Spekulationen um Name der Hackergruppe - „Pay or Grief“ soll hinter Lösegeldforderung stecken

Magdeburg/Köthen/MZ - Nach dem verheerenden Cyberangriff auf das Computernetzwerk des Landkreises gibt es möglicherweise eine konkrete Spur zu den Hackern. So schreibt die „Süddeutsche Zeitung“ (SZ), nach ihren Recherchen handele es sich bei den Erpressern um eine Gruppe namens Grief, die seit Mai aktiv sei. Sie agiere unter dem Namen „Pay or Grief“ - „zahle oder trauere“. Das im Fall des Computerhacks ermittelnde Landeskriminalamt äußert sich dazu jedoch nicht.

Bekannt ist, dass es nach dem Angriff, der große Datenmengen verschlüsselt und damit die Arbeit der Verwaltung rund vier Wochen lang lahmgelegt hat, eine Lösegeldforderung gab. Das hatte das LKA bestätigt. Nachdem Landrat Andy Grabner (CDU) die Zahlung abgelehnt hatte, tauchten im Darknet Auszüge aus nichtöffentlichen Kreistagssitzungen sowie Handynummern, Adressen und Kontodaten von Kreistagsmitgliedern auf.

Laut SZ soll die möglicherweise dafür verantwortliche Hackergruppe unter ihrem früheren Namen „Doppelpaymer“ ihre Arbeitsweise mit „Jetzt sind wir dran, scheiß auf Ermäßigungen, scheiß auf Verhandlungen, scheiß auf Zeitverschwendung“ beschrieben haben. Grief biete jedenfalls im Darknet Daten an, die dem Landkreis gestohlen wurden. Weitere Opfer seien eine US-Privatschule bei Dallas, die Stadtverwaltung von Thessaloniki (Griechenland) und ein französischer Pumpenhersteller. Es handele sich wohl nicht um gezielt ausgesuchte Opfer, vielmehr werde das Internet systematisch mit Programmen nach Schwachstellen in IT-Systemen durchsucht.

Der Landkreis wollte sich zu diesen Erkenntnissen nicht äußern. „Zum Stand der Ermittlungen nimmt der Landkreis keine Stellung“, teilt Kreissprecher Udo Pawelczyk auf MZ-Anfrage mit. Dies sei Angelegenheit des LKA. Doch von dort wird die Behauptung zur Erpressergruppe weder bestätigt noch dementiert. „Da es sich um ein laufendes Ermittlungsverfahren handelt, geben wir dazu keine Auskünfte“, sagt LKA-Sprecher Michael Klocke. Das halte man bei allen Ermittlungen so. Klocke bestätigt eine entsprechende Anfrage der SZ zur möglichen Identität der Hacker. Auch hier habe man keine Auskünfte zu dem Verfahren gegeben.