Kurz bevor Tillmann Werner in die USA fliegt, fällt ihm ein Server auf, den die Agenten des FBI übersehen haben. "Das war schon ätzend", sagt er heute. Nur "aus einer Laune heraus" habe er mit Kollegen das Internet noch einmal nach speziell konfigurierten Servern durchsucht - Wege, über die kriminelle Hacker versuchen könnten, sich gegen die Übernahme durch die amerikanische Bundespolizei zu wehren. Tatsächlich wurde er fündig. Eine monatelang geplante Aktion, verteilt über zwei Kontinente, um einem Netzwerk krimineller Hacker ihre digitalen Werkzeuge abzuknöpfen: Sie droht zu scheitern, wegen eines vermeidbaren Fehlers.
Werner steigt in den Flieger, es ist Mitte 2014, er ist unterwegs nach Pittsburgh, USA, und schreibt gleich weiter am Programmiercode. 90 000 Zeilen werden er und die anderen vier IT-Sicherheitsforscher am Ende des Einsatzes insgesamt kreiert haben. Mit diesem Code können Ermittler des FBI "Gameover Zeus" lahmlegen - ein gewaltiges Botnetz, das nach Angaben der Behörde mehr als eine Million Rechner kontrolliert hatte. So gelingt es ihnen, eine der berüchtigtsten im Netz agierenden kriminellen Banden empfindlich zu treffen. Die Hacker haben den Ermittlern zufolge einen Schaden von mindestens 150 Millionen Dollar verursacht. Werner stellte sicher, dass die technische Seite des FBI-Gegenangriffs fehlerfrei ablief.
IT-Sicherheitsexperten erklären komplexe technische Begriffe in einer Sprache, die vor Allegorien strotzt. Das Botnetz beschreiben sie als Verhältnis zwischen einem Herrscher und seinen Sklaven. Ein klassisches Botnetz infiziert Computer und verteilt Befehle zentral, über einen Server auf andere. Diese technische Infrastruktur sei sofort "verbrannt", also öffentlich bekannt, wie der 38-Jährige sagt: "Da werden ja mehr als Hunderttausend Rechner infiziert". Um die Netze auszuschalten, können Polizisten versuchen, diese Server vom Internet zu nehmen.
Botnetze wie Gameover Zeus sind noch komplexer. Statt die Befehle über zentrale Webseiten zu erhalten, kommunizieren Rechner in erster Linie untereinander und verteilen die Daten. Es ist ungleich schwieriger, diese dezentrale Kommunikation zu kappen, die ohne Hierarchie abläuft. Sicherheitsforscher müssen die infizierten Rechner dazu bringen, Befehle von einer anderen zentralen Stelle zu akzeptieren - nämlich von den Forschern selbst -, erst dann können sie das Botnetz deaktivieren. Sie machen sich also selbst zum neuen Herrscher der Diener. Die zentralen Server der Hacker existieren weiterhin, bleiben aber im Hintergrund. Über sie können Kriminelle versuchen, den Gegenangriff zu starten, Notfall-Kommunikation aufzubauen und den Sicherheitsforschern die Kontrolle wieder zu entreißen.
Die Strategie der Kriminellen, die Werner durchkreuzen will, geht so: Über Schadsoftware infizieren die Hacker Rechner, zum Beispiel mit einem Mail-Anhang. Wer ihn öffnet, installiert ihre Programme, ohne es zu merken. Beim nächsten Aufruf einer Bank-Webseite ändern die Hacker deren Aussehen. Die Opfer geben noch mehr Informationen über sich preis, die bei den Hackern landen. Auch die Login-Daten haben diese nun, da sie jedes getippte Wort protokollieren.
Sobald sich die Besitzer online in ihr Bankkonto einloggen und auf diesem Konto sechs- oder siebenstellige Summen lagen, greifen die Hacker zu. "Die haben sich gesagt: ,Da hole ich mir fünf Millionen auf einen Schlag.' Aber natürlich schlägt das interne Banksystem Alarm", so Werner.
