Am 26. M\u00e4rz 2026 entdeckte die Bundespartei Die Linke eine schwerwiegende Kompromittierung ihrer IT-Infrastruktur. Einen Tag sp\u00e4ter best\u00e4tigte die Partei \u00f6ffentlich den Angriff. Am 1. April 2026 beanspruchte die russischsprachige Ransomware-Gruppe Qilin die Tat f\u00fcr sich, ver\u00f6ffentlichte Die Linke auf ihrer Tor-basierten Datenleckseite und drohte mit der Ver\u00f6ffentlichung gestohlener interner Dokumente und pers\u00f6nlicher Daten von Mitarbeiterinnen und Mitarbeitern der Bundesgesch\u00e4ftsstelle. Sch\u00e4tzungen zufolge wurden bis zu 1,5 Terabyte Daten exfiltriert, obwohl Die Linke betonte, dass die Mitgliederdatenbank mit 123.000 registrierten Mitgliedern nicht betroffen sei.<\/p>\n\n\n\n
Der Angriff ist nicht isoliert. Er reiht sich ein in eine Serie gezielter Cyberangriffe auf deutsche Parteien, die Sicherheitsexperten als Teil einer breiteren Destabilisierungsstrategie gegen demokratische Institutionen einordnen. Die Linke selbst erkl\u00e4rte, der Angriff erscheine in diesem Kontext nicht zuf\u00e4llig.<\/p>\n\n\n\n
Die Zeitachse des Angriffs zeigt ein f\u00fcr Qilin typisches Vorgehen: Zun\u00e4chst erfolgte eine unauff\u00e4llige Infiltration, dann Datenexfiltration, schlie\u00dflich die \u00f6ffentliche Enth\u00fcllung mit maximaler Druckwirkung.<\/p>\n\n\n\n
26. M\u00e4rz 2026:<\/strong> IT-Sicherheitsteams der Bundespartei entdecken ungew\u00f6hnliche Aktivit\u00e4ten im Netzwerk. Die Partei schaltet Teile ihrer IT-Systeme sofort ab, um eine weitere Ausbreitung zu verhindern. Gleichzeitig werden unabh\u00e4ngige IT-Experten hinzugezogen und eine Strafanzeige bei der Polizei erstattet.<\/p>\n\n\n\n 27. M\u00e4rz 2026:<\/strong> Die Linke gibt eine offizielle Pressemitteilung heraus und best\u00e4tigt einen schwerwiegenden Cyberangriff. In der Mitteilung hei\u00dft es: “Den Angreifern ist es nach aktuellem Kenntnisstand nicht gelungen, Mitgliederdaten zu stehlen. Die Mitgliederdatenbank der Partei war nicht betroffen.” Gleichzeitig warnt die Partei, dass interne Dokumente und pers\u00f6nliche Daten von Besch\u00e4ftigten der Bundesgesch\u00e4ftsstelle m\u00f6glicherweise kompromittiert wurden.<\/p>\n\n\n\n 1. April 2026:<\/strong> Die Ransomware-Gruppe Qilin ver\u00f6ffentlicht Die Linke offiziell auf ihrer Darknet-Datenleckseite. Die Gruppe f\u00fcgt die Partei ihrer Opferliste hinzu, ohne zu diesem Zeitpunkt konkrete Daten als Beweis hochzuladen, und setzt eine implizite Frist f\u00fcr Verhandlungen.<\/p>\n\n\n\n Laut Sicherheitsforschern von Neuracyb Intelligence k\u00f6nnten die Angreifer bis zu 1,5 Terabyte interne Daten exfiltriert haben. Diese Zahl ist bislang offiziell nicht best\u00e4tigt. Betroffen k\u00f6nnten strategische Planungsdokumente, interne Kommunikation, administrative Unterlagen und pers\u00f6nliche Daten von Besch\u00e4ftigten am Hauptsitz sein. \u00dcber L\u00f6segeldforderungen oder -zahlungen machte die Partei keine Angaben.<\/p>\n\n\n\n Qilin, auch bekannt unter dem Namen Agenda, ist seit Juli 2022 aktiv und hat sich bis Mitte 2026 zu einer der produktivsten Ransomware-Gruppen weltweit entwickelt. Das Besondere an Qilin ist sein technisches Fundament: Die Malware ist in den Programmiersprachen Rust und Go geschrieben. Beide Sprachen machen die Analyse und Erkennung durch herk\u00f6mmliche Sicherheitssoftware deutlich schwieriger und erm\u00f6glichen gleichzeitig Angriffe auf Windows, Linux und VMware ESXi-Systeme mit einem einzigen Codebasis-Ansatz.