Vorschau der Zusammenfassung
Lazarus: Nordkoreas Geisterarmee klaut Milliarden – und was das für dich bedeutet
Stell dir mal vor, du lebst in einem Land, wo fast 25 Millionen Leute keinen blassen Schimmer von Internet haben. Klingt wie Science-Fiction, oder? Aber das ist Nordkorea. Und genau da gibt's 'ne Truppe von rund 8.000 Hackern. Die wissen nicht mal, was YouTube ist oder Google kennen die nicht. Aber in den letzten zehn Jahren haben die's geschafft, über 7 Milliarden Dollar zu klauen. Das ist mehr Geld, als manche Länder überhaupt im Jahr verdienen! Und das Krasse ist: Jeder gestohlene Cent wird quasi direkt in 'ne Atomrakete umgewandelt. Ich bin Mister Darkweb, und heute reden wir über Lazarus – die echte Hacker-Armee, die gerade jetzt vielleicht schon in deinem digitalen Portemonnaie rumkramt.
Der Anfang: Ein Zufallsfund und ein böses Omen
Meine Story mit Lazarus fing total zufällig Ende 2024 an. Ich stöberte auf nem großen Darknet-Forum rum, sammelte Infos über Finanzgeschäfte in Südostasien. Alles Routine. Doch dann fiel mir eine Datei auf, die ich zuerst ignoriert hab. Ein kleines Textdokument, holpriges Englisch, kein Titel, keine Unterschrift. Darin stand 'ne Liste von Wallets, Daten, Summen und ganz am Ende 'ne Notiz: "Fass diese Adressen nie an. Das sind keine Leute, das ist der Staat." Damals hab ich's nicht kapiert. Dachte, das wär' Paranoia oder 'n Witz. Hab die Datei gespeichert und vergessen. Zwei Monate später, im Februar 2025, passierte dann was, das diese Zeile plötzlich gar nicht mehr lustig machte. Von einer der größten Krypto-Börsen der Welt verschwanden über Nacht 155 Milliarden Dollar. Kein Hack, kein Phishing, kein einziger Fehler der Opfer. Und als das FBI Lazarus Group als Täter nannte, fiel mir die Datei wieder ein. Ich hab sie rausgekramt, Adressen verglichen. Vier von fünfzig eins passten. Tja, und ab da hab ich angefangen zu graben. Je tiefer ich kam, desto gruseliger wurde die Story. Lazarus ist keine normale Hacker-Gang. Das sind keine Typen im Keller mit Kapuze oder Anonyme im Chat, die Kohle machen wollen. Das ist die Cyber-Armee von Nordkorea. Dem krassesten, abgeschottetsten Land der Welt, das offiziell abstreitet, dass es die gibt, aber deren ganze Raketenprogramm auf deren Arbeit basiert. Das US-Justizministerium nennt Lazarus 'ein Werkzeug zur Untergrabung der globalen Cybersicherheit und zur Generierung illegaler Einkünfte im Widerspruch zu internationalen Sanktionen'. Hinter dieser trockenen Formulierung steckt 'ne Realität, die einem echt Angst machen kann. Lazarus steckt hinter dem Angriff auf Sony Pictures 2014, dem Raub der Zentralbank von Bangladesch 2016, dem WannaCry-Virus, der 2017 Krankenhäuser in 150 Ländern lahmlegte, und Dutzenden Krypto-Raubzügen mit über 7 Milliarden Dollar Gesamtschaden. Ich hab Monate investiert, hunderte Dokumente gewälzt: Anklagen, FBI-Berichte, Analysen von Krypto-Firmen, Aussagen von Überläufern, UN-Berichte. Und je mehr ich las, desto klarer wurde: Lazarus ist einzigartig. Kein Land der Welt hat seine Wirtschaft je auf Hacker-Angriffe aufgebaut. Nordkorea schon. Das hier ist die Geschichte von staatlich organisiertem Terrorismus, getarnt als Cyberkriminalität. Von einem Land, das seine besten Mathematiker zu Dieben gemacht hat. Leute, die in der Schule selektiert, wie Spezialeinheiten trainiert, ins Ausland geschickt werden und Milliarden klauen, ohne auch nur 'nen Cent davon behalten zu dürfen. Und wir starten nicht am Anfang, sondern am Ende – mit dem größten Krypto-Raub aller Zeiten. Denn der zeigt, was diese Maschine geworden ist und warum sie niemand stoppen kann.
