%3Aquality(100)&w=640&q=75){kind=logo}
Praktikant wegen mutmaßlicher Spionage innerhalb des obersten Einsatzkommandos der NATO festgenommen
STATUS: Spionage durch Insider SCHWERWIEGENDKEIT: 7/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
30. Juli 2026
·Blog
·Sichere Kommunikation
%3Aquality(100)&w=3840&q=75)
Es wurde eine dreistufige Malware-Kette identifiziert, die den Command-and-Control-Verkehr über die Telegram-API leitet, um ihn mit normalen Netzwerkaktivitäten zu verschmelzen, sowie Techniken zur Umgehung von Sandboxen, die so konzipiert sind, dass sie nur bei dem beabsichtigten Regierungsziel aktiv werden.
Was passierte
Ein Insider-Fall, der aus dem operativen Nervenzentrum der NATO ans Licht kam und nicht schon am Eingang gestoppt wurde. Die belgische Bundesstaatsanwaltschaft bestätigte, dass eine Frau, die als Praktikantin beim Oberkommando der Alliierten Streitkräfte in Europa (SHAPE), dem wichtigsten operativen Militärkommando der NATO in Mons, Belgien, tätig war, wegen des Verdachts der Spionage festgenommen wurde.¹ In der Erklärung der Staatsanwaltschaft heißt es, sie stehe „im Verdacht, im Auftrag eines Drittstaates Spionage betrieben zu haben und Mitglied einer kriminellen Vereinigung zu sein“.¹ Weder der Drittstaat noch die kriminelle Vereinigung wurden bekannt gegeben, und die Ermittlungen in diesem Fall dauern an.¹
Ein Sprecher von SHAPE, Oberst Martin O’Donnell, erklärte, es gebe keine Anzeichen dafür, dass die Einsatzbereitschaft der NATO oder von SHAPE, die Kommando- und Kontrollstrukturen oder die laufenden Aufgaben beeinträchtigt worden seien, und dass SHAPE seine Aufgaben weiterhin ohne Unterbrechung erfülle. Bei SHAPE ist auch das Cybersicherheitszentrum der NATO angesiedelt. Public Safety Canada bestätigte, dass es von der Festnahme Kenntnis habe, äußerte sich jedoch nicht weiter, solange die Ermittlungen noch andauern.
Was die Angreifer erbeutet haben – und was sie damit anstellen können
Zugriff gesperrt | Was es ermöglicht | Operative Konsequenz | Offene Frage |
Zugriff mit gültigen Zugangsdaten innerhalb der Kommandozentrale von SHAPE.¹ | Physische Präsenz und Zugriff auf interne Systeme, ohne dass eine Perimeter-Sicherheitsbarriere, eine Firewall oder eine externe Abwehrmaßnahme überwunden werden muss. | Der Insider-Zugang befindet sich innerhalb der Grenzen des NATO-eigenen Cybersicherheitszentrums, das am SHAPE-Standort untergebracht ist und zum Schutz vor Angriffen von außen konzipiert wurde. | Wie lange der Zugriff andauerte und auf welche Daten er sich bezog, bevor die interne Sicherheitsabteilung darauf aufmerksam wurde. |
Interne Kommunikation und Systemzugriff als Praktikant. | Möglicher Zugriff auf interne Kanäle, Dokumente oder Personalinformationen, die betrieblichen oder personellen Wert haben. | Die Einstufung der Vertraulichkeit eines Kommunikationszugangs erfolgt rückwirkend, je nachdem, ob der Inhaber später als nicht vertrauenswürdig eingestuft wird. | Ob der Zugriff auf ihre spezifische Rolle beschränkt war oder über das für eine Praktikantenstelle erforderliche Maß hinausging. |
Esverging eine längere Zeit, bevor die Sicherheitsbehörden tätig wurden.² | Eine ausreichend lange Anwesenheit innerhalb der Organisation, um vor einer formellen Weiterleitung „ins Visier“ der Sicherheitsdienste zu geraten. | Die Erkennung beruhte auf der internen Verhaltensbeobachtung und nicht auf einer automatischen technischen Überwachung, die die Aktivität erfasst hätte. | Der Zeitraum zwischen dem Beginn des fragwürdigen Verhaltens und dem Ergreifen von Maßnahmen wurde nicht veröffentlicht. |
