Viel Geduld: Wie chinesische IT-Spione über ein Jahr unentdeckt in Forschungsnetzen lauerten
Über ein Jahr lang saßen mutmaßlich staatlich gelenkte Angreifer aus China unbemerkt in den Netzen nordamerikanischer Forschungseinrichtungen – und griffen sensible Daten zu militärisch nutzbarer Hochtechnologie, KI und medizinischer Forschung ab. Aufgedeckt hat den Fall Googles Threat Intelligence Group (GTIG). Bemerkenswert ist nicht nur das Ziel, sondern die Methode: extreme Geduld, der Missbrauch alter Software und das Abzweigen von Daten über eine ganz normale, legitime Funktion. Genau diese Bausteine machen den Fall auch für deine eigene Sicherheit lehrreich.
Was ist passiert?
Laut GTIG – in Zusammenarbeit mit Mandiant Consulting – nahmen die Angreifer extern erreichbare REDCap-Server ins Visier. REDCap (Research Electronic Data Capture) ist eine im nordamerikanischen Forschungsbetrieb weit verbreitete Web-Plattform, mit der vor allem klinische Studien und wissenschaftliche Datenbanken verwaltet werden. Wie genau der erste Zugang gelang, konnte GTIG nicht abschließend bestätigen; beobachtet wurde aber gezieltes Absuchen nach alten, verwundbaren Versionen.
Der Ablauf zog sich über Jahre:
- September 2023: Erste bekannte Kompromittierung eines REDCap-Servers an einer Forschungseinrichtung.
- Rund drei Monate später: Installation der Spezial-Malware INFINITERED, versteckt in legitimen Systemdateien des Servers.
- Über ein Jahr: Stilles Abgreifen von Zugangsdaten, anschließend Bewegung ins interne Netzwerk bis hin zu Administrator-Rechten.
- Bis November 2025: Die Aktivität lief durchgehend weiter, bis sie entdeckt und gestört wurde.
Die Masche: Geduld als Waffe
Das Auffällige an diesem Fall ist die Ruhe der Angreifer. Statt sofort zuzuschlagen, warteten sie ab – erst Monate bis zur Schadsoftware, dann über ein Jahr, bevor sie die gestohlenen Zugangsdaten wirklich ausnutzten. Diese Geduld ist typisch für staatlich gelenkte Spionage und macht solche Angriffe so schwer zu entdecken. Es ist dieselbe Logik, die hinter dem Fall steckt, in dem ein staatliches iPhone-Hacking-Werkzeug bei Spionen und Krypto-Dieben landete: Wer es auf hochwertige Ziele abgesehen hat, investiert Zeit und Spezialwissen.
Hinzu kam der Missbrauch alter Software: REDCap erlaubt es, ältere Versionen parallel zur aktuellen weiterlaufen zu lassen – praktisch für laufende Studien, gefährlich für die Sicherheit, weil bekannte Lücken offen bleiben. Genau nach diesen Altlasten suchten die Angreifer. Und für den Datenabfluss nutzten sie keine auffällige Schadtechnik, sondern eine legitime Verwaltungsfunktion: eine Regel, die passende E-Mails automatisch und unsichtbar per Blindkopie an ein von ihnen kontrolliertes Konto weiterleitete. Weil die Funktion exakt wie vorgesehen arbeitete, schlug kein Alarm an.
Worauf es die Angreifer abgesehen hatten
Aus den von GTIG rekonstruierten Suchbegriffen lässt sich das Interesse der Gruppe ablesen. Im Fokus standen unter anderem:
- nationale Sicherheit und Außenpolitik
- künstliche Intelligenz und offensive Cyber-Werkzeuge
- konventionelle Waffen, Militärthemen und unbemannte Systeme (Drohnen)
- medizinische Forschung und Pathogene
Das ist keine zufällige, breit gestreute Kampagne, sondern gezielte Beschaffung strategisch wertvoller Informationen.
Warum das auch für dich relevant ist
Du betreibst keinen Forschungsserver – die Bausteine dieses Angriffs gelten aber für jeden, der Wertvolles digital absichern muss. Erstens: Angreifer haben Geduld. Sicherheit ist keine einmalige Aktion, sondern eine Gewohnheit. Genau deshalb lohnt sich ein systematischer Ansatz, wie ihn das vollständige Sicherheitssystem für die Selbstverwahrung beschreibt.
Zweitens: Alte Software ist eine offene Tür. Was hier ein veralteter Server war, ist im Alltag ein nicht aktualisiertes Smartphone – weshalb die Gerätehärtung deines Smartphones Schritt für Schritt so wichtig ist. Drittens: Konten brauchen starke, phishing-resistente Anmeldung – die wichtigsten Einstellungen dafür fasst der Beitrag zusammen, wie du dein Krypto-Börsen-Konto absicherst. Und viertens zeigt der Fall den vielleicht wichtigsten Grundsatz: Wer Wertvolles in fremde Hände gibt, vergrößert die Angriffsfläche – das gilt digital wie finanziell, ganz im Sinne von „nicht deine Schlüssel, nicht deine Coins", denn wer seine Coins auf Börsen lagert, besitzt keine Kryptowährungen.
Konkrete Schutzmaßnahmen
GTIG nennt klare Empfehlungen für betroffene Organisationen. Übersetzt auf deine eigene digitale Sicherheit bedeutet das:
- Software konsequent aktuell halten und alte, ungenutzte Versionen vollständig entfernen statt nebenher weiterlaufen zu lassen.
- Phishing-resistente Zwei-Faktor-Authentifizierung nutzen – idealerweise mit einem Hardware-Sicherheitsschlüssel, besonders für wichtige Konten.
- E-Mail-Weiterleitungen und automatische Regeln regelmäßig prüfen: Leitet etwas still an eine fremde Adresse weiter?
