Knapp ein Jahr nach der international gefeierten Zerschlagung steht die prorussische Hacktivisten-Gruppe NoName057(16) im Juni 2026 wieder im Zentrum der deutschen Cyber-Bedrohungslage. Eine Untersuchung der Moscow Times vom 29. April 2026 belegt, dass das Kollektiv seine DDoS-Angriffe auf Regierungen, Banken und kritische Infrastruktur in Europa nicht nur fortsetzt, sondern mit Krypto-Belohnungen gezielt anheizt. Deutschland z\u00e4hlt dabei laut Europol zu den am h\u00e4rtesten getroffenen L\u00e4ndern: Seit November 2023 registrierten die Ermittler 14 separate Angriffswellen gegen mehr als 250 Unternehmen und Institutionen.<\/p>\n\n\n\n
Die Operation Eastwood hatte im Juli 2025 als Erfolg gegolten. Europol und Eurojust nahmen die zentrale Infrastruktur der Gruppe vom Netz, koordinierten Beh\u00f6rden aus zw\u00f6lf L\u00e4ndern und erlie\u00dfen sieben Haftbefehle. Doch die dezentrale Struktur von NoName057(16) hat den Schlag \u00fcberstanden. Wer verstehen will, warum ein loses Netzwerk aus Freiwilligen einem staaten\u00fcbergreifenden Polizeieinsatz standh\u00e4lt, muss die Mechanik dieser Gruppe kennen. Dieser Beitrag analysiert die Fakten, die Zahlen und die Folgen f\u00fcr die DACH-Region.<\/p>\n\n\n\n
Die DDoS-Welle gegen deutsche Ziele ebbt nicht ab. Prorussische Hacktivisten \u00fcberfluten Webseiten von Beh\u00f6rden, Flugh\u00e4fen, Banken und R\u00fcstungsunternehmen mit Anfragen, bis die Server unter der Last zusammenbrechen. Anders als bei Ransomware flie\u00dfen dabei keine Daten ab und es gibt keine L\u00f6segeldforderung. Das Ziel ist Sichtbarkeit. Jede ausgefallene Webseite eines Ministeriums oder eines Energieversorgers liefert ein Propagandabild, das die Gruppe in ihren Telegram-Kan\u00e4len feiert.<\/p>\n\n\n\n
Die Untersuchung der Moscow Times vom 29. April 2026 zeigt, dass NoName057(16) seine Anh\u00e4nger mit Kryptow\u00e4hrung belohnt, wenn sie an Angriffen teilnehmen. Dieses Belohnungsmodell macht aus einem politischen Protest ein Spiel mit Bestenlisten und Auszahlungen. Die Gruppe rekrutiert damit auch technisch wenig versierte Unterst\u00fctzer, die lediglich eine Software starten m\u00fcssen. Genau dieser Ansatz erkl\u00e4rt, warum die Festnahmen einzelner K\u00f6pfe die Schlagkraft des Netzwerks kaum mindern.<\/p>\n\n\n\n
F\u00fcr deutsche Organisationen bedeutet das eine andauernde Belastung. Die Angriffe folgen oft tagespolitischen Ereignissen. Liefert die Bundesregierung neue Waffen an die Ukraine oder \u00e4u\u00dfert sich ein Minister kritisch zu Russland, steigt das Risiko einer Angriffswelle innerhalb von Stunden. Diese Vorhersagbarkeit hilft Verteidigern, sie macht die Angriffe aber auch zu einem st\u00e4ndigen geopolitischen Stimmungsbarometer.<\/p>\n\n\n\n
NoName057(16) ist seit M\u00e4rz 2022 aktiv, also seit dem Beginn des russischen Angriffskriegs gegen die Ukraine. Die Gruppe entstand als digitale Reaktion auf die westliche Unterst\u00fctzung Kiews und positionierte sich von Anfang an als ideologisch motiviert. Sicherheitsforscher von Imperva bezeichnen das Kollektiv als eine der aktivsten prorussischen Hacktivisten-Strukturen Europas, bekannt vor allem f\u00fcr gro\u00df angelegte DDoS-Angriffe auf Regierungs-, Medien- und Infrastrukturseiten.<\/p>\n\n\n\n
Der Name selbst ist kryptisch und folgt keiner offensichtlichen Logik. Wichtiger als die Bezeichnung ist die Organisationsform. NoName057(16) funktioniert nicht wie eine klassische kriminelle Bande mit klarer Hierarchie, sondern wie ein Schwarm. Ein kleiner Kern entwickelt die Werkzeuge und koordiniert die Ziele, w\u00e4hrend Tausende von Freiwilligen die eigentliche Angriffsleistung beisteuern. Diese Trennung zwischen Architekten und Fu\u00dfsoldaten ist der Kern der Widerstandsf\u00e4higkeit.<\/p>\n\n\n\n
Das technische Herzst\u00fcck der Gruppe ist das Werkzeug DDoSia. Europol identifiziert es als die zentrale Angriffssoftware, die das Netzwerk verteilt. Unterst\u00fctzer installieren das Programm, verbinden es mit den Kommandoservern der Gruppe und ihre Rechner werden Teil eines koordinierten Angriffs. Die Belohnungsmechanik koppelt sich direkt an diese Software: Wer mehr Datenverkehr gegen ein Ziel schleudert, klettert in der Rangliste und erh\u00e4lt h\u00f6here Krypto-Auszahlungen.<\/p>\n\n\n\n
Dieser Aufbau senkt die Einstiegsh\u00fcrde drastisch. Es braucht kein tiefes technisches Wissen, um mitzumachen. Genau das unterscheidet moderne Hacktivisten-Netzwerke von professionellen Ransomware-Banden wie Akira<\/a> oder Qilin<\/a>, die auf spezialisierte Operatoren und Affiliate-Modelle setzen.<\/p>\n\n\n\n Zwischen dem 14. und 17. Juli 2025 schlugen die Ermittler zu. Die von Europol und Eurojust koordinierte Operation Eastwood richtete sich gegen die Kerninfrastruktur von NoName057(16). Beh\u00f6rden aus zw\u00f6lf L\u00e4ndern arbeiteten zusammen und nahmen einen gro\u00dfen Teil der zentralen Serverinfrastruktur der Gruppe vom Netz. Europol beschrieb das Ergebnis als die St\u00f6rung einer Angriffsinfrastruktur aus mehr als einhundert Computersystemen weltweit.<\/p>\n\n\n\n Die nackten Zahlen wirkten beeindruckend. Doch die Festnahmen blieben mit zwei Personen \u00fcberschaubar, und die mutma\u00dflichen Hauptverantwortlichen sitzen au\u00dferhalb der Reichweite europ\u00e4ischer Justiz. Die folgende Tabelle fasst die offizielle Bilanz der Operation zusammen.<\/p>\n\n\n\nOperation Eastwood: die Bilanz der Zerschlagung vom Juli 2025<\/h2>\n\n\n\n