Die Ermittlungen dauern noch an, der Umfang wurde nicht bekannt gegeben.¹ | Die belgischen Behörden und die NATO müssen nun anhand einer forensischen Untersuchung feststellen, auf welche Daten sie Zugriff hatte und auf welche sie gegebenenfalls zugegriffen hat. | Die nachträgliche Rekonstruktion von Insiderzugriffen ist eine forensische Aufgabe, es sei denn, diese waren in Echtzeit nachverfolgbar. | Ob operativ sensible Informationen offengelegt wurden und wem diese zugänglich waren, ist der Öffentlichkeit nach wie vor nicht bekannt. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die sensibelsten Einrichtungen der NATO werden in erster Linie durch Perimetersicherheit und Sicherheitsüberprüfungen des Personals bei der Einstellung geschützt. | Ein Praktikant mit unbefristetem internem Zugang zum obersten Einsatzkommando der NATO ist Gegenstand einer laufenden Spionageermittlung ¹ – Sicherheitsüberprüfungen und Zugangskontrollen sind zwar notwendig, reichten jedoch allein nicht aus. | BlackBerry® SecuSUITE® ist nach „NATO Restricted“ zertifiziert und wurde für Umgebungen entwickelt, in denen davon ausgegangen wird, dass nicht jedem berechtigten Insider standardmäßig uneingeschränkter Zugriff gewährt werden kann. |
Wenn die Kommunikation stark verschlüsselt ist, beschränkt sich das Insider-Risiko auf das, was eine Person persönlich sehen, sich merken oder weitergeben kann. | Ein Insider mit Zugriff auf ein festes Konto kann weitaus mehr Informationen extrahieren, weiterleiten oder offenlegen, als sich eine Person persönlich merken könnte, und bei selbstverwalteten oder informell geregelten Kanälen bleibt keine institutionelle Aufzeichnung darüber zurück, was vereinbart wurde. | SecuSUITE BlackBerry SecuSUITE der Nachrichtenverlauf und die Schlüsselverwaltung unter der Kontrolle des Unternehmens und nicht des einzelnen Endnutzers, sodass der Zugriff auf Unternehmensebene begrenzt, überwacht und widerrufen werden kann und nicht dem Vertrauen überlassen bleibt. |
Die Gefahr durch Insider ist ein Personal- und Sicherheitsüberprüfungsproblem, das gelöst werden muss, bevor jemandem Zugriff gewährt wird – und kein fortlaufendes technologisches Problem. | Der Fall SHAPE zeigt, dass die Aufdeckung davon abhängt, dass Kollegen und interne Sicherheitsdienste verdächtiges Verhalten bemerken und die Angelegenheit an die Nachrichtendienste weiterleiten. | Die kontinuierliche Überwachung der Compliance und die zentralisierte Sperrung von Zugangsdaten durchdie BlackBerry® UEM®-Lösung bieten Unternehmen eine technische Absicherung, mit der sie den bestehenden Zugriff sofort unterbinden können, sobald Bedenken aufkommen, anstatt auf die nächste Sicherheitsüberprüfung zu warten. |
Empfohlene Maßnahmen
SOFORT | NATO-nahe Kommandos und verbündete Regierungsbehörden sollten überprüfen, auf welche internen Kommunikationskanäle und Systeme Praktikanten, Auftragnehmer und anderes Personal mit befristeter Anstellung standardmäßig Zugriff haben, und sicherstellen, dass der Zugriff auf die jeweilige Rolle beschränkt ist und nicht die gesamte Einrichtung umfasst. |
SOFORT | Bitte überprüfen Sie, ob Mitarbeiter mit festem internem Zugriff für dienstliche Kommunikation selbst verwaltete Verbraucherplattformen oder private Konten nutzen. |
