Knapp ein Jahr nach der international gefeierten Zerschlagung steht die prorussische Hacktivisten-Gruppe NoName057(16) im Juni 2026 wieder im Zentrum der deutschen Cyber-Bedrohungslage. Eine Untersuchung der Moscow Times vom 29. April 2026 belegt, dass das Kollektiv seine DDoS-Angriffe auf Regierungen, Banken und kritische Infrastruktur in Europa nicht nur fortsetzt, sondern mit Krypto-Belohnungen gezielt anheizt. Deutschland zählt dabei laut Europol zu den am härtesten getroffenen Ländern: Seit November 2023 registrierten die Ermittler 14 separate Angriffswellen gegen mehr als 250 Unternehmen und Institutionen.

Die Operation Eastwood hatte im Juli 2025 als Erfolg gegolten. Europol und Eurojust nahmen die zentrale Infrastruktur der Gruppe vom Netz, koordinierten Behörden aus zwölf Ländern und erließen sieben Haftbefehle. Doch die dezentrale Struktur von NoName057(16) hat den Schlag überstanden. Wer verstehen will, warum ein loses Netzwerk aus Freiwilligen einem staatenübergreifenden Polizeieinsatz standhält, muss die Mechanik dieser Gruppe kennen. Dieser Beitrag analysiert die Fakten, die Zahlen und die Folgen für die DACH-Region.

NoName057(16) attackiert Deutschland erneut: die aktuelle Lage

Die DDoS-Welle gegen deutsche Ziele ebbt nicht ab. Prorussische Hacktivisten überfluten Webseiten von Behörden, Flughäfen, Banken und Rüstungsunternehmen mit Anfragen, bis die Server unter der Last zusammenbrechen. Anders als bei Ransomware fließen dabei keine Daten ab und es gibt keine Lösegeldforderung. Das Ziel ist Sichtbarkeit. Jede ausgefallene Webseite eines Ministeriums oder eines Energieversorgers liefert ein Propagandabild, das die Gruppe in ihren Telegram-Kanälen feiert.

Die Untersuchung der Moscow Times vom 29. April 2026 zeigt, dass NoName057(16) seine Anhänger mit Kryptowährung belohnt, wenn sie an Angriffen teilnehmen. Dieses Belohnungsmodell macht aus einem politischen Protest ein Spiel mit Bestenlisten und Auszahlungen. Die Gruppe rekrutiert damit auch technisch wenig versierte Unterstützer, die lediglich eine Software starten müssen. Genau dieser Ansatz erklärt, warum die Festnahmen einzelner Köpfe die Schlagkraft des Netzwerks kaum mindern.

Für deutsche Organisationen bedeutet das eine andauernde Belastung. Die Angriffe folgen oft tagespolitischen Ereignissen. Liefert die Bundesregierung neue Waffen an die Ukraine oder äußert sich ein Minister kritisch zu Russland, steigt das Risiko einer Angriffswelle innerhalb von Stunden. Diese Vorhersagbarkeit hilft Verteidigern, sie macht die Angriffe aber auch zu einem ständigen geopolitischen Stimmungsbarometer.

Was ist NoName057(16)? Profil der Hacktivisten-Gruppe

NoName057(16) ist seit März 2022 aktiv, also seit dem Beginn des russischen Angriffskriegs gegen die Ukraine. Die Gruppe entstand als digitale Reaktion auf die westliche Unterstützung Kiews und positionierte sich von Anfang an als ideologisch motiviert. Sicherheitsforscher von Imperva bezeichnen das Kollektiv als eine der aktivsten prorussischen Hacktivisten-Strukturen Europas, bekannt vor allem für groß angelegte DDoS-Angriffe auf Regierungs-, Medien- und Infrastrukturseiten.

Der Name selbst ist kryptisch und folgt keiner offensichtlichen Logik. Wichtiger als die Bezeichnung ist die Organisationsform. NoName057(16) funktioniert nicht wie eine klassische kriminelle Bande mit klarer Hierarchie, sondern wie ein Schwarm. Ein kleiner Kern entwickelt die Werkzeuge und koordiniert die Ziele, während Tausende von Freiwilligen die eigentliche Angriffsleistung beisteuern. Diese Trennung zwischen Architekten und Fußsoldaten ist der Kern der Widerstandsfähigkeit.

