Vulkan Files

Bei den Vulkan Files (deutsch „Vulkan-Dateien“) handelt es sich um geleakte E-Mails und andere Dokumente, die die Entwicklung von Sabotage-Software des russischen Unternehmens NTC Vulkan bezeugen. Auftraggeber der Softwareprogramme waren das Verteidigungsministerium der Russischen Föderation und die Geheimdienste FSB, GRU und SWR, gesteuert vom Kreml. Genutzt wurde und wird die Software für Cyberkriminalität, politische Einmischung in ausländische Angelegenheiten – beispielsweise der Präsidentschaftswahl in den Vereinigten Staaten 2016 – über soziale Medien, für Zensur inländischer sozialer Medien und für Spionage. Journalisten aus Deutschland, Österreich und der Schweiz, aus Frankreich, dem Vereinigten Königreich und den Vereinigten Staaten deckten – koordiniert vom Nachrichtenmagazin Der Spiegel und dem Investigativ-Start-Up Paper trail media – im März 2023 das digitale Waffenarsenal und die heimliche Subversionsarbeit Russlands auf.

Aufdeckung durch ein internationales Recherchekonsortium

An den Recherchen waren fünfzig Journalisten aus elf Medienhäusern in acht Staaten beteiligt. Neben dem Spiegel waren an dem gemeinsamen investigativen Rechercheprojekt die Süddeutsche Zeitung (SZ) und das ZDF, Der Standard, die Schweizer TX Group, The Guardian, Le Monde und die Washington Post beteiligt, vereint in dem Investigativ-Start-Up Paper trail media. Die Angaben beruhen auf einer anonymen Quelle aus dem Inneren von NTC Vulkan.

Die Dokumente zeigen, wie die Moskauer Tarnfirma für das russische Verteidigungsministerium und Geheimdienste die Software und die Infrastruktur für Cyberangriffe und großangelegte Desinformationskampagnen entwickelte. Ein anonymer Twitteraccount hatte bereits 2020 darauf hingewiesen, dass NTC Vulkan und die russische Hackergruppe Sandworm des russischen GRU zusammenarbeiten. Jedoch lieferte der Account keine Belege, die Meldung verlief im Sand. Unmittelbar nach dem russischen Überfall auf die Ukraine 2022 wurde der Investigativjournalist Hannes Munzinger anonym kontaktiert und erhielt tausende Dokumente aus der NTC Vulkan. Munzinger arbeitete damals für die Süddeutsche Zeitung, er wechselte im Mai 2022 zu Paper trail media und blieb federführend in der Auswertung der Dokumente. Zuvor hatte er an den Veröffentlichungen der Panama Papers, der Paradise Papers und der Swiss Secrets mitgearbeitet. In England recherchierte der Investigativjournalist Andrei Soldatow zu den Vulkan Files. Tausende Dokumente, Software-Beschreibungen und interne E-Mails, allesamt in russischer Sprache verfasst, wurden übersetzt und in einjähriger Recherchearbeit auf ihre Plausibilität und Originalität überprüft. Fünf Geheimdienste bestätigten die Authentizität.

Einsatz der Schadprogramme

NTC Vulkan ist nach eigenen Angaben ein gewöhnliches Unternehmen mit dem Slogan „Das Allerwichtigste ist der Wunsch, die Welt zu etwas Besserem zu machen“. Tatsächlich entwickelt es destruktive Softwareprogramme bzw. Schadprogramme, die Züge entgleisen lassen und die Stromversorgung lahmlegen sollen. Zu den Auftraggebern von NTC Vulkan gehören laut den Dokumenten das russische Verteidigungsministerium die drei wichtigsten Nachrichtendienste Russlands – der Inlandsgeheimdienst FSB, der Militärgeheimdienst GRU und der Auslandsgeheimdienst SWR – sowie zwei russische Hackergruppen, Cozy Bear und die Einheit 74455, bekannt als Sandworm. Namentlich bekannt als Auftraggeber sind die Einheit 22280 der Russischen Armee für „special programs“ und die Einheit 33949 des SWR.

Cyberkrieg gegen die Ukraine

→ Hauptartikel: Cyberkrieg im Bezug zum Russland-Ukraine-Krieg und Hackerangriff auf die ukrainische Stromversorgung 2015