KURZFRISTIG | Prüfen Sie NATO-zertifizierte Plattformen mit eingeschränkter Sicherheitsstufe, wie beispielsweise BlackBerry SecuSUITE, für alle Funktionen in Kommandos oder Behörden, die Zugang zu operativ sensiblen Informationen beinhalten, unabhängig von Dienstgrad oder Dienstzeit. |
KURZFRISTIG | Erweitern Sie die UEM kontinuierliche Compliance-Überwachung und die zentralisierte Sperrung von Zugangsdaten nicht nur auf festangestellte Mitarbeiter, sondern auch auf Mitarbeiter mit befristeten Beschäftigungsverhältnissen – Praktikanten, Auftragnehmer und entsandte Mitarbeiter. |
LAUFEND | Verfolgen Sie die belgischen Ermittlungen, um alle bekannt gewordenen Details darüber zu erfassen, auf welche Systeme oder Kommunikationskanäle der Verdächtige Zugriff hatte, und passen Sie die Annahmen zu Insider-Bedrohungen an, sobald neue Fakten bekannt werden. |
BlackBerry-Position
Ein internes Sicherheitsteam erkannte das Problem und leitete es an die Nachrichtendienste weiter, nachdem der betreffenden Person bereits autorisierter Zugriff gewährt worden war.² Wenn die Person mit legitimem Zugriff das Risiko darstellt, ist die einzige dauerhafte Kontrollmaßnahme eine Kommunikationsarchitektur, bei der dieser Zugriff auf Organisationsebene begrenzt, überprüfbar und widerrufbar ist – und genau darauf ist die Zertifizierung „NATO Restricted“ ausgelegt.
Quellenangabe:
Praktikant in Belgien wegen des Verdachts auf Spionage im NATO-Hauptquartier festgenommen (Associated Press, 25. Juli 2026).
Praktikant wegen mutmaßlicher Spionage innerhalb des obersten Einsatzkommandos der NATO festgenommen
STATUS: Spionage durch Insider SCHWERWIEGENDKEIT: 7/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
30. Juli 2026
·Blog
·Sichere Kommunikation
Es wurde eine dreistufige Malware-Kette identifiziert, die den Command-and-Control-Verkehr über die Telegram-API leitet, um ihn mit normalen Netzwerkaktivitäten zu verschmelzen, sowie Techniken zur Umgehung von Sandboxen, die so konzipiert sind, dass sie nur bei dem beabsichtigten Regierungsziel aktiv werden.
Was passierte
Ein Insider-Fall, der aus dem operativen Nervenzentrum der NATO ans Licht kam und nicht schon am Eingang gestoppt wurde. Die belgische Bundesstaatsanwaltschaft bestätigte, dass eine Frau, die als Praktikantin beim Oberkommando der Alliierten Streitkräfte in Europa (SHAPE), dem wichtigsten operativen Militärkommando der NATO in Mons, Belgien, tätig war, wegen des Verdachts der Spionage festgenommen wurde.¹ In der Erklärung der Staatsanwaltschaft heißt es, sie stehe „im Verdacht, im Auftrag eines Drittstaates Spionage betrieben zu haben und Mitglied einer kriminellen Vereinigung zu sein“.¹ Weder der Drittstaat noch die kriminelle Vereinigung wurden bekannt gegeben, und die Ermittlungen in diesem Fall dauern an.¹
Ein Sprecher von SHAPE, Oberst Martin O’Donnell, erklärte, es gebe keine Anzeichen dafür, dass die Einsatzbereitschaft der NATO oder von SHAPE, die Kommando- und Kontrollstrukturen oder die laufenden Aufgaben beeinträchtigt worden seien, und dass SHAPE seine Aufgaben weiterhin ohne Unterbrechung erfülle. Bei SHAPE ist auch das Cybersicherheitszentrum der NATO angesiedelt. Public Safety Canada bestätigte, dass es von der Festnahme Kenntnis habe, äußerte sich jedoch nicht weiter, solange die Ermittlungen noch andauern.
