Hive- und Nefilim-Affiliate Stryzhak zu 70 Monaten Haft verurteilt

Haftstrafe nach Schuldbekenntnis

Der ukrainische Staatsangehörige Artem Stryzhak wurde am 27. Oktober 2026 wegen seiner Beteiligung an kriminellen Absprachen rund um die Ransomware Nefilim und Hive zu 70 Monaten Haft verurteilt. Das teilte das US-Justizministerium mit. Er hatte sich im Dezember 2025 schuldig bekannt. Es handelt sich um eine Strafzumessung, nicht um eine neue Anklage.

Dem Ministerium zufolge setzten Stryzhak und seine Mittäter Hive gegen sieben Opfer ein, darunter Anwaltskanzleien und Gesundheitsdienstleister. Dieser konkrete Fall ist von den Gesamtschäden der Ransomware-Gruppen zu unterscheiden. Die Mitteilung belegt nicht, dass sämtliche mit Hive verbundenen Verluste auf diesen Angeklagten zurückgehen.

So funktionierte das Affiliate-Modell

Das Ministerium beschreibt Stryzhak als Affiliate: Er erhielt Zugang zur Nefilim-Schadsoftware und vereinbarte, deren Administratoren 20% der Lösegeldeinnahmen zu überlassen. Die Aufgaben waren zwischen den Bereitstellern der Schadsoftware und den Angreifern aufgeteilt, die sie gegen Opfer einsetzten.

Für Organisationen, die einen Erpressungsfall bewerten, ist die Identität des Malware-Betreibers deshalb nur ein Teil des Bildes. Die Handlungen des Affiliates, die Lösegeldforderung und die Belege für einen Datendiebstahl sind getrennt zu prüfen. Ein Strafurteil allein zeigt nicht, ob ein bestimmtes Opfer seine Dateien oder sein Geld zurückerhalten hat.

Entschlüsselung ist keine Entschädigung

Laut der aktuellen Mitteilung stellte das FBI einem Opfer Stryzhaks einen Entschlüsselungsschlüssel bereit. Damit konnten verschlüsselte Daten ohne Lösegeldzahlung wiederhergestellt werden. Ein allgemeines Entschädigungsprogramm wird darin nicht angekündigt.

Den historischen Kontext liefert eine separate Mitteilung des Ministeriums vom 26. Januar 2023. Danach beschafften Ermittler Hive-Entschlüsselungsschlüssel und halfen Opfern, geforderte Lösegelder in Höhe von $130 Millionen nicht zahlen zu müssen. Die Zahl steht für vermiedene Zahlungen, nicht für zurückgezahlte Gelder.

Dieselbe Mitteilung beschreibt die doppelte Erpressung durch Hive: Zunächst wurden sensible Informationen gestohlen, dann Systeme verschlüsselt. Die Täter verlangten Geld sowohl für den Zugang als auch für den Verzicht auf eine Veröffentlichung. Wiederhergestellter Dateizugriff belegt für sich genommen nicht, dass gestohlene Kopien gelöscht wurden.