EU-Sanktionen gegen 'Stern': Trickbot-Boss und die 300-Millionen-Dollar-Erpresserspur

Am 14. Juli 2026 haben die Europäische Union, die USA und das Vereinigte Königreich gemeinsam einen der zerstörerischsten Erpressungssoftware-Netzwerke aller Zeiten sanktioniert. Im Zentrum steht Vitaly Nikolayevich Kovalev, online bekannt als "Stern", dessen Kryptowährungs-Wallets über 300 Millionen Dollar an Lösegeldzahlungen erhielten – eine Zahl, die die weitaus größeren Summen, die das Trickbot-Syndikat insgesamt einnahm, nicht umfasst. Für Wirtschaftsprüfungsgesellschaften, Wirtschaftsprüfer und CFOs, die im Bereich digitaler Vermögenswerte tätig sind, schafft diese Maßnahme sofortige OFAC-, OFSI- und EU-Screening-Pflichten und übt neuen Druck auf Arbeitsabläufe in der Krypto-Buchhaltungssoftware aus, die die Überwachung von Blockchain-Transaktionen betreffen.

Wer sanktioniert wurde und warum es wichtig ist

Die Aktion richtete sich nicht nur gegen Erpressungssoftware-Betreiber, sondern gegen die gesamte Infrastrukturschicht, die Erpressungssoftware ermöglicht: VPN-Anbieter, Cryptor-Entwickler, Bullet-Proof-Hosting-Dienste und staatsnahe Hackereinheiten. Das Verständnis jeder einzelnen Sanktionierung ist der erste Schritt zur Bewertung des Risikos.

Vitaly Kovalev, alias "Stern"

Kovalev wurde erstmals am 9. Februar 2023 von OFAC und dem britischen Office of Financial Sanctions Implementation (OFSI) sanktioniert. Die Maßnahme der EU vom 14. Juli 2026 ist aus zwei Gründen bedeutsam: Es ist das erste Mal, dass eine Sanktionsbehörde "Stern" formell als Identifikator geführt hat, und sie liefert den bislang detailliertesten öffentlichen Bericht über seine Rolle. Laut der EU-Sanktion fungierte Kovalev als CEO-ähnliche Figur innerhalb der Trickbot-Gruppe und hatte Entscheidungsbefugnis über deren Budget, Beschaffung, Einstellungen und Angriffsplanung. Durchgesickerte interne Kommunikationen der Gruppe, öffentlich bekannt als Conti Leaks, untermauern diese Beschreibung.

Mit Kovalev verbundene Wallets interagierten mit einer ungewöhnlich breiten Palette von Erpressungssoftware-Varianten: Ryuk, Conti, Diavol, Karakurt, Royal, 3AM, Quantum und BitPaymer. Diese Breite spiegelt seine Position an der Spitze des Syndikats wider und nicht die eines Einzelvarianten-Betreibers. Die 300-Millionen-Dollar-Zahl repräsentiert nur seinen persönlichen Anteil; die gesamten Erpressungssoftware-Erlöse von Trickbot sind wesentlich höher.

Mit der heutigen EU-Maßnahme steigt die Gesamtzahl der sanktionierten Trickbot-Mitglieder in den drei Jurisdiktionen auf 19.

First VPN Service (1VPNS), Dmytro Rashevskyi und Yevgeniy Silayev

OFAC sanktionierte 1VPNS, einen VPN-Anbieter, dessen Hauptkundenbasis Erpressungssoftware-Akteure umfasst, zusammen mit seinem Administrator Dmytro Rashevskyi und dem Cryptor-Anbieter Yevgeniy Vladimirovich Silayev. OFAC identifizierte Kryptowährungs-Wallet-Adressen, die mit 1VPNS und Rashevskyi über mehrere Blockchains verbunden sind: Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin und Solana. Die Multi-Chain-Präsenz stellt eine direkte Compliance-Herausforderung für Unternehmen dar, die digitale Vermögensverwaltungssoftware verwenden, die möglicherweise nicht jede dieser Chains in ihrem Screening-Feed abdeckt.