Was die Angreifer erbeutet haben – und was sie damit anstellen können
Zugriff gesperrt | Was es ermöglicht | Operative Konsequenz | Offene Frage |
Zugriff mit gültigen Zugangsdaten innerhalb der Kommandozentrale von SHAPE.¹ | Physische Präsenz und Zugriff auf interne Systeme, ohne dass eine Perimeter-Sicherheitsbarriere, eine Firewall oder eine externe Abwehrmaßnahme überwunden werden muss. | Der Insider-Zugang befindet sich innerhalb der Grenzen des NATO-eigenen Cybersicherheitszentrums, das am SHAPE-Standort untergebracht ist und zum Schutz vor Angriffen von außen konzipiert wurde. | Wie lange der Zugriff andauerte und auf welche Daten er sich bezog, bevor die interne Sicherheitsabteilung darauf aufmerksam wurde. |
Interne Kommunikation und Systemzugriff als Praktikant. | Möglicher Zugriff auf interne Kanäle, Dokumente oder Personalinformationen, die betrieblichen oder personellen Wert haben. | Die Einstufung der Vertraulichkeit eines Kommunikationszugangs erfolgt rückwirkend, je nachdem, ob der Inhaber später als nicht vertrauenswürdig eingestuft wird. | Ob der Zugriff auf ihre spezifische Rolle beschränkt war oder über das für eine Praktikantenstelle erforderliche Maß hinausging. |
Esverging eine längere Zeit, bevor die Sicherheitsbehörden tätig wurden.² | Eine ausreichend lange Anwesenheit innerhalb der Organisation, um vor einer formellen Weiterleitung „ins Visier“ der Sicherheitsdienste zu geraten. | Die Erkennung beruhte auf der internen Verhaltensbeobachtung und nicht auf einer automatischen technischen Überwachung, die die Aktivität erfasst hätte. | Der Zeitraum zwischen dem Beginn des fragwürdigen Verhaltens und dem Ergreifen von Maßnahmen wurde nicht veröffentlicht. |
Die Ermittlungen dauern noch an, der Umfang wurde nicht bekannt gegeben.¹ | Die belgischen Behörden und die NATO müssen nun anhand einer forensischen Untersuchung feststellen, auf welche Daten sie Zugriff hatte und auf welche sie gegebenenfalls zugegriffen hat. | Die nachträgliche Rekonstruktion von Insiderzugriffen ist eine forensische Aufgabe, es sei denn, diese waren in Echtzeit nachverfolgbar. | Ob operativ sensible Informationen offengelegt wurden und wem diese zugänglich waren, ist der Öffentlichkeit nach wie vor nicht bekannt. |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Die sensibelsten Einrichtungen der NATO werden in erster Linie durch Perimetersicherheit und Sicherheitsüberprüfungen des Personals bei der Einstellung geschützt. | Ein Praktikant mit unbefristetem internem Zugang zum obersten Einsatzkommando der NATO ist Gegenstand einer laufenden Spionageermittlung ¹ – Sicherheitsüberprüfungen und Zugangskontrollen sind zwar notwendig, reichten jedoch allein nicht aus. | BlackBerry® SecuSUITE® ist nach „NATO Restricted“ zertifiziert und wurde für Umgebungen entwickelt, in denen davon ausgegangen wird, dass nicht jedem berechtigten Insider standardmäßig uneingeschränkter Zugriff gewährt werden kann. |