Die DDoSia-Plattform als Waffe

Das technische Herzstück der Gruppe ist das Werkzeug DDoSia. Europol identifiziert es als die zentrale Angriffssoftware, die das Netzwerk verteilt. Unterstützer installieren das Programm, verbinden es mit den Kommandoservern der Gruppe und ihre Rechner werden Teil eines koordinierten Angriffs. Die Belohnungsmechanik koppelt sich direkt an diese Software: Wer mehr Datenverkehr gegen ein Ziel schleudert, klettert in der Rangliste und erhält höhere Krypto-Auszahlungen.

Dieser Aufbau senkt die Einstiegshürde drastisch. Es braucht kein tiefes technisches Wissen, um mitzumachen. Genau das unterscheidet moderne Hacktivisten-Netzwerke von professionellen Ransomware-Banden wie Akira oder Qilin, die auf spezialisierte Operatoren und Affiliate-Modelle setzen.

Operation Eastwood: die Bilanz der Zerschlagung vom Juli 2025

Zwischen dem 14. und 17. Juli 2025 schlugen die Ermittler zu. Die von Europol und Eurojust koordinierte Operation Eastwood richtete sich gegen die Kerninfrastruktur von NoName057(16). Behörden aus zwölf Ländern arbeiteten zusammen und nahmen einen großen Teil der zentralen Serverinfrastruktur der Gruppe vom Netz. Europol beschrieb das Ergebnis als die Störung einer Angriffsinfrastruktur aus mehr als einhundert Computersystemen weltweit.

Die nackten Zahlen wirkten beeindruckend. Doch die Festnahmen blieben mit zwei Personen überschaubar, und die mutmaßlichen Hauptverantwortlichen sitzen außerhalb der Reichweite europäischer Justiz. Die folgende Tabelle fasst die offizielle Bilanz der Operation zusammen.

KennzahlErgebnis Operation Eastwood
Zeitraum14. bis 17. Juli 2025
Beteiligte Länder12
Festnahmen2
Internationale Haftbefehle7
Gestörte Serversystemeüber 100
Hausdurchsuchungen24
Befragte Personen13
Benachrichtigte Unterstützerüber 1.000 (davon 15 Administratoren)
Quelle: Europol, Pressemitteilung zur Operation Eastwood, Juli 2025.

Europol setzte neben den klassischen Polizeimaßnahmen auf psychologische Abschreckung. Über einen Messaging-Dienst erhielten mehr als 1.000 Unterstützer, darunter 15 Administratoren, Hinweise auf ihre persönliche strafrechtliche Verantwortung. Die Botschaft war klar: Wer DDoSia startet, ist kein anonymer Aktivist, sondern ein identifizierbarer Mittäter. Diese Taktik zielte auf die Achillesferse des Schwarmmodells, die Bereitschaft gewöhnlicher Nutzer mitzumachen.

Wer steckt dahinter? Burlakov, Lupin und die Netzwerkstruktur

Europol nennt zwei mutmaßliche Hauptkoordinatoren: Mikhail Burlakov und Maxim Lupin. Die Behörden werfen ihnen vor, das DDoSia-Werkzeug entwickelt und gewartet sowie die für das Netzwerk genutzten Server bezahlt zu haben. Beide gelten als die organisatorischen Drehscheiben hinter den Angriffswellen. Solange sie sich jedoch in Russland aufhalten, bleiben die sieben Haftbefehle weitgehend symbolisch.

Die Struktur darunter ist bewusst diffus. Schätzungen, die in der Berichterstattung zur Operation Eastwood auftauchten, sprechen von rund 4.000 mobilisierten Nutzern. Die konservativste direkt von Europol bestätigte Zahl liegt bei über 1.000 benachrichtigten Unterstützern. Diese Spannweite zeigt das Grundproblem: Niemand kennt die exakte Größe eines Netzwerks, das jederzeit neue Freiwillige aufnehmen und alte abstoßen kann.

Diese Dezentralität erklärt die schnelle Erholung. Werden Server beschlagnahmt, baut der Kern neue auf. Werden Administratoren enttarnt, übernehmen andere. Das Belohnungssystem sorgt für stetigen Nachschub an Teilnehmern. Eine Polizeioperation kann ein solches Gebilde stören, aber nicht in einem Schlag auslöschen. Genau das beobachten Ermittler im Jahr 2026.

