Das russisch verbundene Hacker-Netzwerk NoName057(16) hat nach Medienberichten Zugriff auf vertrauliche Daten von fast tausend spanischen Polizisten, Angehörigen der Guardia Civil und Militärangehörigen erlangt. Ein von der Gruppe veröffentlichtes Dokument enthält Namen, Fotos, Telefonnummern, E-Mail-Adressen, Wohnadressen sowie Kontakte aus den Adressbüchern der Betroffenen. Die spanischen Behörden untersuchen den Vorgang.
Die Veröffentlichung steht im Zusammenhang mit Cyberangriffen gegen spanische Einrichtungen, die NoName057(16) seit der Unterstützung der Ukraine durch die Regierung von Ministerpräsident Pedro Sánchez durchgeführt haben soll. Mit der Prüfung des Zugriffs auf die sensiblen Daten befasst sich die Abteilung für Cyberbedrohungen des Kommissariats für allgemeine Information (CGI). Einen Bericht über die Ermittlungen zum Zugriff auf die Daten spanischer Polizisten und Militärangehöriger veröffentlichte die spanische Zeitung El País.
Persönliche Daten von Sicherheitskräften veröffentlicht
Das Dokument soll Informationen über nahezu tausend Angehörige spanischer Sicherheits- und Streitkräfte enthalten. Neben dienstbezogenen Angaben werden darin auch private Kontaktdaten genannt. Dazu zählen Wohnadressen, private Telefonnummern und E-Mail-Adressen. Die Veröffentlichung betrifft damit nicht nur die betroffenen Bediensteten selbst, sondern kann auch Informationen über deren persönliche Kontakte zugänglich machen.
Die spanischen Ermittler prüfen, auf welchem Weg NoName057(16) an die Daten gelangte und welche Systeme oder Datenbestände betroffen waren. Aus den vorliegenden Angaben geht nicht hervor, dass alle in dem Dokument genannten Informationen aus derselben Quelle stammen oder dass sämtliche Angaben aktuell sind. Das CGI untersucht den Fall als Teil seiner Arbeit zur Aufklärung von Cyberbedrohungen.
Die Weitergabe solcher Informationen kann für gezielte Drohungen, Nachstellungen oder Erpressungsversuche genutzt werden. Auch für Phishing und Social Engineering können Namen, Telefonnummern, E-Mail-Adressen und private Verbindungen verwendet werden. Die Daten könnten dabei eingesetzt werden, um Vertrauen zu erzeugen, einzelne Personen unter Druck zu setzen oder Zugänge zu weiteren Systemen zu erlangen. Ob es in Spanien bereits zu solchen Folgeaktionen gekommen ist, wurde in den vorliegenden Angaben nicht mitgeteilt.
Netzwerk seit 2022 aktiv
NoName057(16) entstand im März 2022, kurz nach dem Beginn der groß angelegten russischen Invasion der Ukraine. Das Netzwerk führt vor allem massenhafte DDoS-Angriffe durch, stiehlt Daten und verbreitet Desinformation. Zu den genannten Zielen gehören staatliche Einrichtungen und kritische Infrastrukturen in EU- und NATO-Staaten, die die Ukraine unterstützen.
DDoS-Angriffe überlasten digitale Dienste mit einer großen Zahl von Anfragen und können Webseiten oder Online-Angebote vorübergehend unerreichbar machen. Der Diebstahl persönlicher Daten erweitert den möglichen Schaden über eine kurzfristige Störung hinaus. Werden die Informationen anschließend über Medien oder prorussische Kanäle verbreitet, können sie zugleich für Informationsoperationen genutzt werden. Die vorliegenden Angaben ordnen die Aktivitäten von NoName057(16) deshalb in eine russische hybride Kampagne gegen europäische Staaten ein.
Die Veröffentlichung persönlicher Angaben von Angehörigen der Polizei, der Guardia Civil und des Militärs kann die Verwundbarkeit einzelner Personen sichtbar machen. Sie kann außerdem dazu dienen, Misstrauen in die Fähigkeit staatlicher Stellen zum Schutz ihrer Bediensteten und Bürger zu verstärken. In diesem Zusammenhang wird die Verbreitung gestohlener Daten als Bestandteil von Operationen beschrieben, die den politischen Druck auf europäische Regierungen und ihre Unterstützung für die Ukraine erhöhen sollen.
Europäischer Schlag gegen die Infrastruktur
Am 15. Juli 2025 gingen Strafverfolgungsbehörden aus zwölf europäischen Ländern in der Operation „Eastwood“ gegen NoName057(16) vor. An einem Tag fanden in sieben Staaten Durchsuchungen statt. In Frankreich, Spanien und Polen wurden Verdächtige festgenommen. Außerdem erließen die Behörden Haftbefehle gegen sieben Personen.
Die Ermittler schalteten mehr als 100 Server ab, auf denen die Infrastruktur des Netzwerks betrieben worden war. Nach den vorliegenden Angaben wurde dadurch auch das Botnetz vorübergehend außer Betrieb gesetzt, das für Angriffe auf Ziele in verschiedenen Ländern eingesetzt worden war. Der Einsatz zeigte, dass eine koordinierte Zusammenarbeit mehrerer europäischer Behörden die technische Basis solcher Netzwerke empfindlich treffen kann.
Zu den Verdächtigen mit mutmaßlichen Verbindungen zu NoName057(16) zählt der spanische IT-Fachmann Enrique Arias Gil. Er soll unter dem Pseudonym „El Desinformador ruso“ aufgetreten sein. Die spanischen Behörden werfen ihm Spionage zugunsten Russlands vor. Arias Gil erhielt in Russland politisches Asyl.
Die Operation „Eastwood“ beseitigte die Bedrohung nach den vorliegenden Angaben nicht dauerhaft. Das Netzwerk wird weiterhin mit DDoS-Angriffen, Datendiebstahl und Desinformationsaktivitäten in Verbindung gebracht. Für die spanische Polizei und die betroffenen Militärangehörigen steht nun zunächst die Auswertung des veröffentlichten Dokuments und die Sicherung der betroffenen Daten im Mittelpunkt der Ermittlungen.
