Operation Epic Fury: Irans Cyber-Stellvertreterkrieg und das Risiko fuer Europa
Am 28. Februar 2026 loeste Operation Epic Fury eine globale Cyber-Kaskade aus. Sechzig iranische Proxy-Gruppen, die bereits in Cloud-Umgebungen, SCADA-Systemen und europaeischen Lieferantennetzwerken vorpositioniert waren, starteten koordinierte Operationen. Innerhalb von 72 Stunden: 149 DDoS-Angriffe gegen 110 Organisationen in 16 Laendern, 60+ mobilisierte Gruppen, 20% der globalen LNG-Versorgung unterbrochen und der Handala-Wiper, der 79 Laender erreichte.
Der geopolitische Kontext: Drei Jahrzehnte iranischer Cyber-Doktrin
Am 28. Februar 2026 trafen amerikanische und israelische Raketen und Kampfbomber iranische Militaeranlagen, eliminierten den Obersten Fuehrer Khamenei und enthaupteten die Fuehrung der Islamischen Revolutionsgarden (IRGC). Gleichzeitig fuehrte Israel die groesste offensive Cyber-Operation der Geschichte durch und liess die iranische Internet-Konnektivitaet auf 1-4% des normalen Datenverkehrs zusammenbrechen — bestaetigt durch NetBlocks.
Irans Reaktion hat ihre Wurzeln im Jahr 2010. Stuxnet lehrte Teheran, dass Cyberwar isolierte physische Systeme zerstoeren kann. Seitdem hat der Iran ein hybrides Oekosystem aus staatlichen APTs und hacktivistischen Kollektiven aufgebaut, die als abstreitbare Proxys operieren. Das Oekosystem ist um IRGC-CEC und MOIS strukturiert, mit APT33 (Luft- und Raumfahrt/Energie), APT34/OilRig (Oel & Gas), APT35/APT42 (KI-gestuetztes Spear-Phishing), MuddyWater (Initial Access Broker) und Handala (Hack-and-Leak).
Der Trilaterale Pakt Iran-China-Russland: eine Neue Cyber-Achse?
Am 29. Januar 2026 — einen Monat vor den kinetischen Operationen — unterzeichneten Iran, China und Russland in Teheran einen trilateralen strategischen Pakt. An der Cyber-Front konsolidiert der Pakt bereits bestehende Zusammenarbeit: China stellte Satellitenbilder und Fruehwarndaten bereit, Russland vereinbarte den Wiederaufbau der Luftabwehrsysteme. Die Kooperation umfasst die gemeinsame Nutzung von Anonymisierungsinfrastrukturen, den Austausch von Zero-Day-Schwachstellen und offensives Tooling — wie von Small Wars Journal und CSIS analysiert.
Anatomie der Offensive: TTPs, Timeline und Angriffsketten
In den ersten 72 Stunden fuehrte eine Koalition von ueber 12 Gruppen 149 DDoS-Angriffe gegen 110 Organisationen in 16 Laendern durch. Die Zahl der mobilisierten Gruppen stieg auf 60+, einschliesslich prorussischer Formationen wie NoName057(16), die sich am 3. Maerz der proiranischen Koalition anschlossen — bestaetigt durch Tenable RSO, Palo Alto Unit 42, Flashpoint und Recorded Future.
Die eigentliche Bedrohung war bereits vor Beginn der kinetischen Operationen in Position. Die Analyse von Tenable ergab, dass MuddyWater in den vorangegangenen Wochen israelische und MENA-Netzwerke mit stillen Backdoors infiltriert hatte. Am Tag der Militaeroperation wurde dieser Zugang bewaffnet. Diese 'Weaponization of Pre-positioned Access' ist Irans fortschrittlichstes operatives Paradigma.
Der am besten dokumentierte Fall ist der Handala-Angriff auf die Stryker Corporation am 11. Maerz 2026. Innerhalb von drei Stunden loeschte Handala Strykers Endpunkte in 79 Laendern auf sechs Kontinenten. Stryker stellt orthopaedische Implantate her — keine Rolle im Konflikt, keine Operationen im Nahen Osten. Der Zugang wurde wahrscheinlich ueber Microsoft Intune oder einen Supply-Chain-Vektor erlangt. Produktionslinien standen still. Krankenhaeuser, die auf chirurgische Geraete warteten, erhielten Schweigen.
Das europaeische Risiko: Wir sind keine Beobachter
Europa ist eine Angriffsflaeche, kein Zuschauer. NoName057(16) fuehrte DDoS-Kampagnen in Rumaenien und Daenemark durch. DieNet behauptete 100 Angriffe an einem einzigen Tag. Die Handala-Operation erreichte Organisationen in 16 europaeischen Laendern ueber die Lieferkette. Finnland hat in seinem National Security Overview 2026 den Iran ausdruecklich als Risikovektor neben Russland und China benannt.