2026: die Rückkehr trotz Zerschlagung

Die Moscow Times dokumentierte am 29. April 2026, dass NoName057(16) weiterhin Cyberangriffe gegen Regierungen, Banken und Infrastruktur in ganz Europa ausführt. Die Gruppe hat ihr Belohnungsmodell verfeinert und gamifiziert ihre Angriffe mit Krypto-Prämien. Aus Sicht der Verteidiger ist das die schlechteste aller Nachrichten: Die teuerste Polizeioperation gegen die Gruppe hat ihre operative Fähigkeit nicht dauerhaft gebrochen.

Die Resilienz von NoName057(16) passt in ein größeres Muster. Auch professionelle Ransomware-Banden tauchen nach Strafverfolgung unter neuem Namen wieder auf, wie der Fall REvil zeigt. Bei Hacktivisten ist die Wiederbelebung sogar einfacher, weil es keine teure Infrastruktur und keine kriminellen Gewinnmargen zu schützen gibt. Ideologie und Spielanreiz genügen als Treibstoff.

Für Deutschland verschiebt sich damit die strategische Frage. Es geht nicht mehr darum, ob die Gruppe zurückkehrt, sondern wie oft und gegen welche Ziele. Die Verteidigung muss von einem einmaligen Vorfall auf ein Dauerphänomen umstellen. Das bedeutet permanente DDoS-Schutzmaßnahmen statt reaktiver Notfallpläne.

Deutschland im Visier: 14 Angriffswellen, 250+ Ziele

Deutschland nimmt in der Zielliste von NoName057(16) einen Spitzenplatz ein. Laut Europol erlebte das Land seit Beginn der Ermittlungen im November 2023 14 separate Angriffswellen gegen mehr als 250 Unternehmen und Institutionen. Eurojust nannte als betroffene Kategorien ausdrücklich Rüstungsfabriken, Energieversorger und Regierungsorganisationen. Die Auswahl ist kein Zufall, sie spiegelt die Themen wider, an denen sich prorussische Propaganda abarbeitet.

Diese Konzentration auf Deutschland deckt sich mit anderen Lagebildern. Bundesinnenminister Alexander Dobrindt brachte es bei der Vorstellung des aktuellen Lageberichts auf den Punkt: “Deutschland ist nach den USA, Indien und Japan eines der Topziele für Cyberangriffe.” DDoS-Hacktivismus ist dabei nur eine Facette, aber die sichtbarste, weil sie öffentliche Webseiten lahmlegt.

Banken und Finanzdienstleister gehören zu den bevorzugten Zielen, weil ein Ausfall des Online-Bankings sofort Schlagzeilen produziert. Flughäfen und Verkehrsbetriebe sind ähnlich attraktiv, da Störungen für Reisende unmittelbar spürbar werden. Rüstungsunternehmen wiederum bedienen die politische Erzählung der Gruppe. Diese Zielauswahl optimiert nicht auf finanziellen Schaden, sondern auf mediale Wirkung.

Die ENISA-Zahlen: DDoS dominiert die EU-Bedrohungslage

Die ENISA Threat Landscape 2025, veröffentlicht im Januar 2026, ordnet das Phänomen europaweit ein. Hacktivistische DDoS-Angriffe gegen digitale Infrastruktur und Dienste machten 57,5 Prozent aller Angriffe auf diesen Sektor in der EU aus. Innerhalb dieser Kategorie ist NoName057(16) mit Abstand der aktivste Akteur. Die folgende Tabelle zeigt die Verteilung der wichtigsten Gruppen und Bedrohungen.

Akteur / BedrohungAnteilKategorie
Hacktivistische DDoS-Angriffe57,5 %Angriffe auf EU-Digitalinfrastruktur
NoName057(16)33,8 %Hacktivisten-DDoS
Keymous+21,4 %Hacktivisten-DDoS
Mr Hamza6,5 %Hacktivisten-DDoS
Fertigungsindustrie14,9 %Ransomware-Ziele
Digitalinfrastruktur10,3 %Ransomware-Ziele
Quelle: ENISA Threat Landscape 2025, veröffentlicht Januar 2026.