Sandworm und andere Geheimdienstorganisationen Russlands zeichneten durchgehend seit dem Überfall auf die Krim im Jahr 2014 verantwortlich für Angriffe auf ukrainische Institutionen – beispielsweise die Kiewer Metro oder den Flughafen von Odessa. Kurz vor Weihnachten 2015 und 2016 gelang es der russischen Hackergruppe Einheit 74455, das ukrainische Stromnetz lahmzulegen. Bei dem Großangriff auf ukrainische Firmen im Juni 2017 geriet die Schadsoftware außer Kontrolle und befiel weltweit tausende Computer. Der Angriff verursachte Schäden in dreistelliger Millionenhöhe. Am 24. Februar 2022 fielen europaweit zehntausende Modems der Marke Viasat aus, weil die russischen Hacker die ukrainische Befehlsstruktur während des russischen Überfalls zu unterbrechen trachteten. Im Frühjahr 2022 begann ein Dauerangriff auf die ukrainische IT-Infrastruktur, im Winter verknüpft mit Drohnen- und Raketenangriffen auf das Stromnetz. John Hultquist von der IT-Sicherheitsfirma Mandiant konstatierte 2023: „Sandworm ist derzeit die bedeutendste Gruppe, die in der Ukraine für Zerstörung und Störung sorgt.“ Die Ukraine sei für Russland schon seit langem ein Testgelände für die Erprobung verschiedener Cyberwaffen, stellte der ukrainische Cybersicherheitsexperte Roman Bojartschuk im März 2013 im ZDF-Magazin Frontal fest. Die Ukraine, so der Spiegel, werde schon seit Jahren fast täglich von Angriffen russischer Hacker getroffen.

Angriffe in Europa, Südkorea und den Vereinigten Staaten

→ Hauptartikel: Troll-Armee

Die Hackergruppe Cozy Bear besteht seit mindestens 2012 und ist unter anderem für Cyberattacken auf das Pentagon, die Demokratische Partei in den Vereinigten Staaten sowie die Regierungen Norwegens und der Niederlande verantwortlich. Gemeinsam mit Fancy Bear soll Cozy Bear die Präsidentschaftswahl in den Vereinigten Staaten 2016 zugunsten von Donald Trump manipuliert haben.

2015 wurden Hackerangriffe auf den Deutschen Bundestag verübt, mutmaßlich von Fancy Bear. Ziele von Sandworm waren unter anderem der Präsidentschaftswahlkampf 2017 in Frankreich und die Olympischen Winterspiele 2018 in Südkorea, ersteres zur Unterstützung von Marine Le Pen, letzteres als Racheaktion für den Ausschluss Russlands wegen massenhaften Dopings. Russische Cyberangriffe auf NATO-Staaten vervierfachten sich nach Angaben von Google 2022 im Vergleich zu 2020. Im April und Mai 2022 versuchten russische Hacktivisten unter dem Pseudonym Killnet, Websites deutscher Behörden, Ministerien und Flughäfen per DDoS-Attacken zu überlasten. Im Februar 2022 kappten russische Hacker die Datenverbindungen von fast 6000 Windrädern in Deutschland.

Angriffe auf Israel

Unter dem Pseudonym Killnet griffen Hacker – neben einer Reihe anderer Gruppen – auf der Seite der Hamas virtuell in den Krieg gegen Israel ein und versuchten Internetseiten vorübergehend lahmzulegen.

Ziele und Mittel des Cyberkriegs

Unterwanderung von Schlüsselbetrieben

Mindestens ein Dutzend ehemaliger Mitarbeiter von NTC Vulkan arbeiten für westliche Konzerne, darunter Siemens, Amazon, Trivago und Booking.com. Für diese und andere Unternehmen ergeben sich laut Spiegel daraus „potenziell gravierende Sicherheitslücken“. Ein ehemaliger Chefentwickler von NTC Vulkan arbeite als „Senior Software Development Engineer“ bei Amazon Web Services (AWS) in Dublin, dem weltgrößten Anbieter von Cloud Computing. Kunden von AWS, die ihre Daten oder große Teile ihrer IT dort lagern, sind unter anderem NASA, Netflix, Vodafone, die US-Marine sowie mehrere DAX-Konzerne wie Allianz und Volkswagen. Teile des globalen Internets sollen über die AWS-Server laufen, auch ukrainische Regierungsdaten. Viele der früheren NTC-Vulkan-Mitarbeiter lehnten auf Anfrage des Spiegel Auskünfte über NTC ab. „Unklar blieb dabei, ob aus Furcht vor Vergeltung oder weil ihre Tarnung aufzufliegen drohte“, hieß es dazu beim ORF.

Totale Informationskontrolle

Das Amezit-B-Projekt war ein Entwicklungsauftrag des Rostov Scientific Institute, eine der wenigen russischen Forschungseinrichtungen in direktem Besitz des FSB. Es sollte dem Betreiber ermöglichen, jeden Cyber-Traffic in einer bestimmten Region zu kontrollieren, von Mobilfunknetzen bis zu sozialen Medien. Bei Bedarf sollte die Region von der Außenwelt isoliert werden können und eine Informationssperre verhängt werden. Wichtig war den Auftraggebern vor allem, nicht nur unliebsame Informationen zu unterdrücken, sondern auch das dominierende Narrativ zu formen und beherrschen. Das Projekt besteht aus verschiedenen Tools, „die allerdings einen gemeinsamen Bogen haben, den man grob mit drei Begriffen umreißen könnte: Zensur, Überwachung und Desinformation“, berichtete Andrei Soldatov im Guardian. Es gehe um die totale Kontrolle der öffentlichen Meinung, wie im Dritten Reich oder unter der Herrschaft Stalins. Die Doktrin lautet Soldatov zufolge, dass freier Informationsfluss immer eine direkte Bedrohung für die Stabilität der Regierung der Russischen Föderation bedeutet. Der eigentliche Auftraggeber war jedoch nicht das FSB, das in Russland die Überwachung verantwortet, sondern – getarnt – das russische Militär, mutmaßlich zur Übernahme der Cyberhoheit in künftig besetzten Gebieten, als Mittel digitaler Kriegsführung.

