Der Cyberkrieg in der Ukraine hat sich in den letzten Jahren zu einem zentralen Element der modernen Kriegführung entwickelt. Die Strategien und Techniken, die von russischen und belarussischen Akteuren eingesetzt werden, zeigen eine zunehmende Sophistik und eine klare Absicht, nicht nur militärische Ziele zu attackieren, sondern auch die wirtschaftliche und psychologische Stabilität des Landes zu untergraben. In diesem Bericht werde ich die Entwicklung dieser Taktiken, die involvierten Akteure, die verwendeten Techniken sowie die Auswirkungen auf die Region und die internationalen Beziehungen analysieren.

Die Entwicklung der Taktiken

Die cyberkriegsführende Tätigkeit Russlands begann im Jahr 2014 mit der Annexion der Krim. In den ersten Jahren konzentrierte sich der Fokus auf Spionage und Datendiebstahl. Die Gruppe Sandworm, auch bekannt als APT44 oder Unit 74455, war eine der ersten Gruppen, die im Jahr 2015 erfolgreich einen Stromausfall in der Ukraine herbeiführte, indem sie die BlackEnergy-Malware nutzte. Dies war ein Meilenstein, da es das erste bekannte Beispiel eines cyberkriegsgefährdeten Stromausfalls war.

Seitdem hat sich die Strategie der Gruppe deutlich gewandelt. Die Taktiken haben sich von reinem Datendiebstahl hin zu irreversibler Zerstörung und psychologischer Kriegsführung entwickelt. Die Gruppe nutzt nun hochmoderne Techniken wie ClickFix, bei der Opfer durch gefälschte CAPTCHA-Prompts auf kompromittierten Webseiten manipuliert werden, um selbst schädliche PowerShell-Befehle auszuführen. Diese Methode umgeht klassische Endpunkt-Schutzlösungen, da kein bösartiger Anhang heruntergeladen wird.

Ein weiterer signifikanter Wandel ist der strategische Fokuswechsel. Neben der Energieinfrastruktur zielt Sandworm nun gezielt auf den ukrainischen Getreide- und Logistiksektor ab, um die Einnahmequellen des Landes zu schwächen. Die Verwendung von Wiper-Malware wie ZeroLot oder Sting dient dabei nicht der Erpressung, sondern der reinen Sabotage.

Die Gruppen und ihre Techniken

Sandworm ist eine der bekanntesten Gruppen, die für die Cyberoperationen Russlands verantwortlich ist. Die Gruppe ist bekannt für die Entwicklung von Techniken wie EtherHiding, bei der Kommando- und-Kontroll-Server in Ethereum-Smart Contracts gespeichert werden. Dies macht die Infrastruktur für traditionelle Abschaltungen unzugänglich und unterstreicht die technische Reife der Angreifer.

Ein weiterer Akteur im Geflecht ist die Gruppe Ghostwriter (UNC1151), die mit Belarus in Verbindung gebracht wird. Im Gegensatz zu Sandworms Fokus auf Zerstörung konzentriert sich Ghostwriter auf hybride Operationen, die Spionage mit Desinformation verbinden. Durch geofencing-basierte Phishing-Angriffe werden ukrainische Regierungsbehörden und belarussische Oppositionelle angegriffen. Die Malware wird nur aktiviert, wenn sich das Opfer geografisch in der Ukraine befindet, was die Analyse durch externe Forscher erschwert. Ziel ist die Diskreditierung der NATO und die Untergrabung der westlichen Unterstützung für die Ukraine.

Die Ausweitung des Konflikts

Die Ausweitung des Konflikts ist durch Angriffe auf Nachbarländer, insbesondere Polen, dokumentiert. Im Dezember 2025 versuchte Sandworm, das polnische Energiesystem mit der Malware DynoWiper zu lähmen. Der Angriff richtete sich speziell gegen dezentrale Energiequellen wie Wind- und Solaranlagen, was auf eine gezielte Schwächung der Netzresilienz hindeutet. Obwohl der Angriff durch polnische Cyberabwehr vereitelt wurde, markiert er einen neuen Meilenstein in der Eskalationsspirale. Die zeitliche Koinzidenz mit dem 10. Jahrestag des ersten ukrainischen Stromausfalls wird als psychologische Kriegsführung interpretiert.