Mit einem Anteil von 33,8 Prozent ist NoName057(16) für rund ein Drittel der hacktivistischen DDoS-Angriffe in der EU verantwortlich. Keymous+ folgt mit 21,4 Prozent, Mr Hamza mit 6,5 Prozent. Die Konzentration auf wenige Gruppen zeigt, dass eine Handvoll Netzwerke den Großteil der Last erzeugt. Gelingt es, diese gezielt zu schwächen, sinkt die Gesamtbelastung deutlich. Genau hier setzte Operation Eastwood an.

Marktauswirkung: was DDoS-Angriffe Unternehmen kosten

DDoS-Angriffe stehlen keine Daten, doch ihr wirtschaftlicher Schaden ist real. Jede Minute, in der ein Online-Shop, ein Buchungsportal oder eine Banking-App nicht erreichbar ist, kostet Umsatz und Vertrauen. Für Handelsunternehmen summieren sich Ausfälle in Stoßzeiten schnell zu sechsstelligen Verlusten. Hinzu kommen Kosten für Notfallreaktion, zusätzliche Bandbreite und teure DDoS-Schutzdienste.

Die deutsche Wirtschaft trägt ohnehin eine Rekordlast. Der Branchenverband Bitkom bezifferte die jährlichen Cyberschäden in Deutschland auf 289 Milliarden Euro. DDoS ist davon nur ein Teil, doch die ständige Verfügbarkeit von Verteidigungskapazität bindet Budgets, die anderswo fehlen. Der Markt für DDoS-Mitigation wächst entsprechend, getrieben von Anbietern, die ständig steigende Angriffsvolumen abfangen.

Besonders teuer wird es für Betreiber kritischer Infrastruktur. Sie unterliegen seit der NIS2-Umsetzung in Deutschland verschärften Pflichten und müssen Vorfälle melden. Ein erfolgreicher DDoS-Angriff kann damit nicht nur Umsatz kosten, sondern auch regulatorische Konsequenzen nach sich ziehen. Die Kombination aus Betriebsausfall und Compliance-Druck erhöht den Einsatz für jeden einzelnen Vorfall.

Stimmen der Experten zur Bedrohung durch Hacktivisten

Die Behörden bewerten die Lage als angespannt. BSI-Präsidentin Claudia Plattner betonte bei der Vorstellung des aktuellen Lageberichts die Dimension des Problems: “Wir erleben im Berichtszeitraum, dass jeden Tag durchschnittlich 280.000 neue Schadprogrammvarianten bekannt werden.” Plattner machte zugleich deutlich, wo sie den größten Hebel sieht: “Das ist unser größtes Thema, die Angriffsflächen.”

Europol formulierte den Erfolg der Operation Eastwood vorsichtig. Die Behörde sprach von der Störung einer Angriffsinfrastruktur aus über einhundert Computersystemen weltweit und davon, dass ein großer Teil der zentralen Serverinfrastruktur der Gruppe vom Netz genommen wurde. Eurojust ergänzte die deutsche Perspektive und nannte als Ziele in Deutschland ausdrücklich Rüstungsfabriken, Energieversorger und Regierungsorganisationen.

Sicherheitsforscher von Imperva ordnen NoName057(16) als eine der aktivsten prorussischen Hacktivisten-Gruppen ein, die seit März 2022 vor allem durch groß angelegte DDoS-Angriffe auffällt. Diese Einschätzung deckt sich mit den ENISA-Daten. Bundesinnenminister Alexander Dobrindt verortet Deutschland im internationalen Vergleich als eines der vier wichtigsten Angriffsziele weltweit, hinter den USA, Indien und Japan.

Historischer Kontext: Hacktivismus seit dem Ukraine-Krieg

Politisch motivierter Hacktivismus ist nicht neu, doch der russische Angriffskrieg gegen die Ukraine hat ihn ab 2022 in eine neue Phase getrieben. Vor dem Krieg dominierten lose Kollektive wie Anonymous die öffentliche Wahrnehmung. Seitdem haben sich entlang der geopolitischen Frontlinien dauerhafte Gruppen formiert, die ihre Angriffe als digitale Verlängerung des Konflikts verstehen. NoName057(16) entstand exakt in diesem Moment im März 2022.

