Jenseits der Firewall: Wie Russland Hotel-WLAN und die deutschen Wahlen in einer neuen hybriden Offensive ins Visier nimmt
Russland führt eine hybride Offensive: Hacker greifen Hotel-WLAN an, während Desinformationskampagnen die deutschen Wahlen beeinflussen. Eine Analyse der Strategie hinter CaptiveCrunch und Matroschka.
Die beiden Operationen stützen sich auf unterschiedliche Taktiken, folgen aber derselben strategischen Logik: die stärksten Verteidigungslinien zu meiden und die Räume auszunutzen, die für westliche Regierungen und Unternehmen am schwersten zu schützen sind.
Hotel-WLAN als Instrument der Aufklärung
Die als „CaptiveCrunch“ bekannte Operation markiert einen weiteren Schritt in der Evolution von Midnight Blizzard, der russischen, staatlich gelenkten Spionagegruppe, die auch als Storm-2945 verfolgt und mit NOBELIUM und Cozy Bear in Verbindung gebracht wird.
Statt zu versuchen, stark geschützte Unternehmenssysteme zu durchbrechen, hat die Gruppe ihre Aufmerksamkeit auf etwas weitaus weniger Sicheres verlagert: die öffentlichen Netzwerke, die Geschäftsreisende täglich nutzen.
Laut Microsoft übernehmen die Angreifer die Kontrolle über legitime Captive-Portal-Loginseiten – die Bildschirme, auf die Nutzer stoßen, bevor sie sich mit dem WLAN von Hotels oder Konferenzen verbinden. Sobald die Opfer ihre Daten eingeben, können Microsoft-365-Anmeldeinformationen gestohlen werden, bevor der Angriff in seine nächste Phase übergeht.
Diese zweite Phase hängt weniger von technischer Raffinesse ab als von Überzeugungskraft.
Die Opfer werden aufgefordert, ein scheinbar routinemäßiges Windows- oder Browser-Update zu installieren. In Wirklichkeit liefert der Download bösartige Software, die stillschweigend einen langfristigen Zugriff auf das Gerät ermöglicht.
Die Kampagne nutzt zwei Hauptwerkzeuge. Der Fernzugriffs-Trojaner CornFlake ermöglicht es den Angreifern, dauerhafte Kontrolle zu behalten, während der PowerShell-Infostealer ChocoShell darauf ausgelegt ist, Anmeldeinformationen, Sitzungscookies und Dateien zu sammeln. Er kann auch Tastatureingaben aufzeichnen, Mikrofone und Kameras aktivieren und Android-Geräte angreifen.
Für Geheimdienste ist der sofortige Diebstahl von Passwörtern nur ein Teil der Belohnung.
Kompromittierte Microsoft-365-Konten können einen Weg in die gesamte Cloud-Umgebung einer Organisation eröffnen und Angreifern Zugriff verschaffen, der weit über das mit dem Hotelnetzwerk verbundene Laptop hinausgeht. Ein Mitarbeiter kann die Konferenz verlassen, zur Arbeit zurückkehren und dasselbe Gerät weiterhin nutzen, ohne zu wissen, dass die Überwachung noch immer stattfindet.
Das macht den Hotelaufenthalt nur zum Beginn der Operation, nicht zu ihrem Ende.
Die neue Peripherie ist überall
Jahrelang konzentrierte sich die Cybersicherheitsstrategie auf die Verteidigung der Unternehmensinfrastruktur vor externen Eingriffen. Als diese Verteidigungslinien widerstandsfähiger wurden, passten sich die Angreifer an.
CaptiveCrunch verdeutlicht diesen Wandel. Statt gehärtete Netzwerke direkt anzugreifen, zielen russische Akteure auf die Menschen, die sich zwischen ihnen bewegen.
Geschäftsreisen sind Teil der Unternehmenssicherheitsperipherie geworden, auch wenn Unternehmen wenig Kontrolle über die Infrastruktur haben, auf die ihre Mitarbeiter außerhalb des Büros angewiesen sind.
Das verändert die Natur der Cyberverteidigung.
