Cyber-Attribution: 8 Monate bis zur Benennung der verheerenden Quelle von NotPetya

Was Cyber-Attribution tatsächlich bedeutet

Cyber-Attribution bezeichnet den Prozess der Identifizierung, wer einen Cyberangriff durchgeführt hat, aus welchem Grund und ob ein Staat dafür Verantwortung trägt. Anders als an einem physischen Tatort, wo Ermittler DNA und Fingerabdrücke sichern, führen digitale Angriffe über kompromittierte Rechner in mehreren Ländern, nutzen verschlüsselte Kommunikation und hinterlassen absichtlich irreführende Beweise.

Angreifer operieren selten von eigenen Systemen aus. Sie leiten Operationen über gekaperte Server, Proxy-Netzwerke und virtuelle private Netzwerke, fälschen IP-Adressen und manipulieren Zeitstempel^[s]. Wenn Ermittler einen Angriff zur unmittelbaren Quelle zurückverfolgen, stoßen sie häufig auf ein weiteres Opfer statt auf den eigentlichen Täter.

Attribution gliedert sich in drei unterschiedliche Phasen. Technische Attribution identifiziert die verwendeten Werkzeuge, Infrastrukturen und Verhaltensmuster eines Angriffs. Politische Attribution benennt öffentlich einen Verantwortlichen, um diplomatischen Druck auszuüben. Rechtliche Attribution sammelt Beweise, die ausreichen, um nach Völkerrecht eine formale Staatsverantwortung auszulösen^[s]. Diese drei Formen dienen unterschiedlichen Zwecken und erfordern sehr unterschiedliche Beweisschwellen.

Die Beweislücke zwischen Wissen und Beweisen

Staaten stützen sich bei der Bewertung von Angriffsverantwortung typischerweise auf geheimdienstliche Erkenntnisse: Signalaufklärung, menschliche Quellen und forensische Malware-Analyse. Diese Erkenntnisse mögen politisch überzeugend sein, erfüllen jedoch häufig nicht die Anforderungen rechtlicher Attribution nach Völkerrecht^[s].

Die Lücke ist struktureller Natur. Auf kriminelle Absicht und strategische Motivation lässt sich kaum allein aus technischen Indikatoren schließen^[s]. Dass ein Angriff eine bestimmte Malware-Variante verwendet hat, die mit einer bekannten Gruppe assoziiert wird, beweist nicht, dass ein Staat diese spezifische Operation angeordnet hat. Bedrohungsakteure stehlen gegenseitig Werkzeuge, übernehmen Techniken und operieren über Auftragnehmer, die glaubhafte Abstreitbarkeit wahren.

Entscheidend ist, dass es nach Völkerrecht keine rechtliche Verpflichtung gibt, öffentlich Beweise für eine Attribution vorzulegen^[s]. Diesen Standpunkt haben unter anderem Kanada, Frankreich, Deutschland, Israel, die Niederlande, Neuseeland, Schweden, die Schweiz, das Vereinigte Königreich und die Vereinigten Staaten bekräftigt. Nationen können einen Angreifer benennen, ohne dies öffentlich zu beweisen, und dabei auf das Vertrauen der Verbündeten in geheime Lageberichte setzen, während Gegner alles abstreiten.

Wenn Angreifer sich gegenseitig belasten

Hochentwickelte staatliche Akteure verschleiern nicht nur ihre Identität, sondern belasten Rivalen aktiv durch False-Flag-Operationen. Der Olympic-Destroyer-Angriff von 2018 zeigte, wie wirkungsvoll diese Täuschung sein kann.

Als Malware die Eröffnungsfeier der Olympischen Winterspiele 2018 in Pyeongchang traf, wies der ursprüngliche forensische Befund stark auf Nordkorea hin. Codeähnlichkeiten und Infrastrukturmuster stimmten mit bekannten nordkoreanischen Operationen überein. Weitere Untersuchungen ergaben, dass diese Spuren absichtlich gelegt worden waren^[s]. Die russische Sandworm-APT-Gruppe hatte nordkoreanischen Code als Ablenkung eingefügt, um die Attribution zu verfälschen.

