Einleitung

Als die Gruppe Vulcan – mutmaßlich ein pro-russisches Hacktivismusnetzwerk – das Berliner Stromnetz angriff, wurde weder Lösegeld gefordert noch wurden Daten gestohlen. Das Ziel war einfacher: den Betrieb lahmlegen und ein öffentlichkeitswirksames Zeichen setzen (Reuters). Dies ist das definierende Merkmal des Hacktivismus. Hacktivisten werden von Ideologie und Politik angetrieben; ihr primäres Ziel ist Sichtbarkeit und Verunsicherung der Gesellschaft.

Wer sind diese Hacktivisten – und worin unterscheiden sie sich?

Die meisten Organisationen haben ihre Cyberabwehr auf ein vertrautes Bedrohungsmodell ausgerichtet: einen gewinnorientierten Angreifer, der still vorgeht, unentdeckt bleiben möchte und etwas will, das Ihre Organisation besitzt – Daten, Zugangsdaten, geistiges Eigentum. Hacktivisten durchbrechen dieses Modell. Sichtbarkeit ist das Ziel, nicht das Risiko. Während konventionelle Cyberkriminelle großen Aufwand betreiben, um unentdeckt zu bleiben, agieren Hacktivisten genau umgekehrt. Sie bekennen sich öffentlich zu ihren Angriffen, veröffentlichen Beweise in sozialen Medien und timen ihre Kampagnen auf politische Ereignisse für maximale Wirkung. Es gibt keine stillen Angriffe von denen die Öffentlichkeit nicht erfährt.

Wenn man an Hacktivismusgruppen denkt, fällt einem zuerst Anonymous ein. Viele der heutigen Hacktivismusgruppen haben sich jedoch weit von den locker organisierten Kollektiven der frühen Internetzeit entfernt. Im Allgemeinen lassen sich ihre Motivationen in vier Typen einteilen:

1. ideologische Gruppen, die Organisationen ins Visier nehmen, die ihre Weltanschauung in Frage stellen
2. politische Gruppen, die bestimmte Agenden verfolgen oder Regierungen bekämpfen
3. nationalistische Gruppen, die im Interesse eines Landes oder einer ethnischen Identität handeln
4. opportunistische Gruppen, die sich einer Sache anschließen, wenn sich eine Gelegenheit ergibt.

In der Praxis überschneiden sich diese Kategorien zunehmend – und genau das macht die aktuelle Lage so schwer navigierbar. Die gefährlichsten Akteure befinden sich heute an der Schnittstelle von nationalistischer und politischer Motivation: staatsnahe Gruppen – Organisationen, die unabhängig erscheinen mögen, aber mit stillschweigender oder direkter staatlicher Unterstützung operieren und geopolitische Ziele unter ideologischem Deckmantel verfolgen. Im Kontext des Krieges in der Ukraine sind pro-russische Gruppen zur dominierenden Kraft geworden, die europäische kritische Infrastrukturen ins Visier nimmt – echte Ideologie und staatliche Interessen auf eine Weise vermischend, die bewusst schwer zu entwirren ist (CISA).

Diese Gruppen arbeiten zunehmend über Kategorien hinweg zusammen und bilden weitreichende Allianzen. Ideologische Kollektive, nationalistische Crews und staatsnahe Akteure bündeln Ressourcen, teilen Angriffswerkzeuge und koordinieren Kampagnen über Telegram-Kanäle und Dark-Web-Foren. Mit wachsender Zusammenarbeit steigt das Fähigkeitsniveau – und damit auch das Ausmaß dessen, wozu sie fähig sind.

Übersichtstabelle: Revante Hacktivismusgruppen

Die Angriffslandschaft: Verschiebung hin zu industriellen Systemen

DDoS-Angriffe (Distributed Denial of Service) sind seit Langem das charakteristische Werkzeug des Hacktivismus. Bei einem DDoS-Angriff werden Tausende kompromittierter Geräte – häufig Computer und Server, die ohne Wissen ihrer Besitzer in ein Botnet eingebunden wurden – darauf ausgerichtet, ein Ziel gleichzeitig mit Anfragen zu überfluten und damit seine Kapazitätsgrenze zu überschreiten. Das Ergebnis: Legitime Nutzer werden ausgesperrt, Websites gehen offline, Anmeldeportale werden unerreichbar, und Betriebsdashboards reagieren nicht mehr.

