001_2017_008_0_052_058_LOWRES_DS

Ende eines Versteckspiels
Zur Tarnung mieteten die Avalanche-Täter Server auf allen
Kontinenten, über die sie ihre Attacken steuerten. Am
Tag X schalteten die Ermittler die mehr als 200 Rechner
aus und leiteten gleichzeitig 830 000 Zieladressen um
Avalanche kaputt, dann fehlt das
technische Wissen. Anfang 2016 ist
Frank Lange sich erstmals sicher,
dass sie es schaffen können. Vorausgesetzt,
in den nächsten Monaten
geht nichts schief.
Die Europol-Zentrale in Den Haag
ist ein moderner Hochsicherheitsbau.
Um im Innern die Türen
zu öffnen, werden die Handflächen
gescannt. Frank Lange staunt.
Bei ihm in Verden sitzt ein Wachmann
an der Pforte. Seinen neuen,
allmächtigen Zugangspass fotografiert
er mit dem Handy, als Andenken.
In dieser Festung planen
sie den Showdown. Hans Schäfer
reist aus Bonn an, dazu Fahnder aus
den USA, Taiwan, der Ukraine, Litauen
und anderen Staaten. Abends
fachsimpeln sie in der Kneipe beim
Bier, eine verschworene Truppe.
Lange nennt sie: die guten Menschen
des Internet.
In einer weltweiten Kommandoaktion
wollen sie an Tag X erst die
Täter verhaften, dann alle Steuerserver
ausschalten, insgesamt über
200 auf allen Kontinenten – und das
möglichst gleichzeitig. Schon das
ist hochkomplex. Das Schwierigste
aber wird Teil drei ihres Plans: Sie
wollen das komplette Netzwerk für
immer stilllegen – und dafür müssen
sie alle Opferrechner von der
Schadsoftware befreien. Wie viele
das sind und wo sie stehen, ob in Firmenbüros
oder in Kinderzimmern?
Weiß niemand. Klar ist nur: Werden
die Computer nicht bereinigt,
schlummern die Zombies nur. Dann
Herr der Cyberkrieger:
Arne
Schönbohm,
Präsident des
Bundesamts
für Sicherheit in
der Informationstechnik
hätten die Jäger zwar deren Mutterschiff
zerstört, aber sobald jemand
ein neues Schiff platziert, könnten
die Zombies wieder aktiv werden –
alles wäre umsonst gewesen.
Das ist der entscheidende Auftritt
der Cyberkrieger. Schäfer und seine
Kollegen bauen eine Falle, ein Sinkhole.
Ein eigener Server soll den
Zombies vorgaukeln, er sei das Mutterschiff.
Nehmen sie automatisch
Kontakt auf, können die Jäger ihren
Standort erkennen – und die Besitzer
informieren. Und die wiederum
können dann ihre Computer säubern.
Das Problem ist nur: Schäfer
muss die einprogrammierten Zieladressen,
die zum Teil erst in der
Zukunft generiert werden, sperren
und umleiten. Das sind: 830 000!
Eine Falle in dieser Dimension
hat es nie zuvor gegeben. Vergessen
die Jäger nur eine der Zieladressen,
lassen sie nur ein einziges Schlupfloch,
könnte Avalanche später wieder
aufleben. Weltweit müssen sie
darum über 40 Firmen, die Internetadressen
verwalten, zur Kooperation
verpflichten. Manchmal gelingt
das per Rechtshilfe, manchmal nach
ein paar Gläsern Whiskey. Die Zahl
derer, die von der Jagd wissen, steigt
von Woche zu Woche. Die Anspannung
ebenfalls.
Dann der große Tag, 30. November
2016. Frank Lange kommt morgens
um vier in die Europol-Zentrale.
Polizeiteams in Kiew, in Chișinău,
in Vilnius und bei Berlin stehen bereit.
Überallhin hat Lange deutsche
Staatsanwälte gesandt, als Aufpasser.
Nur in Poltawa sind US-Fahnder
vor Ort. Sie alle sind per Chat mit der
Zentrale verbunden, Langes Handy
vibriert bei jeder Nachricht.
Zugriff! In Kiew hämmern Polizisten
am frühen Morgen an die
Wohnungstür von Anton Timochin
und nehmen ihn fest. Nicht ganz so
glatt läuft es in Poltawa. Dort stürmt
eine Spezialeinheit in den vierten
Stock eines Wohnhauses, Schüsse
fallen. Gennady Kapkanov flieht auf
einen Balkon. Sie haben ihn! In der
Wohnung findet die Polizei eine
Kalaschnikow, eine Pistole, mehrere
Pässe und 70 000 Dollar in bar.
Ab mittags beginnen sie, die Server
abzuschalten, die letzten laufen
am Abend in Bangladesch. Zwei
Bildschirme zeigen ihnen außerdem,
wie ihre Falle zuschnappt. Balken
flimmern rot, gelb, dann blau –
alles unter Kontrolle. Nachricht im
Handy: „AVALANCHE IS DOWN!
Greetings to all of you.“ Jubel.
Innenminister Thomas de Maizière
spricht später von einer
„Kampfansage an die internationale
Kriminalität im Cyberraum“.
Von einer Aktion „ohne Beispiel“
schwärmt das US-Justizministerium.
„Wir haben gezeigt, dass der
Staat sich wehren kann und dass das
Internet kein rechtsfreier Raum ist“,
sagt Arne Schönbohm, der Präsident
des BSI. Nicht nur die Bösen könnten
moderne Technik einsetzen,
auch der Staat. „Avalanche war ein
singulärer Fall, aber er wird nicht
der letzte gewesen sein. The empire
strikes back!“
Katastrophal ist nur, dass im fernen
Poltawa eine Provinzrichterin
den als Superhirn verdächtigten
Kapkanov freilässt. Vermutlich
fließt Geld. Kapkanov taucht unter,
bis heute fehlt jede Spur von ihm.
Frank Lange ist enttäuscht. Dafür
haben sie gearbeitet? Vier Jahre
und – puff – einfach weg? Er hofft
jetzt, dass zumindest die anderen
verurteilt werden, auch wenn sie
nicht nach Deutschland ausgeliefert
werden. Klar, er hätte seine Täter
gern selbst angeklagt. Wenn das nun
die Kollegen in der Ukraine und in
Aserbaidschan hinkriegen, auch gut.
„Wir können die Täter nicht davonkommen
lassen“, sagt er.
Ärgert er sich, den Männern, die
er so lange gejagt hat, nie persönlich
gegenüberzusitzen? Natürlich sei er
neugierig, sagt er. Aber es sei gar
nicht so sehr die Jagd auf die Unsichtbaren,
die ihn fasziniert habe.
Viel spannender war, diese Hydra
greifbar zu machen und zu vernichten.
„Eine solche Struktur wurde
ja noch nie zerstört. Wir müssen
die Pest des Internets bekämpfen.
Und das nächste Mal werden wir
schneller sein.“ 2
Hätte man Lukas Heiny
vor der Recherche nach einem
„Double Fast Flux“ gefragt,
wäre er vermutlich in den
Baumarkt gegangen. In der Ukraine
recherchierte Bettina Sengling
FOTO: AMIN AKHTAR/LAIF
58 16.2.2017