Operation Endgame, Amadey und StealC stoppen Kryptodiebstahl

Bei der internationalen Polizeiaktion „Operation Endgame“ sind nach Angaben der Behörden 300 Server, 650 Domains, Kryptowerte im Umfang von 47 Millionen US-Dollar und rund 27 Mio. Login-Credentials sichergestellt oder blockiert worden. Im Fokus standen vor allem die Malware-Familien Amadey und StealC, zwei Werkzeuge aus dem Malware-as-a-Service-Ökosystem, das Cyberkriminellen den Einstieg in Datendiebstahl, Infektionen und spätere Erpressung erleichtert. Beteiligt waren Ermittler aus mehreren europäischen Ländern sowie Partner aus den USA, Kanada und Australien. Für Nutzer, Firmen und Krypto-Plattformen ist der Schlag relevant, weil gestohlene Zugangsdaten oft in Ketten weiterverkauft werden und kompromittierte Rechner als Sprungbrett für Wallet-Diebstahl, Phishing und weitere Angriffe dienen.

Was bei „Operation Endgame“ passiert ist

Die koordinierte Aktion richtete sich gegen eine Infrastruktur, die über Monate hinweg als Rückgrat für die Verbreitung und Vermarktung von Schadsoftware diente. Ziel war nicht nur, einzelne Täter zu identifizieren, sondern ganze Lieferketten zu stören: Infektionsserver, Kontrollknoten, Weiterverkaufsseiten, Logins und Wallet-Strukturen. Die Behörden sprechen von einer der grössten europäischen Operationen gegen Cybercrime-Infrastruktur in diesem Jahr. Neben Polizeibehörden und Staatsanwaltschaften waren auch nationale Cyberabwehrstellen, Forensik-Teams und private Threat-Intelligence-Partner eingebunden. Genau diese Mischung ist entscheidend, weil kriminelle Netzwerke heute kaum noch aus einem einzelnen Botnet oder einer einzelnen Gruppe bestehen, sondern aus arbeitsteiligen Ökosystemen mit Zugang zu gestohlenen Daten, Zahlungswegen und technischer Dienstleistung.

Im Zentrum standen mehrere technische und organisatorische Ebenen. Erstens wurden Server beschlagnahmt oder abgeschaltet, die Schadsoftware auslieferten oder die Kommunikation zwischen infizierten Systemen und den Angreifern steuerten. Zweitens wurden Domains übernommen, um kriminelle Panels und Marktplätze zu unterbrechen. Drittens wurden Datenbestände gesichert, die für weitere Ermittlungen, Opferzuordnungen und Rückverfolgungen genutzt werden können. Besonders heikel war dabei die Sicherstellung von 27 Mio. Credentials, also Benutzernamen, Passwörtern und Zugangsdaten, die in der Cybercrime-Wirtschaft als harte Währung gelten. Solche Daten werden oft nicht sofort eingesetzt, sondern über Monate oder Jahre in Untergrundforen, Telegram-Kanälen oder privaten Shops weiterverkauft.

Amadey und StealC: die Werkzeuge hinter dem Schaden

Amadey ist ein klassischer Malware-Loader und Botnet-Baustein. Solche Loader infizieren Systeme zunächst mit vergleichsweise kleiner Funktionalität, laden dann aber bei Bedarf weitere Schadsoftware nach. Das macht Amadey für Angreifer flexibel und schwerer zu erkennen: Ein kompromittierter Rechner kann heute für Credential-Diebstahl missbraucht werden, morgen für den Download eines Remote-Access-Trojaners und später für den Start einer Ransomware-Kette. In vielen Kampagnen dient Amadey als Einstieg, um Sicherheitskontrollen zu umgehen und die erste Kontrolle über ein System zu gewinnen. Das eigentliche Geschäft entsteht danach durch den Verkauf des Zugriffs oder der gestohlenen Daten.

StealC folgt einem ähnlichen kriminellen Logikmuster, setzt aber stärker auf das Massengeschäft mit Infostealer-Funktionalität. Der Fokus liegt auf Browser-Daten, Session-Cookies, Kryptobörsen-Logins, Wallet-Erweiterungen, Authenticator-Informationen und gespeicherten Passwörtern. Genau darum sind Stealer so wertvoll: Sie greifen nicht nur Passwörter ab, sondern oft auch Sitzungsdaten, mit denen Angreifer 2FA-Schranken umgehen können, wenn ein Login bereits autorisiert wurde oder Cookies übernommen werden. Für Krypto-Nutzer ist das besonders riskant, weil Browser-Wallets, Exchange-Accounts und E-Mail-Postfächer in engem Zusammenhang stehen. Wer Zugriff auf die Mailbox hat, kann Resets anstossen, neue Geräte autorisieren und Sicherheitsabfragen abfangen.

