Fancy Bear ist der Name, unter dem die Sicherheitsfirma CrowdStrike eine Gruppe von Angreifern führt, die die Bundesregierung und die Europäische Union dem russischen Militärgeheimdienst GRU zuordnen. Die Bundesregierung macht die Gruppe für den Angriff auf das Netz des Deutschen Bundestags im Jahr 2015 verantwortlich. In deutschen und europäischen Behördentexten heißt sie APT28.
- Fancy Bear
Eine Gruppe von Angreifern, die westliche Regierungen dem russischen Militärgeheimdienst GRU zuordnen.
Beispiel: „Der Sicherheitsbericht ordnete die gefälschten Anmeldeseiten Fancy Bear zu.“Auch: APT28. Die Nummer stammt aus einem Bericht der Sicherheitsfirma FireEye vom Oktober 2014 und ist der Name, den Bundesregierung und EU benutzen.
Abgrenzung zu Cozy Bear: Diese zweite russische Gruppe ordnen die USA und Großbritannien dem Auslandsgeheimdienst SWR zu. Beide spionieren, gelten aber als getrennte Gruppen.
Wer hinter Fancy Bear steckt
Nach Angaben der Bundesregierung der russische Militärgeheimdienst GRU. Am 3. Mai 2024 erklärte sie, der Akteur APT28 könne auf Grundlage belastbarer Informationen der deutschen Nachrichtendienste der Russischen Föderation und konkret dem GRU zugeordnet werden. Die Europäische Union ist noch genauer: Ihre Sanktionsliste vom 22. Oktober 2020 nennt das 85. Hauptzentrum für Spezialdienste des GRU, auch Militäreinheit 26165, und führt dabei die Namen APT28 und Fancy Bear ausdrücklich auf.
Die erste öffentliche Zuordnung kam von einer Firma. FireEye beschrieb die Gruppe am 27. Oktober 2014 als APT28, sah sie seit mindestens 2007 aktiv und vermutete einen staatlichen Auftraggeber mit Sitz in Moskau. Was damals aus Schadcode und Zielen geschlossen war, haben Regierungen später mit Erkenntnissen ihrer Dienste untermauert.
Der Angriff von Fancy Bear auf den Bundestag 2015
Im April und Mai 2015 drangen Angreifer in das Netz des Deutschen Bundestags ein. Fünf Jahre später, am 28. Mai 2020, bestellte das Auswärtige Amt den russischen Botschafter ein. Es verwies auf einen Haftbefehl, den der Ermittlungsrichter des Bundesgerichtshofs am 29. April 2020 auf Antrag der Bundesanwaltschaft gegen den russischen Staatsangehörigen Dmitrij Badin erlassen hatte: Er soll als Mitglied von APT28 für den Angriff verantwortlich sein. Nach Angaben des Amts gibt es belastbare Hinweise, dass er zum Tatzeitpunkt dem GRU angehörte.
Im Oktober 2020 folgten die Sanktionen der EU gegen Badin und gegen die Militäreinheit. Ein Haftbefehl begründet einen Verdacht, ein Urteil ist er nicht. Die Bundesregierung hat 2024 trotzdem in eigenem Namen festgehalten, APT28 sei für den Angriff auf den Bundestag verantwortlich.
Welche Angriffe Fancy Bear zugeordnet werden
Fünf Vorfälle mit öffentlicher Zuordnung, davon drei in Deutschland. Die Spalte in der Mitte ist die wichtigste: Sie sagt, wer die Zuordnung trifft.
Vorfall | Zugeordnet von | Öffentlich zugeordnet |
|---|---|---|
Netz des Deutschen Bundestags, April und Mai 2015 | Bundesregierung (Haftbefehl), Europäische Union (Sanktionen) | Mai und Oktober 2020 |
Democratic National Committee der USA, ab April 2016 | CrowdStrike, eine Sicherheitsfirma | Juni 2016 |
Organisation für das Verbot chemischer Waffen in Den Haag, April 2018 | Militärnachrichtendienst der Niederlande, als Team des GRU | 2018 |
Parteivorstand der SPD sowie Unternehmen aus Logistik, Rüstung und IT | Bundesregierung | 3. Mai 2024 |
Deutsche Flugsicherung, August 2024 | Auswärtiges Amt | 12. Dezember 2025 |
Zwischen Angriff und Zuordnung liegen Monate bis Jahre, und die zuordnende Stelle wechselt. Eine Firma, die ein einzelnes Netz untersucht hat, sagt etwas anderes aus als eine Regierung, die sich auf ihre Dienste stützt.
Wie Fancy Bear vorgeht
Am genauesten beschrieben ist die Kampagne gegen die SPD. Nach dem Ergebnis des nationalen Attribuierungsverfahrens nutzte APT28 über einen längeren Zeitraum eine damals unbekannte, kritische Lücke in Microsoft Outlook und verschaffte sich so Zugang zu mehreren E-Mail-Konten. Eine solche Lücke, für die es noch kein Update gibt, heißt Zero-Day-Lücke.
Dieselbe Kampagne richtete sich laut Bundesregierung gegen Regierungsstellen und Unternehmen aus Logistik, Rüstung, Luft- und Raumfahrt und IT-Dienstleistungen, dazu gegen Stiftungen und Verbände, in Deutschland, in anderen europäischen Staaten und in der Ukraine. Das Ziel ist Zugang zu Informationen; von Lösegeld ist in keiner der Mitteilungen die Rede.