Die traditionelle Annahme – dass ein vertrauenswürdiger Nutzer innerhalb des Netzwerks von Natur aus weniger riskant ist als jemand außerhalb – wird zunehmend schwerer aufrechtzuerhalten. Organisationen werden stattdessen zu einer kontinuierlichen Verifizierung von Nutzern und Geräten gedrängt, unabhängig davon, wo sie sich verbinden.
Die Kampagne unterstreicht auch eine einfachere Realität: Menschen bleiben leichter zu manipulieren als gut verteidigte Systeme.
Ein überzeugendes Software-Update, das im richtigen Moment präsentiert wird, kann erreichen, was monatelanges Sondieren gegen eine Unternehmensfirewall nicht kann.
Deutschlands Wahlen werden Teil desselben Schlachtfelds
Die Cyberkampagne entfaltet sich parallel zu einer weiteren russischen Operation, die eine andere Verwundbarkeit ins Visier nimmt: das öffentliche Vertrauen.
Deutsche Sicherheitsbehörden erklären, sie beobachteten eine ausgeweitete Desinformationskampagne, bekannt als „Matroschka“ oder „Overload“, im Vorfeld der Landtagswahlen im September in Berlin, Sachsen-Anhalt und Mecklenburg-Vorpommern. Während CaptiveCrunch Zugang zu Informationen sucht, ist Matroschka darauf ausgelegt, das politische Umfeld zu formen, in dem diese Informationen existieren.
Die Kampagne wird zentral aus Russland über spezialisierte Briefkastenfirmen organisiert. Mehr als 180 erfundene Beiträge und Videos sind bereits auf X, Bluesky und TikTok aufgetaucht, so deutsche Beamte und europäische Medien.
Der Ansatz ist vertraut, aber zunehmend ausgefeilt.
Statt sich auf anonyme Propagandakonten zu stützen, imitiert die Operation vertrauenswürdige Nachrichtenorganisationen. Beiträge tragen das Branding von Medien wie BBC, ARD, Deutsche Welle und Frankfurter Allgemeine Zeitung, wodurch falsche Geschichten auf den ersten Blick glaubwürdig erscheinen. Diese Geschichten beschuldigen Politiker der deutschen Regierungsparteien – CDU, SPD, Grüne und FDP – von Finanzvergehen bis hin zu sexueller Belästigung.
Das Ziel ist weniger, die Wähler davon zu überzeugen, dass jede Behauptung wahr ist, sondern vielmehr, einen stetigen Strom von Zweifeln an den politischen Hauptakteuren zu erzeugen.
Diese Dynamik kommt zwangsläufig der Alternative für Deutschland (AfD) zugute, deren Führung wiederholt argumentiert hat, die politischen Beziehungen zu Moskau wiederherzustellen.
Der Zeitpunkt ist kaum zufällig. Die Landtagswahlen im September könnten der AfD ihr bisher stärkstes Ergebnis bescheren, insbesondere in Sachsen-Anhalt, wo die Partei realistische Chancen hat, eine Landesregierung anzuführen.
Für europäische Beamte wirft das Bedenken auf, die weit über die deutsche Innenpolitik hinausgehen.
Anfang dieses Jahres warnten europäische Diplomaten, dass eine Beteiligung der AfD an Landesregierungen neue Möglichkeiten für den russischen Geheimdienst schaffen könnte. Deutschlands föderales System gibt regionalen Verwaltungen Zugang zu sensiblen EU-Materialien über legislative und gouvernementale Strukturen, was Landtagswahlen strategisch wichtiger macht, als sie sonst erscheinen mögen.
Zwei Kampagnen, eine Strategie
Für sich betrachtet haben ein gehacktes Hotel-WLAN-Netzwerk und ein gefälschtes politisches Video wenig gemeinsam.
Zusammen betrachtet offenbaren sie ein konsistentes Muster.
Statt westliche Institutionen direkt zu überwältigen, nutzt der russische Geheimdienst die Systeme, die sie verbinden. Reisende Beamte sind auf Netzwerke angewiesen, die sie nicht kontrollieren. Die demokratische Debatte hängt zunehmend von kommerziellen Social-Media-Plattformen ab, die Schwierigkeiten haben, koordinierte Desinformation in Schach zu halten.
