Die niederländische Finanzpolizei FIOD hat bei einer koordinierten Aktion eine riesige Server-Infrastruktur ausgehoben und zwei Verdächtige festgenommen. Das betroffene Firmennetzwerk soll gezielt IT-Dienstleistungen für sanktionierte russische und belarussische Akteure bereitgestellt haben, um Desinformationskampagnen und Cyberangriffe auf europäische Ziele zu ermöglichen.
Der Schlag gegen die Infrastruktur: Razzien im ganzen Land
In einer großangelegten Operation haben Ermittler der niederländischen Steuer- und Zollfahndung (FIOD) insgesamt 800 Server in mehreren Rechenzentren beschlagnahmt. Die Razzien konzentrierten sich auf die IT-Knotenpunkte Dronten und Schiphol-Rijk. Gleichzeitig wurden Durchsuchungen in Wohn- und Geschäftsräumen in Enschede und Almere durchgeführt. Neben der Server-Hardware stellten die Beamten Laptops, Smartphones sowie umfangreiches schriftliches Beweismaterial sicher.
Im Zuge des Einsatzes wurden zwei Männer festgenommen: Ein 57-jähriger Verdächtiger, der als Geschäftsführer des Hauptunternehmens fungierte, sowie ein 39-jähriger Mann, der ein separates Unternehmen für die Bereitstellung der Internet-Konnektivität leitete. Den Beschuldigten wird vorgeworfen, über verschlungene Firmenstrukturen verbotene wirtschaftliche Ressourcen an sanktionierte Entitäten in Russland und Belarus geliefert zu haben.
Stark Industries und das Versteckspiel mit den EU-Sanktionen
Im Zentrum der Ermittlungen steht der Webhoster Stark Industries. Das Unternehmen wurde am 10. Februar 2022 gegründet – nur zwei Wochen vor dem Beginn des russischen Angriffs auf die Ukraine. Laut der FIOD unterstützte Stark Industries systematisch Aktionen der Russischen Föderation, die darauf abzielten, die europäische Sicherheit und Demokratie zu untergraben. Dies geschah insbesondere durch gezielte Informationsmanipulation und Angriffe auf kritische Wirtschafts- und Verwaltungssysteme.
Als Reaktion auf diese Aktivitäten setzte die Europäische Union Stark Industries im Mai des vergangenen Jahres auf die offizielle Sanktionsliste. Um den Betrieb dennoch fortzuführen, griffen die Hintermänner laut Ermittlungsakten zu einer Verschleierungstaktik: Die gesamte technische Infrastruktur wurde an eine neu gegründete niederländische Briefkastenfirma übertragen.
Recherchen der niederländischen Tageszeitung De Volkskrant zufolge handelt es sich bei diesem Nachfolgekonstrukt um die Firma WorkTitans B.V., die ihre Dienste unter der Marke THE.Hosting vertrieb.
Das Bindeglied: Mirhosting und die Spur zur Hacktivisten-Gruppe „NoName“
Dänische Sicherheitsbehörden und Infrastrukturdienstleister bringen die Systeme von WorkTitans direkt mit schweren Cyberangriffen der pro-russischen Hacktivisten-Gruppe NoName057(16) in Verbindung. Diese Gruppe ist berüchtigt für koordinierte Überlastungsangriffe (DDoS) auf staatliche Institutionen und Infrastrukturen im westlichen Ausland.
Eine entscheidende Rolle beim Transit des Datenverkehrs spielte offenbar das in Almere ansässige Unternehmen Mirhosting. Es stellte die physischen Server, die Stellplätze (Colocation) sowie die Anbindung an die großen Internet-Knotenpunkte in Amsterdam (AMS-IX) und Frankfurt (DE-CIX) bereit. Über diese Hochgeschwindigkeitsleitungen gelangte der Datenverkehr von Stark Industries überhaupt erst nach Europa.
Widersprüchliche Darstellungen der Beteiligten
Während die Ermittler von einer bewussten Unterstützung der sanktionierten Akteure ausgehen, zeichnen die Stellungnahmen der Firmen ein anderes Bild:
- Mirhosting: Das Unternehmen wies die Vorwürfe, wissentlich illegale Aktivitäten unterstützt zu haben, vehement zurück. Man habe bei eingehenden Missbrauchsmeldungen („Abuse-Meldungen“) stets unverzüglich reagiert und illegale Server gesperrt.
- WorkTitans B.V. (THE.Hosting): Das Unternehmen ließ eine offizielle Anfrage der Zeitung De Volkskrant für eine Stellungnahme unbeantwortet.
Kunden vor verschlossenen Türen: Die Reaktion von „THE.Hosting“
Infolge der Server-Beschlagnahmung stellte die Plattform THE.Hosting ihren Betrieb faktisch über Nacht ein. Auf ihrer Website veröffentlichte das Management eine knappe Mitteilung an die Kundschaft. Darin heißt es, das Unternehmen sei aufgrund „unvorhersehbarer und unvermeidbarer höherer Gewalt“ (force majeure) gezwungen, sämtliche Dienste dauerhaft einzustellen und den Betrieb abzuwickeln.
Neubestellungen und Verlängerungen wurden deaktiviert. Bestandskunden wurden dringend aufgefordert, ihre Daten und Konfigurationen unverzüglich zu sichern, da nach Abschluss der Abwicklung alle Accounts und Inhalte unwiderruflich gelöscht werden.
Tech-Glossar: Hintergrundwissen zur Infrastruktur
- DDoS-Angriff (Distributed Denial of Service): Eine Angriffsform, bei der ein Webserver oder ein Netzwerk gezielt mit einer massiven Flut von Anfragen aus verschiedenen Quellen bombardiert wird, bis die Systeme überlastet sind und legitime Nutzer keinen Zugriff mehr erhalten.
- Colocation (Server-Housing): Ein Dienstleistungsmodell, bei dem ein Anbieter lediglich den physischen Platz (ein Rack), die Stromversorgung, Kühlung und die Netzwerkanbindung in einem Rechenzentrum bereitstellt. Die Server-Hardware selbst gehört dem Kunden und wird von diesem eigenständig verwaltet.
- IP-Transit (Konnektivität): Die Dienstleistung eines Internet-Service-Providers (ISP), Datenpakete über sein Netzwerk zu transportieren und so die Verbindung zu anderen Netzen und den großen globalen Internet-Knotenpunkten (wie dem DE-CIX in Frankfurt) herzustellen.