Um die Bank abzulenken, starten die Hacker deshalb zusätzlich einen DDoS-Angriff (Distributed Denial of Service). Die Server der Bank werden mit Anfragen überflutet. Dieser Angriff beschäftigt die IT-Abteilung, niemand registriert die teure Transaktion. Die Überweisung geht durch, die Kriminellen sahnen ab.
Am Telefon erzählt ein beteiligter Ermittler, dass es sich über Jahre anfühlte, als würden sie einen Schatten jagen. "Es ist schwer, herauszufinden, wer ein Botnetz betreibt, weil diese Menschen sehr viel Wert drauf legen, anonym zu bleiben", erzählt der Mann, der nicht namentlich genannt werden darf. Manchmal würden ihnen aber Fehler unterlaufen. Dann könne man zuschlagen. "Diese Menschen haben ein normales Leben und ein kriminelles Leben. Mein Job ist es, jenen Punkt zu finden, an dem sich beide Leben überschneiden."
Davon, etwas über das normale Leben des Hackers herauszufinden, sind die Ermittler über Jahre weit entfernt, sie kennen nur seine vielen Online-Pseudonyme: "Slavik" ist eins davon. Dafür sind die Agenten sehr gut vertraut mit seinem kriminellen Leben, nämlich den bevorzugten Hacking-Methoden des "Business Club", wie die Gruppe genannt wird, die Gameover Zeus eingesetzt hat und deren Chef Slavik ist. Jahre später finden IT-Sicherheitsforscher der Firma Fox-IT dann in mühevoller Kleinarbeit heraus, dass Slavik mit einer E-Mail-Adresse in Verbindung zu bringen ist, die am Ende zu einem echten Namen führt: Jewgeni Michailowitsch Bogatschow.
Wenn Werner über Bogatschow spricht, nennt er dessen Vorgehen mal "außergewöhnlich", mal spricht er von einer kriminellen Organisation, die man als Mafia bezeichnen könne. Offensichtlich schätzt Werner die technischen Fähigkeiten des Mannes, dessen Werk er zerstört hat. Ein ebenbürtiger Gegner.
Unbefugt Rechner übernehmen? "Das haben wir natürlich nie gemacht."
Werner arbeitet als technischer Analyst bei der Firma Crowdstrike, redet auf den renommiertesten Hacker-Konferenzen. Er hetzt manchmal durch seine Sätze. Mit Botnetzen beschäftigt er sich seit vierzehn Jahren. "Damals ging es los mit den ersten Schwachstellen in Windows, die sich aus der Ferne ausnutzen ließen. Die Leute haben Würmer gebaut, die sich autonom ausgebreitet und zu Netzen zusammengeschlossen haben. Das waren die ersten Botnetze." Werner erkannte schnell, dass man Botnetze übernehmen und zerschlagen kann. Auf den Hinweis, dass es illegal sei, unbefugt Rechner zu übernehmen, grinst Werner: "Das haben wir natürlich nie gemacht."
Der Kontakt zum FBI kommt über einen weiteren deutschen IT-Sicherheitsforscher zustande, der sich ebenfalls mit Gameover Zeus auseinandersetzte und mit dem FBI in Kontakt stand. Für den Takedown, das Ausknipsen des Botnetzes, lässt das FBI Werner dann in die USA fliegen.
Vier Tage bleiben ihm und seinen Kollegen, um den Code fertig zu bekommen. Die Sicherheitsforscher haben Erfolg: Gameover Zeus geht vom Netz. Aber Bogatschow ist bis heute nicht gefasst. Zu dem Thema schweigt der Ermittler des FBI. Die Behörde hat eine Belohnung von drei Millionen US-Dollar ausgeschrieben - während Spezialist Werner schon den nächsten Gegenangriff plant.