<\/p>\n\n\n\n Qilin operiert als Ransomware-as-a-Service (RaaS). Das bedeutet: Ein Kernteam entwickelt und pflegt die Malware sowie die Infrastruktur, w\u00e4hrend externe Affiliates die eigentlichen Angriffe durchf\u00fchren. Die Einnahmenteilung ist dabei besonders attraktiv gestaltet: Affiliates erhalten 80 Prozent aller L\u00f6segeldzahlungen bis zu drei Millionen US-Dollar sowie 85 Prozent aller Zahlungen \u00fcber dieser Grenze. Dieses Modell macht Qilin zu einem der finanziell attraktivsten Angebote im kriminellen Untergrund.<\/p>\n\n\n\n Sicherheitsforscher des Unternehmens MoxFive dokumentierten in ihrem Qilin-Bericht von Juni 2026, dass die Gruppe seit ihrem Start insgesamt mehr als 1.500 Opfer beanspruchte, davon \u00fcber 500 allein im Jahr 2026. Damit ist Qilin die nach eigenen Angaben aktivste Ransomware-Operation im aktuellen Datensatz des Unternehmens. Im Jahr 2025 geh\u00f6rte Qilin laut mehreren Bedrohungsanalysten zu den f\u00fcnf aktivsten Ransomware-Gruppen weltweit, mit monatlichen Opferzahlen, die zeitweise mit der Gruppe Akira mithalten konnten.<\/p>\n\n\n\n Sicherheitsforscher von The Record gelang es, die Qilin-Infrastruktur verdeckt zu infiltrieren und dabei einen direkten Blick auf das Betriebsmodell der Gruppe zu gewinnen. Der Administrator des RaaS-Programms best\u00e4tigte dabei pers\u00f6nlich die Einnahmenteilung und beschrieb die technischen F\u00e4higkeiten der Malware. F\u00fcr die Verteidiger besonders beunruhigend: Es gibt bis heute keinen \u00f6ffentlich verf\u00fcgbaren Entschl\u00fcsseler f\u00fcr Qilin-Angriffe.<\/p>\n\n\n\n Die Linke kommunizierte zum Angriff bewusst differenziert: Die Mitgliederdatenbank mit den Daten der 123.000 registrierten Parteimitglieder blieb unber\u00fchrt. Das ist eine bedeutende Einschr\u00e4nkung des Schadens, da Mitgliederdaten besonders sch\u00fctzenswert sind und im politischen Kontext f\u00fcr gezielte Einsch\u00fcchterungen oder Desinformationskampagnen missbraucht werden k\u00f6nnten.<\/p>\n\n\n\n Betroffen waren jedoch offenbar andere Bereiche der Parteiinfrastruktur. Die offizielle Mitteilung der Partei nannte ausdr\u00fccklich sensible Daten aus internen Parteibereichen sowie pers\u00f6nliche Informationen von Besch\u00e4ftigten der Bundesgesch\u00e4ftsstelle. Dazu k\u00f6nnten Gehaltsabrechnungen, interne E-Mail-Kommunikation, strategische Dokumente zur Parteif\u00fchrung, Vertragsdaten und m\u00f6glicherweise Informationen \u00fcber Spendengeberinnen und Spendengeber geh\u00f6ren.<\/p>\n\n\n\n Qilin verwendet standardm\u00e4\u00dfig ein Zweistufenmodell der Erpressung. In der ersten Stufe verschl\u00fcsseln die Angreifer die Daten und verlangen ein L\u00f6segeld f\u00fcr den Entschl\u00fcsselungsschl\u00fcssel. In der zweiten Stufe drohen sie mit der Ver\u00f6ffentlichung der exfiltrierten Daten auf ihrer Darknet-Plattform, wenn kein L\u00f6segeld gezahlt wird oder Verhandlungen scheitern. Dar\u00fcber hinaus sind Qilin-Affiliates daf\u00fcr bekannt, Druck zu verst\u00e4rken, indem sie direkt F\u00fchrungskr\u00e4fte aus den gestohlenen Daten kontaktieren oder Gesch\u00e4ftspartner der Opferorganisation informieren.