Cyberkriminalität: Warum Hackergruppen bei Google jetzt einen Vor- und Nachnamen haben

Ein neues System für mehr Transparenz in der Cybersicherheit

Die Welt der Cybersicherheit ist komplex und oft unübersichtlich. Namen wie „Fancy Bear“ oder „Sandworm“ sind in der Fachwelt zwar bekannt, doch die mangelnde Einheitlichkeit bei der Benennung von Hackergruppen erschwert die Arbeit von Expert:innen erheblich. Google hat nun einen entscheidenden Schritt unternommen, um dieses Durcheinander zu ordnen: Das Unternehmen hat sein Benennungssystem grundlegend überarbeitet.

Shane Huntley, Chief Technology Officer bei der Google Threat Intelligence Group, erläuterte in einem Gespräch mit Techcrunch die Hintergründe dieser Anpassung. Ziel ist es, sowohl intern als auch extern ein höheres Maß an Klarheit zu schaffen, um auf Bedrohungen schneller und zielgerichteter reagieren zu können.

Strukturierte Codenamen: Die neue Nomenklatur

Das bisherige System, das insbesondere durch das Cybersicherheitsunternehmen Mandiant – heute Teil von Google – geprägt wurde, nutzte häufig Kürzel wie „APT“ in Kombination mit Zahlenfolgen. Dieses Schema wird nun durch eine intuitivere Methode ersetzt. Künftig setzt sich der Name einer Hackergruppe aus zwei klar definierten Bestandteilen zusammen:

* **Der „Vorname“:** Ein zufällig gewähltes, einprägsames Wort.

* **Der „Nachname“:** Ein Hinweis auf das Herkunftsland der Gruppe.

Dieses System ermöglicht eine direkte geografische Zuordnung. So steht beispielsweise „Castle“ für Akteure aus China, „Ion“ für den Iran, „Neptune“ für Nordkorea und „Relic“ für Russland. Diese klare Struktur soll dabei helfen, Angriffsvektoren und die dahinterstehenden Absichten schneller zu identifizieren.

Die wachsende Bedrohungslage für Unternehmen

Die Notwendigkeit einer besseren Übersicht wird durch aktuelle Statistiken unterstrichen. Laut einer Bitkom-Umfrage ist die deutsche Wirtschaft zunehmend von Cyberangriffen betroffen. Im vergangenen Jahr berichteten 87 Prozent der befragten Unternehmen von Vorfällen wie Datendiebstahl, Sabotage oder Industriespionage – ein deutlicher Anstieg gegenüber den 81 Prozent im Vorjahr.

Besonders auffällig ist die Zunahme von Angriffen, die staatlichen Akteuren oder Nachrichtendiensten zugeordnet werden können. Während der Anteil der Angriffe, die auf ausländische Nachrichtendienste zurückzuführen sind, vor zwei Jahren noch bei sieben Prozent lag, stieg dieser Wert laut Bitkom zuletzt auf 28 Prozent an. Russland und China stehen dabei besonders häufig im Fokus der Sicherheitsanalysen.

Warum einheitliche Namen die Abwehr stärken

Ein grundlegendes Verständnis darüber, wer ein Ziel angreift und welche Methoden dabei zum Einsatz kommen, ist für die Verteidigung essenziell. Huntley betont, dass die detaillierte Verfolgung der Aktivitäten – von der Historie bis zum aktuellen Verhalten – die Basis für eine effektive Abwehr bildet. Nur durch eine konsequente namentliche Zuordnung können Unternehmen ihre Schutzmaßnahmen gezielt optimieren.

Die Herausforderung bei der Verfolgung bleibt jedoch bestehen. Staatlich geförderte Gruppen agieren meist mit konsistenteren Zielen, was ihre Beobachtung im Vergleich zu kriminellen „Hacker-for-Hire“-Gruppen, deren Mitgliederstruktur sich häufiger ändert, etwas planbarer macht.

Die Grenzen der Sichtbarkeit

Obwohl Google mit diesem System einen Standard setzt, bleibt die Frage, warum sich die Branche nicht auf eine universelle Nomenklatur einigen kann. Laut Huntley liegt das an der unterschiedlichen Datenbasis der Sicherheitsunternehmen. Jede Organisation blickt aus einem anderen Winkel auf die Bedrohungslandschaft und sammelt eigene Erkenntnisse. Es gibt keinen Akteur, der über einen vollkommenen Überblick verfügt. Das neue Modell von Google ist daher als ein bestmöglicher Ansatz zu verstehen, um die eigene Analysefähigkeit zu schärfen und die Kommunikation über komplexe Bedrohungslagen hinweg zu vereinfachen.