Beim Bangladesh-Bank-Raub zeigte sich dasselbe Muster in umgekehrter Form. Während der Untersuchung des Diebstahls von 81 Millionen Dollar fanden Analysten russischsprachige Code-Zeichenketten in der Malware, ein offensichtlicher Versuch, die Schuld umzulenken. Die sprachlichen Artefakte stimmten nicht mit dem übrigen Code überein; letztendlich wurde die nordkoreanische Lazarus-Gruppe als verantwortlich identifiziert^[s].

Die Konsequenzen erfolgreicher Irreführung gehen über verschwendete Ermittlungsressourcen hinaus. Diplomatische Pattsituationen, der Vertrauensverlust beim internationalen Geheimdienstaustausch und die Möglichkeit, gegen den falschen Staat vorzugehen, sind die Folge^[s]. Wenn ein Staat nach einer Fehlattribution Gegenmaßnahmen ergreift, begeht er selbst eine völkerrechtlich rechtswidrige Handlung^[s].

Das diplomatische Reaktionsinstrumentarium

Das britische National Cyber Security Centre beschreibt drei Formen der Attributionsreaktion. Diplomatische Attribution benennt öffentlich einen Staat, um Druck auszuüben und Verbündete zu beruhigen. Attribution im Rahmen der Strafjustiz umfasst die Anklage von Personen und die Veröffentlichung von Beweisen, was de facto ein Reiseverbot in verbündete Länder für die Genannten bedeutet. Behebende Attribution veröffentlicht technische Indikatoren, um Organisationen bei ihrer Verteidigung zu helfen^[s].

Selbst bei höchster Zuversicht können Regierungen die Attribution aus politischen Gründen zurückhalten^[s]. Geheimdienstschutz, diplomatische Verhandlungen und strategisches Timing beeinflussen alle die Entscheidung, an die Öffentlichkeit zu gehen. Die USA setzten 2014 einen Präzedenzfall, indem sie den Sony-Pictures-Angriff Nordkorea zuschrieben und damit zeigten, dass dies möglich ist, ohne Ermittlungsmethoden preiszugeben^[s].

Das Muster seitdem ist konsistent: Angriffe verursachen Schäden in Milliardenhöhe, Attribution dauert Monate oder Jahre, und formale Reaktionen konzentrieren sich häufig auf gezielte Maßnahmen wie Vermögenssperrungen und Reiseverbote. WannaCry und NotPetya verursachten weltweit Schäden in Milliardenhöhe, hätten jedoch schärfere Strafmaßnahmen als Vermögenssperrungen nach sich ziehen können^[s]. Russlands Standardreaktion besteht darin, Dementis herauszugeben, Gegenanschuldigungen zu erheben und vom Thema abzulenken^[s].

Die fragmentierte Attributionslandschaft

Anders als in vielen Bereichen des Völkerrechts gibt es keine allgemein anerkannten Standards für Cyber-Attribution. Länder sind uneinig über die Beweislast, angemessene Reaktionen und selbst grundlegende Definitionen dessen, was einen Cyberangriff ausmacht, der eine Attribution erfordert^[s].

Die Attributionskapazität der EU hängt stark von der Geheimdienstkooperation mit den USA und dem Vereinigten Königreich ab. Während das Five-Eyes-Bündnis Attribution und öffentliche Benennung zügig koordiniert, dauern EU-Prozesse Monate oder Jahre zwischen einem Vorfall und der Umsetzung von Sanktionen^[s]. Wenn Europa formal reagiert, ist der diplomatische Moment häufig verstrichen.