Kostengünstig in der Durchführung und mit begrenzten technischen Kenntnissen ausführbar, bleibt DDoS die am häufigsten erfasste Methode – sie machte 77 % der Vorfalltypen bei 4.875 öffentlich gemeldeten EU-Vorfällen zwischen Juli 2024 und Juni 2025 aus, wobei Hacktivisten den überwiegenden Anteil verantworteten (ENISA Threat Landscape 2025). Hohe Volumina sollten jedoch nicht mit hoher Wirkung gleichgesetzt werden. Nur 2 % dieser hacktivistischen DDoS-Vorfälle verursachten messbare Dienstunterbrechungen (ENISA). Ein überflutetes Portal ist lediglich eine Unannehmlichkeit – es erholt sich innerhalb von Stunden, und der Schaden ist weitgehend reputationsbezogen.

Die folgenreichere Verschiebung vollzieht sich auf einer tieferen Ebene. Da Hacktivismusgruppen durch gruppenübergreifende Zusammenarbeit, gemeinsam genutzte Tools und enge Verbindungen zu staatlich unterstützten Akteuren immer fähiger werden, verlagern sie sich von DDoS hin zu weitaus bedeutenderen Zielen: Industrielle Steuerungssysteme (ICS) – die Technologie, die Stromnetze, Pipelines, Wasseraufbereitungsanlagen und Verkehrsnetze physisch steuert. ICS-Angriffe erfordern tiefes Wissen über operative Technologieumgebungen, geduldige Aufklärung und ein Maß an Koordination, das bisher fast ausschließlich staatlichen Akteuren zugeschrieben wurde.

Ein erfolgreicher Angriff nimmt nicht nur eine Website offline – er kann Ausrüstung beschädigen, Sicherheitsfehler auslösen und kaskadierende Ausfälle mit realen Konsequenzen verursachen, die kein Neustart rückgängig machen kann.

Die Zahlen spiegeln diese Verschiebung deutlich wider. ICS- und OT-Einbrüche erreichten im Q1 und Q2 2025 29 % und 31 % aller erfassten Hacktivismusaktivitäten (Cyble). Im gesamten Jahr verzeichnete Europa die höchste Konzentration ICS-bezogener Einbrüche weltweit. Gruppen wie Dark Engine und Sector 16 haben einen Großteil dieser Eskalation vorangetrieben – Dark Engine führte im Q2 2025 allein 26 ICS-gezielte Vorfälle durch, während Sector 16 im gleichen Zeitraum 14 bestätigte Angriffe durchführte, beide primär auf Energie- und Versorgungsinfrastruktur ausgerichtet (Cyble). CyberArmy of Russia_Reborn ist noch weiter gegangen – durch direkte Manipulation von Mensch-Maschine Interfaces bei Wasserversorgungsunternehmen in den USA und Polen, dass physische Prozessstörungen kein theoretisches Risiko mehr sind (U.S. Treasury).

Was das konkret bedeutet, belegen vier Akteure, deren dokumentierte Angriffe zeigen, dass diese Bedrohungen längst keine Theorie mehr sind – von massenhaften DDoS-Wellen über gezielte Eingriffe in industrielle Steuerungssysteme bis hin zu destruktiven Wiper-Operationen gegen westliche Großunternehmen.

NoName057(16): DDoS auf Finanzsektor und kritische Infrastruktur

NoName057(16) ist seit Frühjahr 2022 die aktivste pro-russische Hacktivismusgruppe in Europa. Ihr Tool DDoSia kombiniert ein eigenes Botnet (Hunderte Server) mit einem Crowdsourcing-Modell, bei dem Freiwillige für ihre Teilnahme in Kryptowährung vergütet werden. Zum Zeitpunkt der Zerschlagung koordinierte die Gruppe über 4.000 aktive Volunteer-Clients. Deutsche Behörden registrierten 14 separate Angriffswellen gegen mehr als 250 Institutionen (Europol, Juli 2025).