<\/p>\n\n\n\n F\u00fcr eine politische Partei bedeutet das eine besondere Risikodimension: Selbst wenn kein L\u00f6segeld gezahlt wird, k\u00f6nnten ver\u00f6ffentlichte interne Kommunikationen politische Enth\u00fcllungen erzeugen, strategische Planungsdokumente Einblicke in kommende Kampagnen geben oder pers\u00f6nliche Daten von Mitarbeiterinnen und Mitarbeitern f\u00fcr zielgerichtete Folgeangriffe genutzt werden.<\/p>\n\n\n\n Die Linke bezog in ihrer Stellungnahme eine klare Haltung: Die Angreifer seien russischsprachige Cyberkriminelle mit sowohl finanziellen als auch politischen Motiven, und der Angriff erscheine “in diesem Kontext nicht zuf\u00e4llig.” Die Partei sprach explizit von hybrider Kriegsf\u00fchrung und stellte eine Verbindung zu den breiteren geopolitischen Zielen Moskaus her.<\/p>\n\n\n\n Diese Einsch\u00e4tzung ist nachvollziehbar, wenn man die j\u00fcngsten Entwicklungen betrachtet. Deutschland ist mit seinem Engagement f\u00fcr die Ukraine zu einem bevorzugten Ziel russischsprachiger Bedrohungsakteure geworden. Gleichzeitig operiert Qilin als RaaS-Gruppe, bei der die technischen Operatoren nicht zwingend staatlich gesteuert sind, aber dennoch politisch motiviert agieren k\u00f6nnen oder deren Dienste von staatlichen Stellen in Auftrag gegeben werden.<\/p>\n\n\n\n Thomas Boele, Regional Director Sales Engineering DACH bei Check Point Software, kommentierte im Fr\u00fchjahr 2026 den allgemeinen Kontext der Angriffswelle: “In Deutschland haben wir uns mittlerweile an einen zweistelligen monatlichen Anstieg der Angriffszahlen gew\u00f6hnt. Die Attacken zielen weiterhin verst\u00e4rkt auf kritische Infrastruktur und \u00f6ffentliche Institutionen.” Politische Parteien fallen in Deutschland unter die kritische gesellschaftliche Infrastruktur, die besonders sch\u00fctzenswert ist.<\/p>\n\n\n\n Das Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) registrierte im Berichtszeitraum Juli 2024 bis Juni 2025 durchschnittlich 119 neue Sicherheitsl\u00fccken pro Tag, ein Anstieg von 24 Prozent. Diese L\u00fccken bieten Qilin-Affiliates und anderen Bedrohungsgruppen kontinuierlich neue Angriffsvektoren.<\/p>\n\n\n\n Der Angriff auf Die Linke steht nicht allein. Alle gro\u00dfen deutschen Parteien sind in den vergangenen Jahren Ziel schwerwiegender Cyberangriffe geworden, was Sicherheitsanalysten zu der Einsch\u00e4tzung veranlasst, dass es sich nicht um opportunistische Angriffe, sondern um eine systematische Destabilisierungsstrategie handelt.<\/p>\n\n\n\n Die SPD wurde in einem fr\u00fcheren Angriff Opfer des russischen Staatshackers APT28, einer Gruppe, die dem russischen Milit\u00e4rgeheimdienst GRU zugeordnet wird. Dieser Angriff wurde offiziell der russischen Regierung zugeschrieben und f\u00fchrte zu diplomatischen Reaktionen. Die CDU, als f\u00fchrende Oppositionspartei, berichtete Anfang 2026 ebenfalls von einem schwerwiegenden Cybervorfall. Nun folgte Die Linke.<\/p>\n\n\n\n Sicherheitsanalysten, die den Fall f\u00fcr verschiedene Bedrohungsforschungsunternehmen untersuchten, betonten, dass das \u00fcbergeordnete Ziel dieser Angriffe nicht in der Unterst\u00fctzung einer bestimmten politischen Richtung liege. Das Ziel sei vielmehr, das Vertrauen der \u00d6ffentlichkeit in demokratische Institutionen generell zu ersch\u00fcttern und systemisches Chaos zu erzeugen. In diesem Sinne sind alle Parteien gleicherma\u00dfen Ziele, unabh\u00e4ngig von ihrer politischen Ausrichtung.