BKA: Weltgrößte Polizeioperation „Endgame“ gegen Cybercrime wird fortgesetzt
Die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) haben ihr Engagement in der weltgrößten Polizeioperation gegen Cybercrime fortgesetzt. In einer weiteren international abgestimmten Aktion wurden im Zeitraum 9. bis 11. November gemeinsam mit Strafverfolgungsbehörden aus den Niederlanden, Dänemark, Großbritannien, USA und Kanada sowie mit Unterstützung durch Europol, Eurojust und privater IT-Sicherheitsdienstleister erfolgreich drei Malware-Varianten unschädlich gemacht.
Im Rahmen der internationalen Maßnahmen wurden weltweit über 230 Server mit Maßnahmen belegt, davon mehr als 40 in Deutschland. Darüber hinaus wurden über 250 Domains der Command-and-Control-Infrastruktur außer Betrieb genommen und über 680 kompromittierte Webseiten bereinigt.
Im Zuge der Ermittlungen wurden außerdem rund 6,4 Millionen Zugangsdaten von über 40.000 Opfern sichergestellt. Betroffene haben nunmehr die Möglichkeit, mithilfe öffentlich zugänglichen Informationsplattformen herauszufinden, ob ihre persönlichen Daten kompromittiert wurden. Zusätzlich unterstützt das Bundesamt für Sicherheit in der Informationstechnik (BSI) bei der Benachrichtigung von Betroffenen in Deutschland.
Mit „Gootloader“ geriet dabei einer der einflussreichsten und gefährlichsten Dropper der vergangenen Jahre in den Fokus der Ermittlungen. Seit ihrem ersten Auftreten im Jahr 2020 hat die Schadsoftware nach bisherigen Erkenntnissen weltweit Millionen von Opfersystemen infiziert, Deutschland zählte dabei zu den am stärksten betroffenen Ländern.
Die weite Verbreitung von Gootloader war unter anderem auf SEO-Poisoning (Search Engine Optimization Poisoning) zurückzuführen. Bei dieser Angriffsmethode werden Suchmaschinen-Algorithmen manipuliert, um bösartige Webseiten möglichst weit oben in den Suchergebnissen erscheinen zu lassen. Viele Nutzer neigen dazu, den Top-Treffern von Suchmaschinen eine höhere Seriosität zuzuschreiben und wiegen sich in Sicherheit. Klicks auf solche manipulierten Suchergebnisse führten zu inkriminierten Webseiten, durch die dann der Schadcode von Gootloader verbreitet wurde.
Über diesen Schadcode konnte weitere Malware nachgeladen werden, insbesondere Ransomware, die für schwerwiegende Erpressungsangriffe eingesetzt wird.
Aufgrund des hohen Professionalisierungsgrades der Täter und einer komplexen, regelmäßig weiterentwickelten technischen Infrastruktur galt Gootloader innerhalb der Cybercrime-Szene über lange Zeit als operativ besonders schwer zu stören. Mit den nunmehr durchgeführten polizeilichen Maßnahmen wurde den Tätern die Grundlage für ihre kriminellen Aktivitäten entzogen.
Neben Gootloader richteten sich die internationalen Ermittlungen zudem auch gegen „Castle-RAT“, einen seit 2025 bekannten Remote-Access-Trojaner (RAT). Eine solche Schadsoftware ermöglicht den Angreifern, einen infizierten Computer aus der Ferne zu steuern und für ihre kriminelle Zwecke zu missbrauchen. CastleRAT hatte dabei eine moderne technische Architektur, ließ sich flexibel einsetzen und nutzte Mechanismen, die seine Erkennung erschweren sollten. Durch die Anwendung von CastleRAT wurden zahlreiche Daten verschlüsselt, ganze IT-Systeme lahmgelegt und betroffene Unternehmen und Organisationen zur Zahlung von Lösegeld gedrängt.
Zudem richtete sich die Operation Endgame erneut gegen „StealC“, einem weitverbreiteten Stealer mit Dropper-Funktionalität. Dieser war bereits im Juni 2026 Ziel der internationalen Strafverfolgungsbehörden. Um sich dem Zugriff der Ermittlungsbehörden zu entziehen, passten die Täter ihre Infrastruktur an und nahmen sie wieder in Betrieb. Durch die konsequenten Folgeermittlungen des BKA und seiner internationalen Partner konnte jedoch auch die neue Infrastruktur aufgeklärt und weitere Angriffspunkte für polizeiliche Maßnahmen identifiziert werden.
