FortgeschrittenNews und Analysen
LockBit und Operation Cronos
Wie Ermittler 2024 die Ransomware-Gruppe LockBit unterwanderten, ihre Leak-Seite übernahmen und den mutmaßlichen Anführer enttarnten – und was übrig blieb.
Redaktion Darknet KompassAktualisiert am 3 Min. Lesezeit
Das Wichtigste in Kürze
- LockBit war eine der aktivsten Ransomware-Gruppen der Welt; zwischen Juni 2022 und Februar 2024 wurden mit ihren Diensten über 7.000 Angriffe vorbereitet.
- Im Februar 2024 übernahm eine internationale Taskforce unter Führung der britischen National Crime Agency die Infrastruktur, einschließlich der Leak-Seite im Darknet.
- Im Mai 2024 nannten die Behörden den mutmaßlichen Anführer ‚LockBitSupp‘ öffentlich und verhängten Sanktionen; die USA setzten bis zu 10 Millionen US-Dollar Belohnung aus.
- Deutschland gehörte zu den am stärksten betroffenen Ländern.
Inhalt
LockBit war jahrelang eine der aktivsten Ransomware-Gruppen der Welt. Im Februar 2024 übernahm eine internationale Taskforce unter Führung der britischen National Crime Agency (NCA) und des FBI ihre Infrastruktur – einschließlich der Leak-Seite im Darknet, auf der die Gruppe ihre Opfer bloßstellte. Die Operation Cronos gilt seitdem als Vorbild dafür, wie Ermittler Ransomware-Gruppen nicht nur abschalten, sondern auch ihr Ansehen in der Szene zerstören.
LockBit in Zahlen
| Kennzahl (Juni 2022 – Februar 2024) | Wert |
|---|---|
| Mit LockBit-Diensten vorbereitete Angriffe | über 7.000 |
| Am stärksten betroffene Länder | USA, Großbritannien, Frankreich, Deutschland, China |
| Angegriffene Krankenhäuser und Gesundheitsunternehmen | über 100 |
| Opfer in Verhandlungen | mindestens 2.110 |
| Identifizierte Partner („Affiliates“) | 194 |
LockBit arbeitete als Ransomware-as-a-Service: Die Betreiber stellten Schadsoftware und Infrastruktur, Partner führten die Angriffe durch. Wie das Modell funktioniert, erklärt Ransomware-Gruppen erklärt.
Die Operation
| Zeitpunkt | Ereignis |
|---|---|
| Februar 2024 | Die Taskforce übernimmt die Systeme von LockBit, darunter die Leak-Seite im Darknet |
| Februar 2024 | Auf der übernommenen Seite veröffentlichen die Ermittler Informationen über die Gruppe statt Opferdaten |
| 7. Mai 2024 | Die Behörden nennen den mutmaßlichen Anführer „LockBitSupp“, einen russischen Staatsbürger, öffentlich; Großbritannien, die USA und Australien verhängen Sanktionen |
| Mai 2024 | Die USA veröffentlichen eine Anklage und setzen bis zu 10 Mio. US-Dollar Belohnung aus |
Zur Taskforce gehörten neben NCA und FBI auch Europol und Polizeibehörden aus zahlreichen weiteren Ländern.
Psychologische Kriegsführung
Das Besondere an Cronos war die Kommunikation. Die Ermittler nutzten die übernommene Leak-Seite im Stil der Gruppe – mit Countdowns, „Enthüllungen“ und Informationen über die Partner. Die Botschaft an die Szene: Eure Daten liegen bei uns, und euer Anführer hat euch belogen. Die NCA wertete zudem aus, dass viele Partner nie Geld gesehen hatten: Von 119 Partnern, die mit Opfern verhandelt hatten, erhielten 39 offenbar nie eine Lösegeldzahlung.
Was danach geschah
LockBit versuchte einen Neustart mit einer neuen Leak-Seite. Laut NCA arbeitete die Gruppe danach nur noch mit eingeschränkter Kapazität:
- Die Zahl aktiver Partner sank auf 69.
- Die Angriffe in Großbritannien gingen im monatlichen Durchschnitt um 73 Prozent zurück.
- Die neue Leak-Seite führte alte Opfer und Angriffe anderer Gruppen auf, um Aktivität vorzutäuschen.
Was der Fall zeigt
- Vertrauen ist die Achillesferse. Ransomware-Gruppen leben davon, dass Partner ihnen vertrauen. Cronos traf genau das.
- Schlüssel helfen Opfern. Die Ermittler sicherten Tausende Entschlüsselungsschlüssel; allein die NCA verfügte über mehr als 2.500.
- Anführer bleiben oft unerreichbar. Der mutmaßliche Anführer lebt in Russland und ist bislang nicht festgenommen; für ihn gilt die Unschuldsvermutung.
Die Entwicklung der Ransomware-Szene seitdem beschreibt Ransomware-Lage 2025.
Häufige Fragen
Gibt es LockBit noch?
Die Gruppe versuchte nach Cronos einen Neustart mit neuer Leak-Seite. Laut National Crime Agency arbeitete sie danach nur noch mit eingeschränkter Kapazität und blähte ihre Opferliste mit alten Fällen und Angriffen anderer Gruppen auf.
Konnten Opfer ihre Daten zurückbekommen?
Teilweise. Die Ermittler sicherten Tausende Entschlüsselungsschlüssel und boten Betroffenen Hilfe an. Die NCA allein verfügte über mehr als 2.500 Schlüssel und kontaktierte fast 240 Opfer in Großbritannien.
Warum ist Cronos so bekannt?
Wegen der Art der Operation: Die Ermittler schalteten nicht nur ab, sondern nutzten die übernommene Leak-Seite, um Informationen über die Gruppe zu veröffentlichen und ihr Vertrauen in der Szene zu zerstören.
Quellen
- National Crime AgencyLockBit leader unmasked and sanctioned abgerufen am 20.10.2026
- National Crime AgencyOperation Cronos abgerufen am 20.10.2026
- Infosecurity MagazineLockBit Leader aka LockBitSupp Identity Revealed abgerufen am 20.10.2026
Redaktion
Die Redaktion recherchiert, schreibt und prüft alle Inhalte nach den veröffentlichten Redaktionsgrundsätzen. Jeder Artikel nennt seine Quellen.
Zuletzt aktualisiert am 20. Oktober 2026