Liebes Internet,
Gestern habe ich einen Artikel veröffentlicht, in dem ich darlegte, dass Shai-Hulud eine der besten Entwicklungen im Bereich der Lieferkettensicherheit war. Diese These war ganz bewusst provokativ gewählt. Denn letztendlich haben die „ Lieferkettenangriffe “, die wir im letzten Jahr und insbesondere in den letzten sechs Monaten erlebt haben, sowohl Unternehmen als auch Privatpersonen erheblichen Schaden zugefügt und erhebliche Störungen verursacht.
Die Flut von Angriffen, die wir erlebt haben – insbesondere von TeamPCP –, hat unglaublichen Schaden angerichtet. Auch wenn einige der langfristigen Folgen das Ökosystem letztendlich vielleicht stärken werden, sollte niemand dies dahingehend missverstehen, dass die Angriffe an sich etwas Gutes wären.
Heute bin ich vor allem erleichtert, nachdem ich die Meldungen der australischen Bundespolizei (AFP), des Federal Bureau of Investigation (FBI) und der Polizei von Westaustralien (WAPF) gesehen habe. In ihrer Mitteilung heißt es, dass sie zwei Männer Anfang 20 festgenommen haben, denen vorgeworfen wird, hinter der Gruppe „TeamPCP“ zu stehen.
Über Shai-Hulud
Bevor ich näher auf die heute veröffentlichten Nachrichten eingehe: Es gibt absolut keine Anzeichen dafür, dass TeamPCP hinter den ursprünglichen „S1ngularity“- und „Shai-Hulud“-Angriffen stand, die wir im Sommer 2025 erlebt haben. Allerdings haben sie den Wurm geklont, und es wurde regelmäßig berichtet, dass sie hinter den „Shai-Hulud“-Angriffen steckten. Ich möchte klarstellen, dass es sich um unterschiedliche Angriffe handelt. Wir wissen immer noch nicht, wer hinter den ursprünglichen Angriffen steckte, und vielleicht werden wir es auch nie erfahren.
Ein Seufzer der Erleichterung
Die letzten sechs Monate waren ziemlich surreal. Für mich persönlich nahm alles am 21. März 2026 eine seltsame Wendung, als ich einen Angriff untersuchte und Folgendes sah:
Man könnte sich geschmeichelt fühlen. Ich tat es nicht. Seit Beginn meiner Karriere im Sicherheitsbereich habe ich es mit organisierten kriminellen Gruppen zu tun, und es ist weder niedlich noch schmeichelhaft, deren Aufmerksamkeit auf sich zu ziehen. Diese Akteure können unberechenbar und unvorhersehbar sein und sind durchaus in der Lage, einem das Leben zur Hölle zu machen, wenn sie sich einmal auf einen festgebissen haben.
Genau das macht diese parasozialen Dynamiken so unangenehm. Sie sind einseitig, instabil und potenziell gefährlich. Von Kriminellen beachtet zu werden, kann leicht als eine Art Status oder Bestätigung missverstanden werden. In Wirklichkeit bedeutet es meist nur, dass Menschen, zu denen man lieber Abstand halten würde, beschlossen haben, einem Aufmerksamkeit zu schenken.
Ein mysteriöser Angreifer
TeamPCP ließ sich nie eindeutig in die üblichen Schubladen einordnen. Sie waren weder wirklich ein staatlicher Akteur, noch ganz und gar organisierte Cyberkriminalität, noch rein ideologisch motiviert. Sie schienen irgendwo zwischen all diesen drei Kategorien zu liegen und vermischten Geld, Politik, Störaktionen, Ego und das Streben nach Aufmerksamkeit auf eine Weise, die sie schwer vorhersehbar machte.
