Wien bestellt Russland wegen FSB-Cyberangriff ein

Am 14. Juli bestellte das österreichische Außenministerium den russischen Botschafter in Wien ein. Es ging nicht um Handel, Energie oder die Vereinten Nationen, sondern um einen Cyberangriff auf das Ministerium, der sich um den Jahreswechsel 2019/2020 ereignet haben soll (Kurier/APA). Zwischen dem Eindringen in die Systeme und der öffentlichen Schuldzuweisung liegen also rund fünf Jahre. Das ist weniger Ausdruck bürokratischer Trägheit als ein Hinweis darauf, wie lange Regierungen brauchen, um technische Befunde zu prüfen, sie mit Verbündeten über vertrauliche Kanäle abzugleichen und gemeinsam zu entscheiden, ob eine öffentliche Benennung den diplomatischen Preis wert ist.

Ein Außenministerium ist kein gewöhnliches Behördennetz. Dort liegen Botschaftsberichte, Verhandlungsanweisungen, Einschätzungen über die Absichten anderer Regierungen und Kontaktlisten. Ein Nachrichtendienst, der über längere Zeit stillen Zugriff auf solche Datenströme hat, erfährt nicht nur, welche Entscheidungen eine Regierung trifft. Er lernt auch, wie sie zu diesen Entscheidungen kommt, wo sie unsicher ist und welche Bruchlinien es intern gibt. Mit der Einbestellung des Botschafters hat Wien einen verdeckten Netzwerkeinbruch in einen offiziellen zwischenstaatlichen Vorwurf verwandelt.

Die Einbrecher, die Schlüssel kopieren

Der Angriff wird inzwischen öffentlich Turla zugeschrieben, einer Gruppe, die unabhängige Sicherheitsforscher und mehrere Regierungen mit dem Zentrum 16 des russischen Inlandsgeheimdienstes FSB in Verbindung bringen (GovCERT Austria). Turla arbeitet nicht wie eine Erpressergruppe, die Dateien sperrt und Bitcoin verlangt. Passender ist das Bild einer professionellen Einbrechertruppe im Dienst eines Nachrichtendienstes: Sie schlägt nicht die Scheibe ein, um die Kasse mitzunehmen, sondern kopiert unauffällig die Schlüssel, kommt wieder, liest Akten, fotografiert Notizbücher und hinterlässt möglichst wenige Spuren. Untersuchungen von Google Threat Intelligence beschreiben Turla als ein Spionage-Ökosystem, das genau auf solchen geduldigen Zugang zu strategisch wichtigen Zielen ausgelegt ist (Google Threat Intelligence).

Österreich handelte dabei nicht allein. Die Einbestellung war Teil einer abgestimmten europäischen Zuschreibung und eines Sanktionspakets, mit dem die EU, Großbritannien und einzelne Mitgliedstaaten dieselben russischen staatsnahen Cybergruppen öffentlich benannten (CyberScoop). Frankreich trat ungewöhnlich deutlich auf. Paris erklärte, die nationale Cybersicherheitsbehörde ANSSI, Nachrichtendienste und militärische Cyber-Einheiten hätten die Angriffe gemeinsam untersucht und die Spionagekampagne dem FSB-Zentrum 16, auch bekannt als Einheit 61240, zugeordnet (French Foreign Ministry). Solche institutionellen Details sind selten. Frankreich legte damit im Grunde offen, auf welche fachliche Kette sich sein Urteil stützt. Auch Deutschland bestellte den russischen Botschafter wegen, wie Berlin es nannte, „destabilisierender Cyberkampagnen“ ein (Tagesschau). Russland wies die Vorwürfe als unbelegt zurück.