Der Kontext der subversiven Aktivitäten im Zusammenspiel von Sandworm und Sofacy Group mit den mörderischen Aktivitäten der Einheit 29155 ergibt laut Telepolis das Bild einer „russische[n] Kampagne zur Destabilisierung von Europa“, und die Neue Zürcher Zeitung schlussfolgert – lange vor dem Überfall auf die Ukraine – über den russischen Geheimdienst GRU: „zu seinem Repertoire gehören Mordkomplotte, verdeckte Militäreinsätze, Hackerangriffe und Einmischung in Wahlen.“

Schlussfolgerungen

Die österreichische Tageszeitung Der Standard zog zehn Schlussfolgerungen aus den Vulkan Files:

1. Erstmals gibt es einen massiven Leak zu Russlands Cyberkapazitäten
2. Kunden von NTC Vulkan sind mehrere Geheimdienste
3. Russland nutzt auch private Firmen
4. Es gibt eine enge Verschränkung unterschiedlicher Angriffsformen
5. Einblick in die Führung der russischen Troll-Armeen
6. Potenzielle Unruhestifter werden frühzeitig identifiziert
7. Enge Verzahnung mit Universitäten
8. Verschleierung der Cyberaktivitäten
9. Viele frühere Vulkan-Mitarbeiter arbeiten heute bei westlichen Unternehmen
10. Das System ist brüchig, denn es gibt Dissens und einen Whistleblower

Reaktionen

Konstantin von Notz – Geheimdienstbeauftragter des Deutschen Bundestags – warnte umgehend:

„Hier arbeiten Leute an der Sabotage des Informationsflusses und das ist für rechtsstaatliche demokratische Strukturen wie in Europa, wie in Deutschland eine relevante Bedrohung.“

– Konstantin von Notz: Hier zit. nach Abendjournal, Österreich 1, 31. März 2023

Die deutsche Innenministerin Nancy Faeser kündigte Maßnahmen an und warnte Firmen in Hinblick auf unzureichende Sicherheitsüberprüfungen ihrer IT-Mitarbeiter. Marina Krotofil, Sprecherin des Europäischen Netzwerks für Cyber-Sicherheit, konstatierte im ZDF, dass die Softwareprogramme vom russischen Staat beauftragt, getestet und bezahlt wurden:

„Es verstößt natürlich gegen die Genfer Konvention, weil es um zivile Infrastrukturen geht. Das sind Dinge wie Wasserversorgung, Stromerzeugung und auch petrochemische Anlagen. [...] Wir müssen berücksichtigen, dass all diese Fähigkeiten für das [russische] Verteidigungsministerium entwickelt wurden.“

– Marina Krotofil: In Frontal, 30. März 2023

„An diesen Dokumenten ist auffallend, dass die russischen Cyberanstrengungen aggressiver werden und auch die Aggressivität wächst, mit der sie ihr Hauptziel durchsetzen wollen, nämlich die Kontrolle über Informationsflüsse. Das ist absolut beispiellos.“

– Andrei Soldatow: In Frontal, 30. März 2023

NTC Vulkan und die russische Regierung nahmen nicht zu den Enthüllungen Stellung.

Kritik

Gemäß den Vulkan Files soll Russland auch das in der Schweiz liegende Kernkraftwerk Mühleberg ins Visier genommen haben. Jedoch führt Matthias Bärlocher vom schweizerischen Nachrichtenportal Nau an, dass die Geokoordinaten des Kraftwerks nicht mit den in den Vulkan Files genannten Koordinaten übereinstimmen. So liegt das Kraftwerk laut den in den Vulkan Files genannten Geokoordinaten in der afghanischen Hauptstadt Kabul und die European Defence Agency hat ihren „Sitz ungefähr dort, wo die ukrainische Botschaft ist“. Die verschiedenen Medienpartner finden unterschiedliche Erklärungen für die offenkundige Schlampigkeit: Die Washington Post schrieb von einem Mock-up – einem Vorführmodell zu Präsentationszwecken –, Der Standard von einem „Platzhalter“ und die Süddeutsche Zeitung bezeichnete das Kraftwerk als „hypothetisches Ziel“.

Fernsehbericht

• Files: Die geheimen Waffen moderner Krieger. ZDF Frontal, 30. März 2023.

Quellen

• Der Spiegel
• ZDF: Frontal
• Die Zeit
• Süddeutsche Zeitung
• Heise

Weblinks

• Cybermafia von Putins Gnaden?, Tagesschau, 6. April 2023
• VULKAN FILES: Die geheimen Waffen moderner Krieger I Spurensuche, frontal, 30. März 2023