Operation Endgame: Internationaler Schlag gegen Malware-Netzwerke – über 320 Server abgeschaltet

Zwischen dem 15. und 19. Juni 2026 hat die internationale Operation Endgame die kriminelle Infrastruktur hinter dem Schadsoftware-Lader SocGholish, dem Botnetz Amadey und dem Infostealer StealC zerschlagen. Ziel war es, die frühe Phase der Lieferkette zu unterbrechen, die Ransomware- und Datendiebstahl-Angriffe in großem Stil ermöglicht.

Wichtigste Ergebnisse der Operation

• 326 Server abgeschaltet und 142 Domains stillgelegt während der gesamten Aktion . Das Bundeskriminalamt (BKA) berichtet in einer eigenen Pressemitteilung von „über 320 Servern und mehr als 140 Domains“, was mit diesen Zahlen übereinstimmt .
• Fast 15.000 Websites bereinigt als Teil der Maßnahmen gegen SocGholish .
• Kryptowährungen aus kriminellen Quellen im Wert von über 41 Millionen Euro (ca. 47 Millionen US-Dollar) identifiziert, markiert und eingefroren .
• 27 Millionen gestohlene Zugangsdaten von mehr als 385.000 Opfern sichergestellt .
• Über 140.000 infizierte Computer, die allein Anfang Mai 2026 mit Amadey und StealC in Verbindung standen .

Die betroffenen Schadprogramme im Detail

• SocGholish – Ein weit verbreiteter Schadsoftware-Lader, der bösartigen JavaScript-Code in kompromittierte Websites einschleust. Er fungiert als sogenannter „Initial-Access-Broker“ für Ransomware-Gruppen, indem er den ersten Zugriff auf Systeme ermöglicht .
• Amadey – Ein Botnetz und Lader, der weitere Schadsoftware nachlädt, darunter auch StealC .
• StealC – Ein „Infostealer“, der als Dienstleistung (Malware-as-a-Service) angeboten wird und Zugangsdaten sowie andere sensible Daten von infizierten Rechnern stiehlt .

Beteiligte Behörden und Partner aus der Privatwirtschaft

• Strafverfolgungsbehörden: Kanada, Dänemark, Deutschland, die Niederlande, das Vereinigte Königreich, die Vereinigten Staaten, Europol und Eurojust . In Deutschland waren die Generalstaatsanwaltschaft Frankfurt am Main – Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) federführend .
• Partner aus der Privatwirtschaft: Microsoft, Bitdefender, IBM X-Force, Proofpoint, Infoblox, die Shadowserver Foundation, Orange Cyberdefense, Bitsight und ESET .

Strategische Bedeutung

Diese Operation markiert einen klaren Strategiewechsel: Statt einzelner Ransomware-Gruppen wird nun die Lieferkette der Cyberkriminalität an ihrer Basis gestört – bei den Ladeprogrammen (Loadern), den Informationsdieben (Infostealern) und den Zugangsvermittlern (Initial-Access-Brokern), die massenhafte Kompromittierungen ermöglichen. Indem SocGholish, Amadey und StealC gleichzeitig ins Visier genommen wurden, haben die Ermittler die Zustellmechanismen gekappt, auf die mehrere Ransomware-Gruppen angewiesen sind. Damit wurde die „virtuelle Infektionskette“ unterbrochen und weitere Opfer geschützt, bevor es überhaupt zur Erpressung kommen kann . Europol bezeichnet dies als „epochalen Schlag gegen kriminelle Netzwerke“, der die gesamte kriminelle Wertschöpfungskette schwächt .

Kleine Abweichung in den Zahlen

Die BKA-Pressemitteilung rundet auf „über 320 Server und mehr als 140 Domains“ , während andere Quellen exakt 326 Server und 142 Domains angeben . Diese Abweichung liegt im Bereich der Rundung und ändert nichts am Umfang der Zerschlagung.