Der OFAC-Maßnahme ging eine Beschlagnahmung der Website und Infrastruktur von 1VPNS durch europäische Strafverfolgungsbehörden voraus, unterstützt vom FBI Boston Field Office.

LummaC2-Entwickler

Die EU sanktionierte Maksim Voronin und Maksim Gordienko, Entwickler von LummaC2, einem Malware-as-a-Service-Infostealer, der 2024 und 2025 zu den am weitesten verbreiteten Tools zum Diebstahl von Anmeldeinformationen weltweit gehörte. LummaC2 zielt auf Browser-Anmeldeinformationen, Systemdaten und Kryptowährungs-Wallets ab. Eine koordinierte Störung der Plattform wurde im Mai 2025 vom US-Justizministerium, dem Europäischen Zentrum für Cyberkriminalität von Europol und dem japanischen Cybercrime Control Center durchgeführt.

Media Land LLC und Alexander Volosovik

Media Land LLC ist ein russischer Bullet-Proof-Hosting-Anbieter, der seit 2016 Erpressungssoftware-Operationen, darunter LockBit, EvilCorp und BlackBasta, ermöglicht hat. OFAC hatte das Unternehmen bereits im November 2025 sanktioniert. Die parallele Listung seines Eigentümers Alexander Volosovik durch die EU erweitert die Reichweite dieser früheren Maßnahme.

Staatsnahe russische Akteure: GRU-Einheit 29155 und Hacktivistengruppen

Die EU sanktionierte Mitglieder der GRU-Einheit 29155, einer russischen Militärgeheimdiensteinheit, die mit zerstörerischen Cyberangriffen auf kritische Infrastruktur in EU-Mitgliedstaaten und der Ukraine in Verbindung gebracht wird. Evgeniy Viktorovich Bashev, identifiziert als Mitglied der GRU-Einheit 29155, wird speziell für die Ermöglichung der WhisperGate-Malware-Kampagne gegen die ukrainische kritische Infrastruktur genannt, die eine in Kryptowährung denominierte Erpressungsforderung umfasste.

Die Maßnahme umfasst auch die Cyber Army of Russia Reborn (CARR), die zuvor 2024 von OFAC sanktioniert wurde, und Z-Pentest, eine pro-russische Hacktivistengruppe mit Verbindungen zu CARR, die Energie- und Wasserinfrastruktur angriff, darunter einen dänischen Wasserversorger im Dezember 2024.

Die ausgelösten Compliance-Pflichten für Unternehmen

Allen Personen oder Unternehmen in der EU, den USA und dem Vereinigten Königreich ist es nun untersagt, mit den sanktionierten Personen und Organisationen zu transagieren. Für Unternehmen, die digitale Vermögensverwaltungssoftware oder Krypto-Buchhaltungssoftware verwenden, fallen die praktischen Anforderungen in drei Bereiche.

Screening von Sanktionslisten

Die neu gelisteten Wallet-Adressen umspannen Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin und Solana. Unternehmen müssen sicherstellen, dass ihre Transaktionsüberwachung alle acht Chains abdeckt, nicht nur die beiden wichtigsten. Jede historische oder aktuelle Gegenparteiexposition gegenüber diesen Adressen muss identifiziert, dokumentiert und der zuständigen Sanktionsbehörde gemeldet werden: OFAC für US-Personen, OFSI für Personen im Vereinigten Königreich und die zuständige nationale Behörde für EU-Personen. Die Nichtmeldung eines Treffers, selbst eines versehentlichen, stellt in den USA ein striktes Haftungsrisiko dar.

Sorgfaltspflichten gegenüber Kunden und Gegenparteien

Wirtschaftsprüfungsgesellschaften und CFOs, die neue Kunden mit digitalen Vermögenswerten an Bord nehmen oder bestehende überprüfen, sollten erweiterte Sorgfaltsprüfungen gegen die aktualisierte OFAC-SDN-Liste, die konsolidierte Sanktionsliste des Vereinigten Königreichs und die konsolidierte EU-Liste der eingefrorenen Vermögenswerte durchführen. Die Entscheidung der EU, das Alias "Stern" formell als Identifikator zu listen, bedeutet, dass Namensabgleichs-Algorithmen, die zuvor nur nach "Kovalev" suchten, möglicherweise einen aktuellen Treffer übersehen haben. Die Abdeckung von Aliasen in KYC-Systemen muss überprüft werden.

