Der Monat Mai gilt als eine hervorragende Reisezeit für das japanische Osaka, die Temperatur ist in der Regel angenehm, das Frühlingsgrün soll dann besonders üppig sein. Und die Preise gelten, zumindest am Ende des Monats, als moderat.

Geld dürfte für den 28-jährigen Russen Vladimir K. keine große Rolle bei seiner Urlaubsplanung gespielt haben, wenn stimmt, was ihm das Landeskriminalamt (LKA) Nordrhein-Westfalen vorwirft: Unter dem Aliasnamen »snake« soll K. als ein sogenanntes Kernmitglied der international agierenden Ransomware-Gruppierung Qilin agiert haben.

Qilin wird vom Bundeskriminalamt als Kriminelle Vereinigung eingestuft. Die Gruppe, erstmals 2022 unter dem damaligen Namen Agenda aufgetaucht, kann man sich als kriminellen Dienstleister vorstellen: Sie betreibt die technische Infrastruktur für Ransomware-Angriffe und stellt diese anderen Kriminellen, in der Regel gegen eine Gewinnbeteiligung, zur Verfügung.

K. soll, davon gehen die Behörden aus, besonders als Entwickler für die Gruppe tätig gewesen und damit »deutlich an den Gewinnen durch Lösegelderpressungen beteiligt gewesen sein«. Damit dürfte es vorläufig ein Ende haben: Am 26. Mai 2026 wurde K. während eines Urlaubs mit seiner Freundin in Osaka von japanischen Sicherheitskräften festgenommen. Am vergangenen Freitag endete seine Reise gegen 16.20 Uhr am Frankfurter Flughafen, als Flug LH717 aus Tokio kommend in Hessen aufsetzte. K., der Ransomware-Techniker aus Russland, sitzt nun in Deutschland in Untersuchungshaft.

Ransomware ist ein Kunstwort, es setzt sich zusammen aus dem englischen Begriff für Lösegeld (»ransom«) und Software. Diese Schadsoftware verschlüsselt und blockiert Daten, Computer oder gleich ganze Systeme. Der Zugriff darauf wird erst nach Lösegeldzahlungen wieder freigegeben. Wer nicht zahlt, dessen Daten landen im Netz. So wie zuletzt bei der Hacker-Attacke auf die Berliner Verwaltung.

Verdecktes Ermittlungsverfahren

Das Geschäftsfeld von Qilin lässt sich als »digitale Pest« bezeichnen, laut den NRW-Sicherheitsbehörden gibt es allein in Deutschland 152 Qilin-Geschädigte, die aufgefordert wurden, insgesamt gut 70 Millionen US-Dollar an Lösegeld zu zahlen, wovon etwa ein Zehntel tatsächlich floss. Betroffen waren in diesem Zusammenhang viele: Ransomware-Attacken haben in der Vergangenheit neben Kommunalverwaltungen auch Verkehrsbetriebe und Krankenhäuser lahmgelegt. Handelsketten waren betroffen, Energieversorger, Bauunternehmen und Autovermieter.

Laut der japanischen Zeitung »The Asahi Shimbun«, die bereits am Dienstag über die Festnahme von Vladimir K. in Osaka und die anschließende Auslieferung nach Deutschland berichtete, geriet »snake« in den Fokus deutscher Behörden, als »Qilin« im September 2024 erneut in NRW zuschlagen wollte: Von einem Logistikunternehmen seien Daten eingefroren worden und 165.000 US-Dollar in Bitcoin als Lösegeld gefordert worden. Zu dem Zeitpunkt begann ein verdecktes Ermittlungsverfahren des LKA NRW, dass offenbar interessante Einblicke gewährte.

Urlaubsplanungen wurden sichtbar

So konnten sich die Ermittler in das Netzwerk von Qilin und den Rechner von Vladimir K. hacken und den Tätern live bei der Arbeit zusehen. Auch Privates wie die Urlaubsplanungen von K. in Richtung Japan wurden so sichtbar – nach einem Hinweis an die japanischen Kollegen erfolgte dort der Zugriff, gute vier Monate später dann die Auslieferung nach Deutschland. Zwar besteht zwischen Japan und Deutschland kein bilaterales Auslieferungsabkommen, Auslieferungen können nach Prüfung aber dennoch erfolgen – wie in diesem Fall.

Als der zuständige NRW-Innenminister Herbert Reul (CDU) am Mittwoch in Düsseldorf die Festnahme in Japan und die Überführung nach Deutschland öffentlich macht, spricht er von der »Champions League des Verbrechens«. Genau da habe man zugeschlagen und sei unbemerkt in die Rechner der Täter eingedrungen. Für Reul ist das der »größte Schlag, der deutschen Ermittlern im Kampf gegen die Cyberkriminalität gelungen ist«.

An Reuls Stelle muss man das wohl so bewerten. Besonders in einem begonnenen Landtagswahlkampf. Und tatsächlich ist vieles an diesem Fall besonders: Die lange Infiltration eines russischen Kriminellen-Netzwerks und die dabei gewonnen Inneneinsichten etwa. Doch die Qilin-Gruppe wird weitermachen, das Geschäftsmodell ist zu lukrativ. 2,9 Milliarden Dollar soll sie laut ihrem Auftauchen vor vier Jahren versucht haben, zu erpressen, mehr als 140 Millionen sollen gezahlt worden sein.