Chinesische Hacker im europäischen Telekom-Netz

Im Juli 2025 wurde ein europäischer Telekommunikationsanbieter Ziel eines gezielten Cyberangriffs. Hinter dem Vorfall steht Salt Typhoon – eine mutmaßlich staatlich unterstützte Hackergruppe mit Verbindungen zur Volksrepublik China. Was zunächst wie ein rein technischer Zwischenfall wirkt, entpuppt sich bei genauerem Hinsehen als strategischer Angriff mit wirtschaftlichen und geopolitischen Implikationen. Für Unternehmen ist dieser Fall beispielhaft: Er zeigt, wie moderne Angriffe funktionieren, wo klassische Schutzmechanismen an ihre Grenzen stoßen und was eine zeitgemäße Verteidigung leisten muss.

Cyberangriff mit wirtschaftlichem Kalkül

Salt Typhoon, auch bekannt als Earth Estries, GhostEmperor oder UNC2286 – ist kein gewöhnlicher Cyberakteur. Die Gruppe agiert hochprofessionell, plant langfristig und zielt auf zentrale und kritische Infrastrukturen wie Telekommunikationsnetze, Energieversorgung oder öffentliche Verwaltung. Dabei geht es nicht nur um Spionage im klassischen Sinne, sondern auch um den Zugriff auf sensible Informationen, die für technologische, wirtschaftliche oder politische Zwecke genutzt werden können. Besonders europäische Unternehmen geraten zunehmend ins Fadenkreuz – nicht trotz, sondern wegen ihrer Innovationskraft und Vernetzung.

Ein Angriff mit System

Die Kompromittierung begann mit der Ausnutzung einer Sicherheitslücke in Citrix NetScaler Gateway (CVE-2025-5777). Ein mit hoher Wahrscheinlichkeit manipuliertes Endgerät, das über SoftEther VPN eingebunden war, diente als Einfallstor. Von dort aus bewegten sich die Angreifer weiter zu internen Citrix-Systemen. Binnen weniger Tage wurde Schadsoftware auf mehreren Hosts installiert. Dabei nutzten die Angreifer eine raffinierte Methode: Sie schmuggelten ihre Malware – bekannt als SNAPPYBEE oder Deed RAT – gemeinsam mit echten Installationsdateien von Antivirenprogrammen ein. So gelang es ihnen, schädlichen Code unter dem Deckmantel legitimer Software auszuführen – ein Trick, der klassische Schutzsysteme leicht umgeht.

Klassische Schutzmechanismen reichen nicht mehr aus

Die befallenen Systeme nahmen Kontakt zu mehreren Kommando-Servern auf, teils über HTTP, teils über unbekannte Protokolle auf ungewöhnlichen Ports. Diese Kommunikation war so gestaltet, dass sie im Datenverkehr kaum auffiel – mit gefälschten Headern und harmlos wirkenden Anfragen. Für Sicherheitsteams stellt das eine erhebliche Herausforderung dar: Ohne tiefere Einblicke in das Kommunikationsverhalten bleiben solche Angriffe oft lange unentdeckt.

Der Angriff verdeutlicht, wie geschickt moderne Gruppen Schwächen in isolierten IT-Sicherheitsarchitekturen ausnutzen. Während klassische Tools auf bekannte Signaturen angewiesen sind, weichen Angreifer auf legitime Programme aus und bleiben damit unter dem Radar. Gleichzeitig erschweren fragmentierte Tools – für E-Mail, Cloud, Endpunkte oder Netzwerke – einen konsolidierten Überblick. Wer nur Ausschnitte sieht, erkennt oft nicht das Gesamtbild.

Frühe Erkennung dank kontextbasierter KI

Darktrace identifizierte den Angriff bereits in der frühen Anfangsphase. Statt auf bekannte Muster zu setzen, analysiert die eingesetzte KI ungewöhnliches Verhalten, beispielsweise beim Zugriff auf Dateien, bei Netzwerkverbindungen oder Prozessstarts. Der integrierte Cyber AI Analyst wertete diese Anomalien automatisch aus, verband sie zu einer konsistenten Angriffssequenz und lieferte eine verständliche Einschätzung der Bedrohungslage. Noch bevor der Angreifer sich weiter im Netzwerk ausbreiten konnte, reagierte das System – blockierte Verbindungen, isolierte Systeme und alarmierte die Verantwortlichen.

Solche Vorfälle betreffen nicht nur die IT-Abteilung. Im Ernstfall kann ein erfolgreicher Angriff Produktionsprozesse stören, Kundendaten gefährden oder den Betrieb über Tage lahmlegen. Die Schäden reichen von finanziellen Verlusten bis zu Reputationskrisen und regulatorischen Konsequenzen. Besonders in Branchen mit stark vernetzter (kritischer) Infrastruktur – etwa Energie, Verkehr oder Medien – kann bereits eine kleine Sicherheitslücke weitreichende Folgen haben. Entscheidend ist daher, nicht nur schneller zu reagieren, sondern Angriffe frühzeitig zu erkennen – idealerweise bevor sie operative Wirkung entfalten.

Mehr sehen heißt besser handeln

In einer Zeit, in der sich Bedrohungen nicht mehr klar abgrenzen lassen, braucht Sicherheit einen Perspektivwechsel. Es reicht nicht aus, Tools nebeneinander zu betreiben. Unternehmen benötigen Systeme, die Zusammenhänge erkennen – wie etwa, welche Anwendung eine verdächtige Verbindung initiiert hat oder wie sich ein bestimmtes Nutzerverhalten auf den Gesamtkontext auswirkt. Genau hier setzt moderne, selbstlernende KI an: Sie schafft Übersicht und entlastet gleichzeitig die Sicherheitsteams, indem sie relevante Ereignisse automatisch gewichtet und einordnet.

Tools wie Darktrace können kontinuierlich das „pattern of life“ – also die typischen Verhaltensmuster – jedes Nutzers, Geräts und Kontos über Netzwerk, Endpunkte, Cloud, E-Mail und mehr hinweg erlernen. So erhält jede Domäne den Kontext der gesamten Plattform. Durch die Korrelation von Aktivitäten über die gesamte digitale Angriffsfläche eines Unternehmens hinweg erkennt die Technologie, wenn kleine Anomalien Teil einer größeren Angriffskette sind – statt sie als isolierte Ereignisse zu behandeln. Da sich Angreifer zunehmend in normale Geschäftsprozesse einbetten, ist es genau diese ganzheitliche, verhaltensbasierte Sichtbarkeit, die es Organisationen ermöglicht, selbst die raffiniertesten Bedrohungen zu stoppen.

Bild:  freepik