Die institutionelle Basis

Die institutionelle Basis dieser Operationen wird durch geleakte Dokumente der Bauman-Universität in Moskau offengelegt. Diese zeigen, dass russische Cyber-Fähigkeiten als systematischer Prozess organisiert sind. Top-Absolventen werden direkt in GRU-Einheiten wie Unit 74455 (Sandworm) oder Unit 26165 (APT28) eingegliedert. Der Lehrplan umfasst nicht nur technische Hacking-Tools, sondern auch psychologische Manipulation und Propaganda. Dies belegt, dass russische Cyberoperationen keine isolierten Vorfälle sind, sondern Teil einer staatlich geförderten Dauerstrategie der hybriden Kriegsführung.

Gegenargumente und kritische Einordnung

Die mediale Darstellung konzentriert sich oft auf die Bedrohungslage, während der tatsächliche Schutzmechanismus in der Vereitelung liegt. Wie die Analyse von ESET zeigt, wurde ein geplanter Angriff von Sandworm auf ukrainische Umspannwerke am 8. April 2022 erfolgreich abgewehrt. Dieser Vorfall hätte zwei Millionen Menschen betreffen können. Die Tatsache, dass solche Angriffe scheitern, belegt die gestiegene Resilienz der ukrainischen Cyberabwehr sowie die Unterstützung durch westliche Partner.

Zudem ist Vorsicht bei der Attribution geboten: Obwohl technische Indizien stark auf Sandworm und Ghostwriter hindeuten, bleibt die direkte Befehlskette zwischen den Gruppen und dem russischen Oberkommando teilweise spekulativ. Die Nutzung von Proxy-Aktoren und kriminellen Netzwerken erschwert eine eindeutige Zuordnung im völkerrechtlichen Sinne. Dennoch ist die operative Koordination zwischen staatlichen GRU-Einheiten und nicht-staatlichen Akteuren wie Ghostwriter dokumentiert, was auf eine koordinierte Strategie hindeutet, auch wenn die formale Hierarchie nicht vollständig transparent ist.

Offene Fragen

Offene Fragen bleiben bezüglich der langfristigen geopolitischen Ziele. Ist das primäre Ziel die physische Zerstörung der ukrainischen Wirtschaft oder die Testung neuer Cyberwaffen für zukünftige Konflikte mit NATO-Staaten? Die Ukraine fungiert zunehmend als 'Sandbox' für staatliche Akteure, um Cyberwaffen unter realen Bedingungen zu erproben. Dies wirft die Frage auf, wie effektiv internationale Normen gegen Cyberangriffe auf kritische Infrastrukturen sind, wenn sie von Staaten systematisch umgangen werden.

Fazit

Der Cyberkrieg in der Ukraine hat sich von einer Nischendrohung zu einem zentralen Element der modernen Kriegsführung entwickelt. Sandworm und Ghostwriter demonstrieren die Fähigkeit russischer und belarussischer Akteure, kritische Infrastrukturen zu destabilisieren und Desinformation als Waffe einzusetzen. Die erfolgreiche Abwehr von Angriffen wie dem auf das polnische Energiesystem zeigt, dass Resilienz und internationale Zusammenarbeit entscheidend sind. Dennoch bleibt die Bedrohung akut und entwickelt sich weiter. Die institutionelle Verankerung der Cyber-Kriegsführung in russischen Bildungseinrichtungen unterstreicht, dass dies keine vorübergehende Taktik ist, sondern eine dauerhafte strategische Ausrichtung. Für Verteidiger bedeutet dies, dass die Grenzen zwischen Frieden und Krieg im Cyberspace endgültig verschwunden sind und proaktive Maßnahmen zum Schutz kritischer Infrastrukturen unerlässlich bleiben.

— Twight Sterling, Sigil & Spark