Operation Endgame: Europol zerschlägt drei Malware-Netze mit 235 Servern

In einem international koordinierten Schlag haben Europol und Partnerbehörden aus neun Ländern die technische Infrastruktur der Schadsoftware-Netzwerke Gootloader, CastleRAT und StealC zerschlagen. Im Rahmen der multinationalen Operation Endgame wurden insgesamt 235 Server und 257 Internet-Domains beschlagnahmt sowie 6,4 Millionen gestohlene Datensätze von Betroffenen identifiziert.

Die operative Phase der Aktion fand vom 9. bis zum 11. November 2026 unter deutscher Führung statt. Nach Angaben des Bundeskriminalamts und der Generalstaatsanwaltschaft Frankfurt am Main über die Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) waren neben Deutschland auch die Niederlande, Dänemark, das Vereinigte Königreich, die USA und Kanada sowie Europol und Eurojust beteiligt.

Europol nannte darüber hinaus Bulgarien, Moldau und Polen als beteiligte Staaten und verwies auf die Unterstützung durch das European Cybercrime Centre (EC3). Festnahmen wurden während des jüngsten Zugriffs nicht gemeldet.

Massive Eingriffe in Server- und Domain-Netzwerke

Allein in Deutschland waren laut BKA und ZIT über 40 Server von den Maßnahmen betroffen. Insgesamt wurden mehr als 250 Domains stillgelegt und über 680 kompromittierte Websites bereinigt. Nach BKA-Angaben war Gootloader seit 2020 aktiv, verbreitete sich über die Manipulation von Suchmaschinenergebnissen (SEO-Poisoning) und infizierte weltweit Millionen Opfersysteme, wobei Deutschland besonders stark betroffen war.

Ein Klick auf ein manipuliertes Suchergebnis oder einen Anhang reicht oft aus, um das gesamte System für Kriminelle zu öffnen. Ein kostenloser Report zeigt, wie Sie Ihren PC mit den richtigen Grundeinstellungen wirksam vor Viren und Trojanern schützen. Windows Defender Anleitung für optimalen Schutz herunterladen

Europol teilte mit, dass bei Gootloader 14 Server – alle mit Standort in den Niederlanden – sowie 218 Domains abgeschaltet und 681 infizierte Websites bereinigt wurden. Bei der Schadsoftware CastleRAT beschlagnahmten die Ermittler 120 Server, davon sechs in den Niederlanden, und 39 Domains. Das Programm diente der Fernsteuerung von Systemen, Datenverschlüsselung und Lösegelderpressung.

Das US-Justizministerium berichtete seinerseits, dass Gootloader von über 100 Servern entfernt und US-Domains beschlagnahmt wurden. Seit 2018 habe die Software weltweit mindestens 25.000 Computer infiziert. Dies habe zu Ransomware-Angriffen auf mindestens 44 Betroffene in den USA und einem Schaden von rund 28,8 Millionen US-Dollar geführt.

An den US-Maßnahmen waren unter anderem der Defense Criminal Investigative Service, das FBI Denver und das Army Criminal Investigation Division beteiligt, während die Shadowserver Foundation bei der Identifizierung und Benachrichtigung half.

Millionen Zugangsdaten gesichert

Im Zuge des Zugriffs stellte Europol rund 6,4 Millionen Zugangsdaten von mehr als 40.000 Opfern sicher, was einem Durchschnitt von rund 160 Datensätzen pro betroffener Person entspricht. Diese Datensätze waren für den Weiterverkauf bestimmt, um weitere Angriffe einschließlich Erpressungssoftware vorzubereiten.

Wer sich mit der Sicherheit seiner digitalen Identität befasst, sollte den klassischen Passwort-Schutz kritisch hinterfragen. Erfahren Sie in diesem kostenlosen Ratgeber, wie eine moderne Alternative das Einloggen sicherer macht und Hackern keine Chance mehr lässt. Kostenlosen Report zur sicheren Anmeldung ohne Passwort sichern

Die Infrastruktur der Schadsoftware StealC lag nach Angaben von BKA und ZIT beim Bulletproof-Hoster Virtualine/Omegatech und war bereits Ende Oktober 2026 abgeschaltet worden. Seit Beginn der Operation Endgame im Jahr 2024 wurden nach Angaben der deutschen Ermittlungsbehörden insgesamt 17 Malware-Varianten unschädlich gemacht, 47 Haftbefehle erwirkt und Vermögenswerte von über 270 Millionen Euro sichergestellt oder eingefroren.

Potenziell Betroffene können ihre Daten über Plattformen wie HaveIBeenPwned, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, die Shadowserver Foundation und das niederländische NCSC überprüfen. Zudem empfiehlt Europol Administratoren von WordPress-Websites, Zugangsdaten ausschließlich von nicht infizierten Geräten aus zu aktualisieren, Mehrfaktor-Authentifizierung zu aktivieren und Sicherheitslücken umgehend zu schließen.