CARR (Cyber Army of Russia Reborn): OT-Angriffe auf kritische Infrastruktur

CARR ist eine der wenigen Hacktivismusgruppen, die nachweislich physische Auswirkungen auf kritische Infrastruktur erzielt hat. Das U.S. Department of Justice stuft CARR als „gegründet, finanziert und gesteuert durch den GRU“ (Einheit 74455 / Sandworm) ein. Im Dezember 2025 benannte das gemeinsame Advisory CISA AA25-343A – mitgezeichnet von 23 internationalen Behörden, darunter aus Deutschland, Frankreich, Italien und Spanien – CARR als eine der vier Hauptgruppen, die kritische Infrastruktur weltweit angreifen.

Handala Hack Team: Irans Cyberfront gegen Israel und den Westen

Handala Hack Team ist eine der destruktivsten Hacktivismusgruppen der Gegenwart. Check Point Research (2026) ordnet Handala als Online-Persona des iranischen Bedrohungsakteurs Void Manticore (Red Sandstorm, Banished Kitten) ein, der dem iranischen MOIS zugerechnet wird. Weitere Personas: Karma (inaktiv) und Homeland Justice (Albanien). Seit 2025 setzt die Gruppe auf NetBird für Traffic-Tunneling sowie KI-assistierte PowerShell-Wiper-Skripte.

Irans koordiniertes Cyber-Ökosystem: PLC-Angriffe auf US-Infrastruktur

Am 7. April 2026 veröffentlichten FBI, CISA, NSA, EPA, DOE und U.S. Cyber Command ein gemeinsames Advisory (CISA AA26-097A), das vor laufenden Angriffen einer iranisch-affiliierten APT-Gruppe auf internetexponierte Programmable Logic Controllers (PLCs) in US-amerikanischer kritischer Infrastruktur warnt. Die Aktivität ähnelt früheren Operationen der CyberAv3ngers (Shahid Kaveh Group), die dem IRGC Cyber Electronic Command (CEC) zugeordnet werden.

Implikationen für Organisationen

Angriffsbereitschaft nicht vorhersehbar, Gelegenheiten schon

Hacktivisten timen Angriffe oft auf externe Trigger-Events. Wer relevante geopolitische Ereignisse kennt, kann das Bedrohungsniveau antizipieren und die Abwehrbereitschaft situativ erhöhen.

Die Eskalationsschwelle hat sich gesenkt

Die Fähigkeitslücke zwischen DDoS-fokussierten und ICS/OT-fähigen Akteuren schwindet. Und die eigene DDoS-Resilienz schützt bekannterweise nicht gegen das Handala-Modell: Wiper + Hack-and-Leak + Psychologische Operation.

Reputationsschaden ist Teil der Angriffsstrategie

Incident-Response- und Krisen-Pläne müssen eine vorbereitete Kommunikationsstrategie für den öffentlichen Raum einschließen – nicht erst nach dem Vorfall.

Ausgewählte Quellen

• ENISA Threat Landscape 2025: https://www.enisa.europa.eu/
• Europol: Operation Eastwood (Jul 2025): https://www.europol.europa.eu/
• CyberScoop: NoName Disruption (Jul 2025): https://cyberscoop.com/
• Link11: NoName greift DE-Städte an (Aug 2025): https://www.link11.com/
• Check Point Research: Handala Modus Operandi (2026): https://research.checkpoint.com/
• Security Affairs: Handala vs PSK WIND Technologies (Apr 2026)
• Wikipedia: Handala Hack Team: https://en.wikipedia.org/wiki/Handala_Hack_Team
• Cyble: Hacktivists Attacks on Critical Infrastructure (2025): https://cyble.com/
• CISA AA25-343A & AA23-335A: https://www.cisa.gov/
• Wired: Cyber Army of Russia Reborn: https://www.wired.com/
• Handala Hack Team Leak-Seite (OSINT, Apr 2026): https://handala-hack.tw/