Die Natur der Erpressungssoftware-Ökonomie bedeutet auch, dass legitime Unternehmen in früheren Jahren Lösegelder an Trickbot-nahe Wallets gezahlt haben könnten, oft unter Zwang und manchmal ohne Kenntnis des endgültigen Empfängers. Wirtschaftsprüfer sollten prüfen, ob Kunden frühere Lösegeldzahlungen im Anhang des Jahresabschlusses offenlegen und ob diese Zahlungen eine rückwirkende Sanktionsmeldung erfordern.

Transaktionsüberwachung und Arbeitsabläufe in der Krypto-Buchhaltungssoftware

Die Blockchain-Analyse-Community hat die neu bezeichneten Adressen in ihren Überwachungsprodukten gekennzeichnet. Unternehmen, die auf Krypto-Buchhaltungssoftware angewiesen sind, die Live-Sanktions-Screening integriert, erhalten automatische Warnungen, wenn ein Wallet in ihrem Portfolio mit einer bezeichneten Adresse transagiert oder transagiert hat. Unternehmen, die auf periodische manuelle Prüfungen setzen, haben ein größeres Zeitfenster unentdeckter Exposition. Diese Durchsetzungsmaßnahme ist ein praktisches Argument für den Wechsel zu kontinuierlichem, automatisiertem Screening anstelle von punktuellen Stapelprüfungen.

Für Hintergrundinformationen darüber, wie Blockchain-Analyse-Beweise in formellen Verfahren behandelt werden, lesen Sie unsere frühere Berichterstattung zur Zulässigkeit von Blockchain-Analysen nach dem Daubert-Urteil. Das Verständnis von Beweisstandards ist wichtig, weil dieselbe Transaktionsverfolgungsmethodik, die zum Aufbau des Stern-Falls verwendet wurde, in einer behördlichen Untersuchung auf die eigene On-Chain-Historie Ihrer Kunden angewendet werden könnte.

Buchhalterische Auswirkungen: Was in die Bücher kommt

Die Sanktionen werfen mehrere diskrete buchhalterische Fragen auf, die Unternehmen, die Kunden mit digitalen Vermögenswerten beraten, ansprechen müssen.

Einfrieren von Vermögenswerten und Wertminderung

Jeder Krypto-Vermögenswert, der in einem Wallet gehalten wird, das nun mit einer sanktionierten Person verbunden ist, ist de facto eingefroren. Sowohl nach IFRS als auch nach US GAAP ist ein Vermögenswert, auf den ohne behördliche Genehmigung nicht zugegriffen, verkauft oder übertragen werden kann, im herkömmlichen Sinne nicht mehr liquide. Unternehmen sollten prüfen, ob Kundenbestände, die bezeichnete Adressen berühren, eine Wertminderungserfassung oder Umgliederung in der Bilanz erfordern. Wenn der Kunde selbst die sanktionierte Partei ist, muss das eigene berufliche Engagement des Unternehmens möglicherweise sofort beendet werden, um die Erleichterung einer verbotenen Transaktion zu vermeiden.

Offenlegung von Lösegeldzahlungen

Wenn ein Prüfungsmandant in einer früheren Periode ein Lösegeld an ein Trickbot-nahes Wallet gezahlt hat, könnte diese Zahlung eine unlizenzierte Transaktion mit einer sanktionierten Partei darstellen, selbst wenn sie vor der formellen Sanktionierung erfolgte. Die OFAC-Leitlinien zur rückwirkenden Exposition sind nuanciert: Zahlungen, die vor der Sanktionierung erfolgten, erfordern im Allgemeinen keine rückwirkende Lizenz, aber Zahlungen nach einem früheren Sanktionsdatum (Kovalev wurde erstmals im Februar 2023 gelistet) sind eine andere Sache. Wirtschaftsprüfer sollten alle nicht offengelegten früheren Lösegeldzahlungen zur rechtlichen Prüfung kennzeichnen.

