FBI schaltete einer chinesischen Hackerfabrik mit 2 Millionen Aufgaben pro Tag den Strom ab

Am Mittwoch, dem 26. August 2026, gaben das Justizministerium und das FBI gerichtlich genehmigte Beschlagnahmungen von Internet-Domains bekannt, die zwei sich ergänzenden Hackerplattformen zugrunde lagen, bezeichnet als „QScan“ und „QTRouter“. Vom chinesischen Staat unterstützte Hacker nutzten sie, um kritische Infrastruktur der USA ins Visier zu nehmen⁠2. Das FBI erklärte, es habe ein Botnetz zerschlagen und zwei Plattformen beschlagnahmt, die für Angriffe auf die NASA, den US-Senat, das Energieministerium, die Federal Reserve und weitere Behörden und kritische Netzwerke genutzt wurden⁠4.

Die Operation richtete sich gegen eine staatlich unterstützte Gruppe namens QTFY, auch bekannt als QT, QTCWIBER und Quantum Typhoon, die dem in China ansässigen Unternehmen Nanjing Xinjiuwei Network Technology Co. zugeschrieben wird⁠6⁠8. QTFY hat Hacker-Dienstleistungen an das Ministerium für Staatssicherheit der Volksrepublik China und die Volksbefreiungsarmee verkauft⁠8. CyberScoop berichtet, die vollständige Hacker-Suite habe es von der chinesischen Regierung finanzierte Angreifern ermöglicht, mehr als acht Jahre lang unentdeckt in hochsensible Netzwerke einzudringen⁠5.

Die Beschreibung als Industrie ist wichtig, weil die beiden beschlagnahmten Plattformen unterschiedliche Aufgaben hatten. QScan wird als Scan- und Angriffsebene beschrieben, die dafür entwickelt wurde, verwundbare Systeme im gesamten Internet aufzuspüren und anschließend Eindringversuche zu unternehmen⁠8. QTRouter ist die Verschleierungsebene: Sie leitet Angriffsverkehr über kompromittierte Geräte um, um dessen Ursprung zu verschleiern⁠2⁠9. SecurityAffairs bestätigt, dass die beiden Plattformen dazu dienten, Eindringversuche zu verschleiern und kritische Infrastruktur der USA ins Visier zu nehmen⁠9.

Zusammen lösten sie die beiden schwierigsten Probleme einer langjährigen Spionagekampagne: Wie findet man die nächste Schwachstelle, ohne beim Suchen gesehen zu werden, und wie nutzt man sie, ohne den Eindruck zu erwecken, der Angriff komme aus China? Der Scan findet die Schwachstelle. Der Router verschleiert den Zugang. Wenn ein Opfer einen Eindringversuch protokolliert, verweist die Quelladresse bereits auf einen gewöhnlichen Ort, und die Methode wirkt wie gewöhnliches Hintergrundrauschen im Internet.

Die bislang offengelegte Liste der Opfer ist kurz, umfasst aber ungewöhnlich sensible Ziele. Reuters berichtet, chinesische Hacker seien in das Justizministerium, die NASA, die Federal Reserve und den Senat eingedrungen⁠3. The Register nennt zusätzlich das Energieministerium⁠4. Das sind keine nachrangigen Netzwerke. Sie umfassen Strafverfolgung, Geldpolitik, Weltraum- und wissenschaftliche Forschung, Kommunikation der Legislative sowie Interessen im Energie- und Nuklearsicherheitsbereich.

Das Justizministerium stellte die Maßnahme vom 26. August als technische Beschlagnahmung dar, nicht als Ankündigung einer Festnahme oder Anklage. Das Justizministerium und das FBI erklärten, die Beschlagnahmungen sollten „böswilligen Cyberakteuren den Zugriff“ auf die Plattformen verwehren⁠2. Praktisch bedeutete das, mithilfe einer gerichtlichen Ermächtigung die Kontrolle über Domains zu übernehmen, auf die die Plattformen angewiesen waren, und so den Betreibern den Weg zurück in ihre eigene Infrastruktur abzuschneiden.

