Wer steckt hinter dem teuersten Cyberangriff der britischen Geschichte?

Die Jagd nach den Drahtziehern: Was wir über den JLR-Cyberangriff wissen

Die entscheidende Frage, welche spezifische russische Hackergruppe hinter dem verheerenden Angriff auf Jaguar Land Rover (JLR) im August 2025 steckt, ist bis heute nicht offiziell beantwortet. Die Untersuchungen britischer und US-amerikanischer Strafverfolgungsbehörden sowie privater Cybersicherheitsfirmen haben zwar ergeben, dass der Angriff von russischen Hackern ausgeführt wurde, eine konkrete Benennung einer Einheit wie APT29/Cozy Bear, Sandworm oder Star Blizzard erfolgte jedoch bislang nicht in der öffentlich zugänglichen Berichterstattung (Stand: Juni 2026). Die Behörden prüfen weiterhin, ob die Angreifer im Auftrag des Kremls oder mit dessen stillschweigender Zustimmung handelten.

Der Angriffsablauf: Keine Hightech-Exploits, sondern menschliche Schwachstellen

Der Einbruch begann am 31. August 2025 und beruhte auf Social Engineering, nicht auf technischen Meisterleistungen.

• Der Einstieg: Die Angreifer starteten eine sogenannte Vishing-Kampagne (Voice Phishing). Sie riefen beim IT-Service-Desk von JLR an – Berichten zufolge zielten sie auf einen Mitarbeiter des Dienstleisters Tata Consultancy Services (TCS) ab – und gaben sich als legitime Mitarbeiter aus. Ihr Ziel: das Zurücksetzen von Zugangsdaten und die Neuregistrierung der Multi-Faktor-Authentifizierung (MFA). Dies ermöglichte ihnen den Diebstahl von Authentifizierungs-Token und den Login mit gestohlenen Anmeldeinformationen.
• Die Eskalation: Einmal im System, bewegten sich die Angreifer lateral von den IT-Systemen zu den ERP- und MES-Systemen (Enterprise Resource Planning/Manufacturing Execution Systems). Von dort aus legten sie schließlich die Produktionsstraßen in den Werken lahm.
• Die Folgen: Der Einbruch wurde am 31. August entdeckt, woraufhin JLR die Produktion am 1. September stoppte. Es dauerte fast sechs Wochen, bis die Fertigung schrittweise wieder anlief. Die direkten Kosten für JLR beliefen sich auf schätzungsweise 50 Millionen Pfund pro Woche.

Wer hat die Untersuchung durchgeführt?

Die Untersuchung wurde von Strafverfolgungsbehörden und privaten Cybersicherheitsfirmen aus dem Vereinigten Königreich und den USA geleitet. Die New York Times berichtete über die Schlussfolgerungen unter Berufung auf fünf anonyme Quellen, die mit der Untersuchung vertraut sind. Das unabhängige britische Cyber Monitoring Centre (CMC) stufte den Vorfall als ein systemisches Ereignis der Kategorie 3 ein und bezifferte die gesamtwirtschaftlichen Kosten für das Vereinigte Königreich auf 1,9 Milliarden Pfund (ca. 2,5 Milliarden US-Dollar), von denen über 5.000 Unternehmen betroffen waren.

Der Widerspruch: Die falsche Spur der 'Scattered Lapsus$ Hunters'

Unmittelbar nach dem Angriff bekannte sich eine Gruppe namens Scattered Lapsus$ Hunters auf Telegram zu der Tat. Der Name deutete auf eine Zusammenarbeit zwischen den englischsprachigen Cyberkriminellengruppen Scattered Spider, Lapsus$ und ShinyHunters hin.

Die Ermittler kamen jedoch später zu dem Schluss, dass dieses Bekennerschreiben falsch war. Der Angriff unterschied sich in Methodik und Motivation grundlegend von üblichen kriminellen Ransomware-Angriffen: Es gab nie eine Lösegeldforderung. Die Absicht schien Sabotage und nicht Erpressung zu sein. Die Angreifer nutzten den Namen „Scattered Lapsus$ Hunters“ als Tarnung; die anfängliche Zuschreibung durch einige Nachrichtenmedien war daher falsch.

Die beispiellose Staatshilfe: 1,5 Milliarden Pfund

Am 27. September 2025 kündigte Wirtschaftsminister Peter Kyle an, dass die britische Regierung eine Kreditgarantie über 1,5 Milliarden Pfund (ca. 2 Milliarden US-Dollar) für Jaguar Land Rover übernehmen werde. Dieser beispiellose Schritt sollte die Finanzen von JLR stabilisieren, Arbeitsplätze sichern und die Lieferkette retten, die aufgrund von Zahlungsverzögerungen vor dem Zusammenbruch stand. Kritiker warnten später, dass dieser Eingriff einen „bedauerlichen Präzedenzfall“ für künftige Cybervorfälle schaffen könnte.

Ein unbestätigter Randaspekt: Ein jordanischer Hacker?

In den vorliegenden Quellen gibt es keine bestätigte Berichterstattung über einen jordanischen Hacker, der gleichzeitig in die Netzwerke von JLR eingedrungen sein soll. Dieses Detail scheint in den verfügbaren Beweisen nicht belegt zu sein.