Offenlegung von Verbindlichkeiten im Jahresabschluss

Unternehmen, die eine Exposition gegenüber bezeichneten Wallets entdecken, drohen zivilrechtliche Strafen. Nach IAS 37 und ASC 450 muss eine Eventualverbindlichkeit offengelegt und gegebenenfalls zurückgestellt werden, wenn eine Strafe wahrscheinlich und vernünftig schätzbar ist. Die strikte Haftungsnatur des US-Sanktionsrechts bedeutet, dass selbst eine versehentliche Exposition eine Verbindlichkeit erzeugen kann, die Wirtschaftsprüfer nicht einfach ignorieren können.

Der breitere Durchsetzungstrend: Ziel ist das Ökosystem

Was die Maßnahme vom 14. Juli 2026 von früheren Erpressungssoftware-Durchsetzungsaktionen unterscheidet, ist die explizite Zielsetzung auf Infrastrukturanbieter: den VPN-Dienst, der die Identitäten der Betreiber verschleierte, den Cryptor, der die Malware verschleierte, und das Bullet-Proof-Hosting, das die Server trotz Löschungsaufforderungen online hielt. Dies signalisiert eine strategische Weiterentwicklung. Die Behörden geben sich nicht mehr damit zufrieden, nur den Erpressungssoftware-Betreiber zu sanktionieren; sie arbeiten sich durch jede Ebene der Lieferkette.

Für Buchhaltungs- und Compliance-Experten hat diese Verschiebung ein direktes Analogon. So wie die Behörden nun Hosting-Anbieter und VPN-Betreiber für die Ermöglichung von Erpressungssoftware zur Rechenschaft ziehen, prüfen die Aufsichtsbehörden, ob Finanzintermediäre, einschließlich Wirtschaftsprüfungsgesellschaften, Dienstleistungen erbracht haben, die den Transfer illegaler Krypto-Erlöse erleichtert haben. Der angewandte Maßstab ist nicht die Absicht, sondern ob angemessene Kontrollen vorhanden waren.

Dies steht in direktem Zusammenhang mit den umfassenderen AML-Rotflaggen-Leitlinien, die in allen Jurisdiktionen entstanden sind. Für eine verwandte Perspektive lesen Sie unsere Analyse der AML-Rotflaggen bei Mixern und Privacy Coins, die behandelt, wie Verschleierungswerkzeuge wie die von Trickbot-Partnern verwendeten zunehmend als eigenständige Indikatoren für illegale Absichten behandelt werden.

Sofortmaßnahmen für Wirtschaftsprüfungsgesellschaften und CFOs

Die folgenden Schritte stellen keine erschöpfende Rechtsberatung dar, sondern spiegeln den Sorgfaltsstandard wider, der von einer umsichtigen Compliance-Funktion nach einer großen Sanktionsmaßnahme erwartet wird.

Kurzfristige Checkliste

Überprüfen Sie alle aktuellen und aktuellen Wallet-Adressen digitaler Vermögenswerte, die von Kunden gehalten oder mit ihnen transagiert wurden, gegen die aktualisierte OFAC-SDN-Liste, die konsolidierte Liste des Vereinigten Königreichs und die EU-Liste eingefrorener Vermögenswerte. Achten Sie besonders auf die acht Blockchains, die in der 1VPNS-Sanktion genannt wurden: Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin und Solana. Stellen Sie sicher, dass Ihre Krypto-Buchhaltungssoftware oder Software für digitale Vermögensverwaltung zeitnahe Updates zu ihrer Sanktionsadressdatenbank erhält, idealerweise in Echtzeit. Überprüfen Sie die Alias-Abdeckung in Ihren KYC-Systemen, um sicherzustellen, dass "Stern" und andere neu formalisierte Alias einen Treffer erzeugen. Wenn eine Exposition festgestellt wird, suchen Sie sofort rechtlichen Rat, bevor Sie Maßnahmen ergreifen, die selbst eine verbotene Transaktion darstellen könnten, wie z. B. die Rückgabe von Geldern an ein sanktioniertes Wallet.

