Salt Typhoon in Europa: China ist bereits in den Telekommunikationsnetzen des Kontinents

Am 6. Februar 2026 bestaetigte der norwegische Polizeisicherheitsdienst (PST) oeffentlich, was Analysten seit Monaten befuerchtet hatten: Salt Typhoon — die vom chinesischen Ministerium fuer Staatssicherheit (MSS) betriebene Cyber-Spionagegruppe — hat Netzwerkgeraete norwegischer Organisationen kompromittiert. Es ist die erste oeffentliche Zuordnung von Salt-Typhoon-Aktivitaeten durch eine nordische Nation. PST-Generaldirektorin Beate Gangaas erklaerte, Norwegen stehe vor "der ernstesten Sicherheitslage seit dem Zweiten Weltkrieg".

Salt Typhoon: Von Amerika nach Europa — Chronologie einer globalen Infiltration

Dokumentierte Eindringlinge reichen bis mindestens 2019 zurueck. In den USA wurde die Kampagne als "schlimmster Telekom-Hack der amerikanischen Geschichte" bezeichnet: Salt Typhoon kompromittierte Systeme zur rechtmaessigen Kommunikationsueberwachung. Im August 2025 enthuellte das FBI, dass Salt Typhoon mindestens 200 Unternehmen in ueber 80 Laendern gehackt hat. Am 27. August 2025 gaben CISA, NSA und FBI ein historisches 37-seitiges gemeinsames Advisory heraus.

Angriffsanatomie: Wie Salt Typhoon Telekommunikationsnetze durchdringt

PST spezifizierte, dass Salt Typhoon Schwachstellen in Netzwerkgeraeten — Routern, Servern und anderen Geraeten — ausnutzte, um persistenten Zugang zur digitalen Infrastruktur zu erlangen. Trend Micro identifizierte mindestens 20 kompromittierte Organisationen in den Bereichen Telekommunikation, Beratung, Chemie, Transport sowie Regierungsbehoerden und Non-Profit-Organisationen.

• Ausnutzung von Schwachstellen in Edge-Netzwerkgeraeten (Router, Firewalls, VPN-Konzentratoren)
• Persistente Backdoors, die Geraete-Neustarts ueberleben
• Stille laterale Bewegung durch die Kerninfrastruktur des Betreibers
• Zugriff auf Systeme zur rechtmaessigen Ueberwachung und Kommunikationsmetadaten
• Langfristige Exfiltration — in einigen Faellen jahrelang aktiv ohne Erkennung

Das beunruhigendste Detail: Kompromittierte Ueberwachungssysteme

Was Salt Typhoon von anderen Spionagekampagnen unterscheidet, ist der Zugriff auf Systeme zur rechtmaessigen Ueberwachung. In den USA hat Salt Typhoon Telefongespraeche wichtiger Funktionaere abgefangen, darunter Praesident Donald Trump und Vizepraesident JD Vance. Wenn der gleiche Zugangslevel in europaeischen Netzen erreicht wurde, sind die Auswirkungen auf die nationale Sicherheit jedes NATO-Mitglieds enorm.

Europa im Fadenkreuz: Von Norwegen bis zum Mittelmeer

Die norwegische Besteatigung ist nur die Spitze des Eisbergs. Europaeische Telekommunikationsnetze transportieren die Kommunikation von NATO-Regierungen, EU-Institutionen, Militaerhauptquartieren und fortgeschrittenen Forschungszentren. Die Kombination von Salt Typhoon (Nachrichtengewinnung) und Volt Typhoon (Vorpositionierung fuer Sabotage) stellt eine Zwei-Ebenen-Strategie mit verheerendem Potenzial dar.

Volt Typhoon: Die andere Front — Vorpositionierung fuer Sabotage

Europaeische Regierungen wurden formell gewarnt, dass Volt-Typhoon-Aktivitaeten ueber nordamerikanische Netzwerke hinaus erkannt wurden. Europaeische OT-Infrastruktur — Stromnetze, Pipelines, Wasseraufbereitungsanlagen — steht unter anhaltendem Angriff. Dokumentierte Vorfaelle bei Energiebetreibern in Deutschland, Daenemark, Finnland und den baltischen Staaten bestaetigen die Bedrohung.

IOCs und Angriffsvektoren

• Ausnutzung bekannter Schwachstellen in Edge-Netzwerkgeraeten — Cisco-Router, Fortinet-Firewalls, VPN-Konzentratoren
• Anomaler Verkehr zu IPs chinesischer C2-Infrastruktur (Advisory AA25-239A)
• Persistente Backdoors in Netzwerkgeraete-Firmware
• Unbefugter Zugriff auf Ueberwachungssysteme und deren Verwaltungsplattformen
• Laterale Bewegung ueber Netzwerkmanagement-Protokolle (SNMP, SSH) mit kompromittierten Zugangsdaten

Operative Empfehlungen fuer europaeische Organisationen

1. 1.Sofortiges Audit der Edge-Netzwerkgeraete: Firmware, Konfigurationen und Backdoor-Praesenz auf allen internetexponierten Routern, Firewalls und VPN-Konzentratoren ueberpruefen.
2. 2.Segmentierung der Verwaltungsnetze: Geraeteverwaltungssysteme muessen in getrennten Netzen liegen, nicht aus dem Internet erreichbar. Zugang nur ueber MFA und dedizierte Jump Boxes.
3. 3.Ueberwachung anomalen Netzwerkverkehrs: NDR implementieren zur Identifizierung verdaechtiger Kommunikation zu externen IPs.
4. 4.Ueberpruefung des Zugangs zu Ueberwachungssystemen: Fuer Telekommunikationsbetreiber vollstaendiges Audit der Zugriffe auf Abhoersysteme.
5. 5.Proaktives Threat Hunting: CISA AA25-239A IOCs verwenden, um aktiv nach Anzeichen frueherer Kompromittierung zu suchen.
6. 6.Ersatzplan fuer kompromittierte Geraete: Bei identifizierter Kompromittierung muss das Geraet ersetzt, nicht nur wiederhergestellt werden.
7. 7.Kritische Kommunikation ueber alternative Kanaele: Ende-zu-Ende-verschluesselte Kanaele unabhaengig von potenziell kompromittierter Telekom-Infrastruktur nutzen.

Fazit: Europa muss aufwachen

Norwegens Besteatigung vom Februar 2026 hat die Illusion zerstoert, dass Salt Typhoon ein amerikanisches Problem sei. Mit ueber 200 gehackten Unternehmen in mehr als 80 Laendern, seit mindestens sieben Jahren aktiven Operationen und dokumentiertem Zugriff auf Systeme zur rechtmaessigen Ueberwachung repraesentiert Salt Typhoon die umfangreichste staatlich gestuetzte Cyber-Spionageoperation, die jemals gegen globale Kommunikationsinfrastrukturen durchgefuehrt wurde.