Cozy Bear ist der Name, unter dem die Sicherheitsfirma CrowdStrike eine Gruppe von Angreifern führt, die die Regierungen der USA und Großbritanniens dem russischen Auslandsgeheimdienst SWR zuordnen. Bekannt ist sie vor allem durch den Angriff über die Software von SolarWinds, der 2020 entdeckt wurde. In Behördentexten heißt sie APT29.
- Cozy Bear
Eine Gruppe von Angreifern, die westliche Regierungen dem russischen Auslandsgeheimdienst SWR zuordnen.
Beispiel: „In der Warnung des Dienstleisters stand Cozy Bear als Urheber der Anmeldeversuche auf das Postfach.“Auch: APT29. Microsoft führt die Gruppe als Midnight Blizzard, früher Nobelium.
Abgrenzung zu Fancy Bear: Diese Gruppe wird dem Militärgeheimdienst GRU zugeordnet.
Der SolarWinds-Angriff von Cozy Bear
Angreifer hatten sich Zugriff auf die Verwaltungssoftware Orion des Herstellers SolarWinds verschafft und erreichten über sie die Netze von deren Kunden. Am 15. April 2021 ordnete das Weiße Haus den Angriff dem SWR zu und nannte als dessen andere Namen APT29, Cozy Bear und The Dukes. Die US-Nachrichtendienste seien sich dabei sehr sicher; über die Software habe der Dienst mehr als 16.000 Systeme weltweit ausspähen oder stören können.
Am selben Tag hielt das britische National Cyber Security Centre die Verantwortung des SWR für hoch wahrscheinlich. Der Fall ist das Lehrbuchbeispiel für einen Supply-Chain-Angriff: Wer einen Lieferanten übernimmt, erreicht alle seine Kunden auf einmal.
Weitere Vorfälle, die Cozy Bear zugeordnet werden
Im Netz des Democratic National Committee fand CrowdStrike die Gruppe 2016 und datierte ihr Eindringen auf den Sommer 2015 zurück. Im Januar 2024 meldete Microsoft, Midnight Blizzard habe sich über ein altes Testkonto Zugang verschafft, und zwar durch das massenhafte Ausprobieren gängiger Passwörter, siehe Brute-Force-Angriff.
Von dort erreichte die Gruppe nach Microsofts Angaben einen sehr kleinen Teil der Postfächer im Unternehmen, darunter solche der Geschäftsleitung. Entdeckt wurde der Angriff am 12. Januar 2024.
Cozy Bear und Fancy Bear unterscheiden
Beide Namen stammen von CrowdStrike, und beide enden auf BEAR, das Kürzel der Firma für Gruppen, die sie Russland zuordnet. Dahinter stehen nach Einschätzung westlicher Regierungen zwei verschiedene Dienste: der Auslandsgeheimdienst SWR bei Cozy Bear, der Militärgeheimdienst GRU bei Fancy Bear.
CrowdStrike fand 2016 beide Gruppen im selben Netz, ohne Hinweise auf eine Zusammenarbeit. Seit Juni 2025 gleichen CrowdStrike und Microsoft ihre Namen ab und nennen dabei ausdrücklich Cozy Bear und Midnight Blizzard als dieselbe Gruppe.
Für Unternehmen ist die Lehre aus dem Fall Microsoft einfach: Ein vergessenes Testkonto ist ein offenes Tor, auch für einen Geheimdienst. Die Abhilfe heißt Zwei-Faktor-Authentisierung für jedes Konto, auch für Testkonten.