Woher der Name Fancy Bear kommt
Aus dem Benennungsschema von CrowdStrike. Die Firma vergibt zweiteilige Namen. Bei staatlichen Gruppen steht der zweite Teil für das Herkunftsland und ist dessen Nationaltier: BEAR für Russland, PANDA für China. Kriminelle, denen es um Geld geht, heißen SPIDER, Hacktivisten JACKAL. Der erste Teil unterscheidet die Gruppen eines Landes voneinander.
Jede größere Firma hat ein eigenes Schema, und so trägt dieselbe Gruppe viele Namen.
Wer benennt | Name der Gruppe | Was der Name verrät |
|---|---|---|
CrowdStrike | Fancy Bear | BEAR steht für Russland |
Microsoft | Forest Blizzard, früher Strontium | Blizzard steht für Russland |
FireEye | APT28 | fortlaufende Nummer einer staatlichen Gruppe |
Europäische Union | Militäreinheit 26165 des GRU | die Dienststelle selbst |
Microsofts Liste nennt für die Gruppe zwölf weitere Namen, darunter Sofacy, Sednit und Pawn Storm. Damit eine Meldung nicht als neue Gruppe gelesen wird, gleichen CrowdStrike und Microsoft ihre Namen seit Juni 2025 über eine gemeinsame Zuordnung ab.
Fancy Bear und Cozy Bear
Zwei russische Gruppen, zwei Dienste. Fancy Bear wird dem Militärgeheimdienst GRU zugeordnet, Cozy Bear dem Auslandsgeheimdienst SWR. Die Namen stammen von derselben Firma und sind nach demselben Muster gebaut, deshalb werden sie oft verwechselt.
Als CrowdStrike 2016 den Angriff auf das Democratic National Committee untersuchte, fand die Firma beide Gruppen im selben Netz: Cozy Bear seit dem Sommer 2015, Fancy Bear seit April 2016. Hinweise auf eine Zusammenarbeit fand sie keine, nicht einmal darauf, dass die eine von der anderen wusste.
Was eine Zuordnung zu Fancy Bear leistet und was nicht
Eine Zuordnung ist eine Bewertung, kein Urteil. Regierungen stützen sich auf Erkenntnisse ihrer Dienste, die sie selten offenlegen, und formulieren deshalb vorsichtig: Das britische National Cyber Security Centre etwa hielt die Verantwortung des SWR für den SolarWinds-Angriff für „highly likely“, also hoch wahrscheinlich.
Dazu kommt das Problem der Namen. Fancy Bear, Forest Blizzard und APT28 beschreiben die Beobachtungen verschiedener Firmen, und jede ordnet nach ihren eigenen Daten zu. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte 2023 außerdem, staatlich gesteuerte Gruppen könnten sich zunehmend als Hacktivisten ausgeben, siehe Hacktivismus.
Für die Abwehr ist die Frage nach dem Täter deshalb selten die wichtigste. Eine Lücke in Outlook ist dieselbe Lücke, ob ein Geheimdienst sie ausnutzt oder eine Erpresserbande.
Was Fancy Bear für ein Unternehmen bedeutet
Für die meisten Websites wenig, für manche Branchen viel. Wer für Rüstung, Logistik, Luftfahrt, Verbände oder Stiftungen arbeitet, gehört zu den Zielen, die die Bundesregierung 2024 genannt hat, und ein IT-Dienstleister solcher Kunden ist ein möglicher Umweg, siehe Supply-Chain-Angriff.
Der Einstieg war in Deutschland ein E-Mail-Programm, also Software, die in jedem Büro läuft. Die Schutzmaßnahmen sind deshalb dieselben wie gegen gewöhnliche Angreifer, nur mit weniger Spielraum bei der Geschwindigkeit.
E-Mail-Systeme gegen bekannte Lücken absichern
Updates für Mailserver und E-Mail-Programme binnen Tagen einspielen. Wer erst beim nächsten Wartungsfenster nachzieht, lässt eine bekannte Lücke wochenlang offen. Wie ein fester Ablauf dafür aussieht, steht bei Patch-Management.
Konten gegen Übernahme schützen
Mit einem zweiten Faktor für jedes Konto, das von außen erreichbar ist, siehe Zwei-Faktor-Authentisierung. Besonders Postfächer der Geschäftsführung und der IT gehören dazu, weil ein übernommenes Postfach die beste Grundlage für den nächsten Schritt ist: eine glaubwürdige Mail an Kollegen und Partner, siehe Phishing.
Einen Verdacht auf einen staatlichen Angriff melden
Beim BSI und, wenn es um Spionage geht, beim Verfassungsschutz. Vorher Spuren sichern: Protokolle des Mailservers, verdächtige Nachrichten mit vollständigen Kopfzeilen, betroffene Konten. Nichts löschen und nichts neu aufsetzen, bevor feststeht, was passiert ist; das Vorgehen beschreibt Incident Response.
Witziges und Kurioses
Ein Firmenspitzname im Amtsblatt der Union. Die Durchführungsverordnung der EU vom 22. Oktober 2020 führt unter der Militäreinheit 26165 die Namen „APT28“, „Fancy Bear“, „Sofacy Group“, „Pawn Storm“ und „Strontium“ auf. Ein Name, den eine Sicherheitsfirma nach einem Tierschema vergeben hat, steht damit in einem Rechtsakt.