Countdown im Darknet

Hacker nehmen Wiener Flughafen ins Visier

Ein unangenehmer Vorfall beschäftigt die Cyberabwehr des Wiener Flughafens. Ein Hackerkollektiv veröffentlichte einen Countdown im Darknet und droht mit der Veröffentlichung weiterer Dokumente. Auf Anfrage der „Krone“ betont der Flughafen, den Fall ernst zu nehmen. Sicherheitsrelevante Dokumente scheinen jedoch nicht betroffen zu sein.

Ein schwarzer Hintergrund, auf dem in weißen Buchstaben die in Österreich nicht unbekannte URL viennaairport.com prangt. Darüber zu sehen und in Rot gehalten ist ein Countdown, der in der Nacht auf Montag, also Punkt Mitternacht, ablaufen sollte. Er stammt von der berüchtigten Hackergruppe „APT73“, die sich auch „Bashe“ nennt und wurde kürzlich im Darknet veröffentlicht. Einer breiteren Öffentlichkeit bekannt wurden die Kriminellen 2024, als sie einer Hongkonger Investmentfirma offenbar hochsensible Daten gestohlen und das Unternehmen daraufhin mit den Dokumenten erpresst hatten.

Erste Frachtdokumente wurden bereits veröffentlicht.(Bild: APT73)

Gruppe kauft gestohlene Daten anderer Hacker
Auch in anderen Fällen wurden vor allem Finanz- und Technologieunternehmen ins Visier genommen. Die Gruppe, die nun offenbar den Wiener Flughafen als Opfer auserkoren hat, verfolgt üblicherweise rein monetäre Ziele. Brisant: Wer der Hacker ist, der in Schwechat in die Systeme eingedrungen ist, weiß bisher niemand so genau. „APT73“ bietet nämlich nebenbei auch „ransomware as a service“ an. Also ein Modell, in dem private Hacker ihre erbeuteten Datensätze über „APT73“ veröffentlichen und finanziell von den Erpressungsversuchen mitprofitieren können. 

Sicherheitsrelevante Bereiche sind am Flughafen Wien nicht betroffen (Archivbild)(Bild: P. Huber)

Der Betrieb des Flughafens ist in keiner Weise beeinträchtigt und läuft plangemäß. Passagierbezogene oder betriebskritische Daten sind nicht betroffen.

Flughafensprecher Peter Kleemann zur „Krone“

Bild: Flughafen Wien

Flughafen-Betrieb nicht beeinträchtigt
Das neue Ziel von „APT73“ liegt also offenbar im niederösterreichischen Schwechat. Auf Anfrage der „Krone“ konnte Flughafensprecher Peter Kleemann bestätigen, dass bisher Unbekannte in ein System des Flughafens eingedrungen seien. Der Betrieb des Flughafens sei aber „in keiner Weise beeinträchtigt und läuft plangemäß“. Auch passagierbezogene Daten sollten nicht betroffen sein. „Der Flughafen arbeitet aktuell an der Aufklärung des Sachverhalts, ist mit den zuständigen Behörden in Kontakt und hat zusätzlich zur eigenen IT-Abteilung externe Cybersecurity-Experten hinzugezogen“, so Kleemann. 

Wer der Hacker ist, der in Schwechat in die Systeme eingedrungen ist, weiß bisher niemand so genau.(Bild: jfhp - stock.adobe.com)

Auch Privatjetbetreiber wurde kürzlich zum Opfer
„Krone“-Cyberexperte Dr. Cornelius Granig weiß, wer die Hackergruppe ist. Die kriminelle Gruppierung, die den Flughafen mit der Veröffentlichung angeblich gestohlener Daten bedroht, biete nach Einschätzung internationaler Strafverfolgungsbehörden ein breites Spektrum krimineller Dienstleistungen gegen Bezahlung in Kryptowährung an, erklärt Granig. Und weiter: „Gegen die Zahlung einer Art Aufnahmegebühr können sich Externe als Partner anschließen und gemeinsam mit der Gruppe Erpressungsangriffe durchführen“. Bei der Bewertung der Veröffentlichungen sei „besondere Vorsicht geboten“. 

Sowohl die Herkunft als auch die Authentizität und Aktualität der präsentierten Daten sollten vor jeder Schlussfolgerung sorgfältig überprüft werden.

Cyberexperte Dr. Cornelius Granig

Bild: Imre Antal

Frachtpapiere offenbar im Besitz der Kriminellen
Glück im Unglück: Laut „Krone“-Informationen dürften die Hacker, zumindest bisher, nur Zugang zum Computer eines einzelnen Mitarbeiters erlangt haben. Zugriff auf sicherheitssensible Dokumente, wie sie es in einem Flughafenbetrieb naturgemäß zuhauf gibt, dürfte daher keiner erfolgt sein.  Laut Peter Kleemann handelte es sich um „alte Frachtdokumente aus dem Jahr 2025“, die durch einen Phishing-Angriff entwendet worden sein dürften. Tatsächlich findet man im Darknet bereits Dokumente, unter anderen zum Transport von Glock-Pistolen und Chemikalien. Zu einer direkten Kontaktaufnahme durch die Hacker ist es bis dato ebenso noch nicht gekommen, bestätigt er.