Wie das MaaS-Modell funktioniert

MaaS steht für Malware-as-a-Service. Das Modell funktioniert ähnlich wie ein legaler SaaS-Dienst, nur im kriminellen Kontext: Betreiber entwickeln, pflegen und verkaufen Schadsoftware, Zugänge oder Infrastruktur an andere Täter. Diese Kunden zahlen Miete, Provisionen oder einmalige Gebühren und erhalten dafür ein fertiges Angriffsprodukt mit Support, Updates und oft sogar Benutzeroberflächen. Dadurch sinkt die Eintrittsschwelle für Cybercrime massiv. Ein Täter braucht nicht mehr selbst hochentwickelte Malware zu programmieren, sondern kann sie wie ein Tool abonnieren. Das skaliert Angriffe, erhöht den Professionalisierungsgrad und erschwert Ermittlungen, weil Entwickler, Betreiber, Affiliates und Geldwäscher oft in getrennten Jurisdiktionen sitzen.

Für die Sicherheitslage im Kryptobereich ist genau das problematisch. MaaS-Angebote treiben Credential-Diebstahl, Kontenübernahmen und Malware-Kampagnen in hoher Frequenz an. Ein gestohlener Exchange-Login ist oft nur der erste Schritt: Danach folgen SIM-Swaps, E-Mail-Komprimittierung, neue Auszahladressen und die rasche Weiterleitung der Assets über mehrere Wallets oder Börsen. Je besser die Untergrunddienste organisiert sind, desto schneller werden kompromittierte Konten monetarisiert.

47 Millionen US-Dollar, 27 Mio. Credentials: was die Beschlagnahme bedeutet

Die Sicherstellung von Kryptowerten im Wert von 47 Millionen US-Dollar ist mehr als ein symbolischer Erfolg. In Cybercrime-Fällen ist die Beschlagnahme digitaler Assets oft nur möglich, wenn die Behörden rechtzeitig private Schlüssel, Seed-Daten, Exchange-Konten oder Zwischenwallets identifizieren. Erfolgt die Sicherung spät, werden Gelder meist über Mixer, Brücken, Chain-Hopping oder dezentralisierte Protokolle verteilt. Der Zugriff auf Vermögenswerte setzt deshalb eine Kombination aus On-Chain-Analyse, klassischer Ermittlungsarbeit und internationaler Rechtshilfe voraus. Genau diese Verzahnung macht grosse Operationen wie Endgame wirksam.

Auch die 27 Mio. Credentials sind forensisch enorm wertvoll. Solche Datensätze enthalten häufig wiederverwendete Passwörter, E-Mail-Adressen, Browser-Profile oder Metadaten zu Infektionswellen. Ermittler können damit Opfer informieren, weitere Angriffsvektoren erkennen und die Infrastruktur besser kartieren. Für Unternehmen bedeutet das: Ein Datenleck ist selten ein isoliertes Ereignis. Wenn Zugangsdaten aus einem Stealer-Log auftauchen, kann daraus Wochen später ein Angriff auf Cloud-Konten, Entwicklerzugänge oder Finanzsysteme entstehen. Im Kryptobereich reicht oft schon ein kompromittiertes Mailkonto, um Börsen-Accounts zurückzusetzen oder Support-Prozesse zu missbrauchen.

Bestandteil	Angaben der Behörden	Praktische Bedeutung
Server	300	Störung von C2-, Loader- und Verteilinfrastruktur
Domains	650	Übernahme von Panels, Redirects und kriminellen Shops
Kryptowerte	47 Millionen US-Dollar	Einzug oder Blockierung von Erlösen aus Cybercrime
Credentials	27 Mio.	Weitreichende Rückverfolgung und Opferbenachrichtigung

Bin ich betroffen? So prüfst du es konkret

Betroffen ist nicht nur, wer bereits einen Einbruch bemerkt hat. Wer in den letzten Monaten Passwörter wiederverwendet, eine infizierte Datei geöffnet, eine Fake-Software installiert oder einen Browser-Login auf einem unsicheren Gerät genutzt hat, sollte reagieren. Besonders relevant sind E-Mail-Konten, Exchange-Logins, Krypto-Wallets, Passwortmanager und Cloud-Dienste. Ein einfacher Check beginnt mit der Frage, ob dieselbe Kombination aus E-Mail und Passwort an mehreren Stellen eingesetzt wurde. Ist das der Fall, gilt das Konto als verwundbar, sobald ein Leak bekannt wird.

