NoName057(16) macht DDoS-Angriffe zum bezahlten Propagandaspiel

Die Forschung der Aalto-Universität zeichnet von NoName057(16) ein Bild, das über das eines gewöhnlichen Hacktivisten-Kollektivs hinausgeht. Die prorussische Gruppe verbindet gemeinschaftlich organisierte Distributed-Denial-of-Service-Angriffe (DDoS) mit Propaganda, ideologischer Rekrutierung und finanziellen Anreizen. Laut der Studie bewegt sich dieses Modell an der Schnittstelle von Hacktivismus, geopolitischer Cyberaktivität und Cyberkriminalität. 12

Die zentrale Erkenntnis: Ein kurzer Ausfall einer Website kann einem längerfristigen politischen Zweck dienen. Institutionen sollen verwundbar erscheinen, Ängste verstärkt und Zweifel an den Organisationen gesät werden, die für wichtige öffentliche und wirtschaftliche Dienste verantwortlich sind.

Das eigentliche Ziel geht über die Störung hinaus

NoName057(16) hat Tausende DDoS-Angriffe auf öffentliche und private Organisationen gestartet – vor allem in NATO-Mitgliedstaaten und anderen europäischen Ländern, darunter Finnland. 2 Bei einem DDoS-Angriff wird ein Dienst mit Anfragen oder Datenverkehr überflutet, sodass reguläre Nutzerinnen und Nutzer nicht mehr darauf zugreifen können. Die unmittelbare Folge kann eine vorübergehende Nichterreichbarkeit sein. Die Analyse der Aalto-Universität zeigt jedoch, dass die technische Störung zugleich als Bühne für Propaganda dient, mit der Gegner delegitimiert werden sollen. 2

Damit wird der Angriff zu einer hybriden Bedrohung. Der technische Vorgang erzeugt ein sichtbares Ereignis; die begleitende Kommunikation macht daraus eine politische Erzählung. Es geht nicht zwingend um dauerhafte Schäden an den Systemen, sondern um Verunsicherung, Reputationsverluste und ein schwindendes Vertrauen in Regierungen, Institutionen und kritische Dienste. 12

Wie DDoSia Freiwillige anwirbt und koordiniert

Das Betriebsmodell der Gruppe verteilt einen großen Teil der Arbeit auf ein Netzwerk von Freiwilligen. Die Teilnehmer werden über Telegram angeworben und erhalten Zugang zu DDoSia – dem Werkzeug, mit dem Angriffe auf Ziele koordiniert werden, die das Netzwerk auswählt oder bewirbt. 23443

Das senkt die technischen Zugangshürden. Wer teilnehmen möchte, muss keine ausgefeilten Exploits entwickeln. Stattdessen können Freiwillige über ein Programm Rechenressourcen beisteuern und der Kampagnenstruktur der Gruppe folgen. Das Vorgehen ist gemeinschaftlich organisiert, wird aber durch Zielauswahl, Kommunikation und Leistungsanreize zentral gelenkt. 234

So entsteht eine Gemeinschaft, die rund um politische Ereignisse und die vermeintliche Unterstützung russischer Gegner mobilisiert werden kann, zugleich aber Merkmale von Cyberkriminalität aufweist, die gegen Bezahlung angeboten wird. Die Aalto-Universität beschreibt dieses Modell deshalb als eine Verwischung der Grenzen zwischen ideologischem Hacktivismus, geopolitischer Kriegsführung und finanziell motivierter Cyberkriminalität. 23

Warum das Bild vom „patriotischen Online-Spiel“ wichtig ist

DDoSia wird nicht bloß als Angriffssoftware präsentiert. Das Projekt bezeichnet die Teilnahme als „patriotisches Online-Spiel“ und vermittelt den Eindruck, störende Aktivitäten seien eine nationalistische oder bürgerschaftliche Handlung – und keine kriminelle Tätigkeit. 338

Die spielerische Struktur kann die Anwerbung und Bindung von Teilnehmern erleichtern: Sie vermittelt eine gemeinsame Identität, sichtbare Ziele und ein Gefühl von Wettbewerb. Berichte über das Projekt nennen außerdem Ranglisten oder leistungsabhängige Anreize. Die genauen Mechanismen und Zahlungsmodalitäten haben sich den verfügbaren Berichten zufolge jedoch im Laufe der Zeit verändert. 3944

Die Kombination ist strategisch wirksam: Die Ideologie liefert die Motivation, das Spielformat macht die Teilnahme zugänglich und sozial, und finanzielle Belohnungen schaffen einen zusätzlichen Grund, weiterzumachen.

