In drei koordinierten Schl\u00e4gen hat Europol zwischen Mai 2024 und November 2025 mehr als 1.425 Server demontiert, \u00fcber \u20ac21 Millionen in Kryptow\u00e4hrung beschlagnahmt und 14 der gef\u00e4hrlichsten Malware-Familien der Welt aus dem Verkehr gezogen. Operation Endgame, die bisher gr\u00f6\u00dfte internationale Strafverfolgungsaktion gegen Botnet-Infrastruktur, schreibt weiter Geschichte. Das Bundeskriminalamt (BKA) war in allen drei Phasen aktiv beteiligt. Dieser Bericht analysiert den Verlauf, die Ergebnisse und was als N\u00e4chstes kommt.<\/p>\n\n\n\n
Operation Endgame ist eine fortlaufende, multinationale Strafverfolgungskampagne unter F\u00fchrung von Europol und Eurojust, die sich gegen sogenannte Initial-Access-Malware<\/strong> richtet. Diese Schadsoftware, oft als Dropper oder Loader bezeichnet, ist das erste Glied in der Ransomware-Lieferkette. Cyberkriminelle nutzen sie, um Zugang zu Unternehmensnetzwerken zu erlangen und dann Ransomware, Spyware oder andere Schadprogramme nachzuladen.<\/p>\n\n\n\n Die Operation wurde 2022 vom BKA als gemeinsames internationales Ermittlungsverfahren initiiert und hat sich seitdem zu einer der bedeutendsten Strafverfolgungsaktionen im Bereich der Cyberkriminalit\u00e4t entwickelt. Europol beschreibt sie als “die gr\u00f6\u00dfte jemals durchgef\u00fchrte Operation gegen Botnets”<\/strong>. Kernstrategie: Anstatt einzelne T\u00e4ter zu jagen, wird die Infrastruktur zerst\u00f6rt, auf die Kriminelle angewiesen sind.<\/p>\n\n\n\n Am 27. bis 30. Mai 2024 koordinierten Beh\u00f6rden aus den Niederlanden, Deutschland, Frankreich, D\u00e4nemark, den USA und Gro\u00dfbritannien, unterst\u00fctzt von Europol und Eurojust, den ersten massiven Schlag gegen Dropper-Malware-Infrastruktur. Das Ergebnis war beeindruckend: \u00dcber 100 Server<\/strong> wurden abgeschaltet, mehr als 2.000 Domains<\/strong> beschlagnahmt oder \u00fcbernommen, und \u00fcber 10.000 infizierte Systeme<\/strong> konnten desinfiziert werden.<\/p>\n\n\n\n Die Zielliste in Phase 1 umfasste einige der gef\u00e4hrlichsten Malware-Familien der Welt: IcedID<\/strong> (auch bekannt als BokBot), Smokeloader<\/strong>, SystemBC<\/strong>, Pikabot<\/strong> und Bumblebee<\/strong>. Diese Loader wurden bevorzugt genutzt, um Ransomware-Gruppen wie Akira, Conti-Nachfolger und Cl0p in Zielnetzwerke einzuschleusen.<\/p>\n\n\n\n Besonders spektakul\u00e4r war der finanzielle Aspekt der ersten Phase: Ermittler stellten fest, dass ein Hauptverd\u00e4chtiger \u20ac69 Millionen in Kryptow\u00e4hrung<\/strong> angeh\u00e4uft hatte, die mit den kriminellen Aktivit\u00e4ten in Verbindung standen. Beschlagnahmen wurden vorbereitet. Vier Verd\u00e4chtige wurden in Armenien und der Ukraine festgenommen. Das BKA war aktiv an der Koordination beteiligt, und Server auf deutschem Territorium wurden als Teil des Takedowns abgeschaltet.<\/p>\n\n\n\n Ein Jahr nach dem ersten Schlag war klar: Die Cyberkriminellen hatten ihre Infrastruktur teilweise neu aufgebaut. Europols Direktorin Catherine De Bolle kommentierte die Wiederherstellung mit den Worten: “These new phases demonstrate law enforcement’s ability to adapt and strike again, even as cybercriminals retool and reorganise.”