Ein mutmaßliches Schlüsselmitglied der Qilin-Ransomware-Gruppe wurde nach einer internationalen Untersuchung zu Cyberangriffen auf Unternehmen aus Japan nach Deutschland ausgeliefert. Der 28-jährige russische Staatsbürger wurde während eines Besuchs in Japan festgenommen und befindet sich nun in deutscher Haft wegen Vorwürfen wegen Cyberkriminalität und Erpressung.
Die japanischen Behörden nahmen den Verdächtigen im Mai 2026 in einem Hotel in Osaka fest, nachdem sie Informationen von deutschen Ermittlern erhalten hatten. Nach Gerichtsverfahren genehmigte das Oberste Gericht Tokio seine Auslieferung, und er wurde am 2. Oktober nach Deutschland überstellt.
Die Ermittler glauben, dass der Mann eine wichtige Rolle bei Qilins Operationen spielte, insbesondere bei der Entwicklung und Wartung der Infrastruktur für Ransomware-Angriffe. Berichten zufolge erhielt er auch einen Anteil an den von den Opfern eingesammelten Gelder.
Die deutsche Ermittlung konzentriert sich auf einen Cyberangriff im September 2024 auf ein nicht namentlich benanntes Logistikunternehmen. Laut Ermittlern griffen die Angreifer auf die Computersysteme des Unternehmens zu, stahlen Informationen und verschlüsselten Dateien, bevor sie etwa 165.000 Dollar in Kryptowährung forderten.
Die Kriminellen drohten angeblich, die gestohlenen Informationen zu veröffentlichen, falls ihre Forderungen nicht erfüllt würden. Diese Methode, die gemeinhin als doppelte Erpressung bezeichnet wird, erhöht den Druck auf die Opfer, indem Systemstörungen mit der Möglichkeit eines Datenlecks kombiniert werden.
Qilin, auch bekannt als Agenda, ist seit 2022 aktiv und gilt als eine der aktivsten Ransomware-Gruppen. Sie folgt einem Ransomware-as-a-Service-Modell und stellt schädliche Software und Angriffsinfrastruktur für Affiliates zur Verfügung, die Eindringlinge durchführen und deren Erlöse mit den Betreibern teilen.
Die Gruppe wird mit größeren Vorfällen weltweit in Verbindung gebracht, darunter der Angriff 2024 auf den Pathologiedienstleister Synnovis, der die Gesundheitsversorgung in Londoner Krankenhäusern störte. Qilin übernahm außerdem die Verantwortung für einen Cyberangriff im Jahr 2025 auf das japanische Getränkeunternehmen Asahi Group Holdings.
Die japanische Polizei berichtet, dass Qilin seit Beginn seines Betriebs weltweit etwa 4.000 Organisationen betroffen hat. Zu den Zielen gehörten Unternehmen, Krankenhäuser, Schulen und regierungsbezogene Organisationen.
Die Festnahme des Verdächtigen erfolgte auf die Zusammenarbeit zwischen deutschen Behörden und mehreren japanischen Strafverfolgungsbehörden. Die Ermittler identifizierten seinen geplanten Besuch in Japan und koordinierten die Bemühungen, ihn vor der Festnahme zu finden.
Die Auslieferung stellt eine bedeutende Entwicklung in den internationalen Bemühungen dar, Ransomware-Betreiber über nationale Grenzen hinweg zu verfolgen. Die Behörden haben jedoch nicht bekannt gegeben, dass Qilins umfassendere Infrastruktur demontiert wurde.
Der Verdächtige bleibt beschuldigt und nicht verurteilt, und seine genaue Beteiligung an einzelnen Angriffen muss durch rechtliche Schritte nachgewiesen werden. Unterdessen stellt Qilin weiterhin eine Bedrohung für Organisationen weltweit dar.