Die Vorgängergeneration prorussischer Hacktivisten war Killnet, das 2022 und 2023 Schlagzeilen mit DDoS-Angriffen auf westliche Ziele machte. NoName057(16) hat diese Rolle übernommen und professionalisiert. Der entscheidende Unterschied liegt im Belohnungssystem und in der Software DDoSia, die das Mitmachen industrialisiert. Aus spontaner Empörung wurde ein dauerhaft betriebenes Netzwerk mit Anreizstruktur.

Die Antwort der Strafverfolgung hat sich parallel entwickelt. Frühe Reaktionen beschränkten sich auf Warnungen und einzelne Server-Beschlagnahmen. Operation Eastwood markierte 2025 eine neue Qualität, weil sie zwölf Länder, Haftbefehle und gezielte Abschreckung gegen einfache Unterstützer kombinierte. Dass die Gruppe dennoch zurückkehrte, zeigt die Grenzen rein polizeilicher Ansätze gegen ideologisch getriebene Schwärme.

Wettbewerb der Hacktivisten: NoName057(16) im Vergleich

NoName057(16) ist nicht allein. Mehrere prorussische und ideologisch verwandte Gruppen konkurrieren um Aufmerksamkeit und Ziele. Keymous+ und Mr Hamza erscheinen in den ENISA-Daten als nächstgrößere Akteure im Bereich hacktivistischer DDoS-Angriffe. Der Vergleich zeigt, dass NoName057(16) durch sein Belohnungssystem und die DDoSia-Plattform einen strukturellen Vorsprung bei der Mobilisierung hat.

Im Unterschied zu finanziell motivierten Banden verfolgen diese Gruppen keine Lösegeldstrategie. Ihr Erfolgsmaßstab ist Reichweite, nicht Profit. Das verändert die Abwehrlogik grundlegend. Während man Ransomware-Banden über das Geld treffen kann, etwa durch Sanktionen gegen Krypto-Adressen, lässt sich ein ideologischer Schwarm so kaum austrocknen. Die Bekämpfung muss bei Infrastruktur, Identifizierung und Abschreckung ansetzen.

Bemerkenswert ist auch die Überschneidung mit klassischer Cyberkriminalität. Der aktuelle DACH-Bericht von Check Point verzeichnete für 2025 einen Anstieg der kombinierten Hacktivismus- und Ransomware-Vorfälle um 124 Prozent, wobei Deutschland 82 Prozent aller Vorfälle in der Region auf sich zog und Defacement mit 66 Prozent die häufigste Angriffsart war. Mehr Details liefert unsere Analyse zum 124-Prozent-Anstieg der Cyberangriffe.

So schützen sich deutsche Organisationen vor DDoS

Gegen DDoS-Angriffe hilft kein einzelnes Produkt, sondern eine geschichtete Verteidigung. An erster Stelle steht ein spezialisierter Mitigation-Dienst, der bösartigen Datenverkehr filtert, bevor er die eigenen Server erreicht. Content-Delivery-Netzwerke verteilen die Last über viele Standorte und absorbieren Angriffsspitzen. Wer kritische Dienste betreibt, sollte diese Kapazität dauerhaft vorhalten und nicht erst im Angriffsfall zuschalten.

Ebenso wichtig ist die Vorbereitung auf den Ernstfall. Ein eingeübter Notfallplan legt fest, wer entscheidet, wie kommuniziert wird und welche Systeme priorisiert online bleiben. Da NoName057(16) seine Angriffe oft an tagespolitische Ereignisse koppelt, lohnt sich ein Frühwarnsystem, das geopolitische Auslöser mit der eigenen Bereitschaft verknüpft. Verteidigung beginnt mit Erwartungsmanagement.

Grundlegende Hygiene bleibt die Basis. Aktuelle Patches schließen Schwachstellen, über die Angreifer zusätzliche Ressourcen kapern könnten. Eine saubere Verschlüsselung sensibler Verbindungen verhindert, dass ein DDoS-Ablenkungsmanöver einen Datendiebstahl verdeckt. Wer die Grundlagen sichern will, findet in unserem Überblick zur aktuellen Bedrohungslage des BSI einen guten Ausgangspunkt.