Wenn die Kommunikation stark verschlüsselt ist, beschränkt sich das Insider-Risiko auf das, was eine Person persönlich sehen, sich merken oder weitergeben kann. | Ein Insider mit Zugriff auf ein festes Konto kann weitaus mehr Informationen extrahieren, weiterleiten oder offenlegen, als sich eine Person persönlich merken könnte, und bei selbstverwalteten oder informell geregelten Kanälen bleibt keine institutionelle Aufzeichnung darüber zurück, was vereinbart wurde. | SecuSUITE BlackBerry SecuSUITE der Nachrichtenverlauf und die Schlüsselverwaltung unter der Kontrolle des Unternehmens und nicht des einzelnen Endnutzers, sodass der Zugriff auf Unternehmensebene begrenzt, überwacht und widerrufen werden kann und nicht dem Vertrauen überlassen bleibt. |
Die Gefahr durch Insider ist ein Personal- und Sicherheitsüberprüfungsproblem, das gelöst werden muss, bevor jemandem Zugriff gewährt wird – und kein fortlaufendes technologisches Problem. | Der Fall SHAPE zeigt, dass die Aufdeckung davon abhängt, dass Kollegen und interne Sicherheitsdienste verdächtiges Verhalten bemerken und die Angelegenheit an die Nachrichtendienste weiterleiten. | Die kontinuierliche Überwachung der Compliance und die zentralisierte Sperrung von Zugangsdaten durchdie BlackBerry® UEM®-Lösung bieten Unternehmen eine technische Absicherung, mit der sie den bestehenden Zugriff sofort unterbinden können, sobald Bedenken aufkommen, anstatt auf die nächste Sicherheitsüberprüfung zu warten. |
Empfohlene Maßnahmen
SOFORT | NATO-nahe Kommandos und verbündete Regierungsbehörden sollten überprüfen, auf welche internen Kommunikationskanäle und Systeme Praktikanten, Auftragnehmer und anderes Personal mit befristeter Anstellung standardmäßig Zugriff haben, und sicherstellen, dass der Zugriff auf die jeweilige Rolle beschränkt ist und nicht die gesamte Einrichtung umfasst. |
SOFORT | Bitte überprüfen Sie, ob Mitarbeiter mit festem internem Zugriff für dienstliche Kommunikation selbst verwaltete Verbraucherplattformen oder private Konten nutzen. |
KURZFRISTIG | Prüfen Sie NATO-zertifizierte Plattformen mit eingeschränkter Sicherheitsstufe, wie beispielsweise BlackBerry SecuSUITE, für alle Funktionen in Kommandos oder Behörden, die Zugang zu operativ sensiblen Informationen beinhalten, unabhängig von Dienstgrad oder Dienstzeit. |
KURZFRISTIG | Erweitern Sie die UEM kontinuierliche Compliance-Überwachung und die zentralisierte Sperrung von Zugangsdaten nicht nur auf festangestellte Mitarbeiter, sondern auch auf Mitarbeiter mit befristeten Beschäftigungsverhältnissen – Praktikanten, Auftragnehmer und entsandte Mitarbeiter. |
LAUFEND | Verfolgen Sie die belgischen Ermittlungen, um alle bekannt gewordenen Details darüber zu erfassen, auf welche Systeme oder Kommunikationskanäle der Verdächtige Zugriff hatte, und passen Sie die Annahmen zu Insider-Bedrohungen an, sobald neue Fakten bekannt werden. |
BlackBerry-Position
Ein internes Sicherheitsteam erkannte das Problem und leitete es an die Nachrichtendienste weiter, nachdem der betreffenden Person bereits autorisierter Zugriff gewährt worden war.² Wenn die Person mit legitimem Zugriff das Risiko darstellt, ist die einzige dauerhafte Kontrollmaßnahme eine Kommunikationsarchitektur, bei der dieser Zugriff auf Organisationsebene begrenzt, überprüfbar und widerrufbar ist – und genau darauf ist die Zertifizierung „NATO Restricted“ ausgelegt.
Quellenangabe:
Praktikant in Belgien wegen des Verdachts auf Spionage im NATO-Hauptquartier festgenommen (Associated Press, 25. Juli 2026).
%3Aquality(100)&w=3840&q=75)