Für CFOs von Unternehmen, die in den letzten Jahren von Erpressungssoftware-Angriffen betroffen waren, ist jetzt der Zeitpunkt gekommen, zu prüfen, ob ein Lösegeld an ein Wallet gezahlt wurde, das mit der Trickbot-nahen Infrastruktur in Verbindung gebracht werden kann, und Sanktionsrechtsberater zu Offenlegungspflichten zu konsultieren.

Häufig gestellte Fragen

Wer ist "Stern" und warum ist die EU-Sanktionierung wichtig?

"Stern" ist das Online-Alias von Vitaly Nikolayevich Kovalev, einem russischen Staatsbürger, der als leitender Administrator des Trickbot-Kriminalitätssyndikats identifiziert wurde, das die Erpressungssoftware-Varianten Conti, Ryuk und verwandte betreibt. Er wurde erstmals im Februar 2023 von den USA und dem Vereinigten Königreich sanktioniert. Die EU-Sanktionierung vom Juli 2026 ist bedeutsam, weil sie "Stern" erstmals formell als Identifikator listet und zusätzliche Details zu seiner operativen Rolle liefert, was für Unternehmen wichtig ist, die alias-basiertes KYC-Screening durchführen.

Stellt die Zahl von 300 Millionen Dollar die gesamten Erpressungssoftware-Erlöse von Trickbot dar?

Nein. Die 300 Millionen Dollar repräsentieren nur die Lösegeldzahlungen, die Wallets erhielten, die spezifisch mit Kovalev persönlich verbunden sind. Die aggregierten Erlöse von Trickbot über seine gesamte Operation sind wesentlich höher. Kovalevs Anteil spiegelt seine Position an der Spitze der Syndikatshierarchie wider, nicht die Gesamteinnahmen der Gruppe.

Welche Blockchains werden von den neuen Wallet-Adress-Sanktionen abgedeckt?

OFAC identifizierte Wallet-Adressen, die mit 1VPNS und dessen Administrator verbunden sind, auf Bitcoin, Ethereum, Litecoin, Zcash, Dash, TRON, Dogecoin und Solana. Unternehmen müssen sicherstellen, dass ihre Transaktionsüberwachung und Krypto-Buchhaltungssoftware alle acht Chains abdeckt, nicht nur die zwei oder drei häufigsten.

Was sollte ein Wirtschaftsprüfer tun, wenn ein Kunde zuvor ein Lösegeld an ein Trickbot-verbundenes Wallet gezahlt hat?

Der erste Schritt ist die Feststellung des Zahlungsdatums im Verhältnis zu den relevanten Sanktionsdaten. Zahlungen nach einem Sanktionsdatum sind in den USA ein striktes Haftungsrisiko und erfordern eine sofortige rechtliche Prüfung. Zahlungen vor allen Sanktionierungen tragen ein geringeres, aber nicht null Risiko. In beiden Fällen sollte der Wirtschaftsprüfer prüfen, ob die Zahlung nach IAS 37 oder ASC 450 als Eventualverbindlichkeit offengelegt werden muss und ob sie zum Zeitpunkt der Erstellung des Jahresabschlusses ordnungsgemäß erfasst und offengelegt wurde.

Warum werden VPN-Anbieter und Hosting-Unternehmen jetzt neben Erpressungssoftware-Betreibern sanktioniert?

Die Behörden sind von der gezielten Bekämpfung einzelner Erpressungssoftware-Betreiber dazu übergegangen, die gesamte Unterstützungsinfrastruktur zu zerschlagen. VPN-Anbieter, Cryptors und Bullet-Proof-Hosting-Dienste sind wesentliche Wegbereiter: Sie verschleiern Identitäten, verschleiern Malware und halten Command-and-Control-Server online. Durch die Sanktionierung dieser Anbieter üben Regulierungsbehörden finanziellen und rechtlichen Druck auf alle aus, die sie weiterhin nutzen oder unterstützen, unabhängig davon, ob sie direkt an Erpressungssoftware-Angriffen beteiligt sind.

Quelle: Chainalysis