Diese Räume sind gerade deshalb attraktiv geworden, weil sie außerhalb der traditionellen Sicherheitsperipherie liegen.
In das Netzwerk eines Ministeriums einzudringen ist schwierig. Das Laptop eines Diplomaten, der in einem Hotel übernachtet, zu kompromittieren, kann erheblich einfacher sein. Die Stimmenauszählung zu manipulieren würde wahrscheinlich eine sofortige politische Krise auslösen; soziale Medien mit erfundenen Skandalen zu fluten, kann das Vertrauen allmählich untergraben, ohne jemals die Wahlinfrastruktur selbst zu berühren.
Dieser Wandel hat die alte Unterscheidung zwischen externer und interner Sicherheit verwischt.
Unternehmensnetzwerke erstrecken sich nun auf Hotellobbys und Konferenzzentren. Landtagswahlen, einst weitgehend als innere Angelegenheiten betrachtet, sind zu einer weiteren Arena geworden, in der geopolitische Konkurrenz ausgetragen wird.
Europas Verteidigung muss sich anpassen
Beamte des deutschen Innen- und Außenministeriums erklären, sie verfolgten die Matroschka-Kampagne aktiv im Vorfeld der Landtagswahlen. Ihre Reaktion findet parallel zu einer breiteren Debatte in Brüssel darüber statt, wie Europa mit ausländischer Einmischung umgehen soll, die nicht mehr eindeutig in Cybersicherheit oder Wahlrecht passt.
Das Europäische Parlament hat wiederholt strengere Durchsetzung des Gesetzes über digitale Dienste, eine stärkere Überwachung ausländischer Informationsmanipulation und Einmischung (FIMI) durch den Europäischen Auswärtigen Dienst sowie breitere Sanktionen gegen die in hybriden Operationen verwendeten Werkzeuge gefordert. Diese Vorschläge sollen in die Diskussionen um das zwanzigste Sanktionspaket der EU einfließen.
Die Cyberdimension verändert sich ebenso schnell.
Den Hauptsitz eines Unternehmens zu schützen, reicht nicht mehr aus, wenn Mitarbeiter regelmäßig von Flughäfen, Hotels und Konferenzorten aus arbeiten. Organisationen werden zunehmend dazu angehalten, Sicherheit um den Nutzer herum aufzubauen statt um das Büro, mit phishing-resistenter Multi-Faktor-Authentifizierung, verschlüsselten VPN-Verbindungen, speziellen Reise-Routern und strengeren Kontrollen über Software-Updates außerhalb verwalteter Umgebungen.
Midnight Blizzard wurde mit einigen der bedeutendsten russischen Spionageoperationen der letzten Jahre in Verbindung gebracht, einschließlich des SolarWinds-Kompromisses. CaptiveCrunch deutet auf eine leisere Evolution dieses Vorgehens hin. Statt einen spektakulären Einbruch zu verfolgen, scheint die Gruppe unzählige routinemäßige Interaktionen zu bevorzugen, die für sich genommen wenig Aufmerksamkeit erregen, aber dauerhaften Zugang zu Regierungs- und Unternehmenssystemen ermöglichen können.
Dasselbe Prinzip liegt der Matroschka-Kampagne zugrunde.
Keine der beiden Operationen hängt davon ab, den stärksten Teil des Systems anzugreifen. Beide suchen die Lücken zwischen den Institutionen – das Hotelnetzwerk, dem ein reisender Beamter vertraut, den Social-Media-Feed, dem ein Wähler vertraut, das vertraute Nachrichtenlogo, das eine erfundene Geschichte authentisch erscheinen lässt.
Das wird zu einem der prägenden Merkmale moderner hybrider Konflikte. Der Wettbewerb ist nicht mehr auf Regierungsnetzwerke oder militärische Infrastruktur beschränkt. Er spielt sich zunehmend über die gewöhnlichen digitalen Dienste ab, die Regierungen, Unternehmen und Bürger täglich nutzen, wo die Grenze zwischen Bequemlichkeit und Verwundbarkeit oft schwer zu erkennen ist, bis sie bereits überschritten wurde.