WASHINGTON / LONDON (IT BOLTWISE) – In einer US-Anklage wird behauptet, ein weltweiter Microsoft-Gerätebezeichner (GDID) habe die Spuren eines mutmaßlichen Scattered-Spider-Täters zusammengeführt. Das Gericht stützt sich dabei auf Ermittlungsdaten, die nach einer VPN-Nutzung und über ngrok-Zugriffe wieder eindeutig zu einem konkreten Windows-Installationsgerät zurückführen. Zusätzlich sollen IP-Adressverläufe mit Login-Zeiten von Snapchat, Apple und Facebook korreliert haben. Die Vorwürfe reichen bis zu einer angeblich acht Millionen US-Dollar schweren Erpressung.
Im Zentrum der aktuellen Ermittlungen gegen den mutmaßlichen Scattered-Spider-Hacker Peter Stokes steht ein Detail, das in der Praxis oft unsichtbar bleibt: ein eindeutiger globaler Gerätebezeichner von Microsoft, der sogenannte GDID. Laut Gerichtsdokumenten soll dieser Identifikator helfen, ein konkretes Windows-Installationsgerät trotz Tarnversuchen über eine Kombination aus VPN und einem tunneling-ähnlichen Zugriff (ngrok) wieder auffindbar zu machen. Damit verschiebt sich der Fokus von der reinen Kommunikationstechnik hin zur forensischen Geräte-Korrelation, also zu der Frage, wie Plattform- und Telemetriedaten Angriffe enttarnen können, ohne dass die Angreifer den Kommunikationsweg perfekt anonymisieren.
Die Aussage beruht auf einem Ansatz, der in Microsoft-Ökosystemen seit Jahren für Diagnostik und Missbrauchserkennung genutzt wird: GDIDs werden typischerweise für Crash-Reporting, Feature-Nutzung, gerätebezogene Musteranalyse und die Abwehr von Missbrauch eingesetzt. In der Anklageschrift wird beschrieben, dass Ermittler nach einem Gerichtsbeschluss die GDID-zu-Installationszuordnung von Microsoft erhalten hätten. Der entscheidende Punkt: Trotz VPN habe Stokes laut Akten den einzigartigen GDID seines verwendeten Windows-Systems nicht vollständig verschleiert. Das kann passieren, wenn eine Identifikation nicht am Netzwerk, sondern auf der Geräte- oder Installationsschicht verankert ist.
Technisch wirkt der Fall wie eine Kette aus scheinbar unabhängigen Datenquellen. Stokes soll ein Gerät über einen VPN-Server „versteckt“ haben und anschließend über ngrok einen sicheren Tunnel zu einem Dienst aufgebaut haben. Doch ngrok-Zugriffsaufzeichnungen mit Zeitstempeln sollen die Brücke zu dem GDID geschlagen haben, den Microsoft identifiziert habe. Anschließend haben die Ermittler die breitere IP-Historie des GDID ausgewertet. Dabei seien laut Dokumenten IP-Adressen in Tallinn, New York und Thailand mit Login-Zeiten verknüpft worden, die aus Stokes’ Accounts bei Snapchat, Apple und Facebook stammen sollen. Die Methode ist im Kern ein Timing-Abgleich, der nicht nur Signale summiert, sondern deren zeitliche Plausibilität prüft.
Als Markt- und Ökosystemvergleich ist das besonders interessant, weil Scattered Spider als Gruppe in der Branche über viele Monate hinweg für großskalige Datenabflüsse und Erpressungsversuche bekannt wurde. Hier wird der strafrechtliche Hebel jedoch über die „Nebenprodukte“ moderner Plattformen sichtbar: Gerätekennungen, Zugriffslogs und Telemetrie, die eigentlich für Sicherheitsteams gedacht sind. In vielen Unternehmen ist das inzwischen Standardarbeit: Korrelation auf Geräteebene hilft, gestohlene Zugangsdaten früh zu erkennen, etwa wenn ein Login von einem unbekannten Gerät mit einer bekannten Kennung oder umgekehrt erfolgt. Der Unterschied liegt im Kontext: Während Security-Teams mit solchen Signalen operativ vor Ort reagieren, nutzen Ermittler sie als Beweismittel.