<\/strong><\/p>\n\n\n\n In der zweiten Phase, die ebenfalls im Mai 2025 durchgef\u00fchrt wurde, richteten sich die Ermittler gegen neue Malware-Varianten und Nachfolgegruppen<\/strong>, die nach den Takedowns von 2024 entstanden waren. Die Ergebnisse: 300 weitere Server<\/strong> abgeschaltet, 650 Domains<\/strong> \u00fcbernommen und 20 internationale Haftbefehle<\/strong> ausgestellt. Die anvisierten Malware-Familien dieser Phase waren: Bumblebee<\/strong> (erneut), Lactrodectus<\/strong>, Qakbot<\/strong> (ebenfalls erneut aktiv), HijackLoader<\/strong>, DanaBot<\/strong>, TrickBot<\/strong> und WARMCOOKIE<\/strong>.<\/p>\n\n\n\n Die Gesamtmenge beschlagnahmter Kryptow\u00e4hrungen stieg nach Phase 2 auf \u00fcber \u20ac17,7 Millionen<\/strong>. Catherine De Bolle bekr\u00e4ftigte die langfristige Ausrichtung der Operation: “By disrupting the services criminals rely on to deploy ransomware, we are breaking the kill chain at its source.”<\/strong> Die Botschaft war unmissverst\u00e4ndlich: Endgame ist kein einmaliger Schlag, sondern eine Dauerkampagne.<\/p>\n\n\n\n Vom 10. bis 13. November 2025 f\u00fchrte Europol die bisher gr\u00f6\u00dfte Einzelaktion von Operation Endgame durch. In koordinierten Razzien in mehreren L\u00e4ndern wurden \u00fcber 1.025 Server weltweit abgeschaltet oder gest\u00f6rt<\/strong>. Die Zielsetzung dieser Phase 3, die Europol als Start von “Season 3” ank\u00fcndigte, war die Infrastruktur hinter drei besonders gef\u00e4hrlichen Bedrohungen: dem Infostealer Rhadamanthys<\/strong>, dem Remote-Access-Trojaner VenomRAT<\/strong> und dem Elysium-Botnet<\/strong>.<\/p>\n\n\n\n Bereits am 3. November 2025, eine Woche vor Beginn der koordinierten Aktion, wurde der Hauptverd\u00e4chtige hinter VenomRAT in Griechenland verhaftet<\/strong>. Gleichzeitig f\u00fchrten Beh\u00f6rden in Deutschland, Griechenland und den Niederlanden Hausdurchsuchungen durch, darunter eine Razzia in Deutschland<\/strong>. Die Beschlagnahme von zus\u00e4tzlichen \u20ac3,5 Millionen in Kryptow\u00e4hrung<\/strong> brachte die Gesamtsumme aller beschlagnahmten Mittel aus Operation Endgame auf mehr als \u20ac21,2 Millionen<\/strong>.<\/p>\n\n\n\n Der Umfang der Phase-3-Opfer verdeutlicht das Ausma\u00df der Bedrohung: Die zerst\u00f6rte Infrastruktur hatte Hunderttausende von Computern weltweit<\/strong> infiziert und enthielt mehrere Millionen gestohlene Zugangsdaten<\/strong>. Der Hauptverd\u00e4chtige hinter dem Infostealer hatte Zugriff auf \u00fcber 100.000 Krypto-Wallets<\/strong> der Opfer, potenziell im Wert von Millionen von Euro. Shadowserver versendete Benachrichtigungen an CSIRTs in 175 L\u00e4ndern<\/strong> und \u00fcber 10.000 Netzbetreiber<\/strong> weltweit.<\/p>\n\n\n\n Operation Endgame hat in seinen drei Phasen einen breiten Querschnitt der gef\u00e4hrlichsten Malware-\u00d6kosysteme angegriffen. Jede Familie erf\u00fcllte eine spezifische Rolle in der cyberkriminellen Lieferkette. Die folgende Tabelle zeigt alle anvisierten Malware-Familien und ihre Eigenschaften:<\/p>\n\n\n\nPhase 1 (Mai 2024): Der erste gro\u00dfe Schlag gegen IcedID, Smokeloader und Bumblebee<\/h2>\n\n\n\n
Phase 2 (Mai 2025): Kriminelle Gruppen bauen wieder auf, Endgame schl\u00e4gt erneut zu<\/h2>\n\n\n\n
Phase 3 (November 2025): 1.025 Server zerst\u00f6rt, VenomRAT-Verd\u00e4chtiger in Griechenland verhaftet<\/h2>\n\n\n\n
Die Malware-Familien im \u00dcberblick: Von IcedID bis Elysium<\/h2>\n\n\n\n