Der größte Krypto-Raub der Geschichte: Der BYBIT-Hack
Februar 2025, Freitag. Dubai. Büro von BYBIT, einer der größten Krypto-Börsen der Welt. Ein ganz normaler Arbeitstag. Routine: Geld von 'nem Cold Wallet in ein Hot Wallet schieben. Eine Prozedur, die die Mitarbeiter dutzende Male gemacht haben. Drei Signaturen von mehreren Bestätigungen. Alles nach Protokoll. Auf dem Bildschirm: die Standard-Oberfläche von Safe Wallet, einer Multi-Signatur-Plattform, die tausende Firmen weltweit nutzen. Summe, Empfängeradresse, Bestätigungs-Button. BYBIT-CEO Ben Zhou blickte auf den Screen. Alles sah perfekt aus. Er drückte 'Bestätigen'. Zwei weitere Mitarbeiter taten dasselbe. 40 Minuten später waren 401.347 Ethereum-Einheiten, fast 1,5 Milliarden Dollar, weg. Nicht auf dem richtigen Konto, nicht im richtigen Wallet, nicht im richtigen Land. Wichtig zu verstehen: Niemand hat einen Fehler gemacht. Das System hat nicht versagt. Passwörter wurden nicht geklaut. Mitarbeiter sind nicht auf einen Phishing-Link reingefallen. Sie haben genau das getan, was sie tun sollten. Und genau darauf haben die auf der anderen Seite des Bildschirms spekuliert. Was ist wirklich passiert? Tage vor dem Angriff hatten Hacker den Computer eines Safe Wallet-Entwicklers kompromittiert – nicht von BYBIT, sondern von der Plattform selbst, über die die Bestätigung lief. Sie haben nicht die Sicherheit geknackt, keine Passwörter erraten, keine Code-Lücken gesucht. Sie sind durch den Menschen durchgedrungen. Social Engineering: Anruf, Mail, Einladung zu 'ner Konferenz oder ein falsches Vorstellungsgespräch. Die genaue Methode ist noch geheim, aber laut Safe Ecosystem Foundation passierte die Kompromittierung über die Workstation des Entwicklers. Mit Zugang zu seinem Rechner klauten die Hacker Session-Tokens – temporäre Schlüssel, die es erlauben, sich ohne erneute Passworteingabe in Cloud-Dienste einzuloggen. So umgingen sie die Zwei-Faktor-Authentifizierung. Sie haben die Zeit berechnet, arbeiteten in den gleichen Stunden wie der Entwickler, um keine Verdachtsmomente bei Überwachungssystemen zu erzeugen. Und dann, am 19. Februar, 2 Tage vor dem Angriff, tauschten sie eine einzige Datei aus – ein Fragment des JavaScript-Codes, zuständig für die Anzeige von Transaktionen. Diese Datei landete über die offizielle Safe Wallet-Domain auf dem Server. Sie funktionierte perfekt für alle Nutzer, außer für einen. Außer für BYBIT. Fast 1,5 Milliarden Dollar, und keiner hat's gemerkt, als die Überweisung lief? Klingt wie ein schlechter Film, aber genau so läuft's. Wenn du jeden Tag 'Bestätigen' drückst und alles immer glatt läuft, überprüfst du nicht jeden Pixel auf dem Bildschirm. Das ist keine Fahrlässigkeit, das ist Vertrauen in ein System, das tausende Firmen nutzen. Und Lazarus hat nicht das System gehackt, sondern dieses Vertrauen. Der manipulierte Code zeigte den BYBIT-Mitarbeitern etwas an, schickte aber etwas ganz anderes weg. Ihre Signaturen auf Hardware-Wallets wurden zu dem, was Sicherheitsexperten später 'Blind Signatures' nannten. Sie
Finanzierung der Raketenprogramme: Geld aus dem Cyberspace