Auch die Wettbewerbsseite zeigt, warum solche Identifikatoren in der Abwehr eine große Rolle spielen. Dienste wie Apple, Snapchat und Facebook liefern jeweils eigene Zugriffsbeschreibungen; im Zusammenspiel können sie Muster über Plattformgrenzen hinweg konsistent machen. Für Angreifer ist das ein Risiko, weil ein „Tarnversuch“ über einen Kanal (VPN, Tunneling) die Identifikationskette nicht zwingend unterbricht. Microsoft wird in den Akten dabei nicht als alleiniger Beweis dargestellt, sondern als zentraler Knotenpunkt: Der schwerste Anteil liege am GDID, während soziale Netzwerk-Logs als zusätzliche Bestätigung dienen. Aus Expertensicht ist das ein typisches Muster moderner Cyber-Forensik, bei dem keine einzelne Datenquelle den Ausschlag gibt, aber mehrere unabhängige Quellen den gleichen Zeit- und Gerätebezug stützen.
Für die Bewertung der Vorwürfe ist zudem die zeitliche und organisatorische Einbettung relevant. Stokes soll insgesamt sechs Delikte betreffen; vier beziehen sich auf eine angeblich acht Millionen US-Dollar schwere Erpressung gegenüber einem Händler für Luxusgüter. Zwei weitere Vorwürfe sollen Verschwörungsbestandteile rund um seine Zeit bei Scattered Spider abdecken, unter anderem über Chat-Logs, eine Microsoft-Referral aus dem Jahr 2024 sowie Daten aus einem weiteren beschlagnahmten Server. Die Einordnung in die FBI-Operation „Riptide“ richtet sich dabei an eine größere Zielsetzung: gegen lose organisierte Angreifergruppen vorzugehen, deren Aktivität sich über viele Vorfälle und beträchtliche Summen hinweg zieht. Dass Peter Stokes am 10. April in Finnland festgenommen wurde, während er offenbar versuchte, in Richtung Japan zu fliehen, unterstreicht die Dringlichkeit.
Regulatorisch und datenschutztechnisch wirft der Fall eine Frage auf, die viele Unternehmen in der Praxis beschäftigt: Wie weit dürfen und müssen Plattformen Geräte- und Telemetriedaten zur Sicherheitszwecken verarbeiten und für Dritte herausgeben? In der konkreten Aktenlage wird ein Gerichtsbeschluss als Voraussetzung genannt. Für IT- und Compliance-Teams ist das ein Hinweis, dass „Security by correlation“ nicht nur technisch, sondern auch verfahrensrechtlich abgesichert sein muss. Gleichzeitig zeigt der Fall, wie wichtig klare Zweckbindung, Datenminimierung und nachvollziehbare Zugriffspfade sind, wenn Gerätekennungen als Beweismittel dienen sollen. Unternehmen sollten ihre Logging- und Telemetrieprozesse daher so gestalten, dass sie sowohl die Sicherheit als auch die Einhaltung von internen Richtlinien und regulatorischen Anforderungen stützen.
Mit Blick auf die Zukunft ist die wichtigste Implikation für Entwickler und Security-Architekturen: Tarnung auf Netzwerkebene wird zunehmend weniger reichen, wenn plattformspezifische Gerätebezüge und Zeitmuster konsistent bleiben. Das bedeutet nicht, dass Angreifer machtlos sind, aber die Angriffskosten steigen, weil sie zusätzlich zur Netzwerkstrategie auch Geräte- und Client-Identitäten berücksichtigen müssten. Für Unternehmen entsteht daraus eine konkrete Chance: Man kann Verteidigung stärker „device-centric“ ausrollen, also auf konsistente Geräte-/Installationssignale setzen und sie mit Account-Logs und Threat-Intelligence kombinieren. Wer zusätzlich Metriken wie Wiederholungsraten, Geofluktuationen und Zeitnähe von Logins operationalisiert, verbessert die Wahrscheinlichkeit, kompromittierte Credentials früh zu erkennen und schneller zu reagieren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft GDID enthüllt Vorwürfe gegen Scattered Spider: Ermittler verknüpfen Geräte" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft GDID enthüllt Vorwürfe gegen Scattered Spider: Ermittler verknüpfen Geräte" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft GDID enthüllt Vorwürfe gegen Scattered Spider: Ermittler verknüpfen Geräte« bei Google Deutschland suchen, bei Bing oder Google News!