Oleg Nefedov gesucht: Black Basta und internationale Fahndung

Oleg Evgenievich Nefedov wird als mutmaßlicher Gründer und Leiter der Ransomware-Gruppierung „Black Basta“ gesucht. Am 15. Januar 2026 veröffentlichten deutsche Behörden einen Fahndungsaufruf. Der Verdacht betrifft Cyberangriffe, bei denen Unternehmensdaten gestohlen, Computersysteme verschlüsselt und Lösegelder gefordert wurden. Nach der veröffentlichten deutschen Ermittlungshypothese geht es um mehr als 100 betroffene Unternehmen in Deutschland und rund 600 weitere weltweit. Die Zahlen beschreiben den Umfang des Tatverdachts gegen die Gruppierung, keine bereits gerichtlich festgestellte persönliche Verantwortung Nefedovs für jeden einzelnen Angriff.

Welche Rolle die Ermittler Nefedov zuschreiben

Das Bundeskriminalamt und die Zentralstelle zur Bekämpfung der Internetkriminalität der Generalstaatsanwaltschaft Frankfurt am Main ermitteln wegen des Verdachts der Gründung einer kriminellen Vereinigung im Ausland, besonders schwerer Erpressung und weiterer Straftaten. Nefedov soll unter verschiedenen Online-Namen aufgetreten sein, darunter „tramp“, „tr“, „gg“ und „Washingt0n“. Die Ermittler beschreiben eine leitende Funktion: Er soll Angriffsziele ausgewählt, Personal gewonnen, Aufgaben verteilt und an Lösegeldverhandlungen mitgewirkt haben. Auch die Verwaltung der Erträge und Zahlungen an andere Beteiligte werden ihm zugeschrieben. Der veröffentlichte Tatzeitraum reicht von Januar 2022 bis Februar 2025. Ein Urteil gegen ihn wird im aktuellen Fahndungsaufruf nicht genannt.

Die Ermittlungen in der Ukraine

Die ukrainische Cyberpolizei berichtete am 15. Januar 2026 über Durchsuchungen bei zwei mutmaßlichen Beteiligten in den Gebieten Iwano-Frankiwsk und Lwiw. Nach ihrer Darstellung hatten die Verdächtigen eine andere Aufgabe als der gesuchte Organisator: Sie sollten Zugangsdaten aus geschützten Systemen gewinnen. Die Polizei bezeichnete diese Funktion als „Hash-Cracking“. Mit kompromittierten Konten seien anschließend Unternehmensnetze betreten und die Berechtigungen ausgeweitet worden. Dieser Zugang habe später Datendiebstahl und Verschlüsselung ermöglicht. Bei den Durchsuchungen wurden digitale Datenträger und Kryptowährungswerte sichergestellt. Die Mitteilung dokumentiert Ermittlungsmaßnahmen; sie meldet weder die Festnahme Nefedovs noch einen abgeschlossenen Prozess gegen ihn.

In derselben amtlichen Nachricht erklärte die ukrainische Polizei ausdrücklich, dass der mutmaßliche russische Organisator auf Initiative von BKA und Frankfurter ZIT über Interpol-Kanäle international gesucht werde. Die Identität Nefedovs ergibt sich aus dem parallelen deutschen Aufruf; der ukrainische Text nennt seinen Namen nicht. Diese Verbindung belegt die behördlich beschriebene internationale Zusammenarbeit. Ein bestimmter aktueller Red-Notice-Datenbankeintrag wurde dafür nicht übernommen oder eigenständig bestätigt.

Warum die Angriffe über einzelne Firmen hinausreichen

Eine gemeinsame Warnung von FBI, US-Cybersicherheitsbehörde CISA, US-Gesundheitsministerium und MS-ISAC beschrieb Black Basta schon im Mai 2024 als Bedrohung für zahlreiche Bereiche kritischer Infrastruktur. Zu diesem damaligen Zeitpunkt waren nach der Warnung mehr als 500 Organisationen weltweit betroffen. Das ist ein älterer Erhebungsstand mit einer anderen zeitlichen Grundlage als die Zahlen der deutschen Fahndung von 2026. Die US-Behörden ordneten Black Basta dem Modell „Ransomware as a Service“ zu: Eine Schadsoftware wird innerhalb arbeitsteiliger krimineller Strukturen eingesetzt. Zugang, technische Durchführung und Erpressung können dabei auf verschiedene Beteiligte verteilt sein.

Für Betroffene entsteht eine doppelte Drucksituation. Zum einen sind Informationen nach der Verschlüsselung im laufenden Betrieb nicht mehr regulär nutzbar. Zum anderen können bereits kopierte Daten auch dann weiter missbraucht oder veröffentlicht werden, wenn Systeme wiederhergestellt sind. Die gemeinsame Behördenwarnung beschreibt dieses Zusammenspiel von Verschlüsselung und Datenabfluss als doppelte Erpressung. Zur Abwehr nennt sie unter anderem zeitnahe Sicherheitsaktualisierungen, gegen Phishing resistente Mehrfaktoranmeldung und Schulungen zum Erkennen betrügerischer Nachrichten. Diese Hinweise richten sich an mögliche Opfer und ihre IT-Verantwortlichen; sie gehören zur Prävention im Umfeld der Fahndung.

Besondere Risiken für das Gesundheitswesen

Das Health Sector Cybersecurity Coordination Center des US-Gesundheitsministeriums hatte bereits im März 2023 ein eigenes Bedrohungsprofil zu Black Basta veröffentlicht. Es berichtete über Angriffe auf Organisationen aus Gesundheitsversorgung, Gesundheitsdienstleistungen, Laborwesen, Pharmazie und Krankenversicherung. Dabei seien auch personenbezogene Informationen von Beschäftigten und anderen betroffenen Menschen entwendet worden. Der Schaden lässt sich deshalb nicht allein als ausgefallener Rechner oder als Lösegeldforderung beschreiben. Vertrauliche Angaben können Menschen langfristig betreffen. Die Gesundheitsbehörde warnte zudem vor möglichen Gefahren für die Versorgung durch Ausfälle kritischer Systeme. Solche Gefährdungen sind als Risiko beschrieben; daraus folgt kein Beleg, dass Nefedov persönlich einen bestimmten Patientenschaden verursacht habe.

Aktueller Aufruf und amtliche Unterlagen

Das BKA sucht insbesondere neue Angaben zu Kontakten, Reisen, Online-Präsenzen und aktuell genutzten Kommunikationsmitteln des Gesuchten. Die bereits öffentlich gewordenen Datenlecks seien der Behörde bekannt; bloße erneute Verweise darauf werden nicht benötigt. Hinweise können in begründeten Fällen vertraulich behandelt werden. Eine Geldbelohnung ist im überprüften Aufruf nicht ausgewiesen. Hinweise nimmt das BKA sowie jede andere Polizeidienststelle entgegen.

Der aktuelle nationale BKA-Aufruf mit den Originalporträts bietet außerdem eine amtliche englische Sachverhaltsdarstellung und eine amtliche russische Sachverhaltsdarstellung. Die deutschen Informationen stehen auf der Fahndungsseite. Diese nationalen Unterlagen sind die Anlaufstelle für Identifizierung und Kontaktaufnahme.