- In den Konto- und Sicherheitseinstellungen das Protokoll prüfen – also wann etwas geändert wurde, nicht nur, wie es aktuell aussieht.
- Sich nicht blind auf einen einzigen Dienstleister verlassen, der im Ernstfall der einzige Schlüssel zu deinen Daten oder deinem Vermögen ist.
Verwandte Beiträge
Wenn dich der Fall daran erinnert, deine eigene Sicherheit zu überprüfen, ist dies der ideale Startpunkt. Der Beitrag führt dich ohne Vorwissen durch dein erstes sicheres Setup.
Von der Wallet bis zu den wichtigsten Grundregeln baust du so ein Fundament, das genau die Lücken schließt, die Angreifer in diesem Fall ausgenutzt haben.
Beim Thema digitale Sicherheit wird viel versprochen. Dieser Beitrag ordnet nüchtern ein, was ein VPN im Alltag wirklich leistet – und was nicht.
Das hilft dir, Schutzmaßnahmen realistisch einzuschätzen, statt dich auf ein einzelnes Werkzeug zu verlassen, das längst nicht jedes Risiko abdeckt.
Nicht jeder Angriff kommt über Schadsoftware – oft ist die Plattform selbst die Falle. Dieser Beitrag zeigt die Warnsignale, an denen du unseriöse Anbieter erkennst.
So schärfst du dasselbe Misstrauen, das auch im Spionagefall den Unterschied gemacht hätte: genau hinsehen, bevor du Vertrauen verschenkst.
Die wichtigste Lehre aus dem Fall ist, Wertvolles nicht allein in fremde Hände zu legen. Bei Krypto bedeutet das eine eigene Hardware-Wallet, die deine Schlüssel offline schützt.
Der Ratgeber vergleicht die entscheidenden Kriterien und erklärt, warum für größere Bestände mehrere Geräte sinnvoll sein können.
Sicherheit mit System: „Krypto-Vermögen schützen"
Geduldige Angreifer schlagen dort zu, wo Sicherheit dem Zufall überlassen wird. Wie du Geräte, Konten, Backups, physische Sicherheit und Nachlass zu einem lückenlosen Plan verbindest, führt dich der Praxisleitfaden Krypto-Vermögen schützen Schritt für Schritt durch – mit Checklisten und einem Sicherheits-Audit zum Abhaken.
Häufige Fragen zum Fall
Was ist im aktuellen Fall passiert?
Eine mutmaßlich China-nahe Spionagegruppe drang über veraltete REDCap-Server in die Netze nordamerikanischer Forschungseinrichtungen ein und spionierte dort über ein Jahr lang sensible Daten aus. Aufgedeckt wurde der Fall von Googles Threat Intelligence Group (GTIG).
Die Aktivität reichte von September 2023 bis November 2025.
Wer ist UNC6508?
UNC6508 ist die von GTIG vergebene Bezeichnung für die Angreifergruppe. GTIG ordnet sie staatlich gelenkter Spionage aus China zu, deren Interessen sich mit bekannten Mustern solcher Akteure decken.
Es handelt sich um eine gezielte Beschaffung strategisch wertvoller Informationen, nicht um eine breit gestreute Kampagne.
Was ist REDCap?
REDCap (Research Electronic Data Capture) ist eine im nordamerikanischen Forschungsbetrieb weit verbreitete Web-Plattform zum Aufbau und Verwalten von Datenbanken und Umfragen, vor allem für klinische Studien.
Weil REDCap ältere Versionen parallel weiterlaufen lässt, blieben bekannte Sicherheitslücken offen, nach denen die Angreifer gezielt suchten.
Was ist INFINITERED?
INFINITERED ist die maßgeschneiderte Schadsoftware der Gruppe, die laut GTIG nur auf REDCap-Servern funktioniert. Sie versteckt sich in legitimen Systemdateien und besteht aus drei Teilen.
Ein Modul sorgt für dauerhaften Halt auch nach Updates, eines greift Zugangsdaten ab, eines dient als Fernsteuerung (Backdoor).
Wie konnten die Angreifer so lange unentdeckt bleiben?
Durch große Geduld und unauffällige Methoden: Sie warteten Monate bis zur Schadsoftware und über ein Jahr, bevor sie gestohlene Zugangsdaten nutzten. Daten zweigten sie über eine legitime E-Mail-Funktion ab, die unauffällig Blindkopien weiterleitete.
Weil diese Funktion wie vorgesehen arbeitete, entstand kein verdächtiger Datenverkehr, der einen Alarm ausgelöst hätte.
Was kann ich daraus für meine eigene Sicherheit lernen?
Halte Software aktuell und entferne alte Versionen, nutze phishing-resistente Zwei-Faktor-Authentifizierung, prüfe E-Mail-Weiterleitungen und Kontoeinstellungen regelmäßig und verlasse dich nicht blind auf einen einzigen Dienstleister.
Die Kernlektion: Sicherheit ist eine Gewohnheit, kein einmaliger Vorgang – denn Angreifer haben Zeit.
Grundlage dieses Beitrags ist die Analyse von Googles Threat Intelligence Group (GTIG) zur Gruppe UNC6508; Bewertungen und Zuordnungen geben deren Einschätzung wieder. Dieser Beitrag dient der allgemeinen Information und stellt keine Rechts-, Anlage- oder IT-Sicherheitsberatung im Einzelfall dar. Einzelne Links sind Affiliate-/Werbelinks (§ 5 DDG, u. a. zu Hardware-Wallets und zum Leitfaden „Krypto-Vermögen schützen"); bei Käufen über diese Links kann eine Provision anfallen, ohne Mehrkosten für dich. Alle Angaben ohne Gewähr.