Anfang November ging weltweit die Nachricht vom größten Kryptowährungsdiebstahl der Geschichte um: Berichten zufolge haben mit Nordkorea verbundene Hacker Krypto-Assets im Wert von etwa 6 Milliarden US-Dollar gestohlen. Vor diesem Hintergrund erklären Experten in Estland — einem der am stärksten durch Cyberbedrohungen gefährdeten Länder —, wie ein sanktioniertes Land ohne freies Internet für die Mehrheit der Bevölkerung zu einem Hacker-Imperium wurde und wie selbst private IT-Spezialisten unter diesen Maschen leiden. Die Analyse zeigt, dass hinter den lauten Zahlen jahrelange Fließbandarbeit steckt, bei der das Hauptziel nicht Ideologie, sondern Geld für das Regime ist.

Ein Recruiter aus Dubai, der sich als Hacker entpuppte

Ein Beispiel für diese Arbeit war der Fall des 54-jährigen estnischen Computer-Experten Tõnu Samuel — eines ehemaligen Hackers, der über viele Jahre in verschiedenen Geschichten der Cyberszene auftauchte. Alles begann am 16. September, als ihm auf der Plattform LinkedIn ein gewisser Muhammad Raza schrieb, der sich als Leiter eines KI-Unternehmens in Dubai ausgab und einen Job anbot. Samuel erinnert sich, dass der Gesprächspartner ihn zunächst lobte und dann zur Beschreibung eines „Projekts“ überging, in dem zahlreiche Fachbegriffe vorkamen. „Wenn eine Person anfängt, dich buchstäblich mit Fachbegriffen zu überschütten, handelt es sich in der Regel um einen Betrüger“, bemerkte er und nannte dies das erste Warnsignal.

Ein auf das konkrete Opfer zugeschnittenes Schema

Nikolai Kunitsõn, Analyst am Staatlichen Informationssystemamt (RIA), erklärte, dass das Wesen des Betrugsschemas darin besteht, dass es auf die jeweilige Person basierend auf deren Profil und Fähigkeiten angepasst wird. Seinen Angaben zufolge erkannte Samuel das verdächtige Schema recht schnell und beschloss, das Spiel der Angreifer mitzuspielen, wodurch das RIA die Möglichkeit erhielt, detailliertere Informationen über die Funktionsweise zu erhalten. Laut Kunitsõn und Ago Ambur, dem ehemaligen Leiter des Cyberkriminalitätsbüros der Polizei- und Grenzschutzbehörde und heutigen Leiter von Glazer Technologies, handelt es sich um eine der Cyberangriffsmethoden, die von nordkoreanischen Hackern verwendet werden.

Ein sanktioniertes Imperium im Cyberspace

Nordkorea ist ein ungewöhnlicher Akteur auf der internationalen Cyberszene: Trotz wirtschaftlicher Isolation und eingeschränktem Internetzugang für die breite Bevölkerung verfügt das Land über beträchtliche Fähigkeiten im Bereich von Cyberangriffen. Kunitsõn verweist auf den Kontrast: Die Bevölkerung der DVRK ist etwa 12- bis 13-mal so groß wie die estnische, während das BIP etwa ein Drittel oder ein Viertel niedriger ist als das estnische, aber im Cyberspace ist dieses Land ein großer Player. Nach Amburs Einschätzung geht es um Schäden in Höhe von Hunderten von Millionen, möglicherweise Milliarden US-Dollar jährlich, die weltweit eingesammelt und dann über verschiedene Kanäle an das Regime zurücküberwiesen werden.

Von Sony und SWIFT bis WannaCry

Die weltweite Aufmerksamkeit auf nordkoreanische Hacker wurde erstmals durch einen recht kuriosen Vorfall gelenkt: Kurz vor der Premiere des Films The Interview, der die Diktatur und ein Attentat auf den Machthaber des Landes verspottete, drangen Hacker in die Computersysteme von Sony ein und veröffentlichten die interne Korrespondenz des Unternehmens. Zwei Jahre später wurde, so Kunitsõn, eine noch größere Operation durchgeführt, bei der eine Schwachstelle im internationalen Interbanken-Zahlungssystem SWIFT ausgenutzt wurde; die Hacker wurden erst durch einen einzigen Tippfehler enttarnt, und wie Ermittlungen zeigten, hätten sie ohne diesen Fehler wahrscheinlich über eine Milliarde US-Dollar gestohlen. Solche Operationen werden meistens mit der Lazarus Group in Verbindung gebracht, die insbesondere die Ransomware WannaCry verbreitete, die 2017 Computer weltweit, darunter auch in Estland, befiel.

Warum das Regime Geld braucht

Im Gegensatz zu China und Russland, die ebenfalls über mächtige Fähigkeiten im Bereich der Cyber-Spionage verfügen, nutzt Nordkorea laut Experten Cyberangriffe systematisch gezielt zum Diebstahl von Geld. Während das Interesse nordkoreanischer Hacker früher eher ideologischer Natur gewesen sein mag, ist heute ihr Hauptziel der finanzielle Gewinn, obwohl der Diebstahl geheimer Daten weitergeht. Experten betonen: Als eines der am stärksten sanktionierten Länder der Welt umgeht die DVRK durch ihre Aktivitäten im Cyberspace internationale Sanktionen, und die Hauptaufgabe solcher Operationen ist die Finanzierung des Regimes.