Fuer Italien ist das Risiko spezifisch: NATO-Stuetzpunkte (Aviano, Sigonella, Neapel) als symbolische Ziele, der Hafen von Gioia Tauro als Ziel fuer Hafen-Disruption, der Energiesektor, der der Schliessung der Strasse von Hormuz und der Unterbrechung von 20% der globalen LNG-Versorgung ausgesetzt ist. Jede italienische Organisation mit Niederlassungen, Lieferanten oder digitalen Partnern im Golfgebiet muss sich als betroffen betrachten.
Die Frage, die man sich stellen muss, lautet nicht 'Wurden wir angegriffen?', sondern 'Wurden wir bereits kompromittiert, ohne es zu wissen?'. APT33 zielt auf den europaeischen Luft- und Raumfahrt- sowie Oel- & Gas-Sektor. APT34/OilRig greift europaeische Unternehmen an, um Zugang zu industriellen Steuerungen zu erhalten. MuddyWater zielt auf Telekommunikation und IT-Anbieter als Sprungbrett zu hoeherwertigen Zielen.
Das ICS/OT-Paradigma: Wenn Cyberwar die physische Welt trifft
CyberAv3ngers und Charming Kitten suchen aktiv nach internetexponierten PLCs und zugaenglichen HMIs — Bedienpanels fuer Wassersysteme, Kraftwerke und Abfallbehandlungsanlagen. Unter den beanspruchten Operationen: Zugang zu einem HMI-System einer US-Wasseraufbereitungsanlage mit Screenshots von Chlorwerten, Eindringen in Getreidesilos in Jordanien, Zugang zu israelischen Wasserpumpen mit Fernsteuerung von Ventilen.
Die Analyse von Tenable identifizierte ueber 15,5 Millionen verwundbare Assets in den sieben Ziellaendern. Eine einzige Schwachstelle — CVE-2026-21514, ein OLE-Bypass in Microsoft Word — macht fast 14 Millionen dieser Ziele aus. Am 10. Februar 2026 dem CISA KEV-Katalog hinzugefuegt, hatte die russische APT28 sie bereits im Januar 2026 gegen Ziele in der Ukraine, der Slowakei und Rumaenien ausgenutzt — ein moeglicher Exploit-Austausch zwischen dem russisch-iranischen Netzwerk.
Warum Post-Quantum heute relevant ist, nicht morgen
Die Verbreitung von Akteuren mit vorpositioniertem Zugang fuehrt das Problem des 'Harvest Now, Decrypt Later' ein. Iranische Gruppen sammeln mit chinesischer und russischer technischer Unterstuetzung abgefangenen verschluesselten Datenverkehr, um ihn rueckwirkend mit zukuenftigen Quantencomputern zu entschluesseln. Fuer europaeische Organisationen, die sensible Informationen verarbeiten — Verteidigung, Energie, Pharmazeutik — garantiert die aktuelle Kryptographie (RSA, ECC) keine Vertraulichkeit, nicht einmal fuer bereits uebertragene Daten.
Der Fall Stryker hat gezeigt, dass die Ausfuehrungsgeschwindigkeit einer destruktiven Operation — drei Stunden fuer 79 Laender — die Reaktionsgeschwindigkeit traditioneller SOC-Teams dramatisch uebersteigt. Ein Zero-Trust-Modell mit Mikrosegmentierung, kontinuierlicher Authentifizierung und NIST-Post-Quantum-Kryptographie (ML-KEM fuer Key Encapsulation, ML-DSA fuer digitale Signaturen) reduziert die Lateral-Movement-Oberflaeche. Dies ist kein Marketing-Argument: Es ist der Unterschied zwischen einem eingedaemmten Vorfall und einem globalen Wipe.
Operative Empfehlungen
- 1.Dringendes Patching von CVE-2026-21514 und allen CVEs im CISA KEV-Katalog, die mit iranischen Akteuren assoziiert sind
- 2.Audit aller Fernzugriffspfade zu OT/ICS-Systemen, mit Augenmerk auf exponierte PLCs und HMIs
- 3.Ueberpruefung der digitalen Lieferkette — Anbieter, MSPs, Cloud-Partner — mit Threat Modeling fuer vorpositionierten Zugang
- 4.Implementierung von Wiper-Erkennung und schneller Endpunkt-Isolierungsreaktion
- 5.Verstaerkung der DDoS-Mitigation-Faehigkeiten mit Resilienzueberpruefung bei DNS und BGP
Der NIS2-Rahmen, der fuer alle europaeischen Betreiber wesentlicher Dienste gilt, schreibt genau diese Anforderungen als Minimum vor, nicht als Maximum. Operation Epic Fury ist kein auf den Nahen Osten beschraenktes Ereignis: Es ist ein Katalysator, der ein bereits bestehendes globales Netzwerk aktiviert hat, das fuer autonomen Betrieb konzipiert wurde.
Die aktuelle geopolitische Landschaft, mit der Konvergenz iranischer Faehigkeiten, chinesischer Unterstuetzung und prorussischer Koordinierung, repraesentiert genau das Szenario, fuer das die Migration zu Post-Quantum-Kryptographie und Zero Trust keine Drei-Jahres-Roadmap ist: Es ist eine unmittelbare operative Prioritaet.