Rebranding in der Hacker-Szene – Wie sich Cyber-Syndikate neu erfinden

Der Phönix-Effekt

Eine Gruppe verbrennt ihre alte Identität und erhebt sich unter neuem Namen wie der Phönix aus der Asche. Die Infrastruktur und die Führungsebene bleiben gleich, nur das äußere Erscheinungsbild ändert sich.

Atomisierung / Zersplitterung

Manchmal löst sich eine große Gruppe auf und die Kernmitglieder verteilen sich auf viele kleine, weniger bekannte Untergruppen. Nach massivem Druck zersplitterte zum Beispiel das berüchtigte Conti-Syndikat in diverse kleinere Zellen (z. B. Royal, BlackBasta). Es wird davon ausgegangen, dass diese Zellen nicht nur autonom, sondern auch koordiniert agieren. Für die Strafverfolgungsbehörden ist es schlichtweg schwerer, ein Dutzend kleiner Gruppen zu jagen als einen großen „Staatsfeind Nr. 1“.

Affiliate-Migration

Bei vielen modernen Cybercrime-Formen wie „Ransomware-as-a-Service“ (RaaS) ergibt sich ein Zusammenspiel mehrerer Gruppen. Es gibt Entwickler und es gibt die eigentlichen Hacker (Affiliates), die die Software mieten. Wenn eine große Marke verbrannt ist (z. B. durch einen behördlichen Zugriff auf die Server), nehmen die Hacker ihre Fähigkeiten und Kundenlisten mit und wechseln einfach zu einer konkurrierenden Marke.

Umgehung von Sanktionen

Dies ist einer der stärksten wirtschaftlichen Treiber. Wenn beispielsweise das US-Finanzministerium (OFAC) oder ähnliche Behörden eine Ransomware-Gang auf die Sanktionsliste setzen, hat das drastische Konsequenzen. Unternehmen in den jeweiligen Ländern (und deren Versicherer) machen sich dann strafbar, wenn sie Lösegeld zahlen. In der Folge brechen die Einnahmen der Ransomware-Gruppe ein, weil das Risiko von Lösegeldzahlungen zu groß ist. Ein neuer Name hilft ihnen dann, dem Compliance-Druck der Unternehmen zu entgehen und den Geldhahn wieder aufzudrehen.

„Heat“ reduzieren

Wenn eine Gruppe zu viel Aufmerksamkeit erregt – etwa durch Angriffe auf Krankenhäuser oder andere kritische Infrastruktur –, wird der politische Druck auf die Strafverfolgungsbehörden immens. FBI, Europol, BKA und Co setzen viele Ressourcen ein, um die Gruppe zu stoppen. Das Rebranding dient hier als taktischer Rückzug. Die Gruppe zersplittert sich oder ändert ihren Namen, um unterzutauchen und die Ermittler zu verwirren.

Reputationsmanagement („Toxic Brand“)

Wenn du Lösegeld zahlst, möchtest du auch sicher sein, dass du deine Daten wirklich zurückbekommst. Manche Hackergruppen werden jedoch gierig oder schlampig: Sie kassieren das Lösegeld ein, entschlüsseln die Daten aber nicht. Oder sie veröffentlichen die Daten trotz Zahlung. Sobald sich das herumspricht, zahlt niemand mehr. Die Marke ist toxisch geworden. Ein Rebranding bietet dann die Möglichkeit, unter neuem Namen zu starten und den Opfern erneut „höchste Professionalität“ zu versprechen.

Interne Konflikte und Leaks

Auch in kriminellen Organisationen kann es zu Streit um Geld oder politische Ausrichtungen kommen, was zu einer Spaltung führen kann. Werden dann noch interne Chat-Protokolle geleakt, ist die alte Marke kompromittiert und ein Neustart unumgänglich.