Sinnvoll ist ausserdem die Prüfung auf ungewöhnliche Anmeldungen, neue Geräte, Weiterleitungsregeln im E-Mail-Postfach und Änderungen an Sicherheitsdaten. Wer Krypto-Plattformen nutzt, sollte Ein- und Auszahlungsadressen, API-Keys und 2FA-Einstellungen kontrollieren. Viele Börsen bieten Sicherheitsprotokolle mit Login-Historie, Sitzungsverwaltung und Whitelist-Funktionen für Auszahladressen. Bei Verdacht auf Kompromittierung hilft nur schnelles Handeln: alle aktiven Sitzungen abmelden, Passwörter ändern, E-Mail absichern und bei Finanzkonten die zusätzliche Verifikation aktivieren. Für tiefere Prüfungen bieten manche CERTs und Security-Firmen Suchportale oder Benachrichtigungsdienste für geleakte Zugangsdaten an; grosse Plattformen wie HIBP, nationale Cyber-Meldestellen und Threat-Intel-Feeds sind dafür die naheliegenden Anlaufstellen.

Welche Sofortmassnahmen jetzt sinnvoll sind

• Passwörter für E-Mail, Börsen, Wallet-Backups und Passwortmanager sofort ändern.
• Überall einzigartige Passwörter verwenden, nicht nur Varianten alter Kennwörter.
• 2FA aktivieren, möglichst mit Authenticator-App oder Hardware-Key statt SMS.
• Alle aktiven Sessions und Geräte in Mail-, Cloud- und Krypto-Konten abmelden.
• API-Keys, Recovery-Codes und Weiterleitungsregeln prüfen und bei Bedarf neu erzeugen.
• Wallets und Exchange-Adressen auf unbekannte Abhebungen oder Freigaben kontrollieren.
• Kredit- und Identitätsmonitoring aktivieren, wenn Personaldaten mitbetroffen sein könnten.

Wer einen Krypto-Account nutzt, sollte zusätzlich die Sicherheitsgewohnheiten anpassen. Browser-Wallets sind praktisch, aber anfälliger als Hardware-Wallets. Seed-Phrasen gehören offline gespeichert und nie in Cloud-Notizen, Screenshots oder Messenger. Für grössere Bestände ist eine Trennung von Handels- und Verwahrungswallets sinnvoll. Das verringert den Schaden, falls ein Konto oder Endgerät kompromittiert wird.

Rechtliche Folgen und Folgen für die Krypto-Branche

Juristisch wirkt eine Operation wie Endgame auf mehreren Ebenen. Erstens entstehen umfangreiche Beweisbestände: Server-Images, Chatverläufe, Zahlungsflüsse und Domain-Daten können Anklagen gegen Betreiber, Wiederverkäufer und Geldwäscher stützen. Zweitens erleichtert die Sicherung von Infrastruktur internationale Auslieferungs- und Rechtshilfeersuchen, weil die Zuordnung von Rollen in der Kette sichtbarer wird. Drittens können blockierte Kryptowerte in späteren Verfahren eingezogen oder an Geschädigte zurückgeführt werden, sofern die Rechtslage und die Herkunft der Assets das zulassen.

Für die Krypto-Branche ist der wichtigste Effekt die Störung der kriminellen Liquidität. Wenn Infostealer, Botnetze und MaaS-Anbieter unter Druck geraten, verteuern sich ihre Operationen. Mehr Kosten, mehr Ausfallrisiko, mehr Vorsicht bei der Geldwäsche und weniger Vertrauen in mittlere Dienstleister im Untergrund. Das verschiebt das Kalkül vieler Täter, auch wenn es Cybercrime nicht beendet. Gleichzeitig wächst der Druck auf Börsen, Wallet-Anbieter und Stablecoin-Emittenten, schnelle Reaktionswege für Asset-Freeze, Chain-Analysen und verdächtige Transaktionen bereitzuhalten. Je enger Ermittler, Börsen und On-Chain-Analysten zusammenarbeiten, desto schwerer lassen sich gestohlene Werte in den regulären Markt zurückschieben.

Fazit: ein harter Schlag gegen das Cybercrime-Ökosystem

Operation Endgame trifft nicht nur einzelne Malware-Familien, sondern die ökonomische Infrastruktur dahinter. Mit 300 Servern, 650 Domains, 47 Millionen US-Dollar in Kryptowerten und 27 Mio. Credentials haben Ermittler eine Plattform gestört, die Angriffe in grossem Stil ermöglicht und monetarisiert hat. Für Nutzer zählt nun vor allem die eigene Hygiene: Passwörter erneuern, 2FA härten, Konten überwachen und Wallets sauber trennen. Für die Branche ist der Fall ein Signal, dass internationale Kooperation bei Botnets, Infostealern und MaaS-Modellen Wirkung entfalten kann. Wer digitale Vermögenswerte hält, sollte die Sicherheitslage nicht erst nach einem Leak ernst nehmen, sondern jetzt.