Internationale Strafverfolgungsbehörden haben in einer koordinierten Operation drei der gefährlichsten Schadsoftware-Varianten unschädlich gemacht. Die Generalstaatsanwaltschaft Frankfurt am Main und das Bundeskriminalamt (BKA) arbeiteten dafür mit Behörden aus den Niederlanden, Dänemark, Großbritannien, USA und Kanada zusammen.
Bei der Operation „Endgame“ zwischen dem 9. und 11. November wurden weltweit über 230 Server mit Maßnahmen belegt, davon mehr als 40 in Deutschland. Zudem schalteten die Ermittler über 250 Domains der sogenannten Command-and-Control-Infrastruktur ab und bereinigten über 680 infizierte Webseiten.
Diese drei Malware-Arten standen im Fokus
Die Ermittler konzentrierten sich auf „Gootloader“, einen der einflussreichsten Dropper der vergangenen Jahre. Seit 2020 hat diese Schadsoftware nach bisherigen Erkenntnissen weltweit Millionen Opfersysteme befallen, Deutschland zählte zu den am stärksten betroffenen Ländern. Gootloader verbreitete sich durch manipulierte Suchmaschinenergebnisse – eine Methode namens SEO-Poisoning. Nutzer klickten unwissentlich auf bösartige Webseiten und luden sich den Schadcode herunter, über den weitere Malware wie Ransomware nachgeladen wurde.
Zweitens richtete sich die Operation gegen „CastleRAT“, einen Remote-Access-Trojaner (RAT), der seit 2025 bekannt ist. Diese Schadsoftware ermöglicht es Angreifern, einen infizierten Computer aus der Ferne zu steuern und Daten zu verschlüsseln. Betroffene Unternehmen wurden damit zur Zahlung von Lösegeld gedrängt.
Die dritte Malware-Variante war „StealC“, ein weitverbreiteter Stealer mit Dropper-Funktionen. Diese Schadsoftware war bereits im Juni 2026 Ziel von Strafverfolgungsbehörden. Nachdem die Täter ihre Infrastruktur anpassten, konnte die Polizei durch Folgeermittlungen die neue Infrastruktur ebenfalls aufklären. Wesentliche Infrastruktur wurde bei dem sogenannten Bullet-Proof-Hoster „Virtualine/Omegatech“ betrieben; das Polizeipräsidium Frankfurt am Main und niederländische Behörden schalteten diesen Hosting-Dienst Ende Oktober 2026 ab.
Millionen Opfer und ihre Daten
Im Zuge der Ermittlungen sicherten die Behörden rund 6,4 Millionen Zugangsdaten von über 40.000 Opfern. Betroffene können auf öffentlich zugänglichen Informationsplattformen prüfen, ob ihre persönlichen Daten kompromittiert wurden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterstützt bei der Benachrichtigung von Opfern in Deutschland.
Operation Endgame seit 2024
Die unter deutscher Federführung gestartete Operation Endgame wurde 2024 ins Leben gerufen. Die Bilanz seitdem: 17 Malware-Varianten wurden unschädlich gemacht, 47 Haftbefehle erlassen und über 270 Millionen Euro Vermögen sichergestellt oder eingefroren. Ziel ist das abgestimmte Vorgehen gegen sogenannte „Initial Access Malware“ – digitale Türöffner, die Opfersysteme infizieren und weitere Schadsoftware nachladen.
Carsten Meywirth, Leiter der Abteilung Cybercrime im BKA, erklärte: „Wir bekämpfen Cybercrime mit langem Atem und gleichzeitig hoher Schlagzahl. Auch technisch versierte und gut organisierte Cyberkriminelle müssen mit koordinierten internationalen Ermittlungen rechnen.“ Dr. Benjamin Krause, Leitender Oberstaatsanwalt der Zentralstelle zur Bekämpfung der Internetkriminalität, betonte: „Erneut bestätigt die Operation Endgame die Strategie der Strafverfolgungsbehörden, bei der Bekämpfung von organisierter Cybercrime nicht nur mit Strafverfolgungsbehörden, sondern auch privaten Organisationen zusammenzuarbeiten.“
Quelle: Pressemitteilung des Bundeskriminalamts vom 12. November 2026. Original beim Bundeskriminalamt.
Dieser Bericht wurde mit Unterstützung künstlicher Intelligenz aus offiziellen Quellen erstellt und redaktionell geprüft.