Lapsus$ stahl GTA 6: zwei Teenager für spektakuläre Hackerangriffe verurteilt

Es ist ein Klischee aus Hackerfilmen und -serien: Hochbegabte Teenager sitzen im Kinderzimmer und knacken Konzerne rund um die Welt. Dabei sind diese Zeiten eigentlich längst vorbei: Die lukrativen Attacken werden meist von hochprofessionellen Kriminellen ausgeführt, oft mit Unterstützung von Geheimdiensten. Das Gerichtsverfahren gegen die berüchtigte Lapsus$-Gruppe zeigt nun: Auch das alte Klischee gibt es noch.

In sieben Verhandlungswochen tagte der Southwark Crown Court in London über den erst 18-Jährigen Arion K. aus dem britischen Oxford sowie einen 17-Jähriger Komplizen. Nun wurden die beiden für schuldig befunden, 2021 und 2022 erfolgreiche Angriffe auf Weltkornzerne wie die Techgiganten Microsoft, Nvidia und Samsung, das Spielestudio Rockstar, die Bank-App Revolut, Uber, sowie die britischen Mobilfunkbetreiber BT und EE geleitet und durchgeführt zu haben. Dabei wurden nicht nur Unmengen an Daten gestohlen, sondern auch Lösegelder in Millionenhöhe verlangt.

Die Lapsus$-Gruppe war in kürzester Zeit eine aufsehenerregende Reihe von Hackerattacken gelungen. Dabei setzten sie vor allem auf menschliche Schwäche: Sie suchten sich gezielt einzelne Mitarbeiter der Unternehmen heraus und versuchten, in Gesprächen oder per E-Mail Zugangsdaten herauszufinden. In mehreren Fällen bombardierten sie Angestellte nachts so lange mit gefälschten Anfragen zur Freigabe einer Sicherheitsmaßnahme, bis diese genervt zustimmten.

Die Ergebnisse waren oft spektakulär – und wurden von den Hackern entsprechend ausführlich in den sozialen Medien gefeiert. Die Hacker stahlen interne Kundendaten, erbeuteten 90 Prozent des Quellcodes der Microsoft-Suchmaschine Bing. Den größten Coup stellte der Leak des damals noch unangekündigten Spielehits "GTA 6" dar: Die Hacker konnten nicht nur die Existenz des seit Jahren erwarteten Spiels beweisen – sondern veröffentlichten auch Dutzende interne Testvideos. Dabei waren sie gegenüber dem Spieleentwickler erstaunlich dreist. "Ich bin kein Mitarbeiter. Ich bin ein Angreifer", postete K. im internen Konzernkanal beim Messenger Slack.

Bei der Gerichtsverhandlung musste K. selbst nicht aussagen. Er sei Autist, sei deshalb nicht geeignet, vor einem Gericht aufzutreten, bescheinigte ein psychartisches Gutachten dem 18-Jährigen. Auch sein 17-jähriger Komplize, dessen Name wegen seiner Minderjährigkeit nicht veröffentlicht werden darf, ist Gutachten zufolge Autist. Vor Gericht sollte die Jury nur darüber entscheiden, ob die beiden die Taten begangen hatten, nicht welche Intention sie damit verfolgten.

Die beiden und weitere Komplizen hatten sich auch durch Zusammenstöße mit dem Gesetz nicht von ihren Taten abhalten lassen. Schon im Januar 2022 waren sie erstmals als Verdächtige verhaftet worden, machten trotz der Ermittlungen einfach weiter. Ende März desselben Jahres wurden beide ein zweites Mal verhaftet, nachdem K. von anderen Hackern "gedoxxed" worden war. Sie hatten nicht nur seine Identität, sondern auch seine Adresse und Familienfotos veröffentlicht.

K. wurde in der Folge als Sicherheitsmaßnahme in einem Hotel untergebracht, ihm wurde als Auflage ein strenges Internet-Verbot erteilt. Doch das hielt ihn nicht ab: Den GTA-Hack leitete er direkt aus seinem Hotelzimmer aus. Eine Polizeirazzia des Hotelzimmers erwischte ihn dann bei frischer Tat. Mit einem FireTV-Stick und einer Tastatur hatte er den Fernseher des Hotels zur Hack-Station umgebaut. Die Polizei zog einen Schlusstrich: Bis zum später erwarteten Verkündung des Strafmaßes bleibt er in Untersuchungshaft. Der Großteil der hauptsächlich aus Brasilien und Großbritannien stammenden Gruppe ist weiter auf freiem Fuß.

Quellen: BBC, Axios, CISA