Schätzungen der 2024 aufgelösten UN-Expertengruppe zufolge stammen bis zu 40% der Finanzierung für Nordkoreas Atom- und Raketenprogramme aus Cyber-Raubzügen. 40%! Nicht aus Kohlehandel, nicht aus Waffenverkäufen, nicht aus Hilfe von Verbündeten, sondern aus gestohlener Kryptowährung. Das ist keine journalistische Hypothese. Das ist die Schlussfolgerung einer internationalen Kommission unter Mandat des UN-Sicherheitsrates. Die gestohlenen 1,5 Milliarden von BYBIT sind kein Verbrechen aus Gier. Das ist eine Zeile im Staatshaushalt, der offiziell nicht existiert. Allein im Jahr 2025 stahlen Hacker mit Verbindungen zu Nordkorea laut der Analyseplattform Chainalysis über 2 Milliarden Dollar – 51% mehr als im Vorjahr. Summiert von 2019 bis Ende 2025 – 6,75 Milliarden Dollar. Das sind 76% aller Krypto-Diebstähle weltweit. Drei Viertel – ein Land, ein Betreiber. Die Analysefirma Elliptic, die den Hack untersuchte, formulierte es so: 'Die Lazarus-Gruppe ist keine staatlich geförderte Gruppierung im üblichen Sinne. Lazarus ist Nordkorea, und Nordkorea ist Lazarus. Es gibt keine Grenze zwischen den Hackern und dem Regime, keinen Spalt. Das ist ein einziger Organismus.' Und hier beginnt der düsterste Teil dieser Geschichte. Denn um zu verstehen, wie eine Gruppe aus einem der ärmsten und isoliertesten Länder der Welt gelernt hat, Milliarden zu stehlen, müssen wir 20 Jahre zurückgehen, an einen Ort, den fast niemand kennt. Dorthin, wo Kinder in der Schule aussortiert werden. Nicht wegen sportlicher Leistungen, nicht wegen Musiktalent, sondern wegen ihrer Fähigkeit, mathematische Probleme schneller als alle anderen zu lösen. Und wo aus diesen Kindern Soldaten gemacht werden, die nie eine Waffe in die Hand nehmen, aber mehr Schaden anrichten als jede Armee.
Die Geburt der Cyber-Armee: Von Kim Il-sung zum Büro 121
1996 besuchte Kim Jong-il, damals noch amtierender Führer Nordkoreas, Militärs an der Frontlinie. Laut Zeugenaussagen in südkoreanischen Geheimdienstberichten soll er eine Phrase gesagt haben, die die nächsten 30 Jahre seiner Landesgeschichte prägte: 'Alle Kriege der Zukunft werden Computerkriege sein.' 1996. Das Internet existierte kaum. Die meisten Menschen auf der Welt wussten nicht mal, was E-Mail ist, und der Mann, der eines der ärmsten Länder der Welt regierte, hatte erkannt, dass eine Tastatur gefährlicher ist als ein Panzer. Später, in den 2000ern, drückte er es noch härter aus. Laut Forschern von C4ADS, die südkoreanische Geheimdienstmaterialien zitieren, erklärte Kim Jong-il, dass Cyber-Angriffe wie Atombomben seien. 'Ein Krieg wird von dem gewonnen, der in Friedenszeiten mehr Zugang zu den militärisch-technischen Informationen des Gegners erhält.' Er machte keine Witze, er baute eine Armee auf. 1998 wurde das Büro 121 gegründet – eine Cyberkriegs-Einheit innerhalb des Generalstabs für Aufklärung (GRU). Das ist kein IT-Abteilung-Äquivalent. Das ist eine vollwertige Militärstruktur, die dem Dritten Technischen Überwachungsbüro untersteht – der Hauptbehörde für alle nordkoreanischen Cyber-Operationen. Frühe Schätzungen gingen von etwa 1.800 Spezialisten im Büro 121 aus. Bis 2014 erhöhte der südkoreanische Geheimdienst NIS diese Zahl auf 5.900. Aktuell, laut Wall Street Journal, spricht man von 8.000 angestellten Hackern, organisiert in militärischen Einheiten. Aber woher kommen Hacker in einem Land ohne Internet? Die Antwort ist einfach und erschreckend zugleich. Sie werden von Kindesbeinen an aufgezogen. In ganz Nordkorea gibt es ein Selektionssystem, das seit den Neunzigern aufgebaut wurde. In Mittel- und Oberschulen für Hochbegabte stehen Computer. Laut Aussagen von Überläufern waren das vor kurzem noch Rechner auf Pentium 4-Niveau. Lehrer beobachten Kinder mit herausragenden mathematischen Fähigkeiten. Die Besten werden an