5 Prognosen für die DDoS-Bedrohung bis Ende 2026

Erstens wird NoName057(16) aktiv bleiben. Die Rückkehr nach Operation Eastwood zeigt, dass die dezentrale Struktur Polizeischläge übersteht. Solange der Krieg in der Ukraine andauert, fehlt der ideologische Treibstoff nicht. Deutsche Organisationen sollten von weiteren Angriffswellen ausgehen, getaktet nach politischen Ereignissen.

Zweitens wird die Gamification zunehmen. Krypto-Belohnungen senken die Hürde und erweitern den Teilnehmerkreis. Andere Gruppen dürften das Modell kopieren, weil es Mobilisierung skalierbar macht. Drittens verschmelzen Hacktivismus und Cyberkriminalität weiter. Der DACH-Anstieg um 124 Prozent deutet darauf hin, dass politische und finanzielle Motive bei Angriffen zunehmend zusammenfallen.

Viertens werden Behörden ihre Taktik anpassen. Nach Eastwood ist klar, dass einzelne Festnahmen wenig bewirken. Künftige Operationen dürften stärker auf dauerhafte Störung der Infrastruktur und auf die Abschreckung gewöhnlicher Unterstützer setzen. Fünftens steigt der regulatorische Druck. Mit NIS2 und dem Cyber Resilience Act wächst die Pflicht, Verfügbarkeit nachzuweisen und Vorfälle zu melden, was DDoS-Resilienz zur Compliance-Frage macht.

Häufig gestellte Fragen zu NoName057(16) und DDoS-Angriffen

Wer ist NoName057(16)?

NoName057(16) ist eine prorussische Hacktivisten-Gruppe, die seit März 2022 aktiv ist. Sie ist bekannt für groß angelegte DDoS-Angriffe auf Regierungs-, Medien- und Infrastrukturseiten in Europa und betreibt dafür die Angriffssoftware DDoSia.

Was war Operation Eastwood?

Operation Eastwood war eine von Europol und Eurojust koordinierte internationale Aktion zwischen dem 14. und 17. Juli 2025. Behörden aus zwölf Ländern nahmen über 100 Serversysteme vom Netz, erließen sieben Haftbefehle und führten zwei Festnahmen sowie 24 Hausdurchsuchungen durch.

Warum ist die Gruppe 2026 wieder aktiv?

Die Struktur von NoName057(16) ist dezentral. Ein kleiner Kern koordiniert, während Tausende Freiwillige angreifen. Werden Server beschlagnahmt oder Köpfe enttarnt, baut das Netzwerk neue Kapazitäten auf. Krypto-Belohnungen sorgen für stetigen Nachschub an Teilnehmern.

Wie stark ist Deutschland betroffen?

Laut Europol erlebte Deutschland seit November 2023 14 separate Angriffswellen gegen mehr als 250 Unternehmen und Institutionen. Zu den Zielen zählten Rüstungsfabriken, Energieversorger und Regierungsorganisationen.

Wie gefährlich sind DDoS-Angriffe im Vergleich zu Ransomware?

DDoS-Angriffe stehlen keine Daten und fordern kein Lösegeld, sie legen Dienste lahm. Der Schaden entsteht durch Ausfallzeiten, Umsatzverluste und Vertrauensverlust. Ransomware verursacht in der Regel höhere direkte Kosten, DDoS dagegen häufigere und sichtbarere Störungen.

Wie können sich Unternehmen schützen?

Wirksam ist eine geschichtete Verteidigung aus spezialisierten DDoS-Mitigation-Diensten, Content-Delivery-Netzwerken, einem eingeübten Notfallplan und einem Frühwarnsystem für geopolitische Auslöser. Aktuelle Patches und saubere Verschlüsselung bilden die Grundlage.

Wer steht an der Spitze der Gruppe?

Europol nennt Mikhail Burlakov und Maxim Lupin als mutmaßliche Hauptkoordinatoren, die das DDoSia-Werkzeug entwickelt und gewartet sowie die Server bezahlt haben sollen. Beide befinden sich außerhalb der Reichweite europäischer Strafverfolgung.

Welche Rolle spielt das Werkzeug DDoSia?

DDoSia ist die zentrale Angriffssoftware der Gruppe. Unterstützer installieren sie, verbinden ihre Rechner mit den Kommandoservern und werden Teil eines koordinierten Angriffs. Die Krypto-Belohnungen koppeln sich direkt an den erzeugten Datenverkehr.