Microsoft hat gemeinsam mit Europol, dem Bundeskriminalamt (BKA) sowie der dänischen und niederländischen Polizei eine länderübergreifende Aktion gegen die Schadsoftware-Familien Amadey und StealC durchgeführt. Anders als bei früheren Vorgehen richtete sich die Maßnahme nicht gegen ein einzelnes Tool, sondern gegen die gesamte Infrastruktur, über die Cyberkriminelle Angriffe vorbereiten, ausführen und zu Geld machen.

Die am 24. Juni 2026 bekannt gewordene Maßnahme ist Teil der länger laufenden internationalen Initiative "Operation Endgame" und richtete sich nicht gegen ein einzelnes Tool, sondern gegen die gesamte Infrastruktur, über die Cyberkriminelle Angriffe vorbereiten, ausführen und zu Geld machen. Wie aus einer Mitteilung von Microsoft hervorgeht, lag Deutschland im Zeitraum vom 15. Mai bis zum 25. Juni 2026 bei den weltweiten Opferzahlen auf Platz zwei, gleich hinter den USA.

Mehr als 140.000 infizierte Rechner

Amadey und StealC ergänzen sich in der Praxis: Amadey fungiert als sogenannter Loader und verschafft Angreifern zunächst Zugang zu einem Gerät, während StealC anschließend Passwörter, Cookies, Sitzungstoken, Wallet-Daten und weitere sensible Informationen abgreift. Allein in den ersten beiden Mai-Wochen 2026 waren laut Microsoft weltweit mehr als 140.000 infizierte Rechner mit den beiden Werkzeugen in Verbindung zu bringen.

Geleitet wurde die Aktion von Microsofts Digital Crimes Unit (DCU), die mehr als 200 Command-and-Control-Server, -Domains und IP-Adressen identifizierte und abschaltete. Seit Beginn der eigentlichen Operation konnten die Ermittler so die kriminelle Kontrolle über mehr als 18.000 betroffene Geräte kappen und arbeiten nun mit Telekommunikationsanbietern zusammen, um betroffene Kundinnen und Kunden zu informieren.

Möglich wurde der gemeinsame Schlag gegen beide Tools auch durch den Einsatz künstlicher Intelligenz. Microsofts Ermittlerteam nutzte unter anderem Copilot, um den Code der Schadsoftware in natürlicher Sprache zu analysieren, statt ihn händisch zu durchforsten. So ließen sich Verbindungen zwischen Amadey und StealC, die ursprünglich von zwei getrennten Tätergruppen entwickelt wurden, in Minuten statt in Stunden oder Tagen aufdecken.

Auf Basis dieser Erkenntnisse stützte sich Microsofts Rechtsteam erstmals auf eine erweiterte Anwendung des US-amerikanischen RICO-Gesetzes, das ursprünglich gegen organisierte Kriminalität geschaffen wurde, um beide Malware-Familien als Teil derselben Verschwörung zu behandeln und mehrere Beteiligte gemeinsam anzuklagen.

Drei Schadprogramme, eine Operation

Wie eine eigene Mitteilung des BKA und der Generalstaatsanwaltschaft Frankfurt am Main (Zentralstelle zur Bekämpfung der Internetkriminalität, ZIT) zeigt, ging die deutsche Beteiligung noch über Amadey und StealC hinaus. Im Zeitraum vom 15. bis zum 19. Juni 2026 gingen die deutschen Behörden zusammen mit Strafverfolgern aus den Niederlanden, Dänemark, Großbritannien, den USA und Kanada sowie Europol, Eurojust und Microsoft zusätzlich gegen ein drittes Schadprogramm namens SocGholish vor.

Dieses verbreitet sich über kompromittierte WordPress-Seiten, die Besuchern gefälschte Browser-Update-Hinweise anzeigen. Für die gesamte dreiteilige Aktion meldet das BKA rund 15.000 bereinigte Webseiten, mehr als 320 deaktivierte Server, davon 40 in Deutschland, sowie über 140 stillgelegte Domains, deutlich höhere Werte als die von Microsoft genannten 200 Server und Domains, die sich ausschließlich auf Amadey und StealC beziehen.

Gestohlene Zugangsdaten als Folge

Die Folgen solcher Infektionsketten zeigen sich häufig erst auf den zweiten Blick. Laut Microsoft kann ein infiziertes Privatgerät auch Unternehmen gefährden, etwa wenn darauf gespeicherte VPN-Zugangsdaten, SSO-Tokens oder Sitzungscookies Angreifern erlauben, die Multifaktor-Authentifizierung zu umgehen. In der Vergangenheit reichten die Folgen solcher Zugriffe von blockierten Krankenhaussystemen bis zu lahmgelegten städtischen Diensten.

Microsoft verweist zudem auf den russisch verbundenen Akteur Secret Blizzard, der nach eigenen Beobachtungen des Unternehmens Amadey-Infektionen genutzt habe, um gezielt Schadsoftware gegen Ziele in der Ukraine einzuschleusen. Für deutsche Betroffene hat die Aktion auch einen praktischen Nutzen: Das Bundesamt für Sicherheit in der Informationstechnik (BSI) benachrichtigt nach Angaben des BKA Institutionen und Unternehmen direkt, wenn deren Zugangsdaten über StealC abgeflossen sind, weitere Informationen dazu stellt die Behörde unter bsi.bund.de/dok/StealC bereit.

Internationale Partner und nächste Schritte

An der Aktion waren neben Europols European Cybercrime Centre (EC3) und dem BKA auch die IT-Sicherheitsfirmen ESET, BitSight, Lumen und Mitsui Bussan Secure Directions sowie IBM X-Force und Proofpoint beteiligt, die StealC im Rahmen von Operation Endgame bereits im Blick hatten.

Microsoft betont, die Zusammenarbeit verschiedener Organisationen sei entscheidend gewesen, um die Verbindung zwischen den Tools überhaupt erkennen zu können, da keine einzelne Behörde oder Firma allein den vollständigen Überblick über grenzüberschreitende Bedrohungen habe. Die Maßnahme soll nach Unternehmensangaben kein einmaliger Vorgang bleiben: Die gewonnenen Erkenntnisse fließen in das laufende "Statutory Automated Disruption"-Programm ein, mit dem Microsoft künftig schneller gegen neue Infrastruktur von Cyberkriminellen vorgehen will.