Kurz erklärt: Lazarus Group ist die gebräuchliche Bezeichnung für einen Täterkreis, der von westlichen Behörden staatlichen Stellen Nordkoreas zugerechnet wird und für einen erheblichen Teil der weltweit größten Kryptowert-Diebstähle verantwortlich gemacht wird. Kennzeichnend sind lange Vorbereitungszeiten, Angriffe auf Mitarbeitende statt auf Technik sowie ein arbeitsteiliger, wiederkehrender Wäscheweg.
Warum die Zurechnung für Verfahren relevant ist
Die Zuschreibung an einen staatlich getragenen Akteur ist mehr als eine Einordnung. Sie verändert die rechtliche Lage in mehrfacher Hinsicht.
Erstens greifen Sanktionsvorschriften. Werden Adressen oder Dienste gelistet, dürfen regulierte Unternehmen keine Geschäfte mehr damit abwickeln. Eine Zahlung, die auf eine gelistete Adresse zuläuft, kann bei der Zielplattform eine Sperre auslösen — was im Einzelfall vorteilhaft sein kann, weil das Guthaben nicht weiterbewegt wird.
Zweitens verschiebt sich die realistische Erwartung an eine Rückführung. Bei einem staatlich getragenen Täterkreis gibt es keinen greifbaren zivilrechtlichen Anspruchsgegner und keine Vollstreckungsmöglichkeit. Was bleibt, ist der Zugriff auf Mittel, die einen regulierten Intermediär erreichen.
Drittens erhöht ein solcher Bezug die Priorität eines Verfahrens erheblich. Für Geschädigte kann das den Unterschied zwischen einer Einstellung und einem geführten Verfahren ausmachen — allerdings mit langer Dauer.
Typisches Vorgehen
Die dokumentierten Angriffe folgen einem wiederkehrenden Muster, das weniger technisch als sozial ist.
Am Anfang steht regelmäßig die gezielte Ansprache einzelner Mitarbeitender — häufig über Berufsnetzwerke, mit einem angeblichen Stellenangebot und einer Aufgabe, die eine Datei oder ein Entwicklungswerkzeug erfordert. Wird diese ausgeführt, entsteht ein Zugang, der über Wochen ausgebaut wird, bevor überhaupt etwas entwendet wird.
Ziel ist meist nicht die Blockchain selbst, sondern die Schlüsselverwaltung eines Unternehmens: Zugänge zu Verwahrsystemen, zu Signaturprozessen oder zu Übergängen zwischen Netzwerken, die große Bestände halten. Wo eine Verfügung mehrere Unterschriften erfordert, wird versucht, die erforderliche Zahl von Unterzeichnern zu kompromittieren oder ihnen eine manipulierte Transaktion zur Bestätigung vorzulegen.
Für Unternehmen folgt daraus die praktisch wichtigste Konsequenz: Die Verteidigung liegt nicht in der Wahl der Blockchain, sondern in Prozessen — getrennte Signaturgeräte, verpflichtende Prüfung des Transaktionsinhalts vor der Freigabe, Schulung zur Erkennung solcher Ansprachen.
Der Wäscheweg
Nach dem Zugriff folgt ein arbeitsteiliger Ablauf, der in mehreren Verfahren übereinstimmend beschrieben wurde.
Zunächst werden die Bestände in liquide Werte getauscht, häufig über Handelsplätze ohne Betreiber, die keine Identifizierung verlangen. Anschließend erfolgt eine Aufsplittung in viele kleine Beträge über zahlreiche Adressen, teils automatisiert über lange Zeiträume. Es folgen Durchläufe durch Mixer und Wechsel zwischen Netzwerken, um die Kette der Nachvollziehbarkeit zu unterbrechen.
Am Ende steht der Übergang in Fiat-Geld, der zwingend einen Intermediär erfordert — und genau dort liegt der einzige realistische Ansatzpunkt. Genutzt werden dafür typischerweise Konten auf fremde Namen und Plattformen mit schwacher Identifizierung.
Bemerkenswert ist die Zeitachse: Zwischen Tat und Auszahlung liegen häufig Monate. Wer davon ausgeht, dass gestohlene Mittel sofort verschwinden, unterschätzt das Zeitfenster für Sicherungsmaßnahmen.
Was ein Bezug im eigenen Fall bedeutet
Zeigt eine forensische Auswertung, dass eigene Mittel in Adresscluster geflossen sind, die diesem Täterkreis zugeordnet werden, ist Zurückhaltung angebracht.
Solche Zuordnungen stammen überwiegend aus kommerziellen Analysedatenbanken, deren Grundlage nicht offengelegt wird. Sie sind ein Indiz, kein Beweis. In einem Gutachten gehört daher offengelegt, worauf die Zuordnung beruht — auf einer behördlichen Listung, auf einer Veröffentlichung oder auf der Einstufung eines Anbieters.
Praktisch verändert ein solcher Bezug die Strategie: Der Weg über eine zivilrechtliche Inanspruchnahme des Täters entfällt. Sinnvoll bleibt die Sicherung bei Intermediären, die Meldung an die Strafverfolgung mit vollständigen Daten und — falls das eigene Unternehmen betroffen ist — die Aufarbeitung des Zugangswegs, weil dieser regelmäßig bei einer Person und nicht in der Technik lag.
Häufige Fragen
Kann ich gegen einen staatlich getragenen Täterkreis zivilrechtlich vorgehen?
Praktisch nicht. Es fehlt an einem greifbaren Anspruchsgegner und an Vollstreckungsmöglichkeiten. Realistisch bleibt der Zugriff auf Mittel, die einen regulierten Intermediär erreichen, sowie die strafrechtliche Aufklärung.
Wie zuverlässig ist die Zuordnung einer Adresse zu dieser Gruppe?
Sie beruht meist auf kommerziellen Analysedatenbanken, deren Grundlage nicht offengelegt wird, oder auf behördlichen Listungen. Als Indiz brauchbar, als Beweis nicht ausreichend. Ein Gutachten sollte offenlegen, worauf die Einstufung beruht.
Wie schützen sich Unternehmen wirksam?
Über Prozesse, nicht über die Wahl der Blockchain. Getrennte Signaturgeräte, verbindliche inhaltliche Prüfung jeder Transaktion vor Freigabe, mehrere unabhängige Unterzeichner und Schulung zur Erkennung gezielter Ansprachen über Berufsnetzwerke.
Zusammenfassung
Lazarus Group steht für einen staatlich zugerechneten Täterkreis, dessen Angriffe bei Menschen und Prozessen ansetzen, nicht bei der Blockchain. Der Wäscheweg verläuft über Tausch, Aufsplittung, Mixer und Netzwerkwechsel bis zum unvermeidlichen Übergang in Fiat-Geld — dort liegt der einzige realistische Ansatzpunkt. Ein Bezug erhöht die Verfahrenspriorität, macht eine zivilrechtliche Verfolgung aber aussichtslos. Zuordnungen aus Analysedatenbanken sind Indizien und als solche zu kennzeichnen.
Weiterführende Quellen
- US-Finanzministerium — Sanktionen im Zusammenhang mit der Lazarus Group: home.treasury.gov
- OFAC — Specially Designated Nationals and Blocked Persons List: ofac.treasury.gov
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- US-Finanzministerium — Sanktionierung von Tornado Cash: home.treasury.gov