spezialisierte Unis geschickt. Die wichtigste davon ist das Mirim College, auch bekannt als Pjöngjang Universität für Automatisierung. Jedes Jahr bringt es etwa 100 Hacker hervor. Chang Se-yul, ein Überläufer, der in Mirim studierte und später nach Südkorea floh, erzählte, wie der Unterricht aussah: Sechs Doppelstunden à 90 Minuten jeden Tag. Programmiersprachen von C bis Assembler, Betriebssysteme Linux und Windows. Viel Zeit ging für die Analyse der Microsoft Windows-Architektur drauf: Wie ist es aufgebaut, wo sind Schwachstellen, wie dringt man ein? Fünf Jahre Vorbereitung, ohne Wochenenden im üblichen Sinne, ohne freies Internet, nur Studium und Praxis. Neben Mirim arbeiten die Kim Il-sung-Universität, die Kim Chaek-Universität für Technologie und die Moranbong-Universität. Dort werden die fähigsten Leute hingeschickt. Kim Hyong-gwan, ein ehemaliger Informatikprofessor, der 19 Jahre lang an Hochschulen in Hamhŭng unterrichtete und zukünftige Cyber-Krieger ausbildete, erzählte nach seiner Flucht nach Südkorea,
Angriff auf Sony Pictures: Rache für eine Komödie
Der Morgen des 24. November 2014 brannte sich für immer in das Gedächtnis der Mitarbeiter von Sony Pictures Entertainment ein. Die Leute kamen zur Arbeit und fanden ihre Computer tot vor. Auf den Bildschirmen: das Bild eines roten Schädels und eine Botschaft einer Gruppe, die sich Guardians of Peace nannte. Der Text war einfach: 'Wir haben alles genommen. Wenn ihr unsere Forderungen nicht erfüllt, veröffentlichen wir es.' Das war keine Übertreibung. Die Hacker waren mindestens 2 Monate, laut einigen Quellen bis zu einem Jahr, im Sony-Netzwerk. In dieser Zeit kopierten sie über 100 TB Daten: interne E-Mails der Führung, Finanzdokumente, persönliche Daten von Mitarbeitern (Sozialversicherungsnummern, medizinische Aufzeichnungen, Gehälter), noch nicht veröffentlichte Filme, Drehbücher zukünftiger Projekte. Und dann aktivierten sie eine Schadsoftware, die etwa 70% der Server-Infrastruktur des Unternehmens zerstörte. Festplatten wurden überschrieben, Boot-Sektoren gelöscht, Computer wurden zu 'Ziegeln'. Der Grund: eine Komödie. Der Film 'The Interview' mit Seth Rogen und James Franco. Eine Satire, in der zwei Journalisten vom CIA rekrutiert werden, um Kim Jong-un zu töten. Ein Film, den wohl niemand nach einem halben Jahr erinnert hätte, wenn nicht Lazarus gewesen wäre. Die 'Guardians of Peace' forderten Sony auf, die Premiere abzusagen, und drohten dann mit Terroranschlägen in Kinos, die den Film zeigen würden. Die größten amerikanischen Ketten weigerten sich, ihn zu zeigen. Sony sagte zuerst die Premiere ab, dann, unter öffentlichem Druck, brachte es den Film doch noch in begrenztem Umfang und online heraus. Am 19. Dezember 2014 gab das FBI offiziell bekannt: 'Nordkorea steckt hinter dem Angriff.' Präsident Obama trat öffentlich auf, nannte den Hack 'keinen Akt des Krieges, aber einen ernsthaften Schlag gegen die nationale Sicherheit'. Die Vereinigten Staaten verhängten zusätzliche Sanktionen. Und ich dachte, als ich diesen Fall untersuchte: Ein Staat greift ein privates Unternehmen wegen einer Komödie an. Nicht wegen gesammelter Geheimnisse, nicht wegen Militärgeheimnissen, sondern wegen eines Witzes. Und verursachte einen Schaden, den Sony allein im ersten Quartal auf 15 Millionen Dollar schätzte, ganz zu schweigen von Reputationsverlusten und Klagen von Mitarbeitern, deren Daten durchsickerten. Aber das Bemerkenswerteste ist, dass La