Kommerzielle Cybersicherheitsunternehmen fügen eine weitere Komplexitätsebene hinzu. Eine gemeinsame Empfehlung von 23 staatlichen Cybersicherheits-, Nachrichten- und Strafverfolgungsbehörden mehrerer Kontinente vom September 2025 identifizierte chinesisch staatlich geförderte Einbrüche in die globale Telekommunikationsinfrastruktur. Die damit verbundenen Aktivitäten überschnitten sich teilweise mit kommerziellen Bezeichnungen wie Salt Typhoon, OPERATOR PANDA, RedMike, UNC5807 und GhostEmperor^[s]. Die Empfehlung hielt ausdrücklich fest, dass kommerzielle Attributionsbezeichnungen nicht eins zu eins mit dem staatlichen Verständnis korrelieren^[s].

Diese Fragmentierung bedeutet, dass forensische Erkennungsmethoden je nach Organisation variieren, gerichtliche Beweisstandards von Geheimdienstbewertungen abweichen und staatliche Datenpannen möglicherweise Monate vor der öffentlichen Bekanntgabe zugeschrieben werden.

Attribution in einem sich wandelnden politischen Umfeld

Die vergangenen Monate haben eine Welle öffentlicher Attributionen in Europa erlebt. Deutschland schrieb einen Angriff vom August 2024 auf die Flugsicherung der Gruppe APT28 zu und eine Informationsoperation, die auf die Bundestagswahl im Februar 2025 abzielte, Storm-1516^[s]. Das Vereinigte Königreich belegte die chinesischen Unternehmen I-Soon und Integrity Tech mit Sanktionen wegen ihrer mutmaßlichen Rolle bei böswilligen Aktivitäten gegen mehr als 80 staatliche, öffentliche und privatwirtschaftliche Stellen; Chinas Außenministerium bezeichnete die Sanktionen als politisch motiviert^[s]. Dänemark beschuldigte Russland, Angriffe auf ein dänisches Wasserversorgungsunternehmen und Wahlwebseiten orchestriert zu haben^[s].

Diese Attributionen dienen dem diplomatischen Druck, nicht der rechtlichen Rechenschaftspflicht. Öffentliche Cyber-Attribution signalisiert, dass Angriffe verfolgt und erinnert werden, auch wenn formale Konsequenzen begrenzt bleiben.

Unterdessen verschiebt sich die US-Politik. Frühere Administrationen bewahrten bewusste Mehrdeutigkeit rund um offensive Cyberfähigkeiten und bestätigten selten Operationen, um diplomatische Flexibilität zu wahren. Die Cyberstrategie 2026 der Trump-Administration verfolgt den entgegengesetzten Ansatz und beansprucht Cyberoperationen öffentlich, um Fähigkeiten zu signalisieren^[s]. Anders als die Biden-Strategie, die China und Russland als strategische Bedrohungen benannte und sich mit Kampagnen wie Volt Typhoon und Salt Typhoon befasste, nennt die aktuelle Strategie keinen staatlichen Gegner^[s].

Wenn Staaten die Beteiligung des Privatsektors an Offensivoperationen fördern, ohne den Umfang zu definieren, wird die Grenze zwischen privater und staatlich sanktionierter Handlung unmöglich zu ziehen^[s]. Dies untergräbt direkt den Attributionsrahmen, der auf klarer Staatsverantwortung beruht.

Was Cyber-Attribution nicht lösen kann

Nordkoreanische Cyberoperationen veranschaulichen die Grenzen der Attribution. Diese Kampagnen verbinden staatlich gelenkte Spionage mit kriminellen Unternehmungen: Kryptowährungsdiebstahl, Lieferkettenangriffe und illegale IT-Arbeitsprogramme finanzieren direkt staatliche Prioritäten. Bestehende Rechtsrahmen setzen saubere Trennungen zwischen Spionage, Kriminalität und bewaffnetem Konflikt voraus^[s]. Nordkorea operiert in allen drei Bereichen gleichzeitig.

Abschreckung im Cyberraum wird nicht durch lautere Verurteilungen entstehen. Sie wird durch konsistente, verhaltensbasierte Reaktionen entstehen, die widerspiegeln, wie Cyberoperationen tatsächlich funktionieren^[s]. Beschämung durch Namensnennung hat nach einem Jahrzehnt konsequenter Anwendung das Verhalten von Gegnern nicht zuverlässig verändert. Russland und China, beide häufig in staatlich geförderten Cyberoperationen genannt, operieren weiterhin durch Auftragnehmerökosysteme, die Abstreitbarkeit gewährleisten.

