Niederlande nehmen zwei Männer fest und beschlagnahmen im Rahmen einer Sanktionsuntersuchung mehr als 800 Server

Niederländische Behörden haben zwei Männer festgenommen und mehr als 800 Server außer Betrieb genommen. Die Untersuchung richtet sich gegen Infrastruktur, die mutmaßlich zur Unterstützung von Cyberangriffen, Einflussoperationen und Desinformationskampagnen mit Bezug zu Russland eingesetzt wurde.

Die Festnahmen erfolgten am 18. Mai durch den niederländischen Fiscal Intelligence and Investigation Service (FIOD). Nach Angaben der Behörde wird den Verdächtigen – einem 57-Jährigen aus Amsterdam und einem 39-Jährigen aus Den Haag – vorgeworfen, gegen Sanktionsvorschriften verstoßen zu haben, indem sie sanktionierten Einrichtungen Ressourcen zur Verfügung stellten. Die Ermittler durchsuchten außerdem mehrere Geschäftsstandorte und Rechenzentren im Land.

Fokus auf Hosting-Unternehmen mit Verbindungen zu Stark Industries

Den Berichten der niederländischen Presse zufolge konzentriert sich die Untersuchung auf ein Netzwerk von Hosting-Unternehmen, die mit Stark Industries Solutions verbunden sind – einem Anbieter, der kurz vor dem Beginn der groß angelegten russischen Invasion der Ukraine im Jahr 2022 an Bedeutung gewann. Stark wurde in früheren Untersuchungen als wichtige Quelle für DDoS-Angriffe und Proxy-Dienste identifiziert, die bei Kampagnen prorussischer Bedrohungsakteure eingesetzt wurden.

Einer der wichtigsten Infrastrukturanbieter von Stark wurde zuvor mit den moldauischen Brüdern Ivan und Yuri Neculiti sowie deren Unternehmen PQHosting in Verbindung gebracht. Die Europäische Union verhängte 2025 Sanktionen gegen PQHosting und die beiden Brüder. Nachdem diese Sanktionen bekannt gegeben worden waren, wurde die verbliebene Infrastruktur Berichten zufolge auf ein niederländisches Unternehmen namens WorkTitans BV übertragen, das mit den beiden nun festgenommenen Männern in Verbindung stand.

Bei den Razzien beschlagnahmten die Behörden außerdem Laptops, Telefone und Server. In einer Mitteilung an Kunden erklärte ein betroffener Hosting-Dienst, dass auf den beschlagnahmten Systemen gespeicherte Daten verloren gegangen seien.

Fragen zur Nutzung des Netzwerks bleiben offen

Niederländische Medien berichteten, interne Daten hätten darauf hingedeutet, dass WorkTitans und MIRhosting zu den Netzwerken gehörten, die während prorussischer Aktivitäten gegen dänische Regierungseinrichtungen im Zusammenhang mit den Kommunalwahlen des Landes Ende 2025 am stärksten genutzt wurden. MIRhosting bestritt, wissentlich Cyberkriminalität oder die Umgehung von Sanktionen unterstützt zu haben, und erklärte, man habe die Dienste für WorkTitans während der Prüfung des Sachverhalts pausiert.

Andrey Nesterenko, der MIRhosting in den Niederlanden leitet, erklärte, das Unternehmen unterstütze keine illegalen Aktivitäten. Zugleich argumentierte er, dass die Abschaltung der Infrastruktur auch legitimen Kunden schade. Der zweite Verdächtige, Youssef Zinad, hat sich bislang nicht öffentlich zu den Vorwürfen geäußert.

Der Fall verdeutlicht, dass europäische Ermittler weiterhin Hosting-Anbieter und andere technische Dienstleister ins Visier nehmen, die möglicherweise dazu genutzt werden, feindselige Cyberoperationen zu verschleiern oder zu ermöglichen.