierdokumentation zurückzugreifen.

Hafenpräsident Carlos Botana bezog klar Stellung: „Wir stellen die Verbindungen nicht wieder her, bis es absolute Garantien gibt, dass kein weiterer Angriff möglich ist.“ Ein Zeitplan für die Wiederherstellung wurde nicht genannt.

Maritimer Sektor unter Belagerung

Der Angriff setzt ein Muster von Ransomware gegen maritime kritische Infrastruktur fort:

• Hafen von Nagoya, Japan (2023) — LockBit-Angriff legte den Betrieb lahm
• Häfen in Belgien, den Niederlanden, Deutschland — bei Angriffen im Öl-/Chemiesektor getroffen
• Hafen von Lissabon, Portugal — LockBit reklamierte die Verantwortung
• Hafen von Houston, USA — staatlich unterstützter Angriff über Zoho-Zero-Day
• Mehrere Schifffahrtstechnologie-Unternehmen in den letzten Jahren gestört

Verteidigungshinweise für maritime Organisationen

• Offline-Backups und manuelle Fallback-Verfahren für das Frachtmanagement sicherstellen
• OT-/IT-Netze an Hafenanlagen segmentieren
• Robustes Monitoring an den Netzwerkperimetern einführen
• Incident-Response-Pläne mit Offline-Kommunikationskanälen vorhalten

Zusammenfassung der Bedrohungslage