Cyber-Attribution bleibt eine nationale politische Entscheidung, kein technischer Befund^[s]. Die Forensik identifiziert wahrscheinliche Täter. Das Völkerrecht bestimmt die Verantwortlichkeit. Die Diplomatie entscheidet, ob überhaupt etwas gesagt wird. Die Lücke zwischen diesen drei Funktionen erklärt, warum Angriffe mit Milliardenschäden Reiseverbote nach sich ziehen, warum Beweise in Geheimdossiers angehäuft werden, während Nationen öffentlich alles abstreiten, und warum das diplomatische Minenfeld keine Anzeichen der Räumung zeigt.

Attributionstaxonomie: Von IOCs zur Staatsverantwortung

Cyber-Attribution untergliedert sich in taktische, operative, strategische und rechtliche Ebenen^[s]. Taktische Attribution analysiert Artefakte: IP-Adressen, Malware-Hashes, Command-and-Control-Domänen. Operative Attribution untersucht Angriffsmuster, Timing und Wiederverwendung von Infrastruktur. Strategische Attribution identifiziert die politische Einheit oder Motivation hinter Operationen. Rechtliche Attribution bereitet Beweise auf, die dem Beweisstandard für Staatsverantwortung nach Völkerrecht genügen.

Das Unit-42-Attributionsrahmenwerk strukturiert diesen Prozess durch ein Beförderungssystem. Aktivitätscluster, Gruppen von Ereignissen mit gemeinsamen technischen Indikatoren, werden nach mindestens sechs Monaten konsistenter Beobachtung und Kartierung mittels des Diamond-Modells zu vorläufigen Bedrohungsgruppen befördert. Bekannte Bedrohungsakteure erhalten eine formale Bezeichnung erst nach strukturierter Bewertung durch das Admiralty-System zur Beurteilung von Quellenglaubwürdigkeit und Informationsvalidität^[s].

Pahis Cyber-Attributionsmodell führt parallele Spurenuntersuchungen durch: die Untersuchung des aktuellen Vorfalls und die Profilierung bekannter Bedrohungsakteure aus historischen Daten. Durch den Vergleich von TTPs und Modus Operandi mit etablierten Profilen identifizieren Analysten Inkonsistenzen. Wenn ein Vorfall scheinbar von einer Gruppe stammt, aber die Infrastruktur einer anderen nutzt, kennzeichnet das Modell eine potenzielle False-Flag-Operation^[s].

Technische Verschleierung und Verhaltensfingerabdrücke

Angreifer operieren selten von eigenen Systemen aus. Sie leiten Operationen über kompromittierte Rechner, Proxy-Server und VPNs, fälschen IP-Adressen und manipulieren Zeitstempel^[s]. Mehrstufige Infrastrukturen stellen sicher, dass die Rückverfolgung zur unmittelbaren Quelle zu einem weiteren Opfer führt, nicht zum eigentlichen Täter. Zeitstempel lassen sich fälschen, Spracheinstellungen manipulieren und Werkzeuge aus öffentlichen Malware-Repositories entlehnen.

Taktiken, Techniken und Verfahren liefern ein dauerhaftes Attributionssignal. Bedrohungsakteure entwickeln konsistente Vorgehensweisen über Operationen hinweg: bevorzugte initiale Zugriffsvektoren, Muster für laterale Bewegungen, Datenexfiltrationstechniken, Persistenzmechanismen. Diese Verhaltenssignaturen sind schwieriger zu fälschen als technische Artefakte^[s]. Eine Gruppe, die typischerweise eigene Implantate einsetzt und plötzlich Standardmalware verwendet, erregt Verdacht. Programmierstile, Kompilierungszeitstempel und Softwarebibliotheksauswahl schaffen operative Fingerabdrücke, die über Kampagnen hinweg bestehen.

