Operation Endgame: Der größte Takedown Europas

Mit Operation Endgame 3.0 haben Strafverfolgungsbehörden unter Koordination von Europol und Eurojust zwischen dem 10. und 13. November 2025 mehr als 1.025 Server abgeschaltet oder gestört, die für Malware-Verbreitung und Botnet-Kontrolle genutzt wurden. Gemessen an der Zahl der Server ist das die bislang größte Phase der Operation. Laut Europol wurden außerdem 20 Domains beschlagnahmt und elf Standorte in Deutschland, Griechenland und den Niederlanden durchsucht. Der Hauptverdächtige hinter VenomRAT wurde bereits am 3. November in Griechenland festgenommen.

Trotz dieses Erfolgs zeigt der Einsatz vor allem eines: Die industrielle Komplexität cyberkrimineller Netzwerke wächst und entwickelt sich weiter – und mit ihr die Anforderung an Unternehmen, kompromittierte Systeme und Identitäten frühzeitig zu erkennen.

Was die Ermittler entdeckt haben

Die abgeschalteten Server gehörten zu drei Diensten, die laut Europol eine Schlüsselrolle in der internationalen Cyberkriminalität spielten. Operation Endgame richtet sich gezielt gegen solche Ransomware-Enabler: Werkzeuge, mit denen sich Angreifer unbemerkt Zugang zu Systemen verschaffen, bevor Ransomware ausgerollt wird.

Im Visier standen:

• Rhadamanthys, einer der größten Infostealer, der Zugangsdaten von infizierten Rechnern abgreift
• VenomRAT, ein Remote Access Trojan, über den Angreifer infizierte Geräte fernsteuern
• Elysium, ein Botnet, dessen infizierte Rechner über Command-and-Control-Server (C2) gesteuert werden

Das Ausmaß beschreibt Europol so: Die zerschlagene Infrastruktur umfasste Hunderttausende infizierte Rechner mit mehreren Millionen gestohlenen Zugangsdaten, viele Opfer wussten nichts von der Infektion. Der Hauptverdächtige hinter dem Infostealer hatte Zugriff auf über 100.000 Krypto-Wallets der Opfer.

Solche Infrastruktur ist das Rückgrat der Malware-Ökonomie: Sie sorgt für Verbreitung, Automatisierung und schließlich Monetarisierung. Ihr Wegfall ist ein wichtiger Erfolg – aber kein endgültiger.

Warum Endgame 3.0 trotz Erfolg nur ein Zwischenschritt ist

Strafverfolgung wie diese wirkt gegen Symptome, nicht gegen die Ausnutzung von Schwachstellen in Unternehmen. Nach einem Takedown organisieren sich die Akteure meist innerhalb weniger Wochen neu, oder andere Gruppen füllen das entstandene Machtvakuum.

Die zugrunde liegenden Probleme bleiben bestehen:

• Infostealer-Daten sind weiterhin im Umlauf: Gestohlene Zugangsdaten werden weiter verkauft und missbraucht.
• Kompromittierte Identitäten werden oft zu spät erkannt, weil eine systematische Überwachung fehlt.
• Initiale Angriffsvektoren bleiben bestehen: ungepatchte Dienste, schwache Zugangskontrollen oder Schatten-IT.
• Kriminelle Infrastrukturen sind dezentral verteilt, etwa über zuvor kompromittierte Cloud-Konten, was sie widerstandsfähiger macht.

Die Folge: Auch wenn Server abgeschaltet werden, bleiben Unternehmenszugänge, Tokens und kompromittierte Identitäten im Umlauf – und werden weiterhin automatisiert angegriffen.

Was Unternehmen aus Endgame 3.0 mitnehmen müssen

Der Einsatz zeigt, wie arbeitsteilig und eng verzahnt moderne Cyberkriminalität operiert. Für Unternehmen ergeben sich drei Handlungsfelder:

1. Gestohlene Identitäten müssen als eigenes Risikofeld geführt werden. Infostealer-Dumps enthalten E-Mail-Passwörter, Browser-Cookies, Session-Tokens, VPN-Zugänge und API-Keys. Ohne gezielte Überwachung taucht dieses Material erst nach einem Angriff wieder auf.
2. Lieferketten und Legacy-Systeme sind weiterhin die schwächsten Glieder. Angreifer setzen vermehrt auf Dropper, Loader und bereits kompromittierte Frameworks – hier entscheidet frühe Erkennung über die Schadenshöhe.
3. Reaktive Maßnahmen reichen nicht aus. Takedowns wie Endgame 3.0 sind wichtig, aber kein dauerhafter Schutz. Ohne kontinuierliche Sichtbarkeit über Identitäts- und Infrastrukturlecks bleiben Unternehmen verwundbar.

Wie blacklens.io Unternehmen in dieser Lage unterstützt

blacklens.io wurde entwickelt, um genau jene blinden Flecken abzudecken, die Operation Endgame 3.0 so deutlich sichtbar macht:

• Erkennung kompromittierter Identitäten und Systeme: Das Darknet Monitoring meldet Passwörter, Session-Cookies und persönliche Daten eines Unternehmens, die in Infostealer-Logs oder Combolists auftauchen, sowie kompromittierte Geräte mit Hostname, Betriebssystem und Infektionsdatum.
• Kontextualisierung statt reiner Alarmierung: blacklens.io ordnet automatisch zu, ob die Daten von Mitarbeitenden oder von Kunden stammen, und zeigt, ob sie aus Infostealer-Malware oder einer Combolist kommen – entscheidend für Priorisierung und Reaktionsgeschwindigkeit.
• Automatisierbare Folgeschritte: Alerts lassen sich über Benachrichtigungsregeln per E-Mail, Push oder Integration weiterleiten, etwa an Jira, ServiceNow, Microsoft Teams, Slack oder einen generischen Webhook. Über die REST-API binden Teams eigene Folgeschritte an.
• Gemeinsamer Blick auf die Angriffsfläche: blacklens.io verbindet Identitätslecks, Systemexposition und Infrastrukturbezug. Das ermöglicht präventive Abwehrmaßnahmen und gezieltes Patching, bevor Angreifer aktiv werden.

Resilienz entsteht durch kontinuierliche Transparenz

Operation Endgame 3.0 ist ein großer Erfolg für die europäische Cyberabwehr. Gleichzeitig verdeutlicht der Einsatz, wie tief verwurzelt und gut organisiert moderne Cybercrime-Netze sind – und wie wenig sich Unternehmen auf Infrastruktur-Takedowns allein verlassen können.

Echte Resilienz entsteht nur durch kontinuierliche Transparenz: über identitätsbezogene Risiken, über kompromittierte Systeme und über die Herkunft von Angriffen. Wer die eigene Angriffsfläche versteht und kompromittierte Identitäten frühzeitig erkennt, bleibt handlungsfähig, auch wenn sich kriminelle Ökosysteme ständig neu formieren.

Korrigiert am 20. Oktober 2026: Eine frühere Fassung nannte sieben internationale Haftbefehle, ein nicht belegtes Europol-Zitat sowie Ransomware-Verteilungsplattformen und Bulletproof Hosting als Teil der abgeschalteten Infrastruktur. Die Angaben folgen jetzt der Europol-Pressemitteilung vom 13. November 2025.