Kryptowährungen schaffen einen kommerziellen Anreiz

Das Projekt hat Teilnehmern, die zu erfolgreichen Angriffen beitragen, Belohnungen in Kryptowährung angeboten. Frühere Berichte nannten Zahlungen von bis zu 80.000 russischen Rubel – damals etwa 1.200 US-Dollar – für erfolgreiche DDoS-Aktivitäten. 46

Das Belohnungssystem erschwert die klassische Unterscheidung zwischen politisch motiviertem Freiwilligen und bezahltem Cyberkriminellen. Teilnehmer können durch prorussische Botschaften, das Gruppenerlebnis, den Wettbewerbscharakter oder die Aussicht auf eine Zahlung angelockt werden. Die Ergebnisse der Aalto-Universität deuten darauf hin, dass diese Motive zusammenwirken können, statt getrennt voneinander aufzutreten. 2

Die vorliegenden Belege zeigen nicht, dass jeder Teilnehmer bezahlt wird oder jeder Angriff aus finanziellen Gründen erfolgt. Die belastbarere Schlussfolgerung lautet, dass Kryptowährungen der Gruppe neben ihrer ideologischen Ansprache einen weiteren Mechanismus zur Anwerbung und Motivation von Mitwirkenden geben.

Finnland zeigt die Größenordnung

Nach Angaben der Aalto-Universität startete NoName057(16) seit dem 7. Januar 2025 insgesamt 23 Angriffswellen gegen finnische Ziele. Betroffen waren 129 öffentliche und private Organisationen. Dazu gehörten das finnische Parlament und andere staatliche Einrichtungen, Kommunen, Banken und Finanzinstitute sowie Anbieter kritischer Infrastruktur. Außerdem berichtete die Universität von einem Anstieg der Angriffe, nachdem Finnland 2023 der NATO beigetreten war. 1

In Europa kann die unmittelbare Wirkung solcher Angriffe im vorübergehenden Ausfall von Online-Diensten bestehen. Die weiterreichende Wirkung liegt jedoch in dem Eindruck, dass Behörden, Finanzorganisationen oder Anbieter grundlegender Dienste ihre digitalen Zugänge nicht zuverlässig schützen können. Für einen Angreifer ist diese Wahrnehmung wertvoll – selbst wenn sich die Systeme schnell wieder erholen.

Was die Operation Eastwood veränderte – und was sie nicht bewies

Vom 14. bis 17. Juli 2025 koordinierten Europol und Eurojust die internationale Operation Eastwood gegen Personen und Infrastruktur von NoName057(16). Behörden aus Tschechien, Frankreich, Finnland, Deutschland, Italien, Litauen, Polen, Spanien, Schweden, der Schweiz, den Niederlanden und den Vereinigten Staaten gingen gleichzeitig vor. 17

Die Operation störte eine Angriffs-Infrastruktur aus mehr als 100 Computersystemen weltweit und nahm einen großen Teil der zentralen Server-Infrastruktur der Gruppe vom Netz. 17 Weitere Berichte nannten im Zusammenhang mit dem Einsatz Festnahmen, Durchsuchungen und Haftbefehle. 1723

Das war ein erheblicher operativer Rückschlag. „Gestört“ bedeutet jedoch nicht automatisch „dauerhaft beseitigt“. Die verfügbaren Belege zeigen nicht, dass die zugrunde liegende Rekrutierungsstruktur, die politische Kommunikation oder die Propagandawirkung beendet wurden. Ein widerstandsfähiges, gemeinschaftlich getragenes Netzwerk kann sich möglicherweise anpassen, wenn einzelne Server oder Administratoren entfernt werden.

Was Organisationen anders machen sollten

Die Analyse der Aalto-Universität spricht für eine Reaktion, die über den üblichen Schutz vor DDoS-Angriffen hinausgeht. Organisationen sollten die politischen Ziele, das Betriebsmodell und die Motive eines Angreifers in Bedrohungsmodellen, Risikobewertungen und das Incident Management einbeziehen – und solche Vorfälle nicht ausschließlich als Problem der Verfügbarkeit behandeln. 2

Dazu gehört, technische Vorbereitungen mit einem Kommunikationsplan zu verbinden:

• Nicht nur den Ausfall, sondern auch die Erzählung vorbereiten. Organisationen sollten ermitteln, welche Dienste, Einrichtungen und Zielgruppen betroffen sein könnten, und vorab festlegen, wie ein Vorfall sachlich erklärt wird.
• Sicherheits- und Kommunikationsteams koordinieren. Die Cybersecurity-Verantwortlichen können klären, was geschehen ist und welche Angebote weiterhin verfügbar sind. Die Kommunikationsteams können Gerüchte, Einschüchterungsversuche und irreführende Behauptungen einordnen.
• Transparent und glaubwürdig informieren. Wer einen Angriff herunterspielt oder verschweigt, kann ein Vakuum für feindselige Propaganda schaffen. Klare Updates helfen, eine vorübergehende Störung nicht als Zusammenbruch einer Institution erscheinen zu lassen. 2
• Erholung nicht nur an der Verfügbarkeit messen. Eine wieder erreichbare Website ist notwendig. Zusätzlich sollten Organisationen das Vertrauen der Öffentlichkeit, mögliche Reputationsschäden und die Verbreitung falscher Behauptungen über den Vorfall beobachten.

Die wichtigste strategische Konsequenz der Studie lautet daher: DDoSia macht gewöhnliche Internetnutzer zu Teilnehmern einer koordinierten Einflussoperation und lässt Cyberstörungen wie ein Spiel erscheinen. Die Abwehr erfordert deshalb sowohl belastbare Infrastruktur als auch die Fähigkeit, die Geschichte rund um einen Angriff aktiv und glaubwürdig zu korrigieren.