Am 26. August 2026 veröffentlichten das FBI, die NSA und die Cyber National Mission Force eine gemeinsame Cybersicherheitswarnung mit der Nummer JCSA-20260826-01⁠10. Die koordinierte Warnung signalisiert, dass die Regierung den Fall als mehr als eine eintägige Maßnahme der Strafverfolgung betrachtete. Sie war zugleich eine Warnung an Verteidiger: Hier ist die Infrastruktur, so funktionierte sie – suchen Sie in Ihren Netzwerken danach.

Die zentrale offene Frage ist, wie nachhaltig die Maßnahme wirkt. Die Berichterstattung über die Zerschlagung warf dieselbe Frage auf, die sich nach nahezu jeder Botnetz-Abschaltung stellt: Ob die Entfernung der Domains das Netzwerk dauerhaft blind macht oder Tausende weiterhin infizierte Geräte zurücklässt, die wieder aufgebaut werden können⁠5. Eine Beschlagnahmung, die die Steuerungsinfrastruktur unterbricht, bereinigt nicht automatisch kompromittierte Router, Kameras, Server oder andere Edge-Geräte. Betreiber, die acht Jahre investiert haben, haben starke Anreize, die Infrastruktur wieder aufzubauen.

Die Frage nach der Nachhaltigkeit wird durch das Geschäftsmodell der Gruppe noch dringlicher. Beschrieben wurde keine einzelne Truppe, die Server mietete. QTFY wurde einem Unternehmen zugeschrieben, Nanjing Xinjiuwei Network Technology Co., dem vorgeworfen wurde, Spionage- und Militärkunden Hacker-Dienstleistungen verkauft zu haben⁠6⁠8. Ein Auftragnehmer, der Zugang verkauft, kann eine Abschaltung als Geschäftskosten verbuchen, solange seine Methoden, Mitarbeiter und Kundenbeziehungen bestehen bleiben.

Der Zeitraum von acht Jahren ist daher ebenso wichtig wie der Tag mit zwei Millionen Aufgaben⁠5⁠8. Acht Jahre reichen aus, damit Werkzeuge ausgereift sind, Ziellisten anwachsen und Eindringversuche so langsam vorbereitet werden können, dass sie keinen Alarm auslösen. Das bedeutet auch, dass viele betroffene Organisationen möglicherweise noch nicht wissen, was entwendet wurde, wann ein dauerhafter Zugang eingerichtet wurde oder ob bei einem späteren Eindringversuch Zugangsdaten verwendet wurden, die viel früher gestohlen worden waren.

Was in der öffentlichen Dokumentation fehlt, ist ebenso aufschlussreich wie das, was angekündigt wurde. Die verfügbare Berichterstattung nennt weder die genauen Namen der beschlagnahmten Domains noch wörtliche offizielle Zitate namentlich genannter Amtsträger oder das volle Ausmaß der Schäden und der fortbestehenden Zugänge in den Netzwerken der Opfer. Sie bestätigt auch nicht unabhängig weitergehende Zahlen und Verbindungen, die im Zusammenhang mit dem Fall erörtert wurden, darunter Angaben zum weltweiten Datenverkehr, das Gründungsjahr eines Unternehmens oder mutmaßliche Verbindungen zu einem freiberuflichen Netzwerk.

Diese Zurückhaltung sollte die Einordnung der Ankündigung vom 26. August leiten. Der bestätigte Kern ist für sich genommen bedeutsam: Zwei Plattformen – eine, um Opfer in großem Maßstab aufzuspüren, und eine, um den Angriffsweg zu verschleiern – wurden jahrelang im Auftrag staatlicher Kunden betrieben und richteten sich gegen einige der sensibelsten Netzwerke der USA⁠2⁠8⁠9. Die Beschlagnahmung stört diese Struktur, beweist aber nicht, dass sie beendet ist⁠2⁠5.

Für Netzwerkverteidiger ergibt sich die praktische Botschaft bereits aus dem gemeinsamen Warnverfahren. Eine Warnmeldung mit der Nummer JCSA-20260826-01, die am selben Tag wie die Beschlagnahmung von drei US-Behörden herausgegeben wurde, bietet Organisationen einen Ausgangspunkt für die Suche, während die größeren Fragen zu Datenverlust und Wiederaufbau offenbleiben⁠10. Der nächste Erfolgsmaßstab wird nicht die Pressemitteilung sein. Entscheidend wird sein, ob die Scan-Fabrik still bleibt.