MITRE ATT&CK bildet beobachtete Verhaltensweisen auf dokumentierte Techniken ab. Analysten korrelieren aktuelle Angriffs-TTPs mit Datenbanken bekannter Bedrohungsakteurverhaltensweisen und identifizieren Verbindungen zu früheren Kampagnen. Dieser Ansatz hat sich besonders wertvoll für die Verfolgung von APT-Gruppen erwiesen, die ihre operativen Methoden verfeinern statt vollständig zu ändern.

Das technische Profil von False-Flag-Operationen

Olympic Destroyer demonstrierte eine hochentwickelte False-Flag-Konstruktion. Die Malware traf die Olympischen Winterspiele 2018 in Pyeongchang und legte WLAN, die offizielle App und Übertragungssysteme lahm. Erste forensische Analysen identifizierten Codeähnlichkeiten und Infrastrukturmuster, die mit nordkoreanischen Operationen übereinstimmten^[s]. Weitere Untersuchungen ergaben, dass Russlands Sandworm-APT absichtlich nordkoreanische Code-Fragmente eingepflanzt hatte.

Der Bangladesh-Bank-Raub zeigte das umgekehrte Muster. In der zum Diebstahl von 81 Millionen Dollar eingesetzten Malware tauchten russischsprachige Code-Zeichenketten auf. Analysten stellten fest, dass die sprachlichen Artefakte nicht zum übrigen Code passten: stilistische Anomalien in der Art, wie Kommentare verfasst wurden, und Unstimmigkeiten zwischen kyrillischer Kodierung und umgebender Code-Struktur. Die Lazarus-Gruppe wurde letztendlich attribuiert^[s].

Die Erkennung beruht auf Verhaltensinkonsistenzen. Allzu offensichtliche Spuren, plötzliche Werkzeugwechsel von etablierten Bedrohungsakteurmustern sowie sprachliche oder zeitliche Anomalien signalisieren potenzielle Täuschung. Forensische Erkennungsmethoden müssen die Möglichkeit berücksichtigen, dass jeder technische Indikator eingepflanzt wurde.

Die technisch-rechtliche Lücke bei der Cyber-Attribution

Die Lücke zwischen technischer oder politischer Attribution, bei der Geheimdienstbewertungen eine wahrscheinliche Verantwortlichkeit anzeigen, und rechtlicher Attribution, die einen Beweis erfordert, der ausreicht, um Staatsverantwortung auszulösen, ist im Cyberraum besonders ausgeprägt^[s]. Staaten stützen sich auf klassifizierte Signalaufklärung, menschliche Quellen und forensische Analysen. Diese Erkenntnisse mögen politisch überzeugend sein, erfüllen jedoch keine Rechtsstandards^[s].

Nach dem Tallinn-Manual-Rahmenwerk ist der Attributionsstandard für Gegenmaßnahmen „Angemessenheit“: Staaten müssen so handeln, wie ein vernünftiger Staat unter ähnlichen Umständen handeln würde^[s]. Dies hängt von Zuverlässigkeit, Ausmaß, Unmittelbarkeit und Spezifität der verfügbaren Informationen ab. Fehlattribution gefolgt von Gegenmaßnahmen stellt jedoch eine völkerrechtlich rechtswidrige Handlung dar^[s]. Das rechtliche Risiko eines Fehlers schränkt die Reaktionsmöglichkeiten ein.

Auf kriminelle Absicht und strategische Motivation lässt sich nicht allein aus technischen Indikatoren schließen^[s]. Technische Beweise zeigen, was geschehen ist und wie. Sie zeigen nicht, wer es angeordnet hat oder warum. Auftragnehmerökosysteme, Werkzeugaustausch zwischen Gruppen und False-Flag-Operationen unterbrechen alle die Kette zwischen beobachteten Indikatoren und Staatsverantwortung.

