Irans Cyberkriminelle nehmen die US-Wahl ins Visier
Kätzchen, Bären und Pandas – das mag süß klingen, ist es aber nicht. Denn bei den Tiernamen handelt es sich um die gefährlichsten Hackergruppen der Welt. Sowohl in Russland (Bears) als auch in China (Pandas) und Iran (Kittens) sind die kriminellen Hacker so stark und professionell organisiert, staatliche Finanzierung macht es möglich. Advanced persistent threat (APT) werden sie auch genannt. Die drei Länder nutzen die Hackergruppen, um geopolitische Ziele zu erreichen, die Cyberarmeen mischen sich auch in den US-Wahlkampf ein.
Unter anderem die iranische Hackergruppe APT42, die sich im Mai und Juni die persönlichen E-Mails von etwa einem Dutzend ranghoher Mitarbeitenden aus dem demokratischen und republikanischen Wahlkampflager vorgenommen haben soll. Was ist ihr Ziel?
Die amerikanischen Geheimdienste sind davon überzeugt, dass es iranische Kriminelle waren, die das Wahlkampfteam von Donald Trump angegriffen haben. Offenbar haben sie sich unter anderem in die interne Kommunikation des Teams gehackt. Dass die iranische Regierung versucht, Trump zu schaden, ist aus geostrategischen Gründen nachvollziehbar. Schließlich war es Trump, der den früheren Kommandeur der iranischen Al-Kuds-Brigaden, Qassem Soleimani, 2019 hat töten lassen.
Laut einem Bericht des Institute for National Security Studies (INSS) in Tel Aviv hat Iran auch bereits 2020 versucht, die Präsidentenwahl zugunsten von Joe Biden zu beeinflussen. Nicht aber in derselben Qualität, mit der Russland versuchte, das Gegenteil zu erreichen.
Auch das Wahlkampfteam von Kamala Harris wurde mutmaßlich von iranischen Hackern angegriffen. Warum? Ein hochrangiger Beamter einer deutschen Behörde, die mit diesem Thema zu tun hat, sagte SZ Dossier: „Egal, wer am Ende das Rennen macht, Iran will jetzt schon wissen, wie die Kandidatin und der Kandidat über Israel, Iran, militärische Unterstützung, Erdölexporte und weiteres denken und später als Präsidentin oder Präsident entsprechend agieren werden.“ Er würde eine Ausspähung daher weniger als Angriff, sondern mehr als „Prepositioning“ sehen.
Kriminelle politische Cyberaktivitäten können unterschiedliche Motivationen haben. Manchmal wollen sie „nur“ spionieren – an Informationen kommen, ohne sie direkt weiterzuverwenden. Etwa, um sich langfristig auf etwas vorzubereiten. Manchmal wollen sie an Dateien kommen, beispielsweise an E-Mails, um diese dann zu veröffentlichen und so der Person direkt zu schaden. Das nennt man Hack and Leak.
Der amerikanische Geheimdienst sagte, Iran betrachte die Präsidentenwahl als besonders folgenreich mit Blick auf seine nationalen Sicherheitsinteressen. Das erhöhe die Neigung Teherans, „das Ergebnis zu beeinflussen“. Der Staat wolle außerdem das Vertrauen in die demokratischen Institutionen schwächen.
Die Threat Analysis Group von Google veröffentlichte Informationen über APT42 und ihre Aktivitäten im US-Wahlkampf. Die Kätzchengruppe gibt es schon seit 2011, zu ihren Stärken gehören Phishing, Social Engineering – eine Manipulationstechnik, mit der man über menschliche Fehler an Informationen gelangt – und Wahlbeeinflussung. Sie schreiben, bereits 2020 hätten sie bei Google Versuche von APT42 unterbunden, Konten im Kontext der Präsidentschaftskampagnen von Biden und Trump anzugreifen.
Im Mai und Juni dieses Jahres zählten zu den Zielen von APT42 die persönlichen E-Mail-Konten von etwa einem Dutzend Personen, die mit Präsident Biden und dem ehemaligen Präsidenten Trump in Verbindung stünden, darunter aktuelle und ehemalige Beamtinnen und Beamte der US-Regierung und Personen, die mit den jeweiligen Kampagnen in Verbindung stehen. Die Threat Analysis Group schreibt: „Wir haben zahlreiche Versuche von APT42 blockiert, sich bei den persönlichen E-Mail-Konten der Zielpersonen anzumelden.“
Doch die Gruppe habe sich inzwischen erfolgreich Zugang zum persönlichen Gmail-Konto eines hochrangigen politischen Beraters verschafft. „Zusätzlich zu unseren Standardmaßnahmen, die darin bestehen, alle kompromittierten Konten schnell zu sichern und von der Regierung unterstützte Angreiferwarnungen an die anvisierten Konten zu senden, haben wir diese bösartigen Aktivitäten Anfang Juli proaktiv an die Strafverfolgungsbehörden weitergeleitet und arbeiten weiterhin mit ihnen zusammen“, heißt es.
Abonnentinnen und Abonnenten unseres Dossiers Digitalwende konnten diesen Text als Erste lesen. Zum Probelesen hier entlang.