Fingerabdrücke statt rauchender Colt

Ein einzelnes öffentliches Dokument, das den Fall abschließend beweist, gibt es nicht. Was die öffentlich zugänglichen Informationen zeigen, ist Konvergenz: Mehrere Regierungen und unabhängige Forscher kommen über unterschiedliche Wege zum selben Akteur. Das ähnelt einer strafrechtlichen Ermittlung, die ihren Fall nicht auf ein Geständnis stützt, sondern auf sich überlagernde Indizien. Verteidiger vergleichen digitale „Fingerabdrücke“, also wiederkehrende Codemuster, die für eine Gruppe typisch sind, prüfen die Wiederverwendung derselben Server und Domainnamen über mehrere Operationen hinweg und betrachten die Aktivitätszeiten der Angreifer. Bei Turla passten diese Arbeitszeiten schon lange auffällig zum Moskauer Geschäftstag. Regierungen fügen solchen technischen Befunden dann eigene nachrichtendienstliche Erkenntnisse hinzu, etwa abgefangene Kommunikation (Google Threat Intelligence, GovCERT Austria).

Der notwendige Vorbehalt bleibt: Ein österreichischer forensischer Bericht, eine vollständige Schadsoftware-Kette oder eine Karte der genutzten Infrastruktur wurden nicht veröffentlicht. Außenstehende können die Beweislage daher nicht selbst rekonstruieren. Für nachrichtendienstlich gestützte Attributionen ist das üblich. Es bedeutet aber, dass das Vertrauen in die Bewertung stärker auf institutioneller Glaubwürdigkeit beruht als auf öffentlich überprüfbaren Beweisen.

Langsam wachsender Druck

Die rechtliche Antwort der EU ist der Ratsbeschluss (GASP) 2026/1713, mit dem ein 2019 geschaffener Rahmen für Cyber-Sanktionen aktualisiert wurde (EUR-Lex). Praktisch bedeutet eine Listung Reiseverbote und das Einfrieren von Vermögenswerten im Geltungsbereich der EU; Personen und Unternehmen in der EU dürfen den Betroffenen zudem keine Gelder oder wirtschaftlichen Ressourcen zur Verfügung stellen. Die Hohe Vertreterin Kaja Kallas bestätigte, dass die EU und Großbritannien Sanktionen gegen das breitere russische Cyber-Ökosystem verhängten und auch ein russischer Vertreter bei der EU einbestellt werde (EEAS).

Diese Instrumente werden Turla nicht verschwinden lassen. Sie sollen die Teilnahme an diesem Ökosystem verteuern und sichtbarer machen. Die Europäische Kommission fasst den Ansatz unter „Cyberdiplomatie“: diplomatischer Dialog, vorbeugende Maßnahmen und strafende Finanzbeschränkungen werden dabei miteinander kombiniert (European Commission).

Der niederländische Fall zeigt, warum es dabei nicht nur um Ministerien geht. Der niederländische Nachrichtendienst warnte im Juli, russische staatliche Akteure hätten internetfähige Kameras in Europa für militärische Zwecke kompromittiert (AIVD). Eine gehackte Kamera an einer sensiblen Route wirkt wie ein verstecktes Fernglas an einer Nachschubstraße. Beim österreichischen Außenministerium folgt die Logik demselben Muster, nur bezogen auf diplomatische Informationen: Der Angreifer beobachtet, lernt und nutzt wieder, was er findet.

Geändert hat sich also nicht die Bedrohung selbst, sondern Europas Bereitschaft, den Angreifer öffentlich zu benennen, die diplomatischen Kosten zu tragen und eine Sanktionsarchitektur darum herum aufzubauen. Entscheidend wird sein, ob europäische Regierungen solche Zuschreibungen, Abstimmungen und Sanktionen oft genug durchhalten, damit russische Betreiber und ihre Auftraggeber spürbare Kosten tragen. Abschreckung, die auf geheimen Erkenntnissen beruht, wird sich öffentlich immer schwer beweisen lassen. Doch die schrittweise Anhäufung von Konsequenzen, eine Einbestellung und eine Vermögenssperre nach der anderen, ist bereits eine andere Haltung als Schweigen.