Fragmentierung der Attribution unter mehreren Akteuren

Eine CISA-Empfehlung vom September 2025 veranschaulichte das Fragmentierungsproblem. Dreiundzwanzig staatliche Cybersicherheits-, Nachrichten- und Strafverfolgungsbehörden aus Nordamerika, Europa und dem asiatisch-pazifischen Raum schrieben globale Telekommunikationseinbrüche staatlich geförderten Akteuren der Volksrepublik China zu. Die damit verbundenen Aktivitäten überschnitten sich teilweise mit fünf kommerziellen Bezeichnungen: Salt Typhoon, OPERATOR PANDA, RedMike, UNC5807 und GhostEmperor^[s]. Die Empfehlung hielt ausdrücklich fest, dass kommerzielle Verfolgungsmethoden nicht eins zu eins mit staatlicher Attribution korrelieren^[s].

Operationen wurden mit chinesischen Unternehmen wie Sichuan Juxinhe Network Technology, Beijing Huanyu Tianqiong Information Technology und Sichuan Zhixin Ruijie Network Technology in Verbindung gebracht, die Produkte und Dienstleistungen für PLA- und MSS-Einheiten bereitstellen^[s]. Dieses Auftragnehmerökosystem erschwert die Attribution, indem es Unternehmenseinheiten zwischen staatliche Stellen und beobachtete Operationen stellt.

Die Attributionskapazität der EU hängt stark von der Five-Eyes-Geheimdienstkooperation ab. Koordinierungsprozesse in der EU-27 sind langsamer: Monate oder Jahre vergehen zwischen einem Vorfall und der Umsetzung von Sanktionen^[s]. Technische und rechtliche Sprache bleiben über Rechtsgebiete hinweg nicht aufeinander abgestimmt, gerichtliche Beweisstandards weichen von Geheimdienstbewertungen ab und staatliche Datenpannen erhalten Attribution lange vor öffentlicher Anerkennung.

Politische Implikationen für die Attributionsinfrastruktur

Das dreigliedrige Rahmenwerk des britischen NCSC strukturiert Attributionsreaktionen: diplomatisch (öffentliche Benennung zur Druckausübung), strafjustiziell (Anklagen mit Beweisveröffentlichung) und behebend (Veröffentlichung von IOCs zur defensiven Nutzung)^[s]. Selbst bei höchster Zuversicht können Regierungen Attribution aus politischen Gründen zurückhalten^[s].

Die Cyberstrategie 2026 der Trump-Administration signalisiert eine Verschiebung. Frühere Administrationen bewahrten Mehrdeutigkeit rund um offensive Fähigkeiten, um diplomatische Flexibilität zu wahren. Die aktuelle Strategie beansprucht Operationen öffentlich, um Fähigkeiten zu signalisieren^[s]. Anders als die Biden-Strategie, die China und Russland benannte und sich mit Volt-Typhoon- und Salt-Typhoon-Kampagnen befasste, nennt die aktuelle Strategie keinen staatlichen Gegner^[s].

Beteiligung des Privatsektors an Offensivoperationen ohne definierten Umfang macht die Grenze zwischen privater und staatlich sanktionierter Handlung unmöglich zu ziehen^[s]. Dies untergräbt den Attributionsrahmen, der auf identifizierbarer Staatsverantwortung beruht.

Nordkoreanische Operationen veranschaulichen das kategorische Versagen. Staatlich gelenkte kriminelle Unternehmungen, deren Kryptowährungsdiebstahl staatliche Prioritäten finanziert, überwinden Rechtsrahmen, die saubere Trennungen zwischen Spionage, Kriminalität und bewaffnetem Konflikt voraussetzen^[s]. Abschreckung erfordert verhaltensbasierte Reaktionen statt attributionsabhängiger Verurteilungen^[s].

Cyber-Attribution bleibt eine nationale politische Entscheidung, kein technischer Befund^[s]. Forensik identifiziert wahrscheinliche Täter. Völkerrecht bestimmt Verantwortlichkeit. Diplomatie entscheidet über Offenlegung. Die strukturelle Lücke zwischen diesen Funktionen stellt sicher, dass Attribution ein Minenfeld bleibt, in dem technische Gewissheit keine Garantie politischer Klarheit bietet.