<\/p>\n\n\n\n Die H\u00e4ufung dieser Angriffe im Jahr 2026 korreliert mit einem Anstieg der gesamten Cyberangriffe auf Deutschland um 124 Prozent im Jahr 2025, den Check Point Software Technologies in seinem DACH-Bericht vom Mai 2026 dokumentierte. Deutschland allein machte dabei \u00fcber 80 Prozent aller Vorf\u00e4lle in der DACH-Region aus.<\/p>\n\n\n\n Qilin-Affiliates nutzen eine bew\u00e4hrte Kombination aus mehreren Angriffsvektoren, um in Zielnetzwerke einzudringen. Die h\u00e4ufigsten Methoden umfassen Phishing und gezieltes Spear-Phishing, gestohlene VPN-Zugangsdaten, die \u00fcber Initial Access Broker (IABs) oder Infostealer beschafft wurden, sowie die Ausnutzung exponierter Remote-Access-Dienste wie RDP (Remote Desktop Protocol) und Citrix-Schnittstellen.<\/p>\n\n\n\n Besonders bemerkenswert ist ein im Sommer 2025 dokumentierter neuer Angriffsvektor: Qilin-Affiliates begannen, Google Chrome-Anmeldedaten gezielt zu stehlen und dabei erhebliche Mengen gespeicherter Passw\u00f6rter aus den Browserprofilen zu exfiltrieren. Diese Methode liefert Zugangsdaten zu weiteren Unternehmenssystemen und Cloud-Diensten, die dann f\u00fcr Folgeattacken genutzt werden.<\/p>\n\n\n\n Seit Mai 2026 wurde zus\u00e4tzlich CVE-2026-50751, eine kritische Schwachstelle in Check Point Remote Access VPN, als erster Angriffsvektor bei Qilin-Angriffen best\u00e4tigt. Diese Schwachstelle mit einem CVSS-Score von 9.3 erlaubt einen Authentifizierungsbypass und wurde aktiv ausgenutzt, bevor ein Patch verf\u00fcgbar war.<\/p>\n\n\n\n Nach dem initialen Zugang bewegen sich Qilin-Affiliates lateral durch das Netzwerk, nutzen dabei eingebaute Windows-Administrationswerkzeuge, um nicht erkannt zu werden, und exfiltrieren sensible Daten \u00fcber einen l\u00e4ngeren Zeitraum, bevor die eigentliche Ransomware-Verschl\u00fcsselung aktiviert wird. Dieser Ansatz maximiert den Schaden: Selbst wenn die Verschl\u00fcsselung rechtzeitig entdeckt und gestoppt wird, sind die Daten bereits gestohlen und k\u00f6nnen zur Erpressung genutzt werden.<\/p>\n\n\n\n Im Sommer 2025 wurden au\u00dferdem neue Techniken f\u00fcr WSL-basierte Evasion (Windows Subsystem for Linux) dokumentiert, die es Qilin-Affiliates erm\u00f6glichen, herk\u00f6mmliche Windows-Endpoint-Sicherheitsl\u00f6sungen zu umgehen. Organisationen, die keine Linux-Schicht-Erkennung in ihrer Endpoint-Sicherheit einsetzen, sind dadurch besonders gef\u00e4hrdet.<\/p>\n\n\n\n Die Skalierung von Qilin seit 2022 ist beeindruckend und besorgniserregend zugleich. Das RaaS-Modell mit seinen attraktiven Einnahmeteilungsvereinbarungen zieht erfahrene Affiliates aus dem gesamten kriminellen Spektrum an und erm\u00f6glicht eine Angriffskapazit\u00e4t, die ein geschlossenes kriminelles Kollektiv niemals erreichen k\u00f6nnte.<\/p>\n\n\n\nQilin Ransomware: Profil der aktivsten RaaS-Gruppe in Europa<\/h2>\n\n\n\n
Was gestohlen wurde: Gestohlene Daten und ihr Schadenspotenzial<\/h2>\n\n\n\n
Hybridkrieg oder Kriminalit\u00e4t? Die Frage der Attribution<\/h2>\n\n\n\n
Das Muster: CDU, SPD, Die Linke<\/h2>\n\n\n\n
Qilins Angriffstechnik: Wie die Gruppe vorgeht<\/h2>\n\n\n\n
Qilin in Zahlen: Globale Reichweite und Opferstatistik<\/h2>\n\n\n\n