Maßgebliche Infrastruktur wurde unter anderem bei „Virtualine/Omegatech“, einem sogenannten Bullet-Proof-Hoster, betrieben. Der Hosting-Dienst wurde durch das Polizeipräsidium Frankfurt am Main und die niederländische NHTCU bereits Ende Oktober 2026 abgeschaltet.
„Wir bekämpfen Cybercrime mit langem Atem und gleichzeitig hoher Schlagzahl. Auch technisch versierte und gut organisierte Cyberkriminelle müssen mit koordinierten internationalen Ermittlungen rechnen. Wir haben erneut gezeigt, dass wir, zusammen mit unseren internationalen Partnern und privaten Cybersecurity-Unternehmen auch vermeintlich unantastbare Malware unschädlich machen können. Wer seine Infrastruktur nach polizeilichen Maßnahmen wieder aufbaut, legt neue Spuren, denen wir nachgehen“, so Carsten Meywirth, Leiter der Abteilung Cybercrime im BKA.
„Erneut bestätigt die Operation Endgame die Strategie der Strafverfolgungsbehörden, bei der Bekämpfung von organisierter Cybercrime nicht nur mit Strafverfolgungsbehörden, sondern auch privaten Organisationen zusammenzuarbeiten. So wie die Täterseite sich ständig fortentwickelt, muss auch die Strafverfolgung sich immer neu überprüfen, fortentwickeln und die internationalen Beziehungen stärken. Der erneute Erfolg zeigt, dass die Operation Endgame ein hervorragendes Beispiel hierfür ist“, sagt Dr. Benjamin Krause, Leitender Oberstaatsanwalt und Pressesprecher der ZIT.
Hintergründe zur Operation Endgame
Die unter deutscher Federführung gestartete internationale Operation Endgame wurde bereits im Jahr 2024 ins Leben gerufen. Die Bilanz seit dem Start ist beachtlich: 17 Malware-Varianten wurden unschädlich gemacht, 47 Haftbefehle erlassen und über 270 Millionen Euro Vermögen sichergestellt oder eingefroren. Ziel der Operation ist das abgestimmte Vorgehen gegen „Initial Access Malware“ (sog. Drop-per/Loader). Diese dienen als digitale Türöffner, die unbemerkt Opfersysteme infizieren, um anschließend weitere Schadsoftware nachzuladen und sensible Opferdaten zu stehlen. Sie schaffen damit häufig die Voraussetzung für weitere Straftaten, darunter schwerwiegende Erpressungsangriffe mit hohen Lösegeldforderungen, bei denen Systeme mithilfe von Ransomware verschlüsselt werden.
Mit der Operation Endgame wird dieser strategische Ansatz konsequent verfolgt und an die zunehmende Vielseitigkeit von Schadsoftware angepasst. Durch die Einbeziehung verschiedener Schadsoftware-Arten reagieren die Ermittler flexibel auf die dynamische Entwicklung der Cybercrime-Szene. So konnten nicht nur die Aktivitäten von Droppern und Loadern spürbar zurückgedrängt, sondern auch der Handlungsspielraum von Stealern und Remote-Access-Trojanern massiv eingeschränkt werden. Damit erhöht die Operation den Druck auf die Täter und erschwert es ihnen, ihre Aktivitäten einfach auf andere Varianten oder Infrastrukturen zu verlagern.
Dabei setzt Operation Endgame weiterhin auf das koordinierte Zusammenwirken internationaler Strafverfolgungsbehörden und privater IT-Sicherheitsunternehmen. Durch das professionelle und abgestimmte Vorgehen der einzelnen Partner werden die operativen sowie technischen Fähigkeiten der Täter maßgeblich beeinträchtigt, wodurch gleichzeitig auch die wirtschaftlichen Grundlagen des arbeitsteiligen Cybercrime-as-a-Service-Modells langfristig geschwächt werden.