Außerdem waren sie nicht besonders ausgefeilt. Was sie gefährlich machte, war ihre Fähigkeit, öffentlich zugängliche Exploits, Techniken, Forschungsergebnisse und Malware-Ideen aufzunehmen und schnell in die Praxis umzusetzen. LLMs scheinen dazu beigetragen zu haben, die Lücke zwischen dem Erkennen einer Angriffstechnik und deren großangelegtem Einsatz zu schließen. Mehr Fähigkeiten ohne entsprechende Einschränkungen – so lässt sich wohl am einfachsten beschreiben, warum TeamPCP ein solches Problem darstellte.
Institutionen spielen eine größere Rolle
Da große Sprachmodelle (LLMs) das Lernen, das Experimentieren, die Entwicklung von Tools und die Skalierung beschleunigen, können auch relativ unerfahrene Akteure viel schneller als bisher ernsthaften Schaden anrichten. TeamPCP hat gezeigt, wie viel Schaden eine sehr kleine Gruppe in bemerkenswert kurzer Zeit anrichten kann. Das macht die Institutionen, die sich mit Sicherheit befassen, umso wichtiger.
Technische Abwehrmaßnahmen können einen Vorfall eindämmen, allein sorgen sie jedoch nicht für Rechenschaftspflicht. Deshalb habe ich so große Wertschätzung für die hier beteiligten australischen Behörden. Ein Großteil dieser Arbeit ist schwierig, mühsam und von außen nicht sichtbar, doch letztlich sind es funktionierende Institutionen, die es uns ermöglichen, nicht mehr nur auf Angriffe zu reagieren, sondern echte Konsequenzen zu verhängen.
Aber Institutionen arbeiten langsam
Das Problem dabei ist, dass Angreifer und Institutionen mittlerweile nach völlig unterschiedlichen Zeitplänen vorgehen. Eine Handvoll Menschen mit den richtigen Werkzeugen kann innerhalb von Stunden oder Tagen eine Idee in eine neue Kampagne umsetzen, während das Sammeln von Beweisen, die grenzüberschreitende Koordination und das Erreichen eines dauerhaften Ergebnisses Monate oder Jahre dauern können.
Große Sprachmodelle (LLMs) werden das Problem nur noch verschlimmern. Wir verkürzen die Zeit, die benötigt wird, um Fähigkeiten zu erwerben und Ideen in die Tat umzusetzen, während die Systeme, die für die Reaktion auf diese Schäden zuständig sind, nicht einfach in gleichem Maße beschleunigt werden können. Es wird immer wichtiger werden, einen Weg zu finden, diese Lücke zu schließen, ohne dabei den ordnungsgemäßen Rechtsweg zu vernachlässigen.
Wie geht es weiter?
Wenn es eine Erkenntnis gibt, die ich aus den letzten sechs Monaten mitnehme, dann ist es die, dass dies nicht die letzte Gruppe wie TeamPCP sein wird. Die Hürden werden niedriger, die Tools werden besser, und kleine Teams erwerben Fähigkeiten, für die noch vor wenigen Jahren weitaus mehr Fachwissen und Infrastruktur erforderlich gewesen wären.
Die Umstände, die TeamPCP erst möglich gemacht haben, bleiben bestehen. Sie verschärfen sich sogar noch. Die Kluft zwischen der Geschwindigkeit, mit der Angreifer neue Fähigkeiten erwerben, und der Geschwindigkeit, mit der unsere Institutionen darauf reagieren können, dürfte sich weiter vergrößern. Die Herausforderung besteht darin, sicherzustellen, dass sich das Ökosystem und die damit verbundenen Systeme schnell genug an eine Welt anpassen können, in der sehr kleine, unerfahrene und unberechenbare Gruppen unverhältnismäßig großen Schaden anrichten können.
Für mich geht es heute jedoch weniger um diese Zukunft als vielmehr darum, ein Kapitel abzuschließen. TeamPCP hat mir viel Schlaf, viele Wochenenden und weitaus mehr geistige Energie gekostet, als mir lieb war. Ich weiß, dass es irgendwann wieder einen Vorfall geben wird, eine neue Gruppe und eine weitere lange Nacht.
Aber hoffentlich nicht an diesem Wochenende.
