Bei einer von Interpol koordinierten Aktion gegen Cyberkriminalität in Afrika sind 1.462 Verdächtige festgenommen und 10.909 als bösartig eingestufte Netzwerke zerschlagen worden. An der Operation Serengeti III beteiligten sich zwischen dem 29. Juni und dem 31. August 2026 Strafverfolgungsbehörden aus 21 Ländern sowie mehrere private Sicherheitsunternehmen.
Die Ermittler identifizierten nach Angaben von Interpol 65.929 Opfer. Deren geschätzte finanzielle Verluste lagen bei mehr als 385 Millionen US-Dollar. Mehr als 105 Millionen Dollar an illegalen Geldern wurden zurückgewonnen. Im Mittelpunkt standen Business Email Compromise, Ransomware und verschiedene Formen des Online-Betrugs.
Die entscheidende operative Besonderheit liegt hinter den großen Zahlen: Behörden arbeiteten mit privaten Anbietern zusammen, die Daten über verdächtige Domains, IP-Adressen und Command-and-Control-Infrastruktur bereitstellten. Erst die Verbindung dieser technischen Sicht auf die Infrastruktur mit klassischen Ermittlungen ermöglichte es, verteilte Systeme zu kartieren und mutmaßlichen Betreibern zuzuordnen.
Von Anlagebetrug bis zu illegalen Mining-Zentren
Die Operation richtete sich nicht gegen ein einzelnes Geschäftsmodell. In Uganda zerschlugen Ermittler zwei transnationale Betrugsringe und nahmen 365 Personen fest. Ihnen werden Verbindungen zu Online-Anlagebetrug und betrügerischen Pensionsangeboten vorgeworfen.
Wie technische Hinweise zu Ermittlungsmaßnahmen wurden
Die Grafik zeigt die belegte Arbeitsteilung zwischen privaten Sicherheitsunternehmen und den Behörden: Infrastrukturdaten wurden analysiert, kriminelle Netze kartiert und in operative Maßnahmen überführt.
In Angola traf die Aktion physische Infrastruktur: Behörden nahmen neun Verdächtige fest und beschlagnahmten mehr als 2.000 Geräte aus illegalen Kryptowährungs-Mining-Zentren. Zusätzlich wurden sechs illegale Stromversorgungsanlagen im Wert von mehr als einer Million US-Dollar sichergestellt. Der Fall zeigt, dass digital organisierte Kriminalität keineswegs nur aus Domains und Benutzerkonten besteht. Beim Mining gehören Stromversorgung, Hardware und geeignete Standorte zur angreifbaren Infrastruktur.
In Nigeria wurde ein Verdächtiger festgenommen, der mutmaßlich eine groß angelegte Phishing- und BEC-Operation betrieb. Diese soll Zugangsdaten für Software gesammelt und einen Bestand von rund 2,1 Millionen E-Mail-Adressen aufgebaut haben. Weitere Maßnahmen betrafen betrügerische mobile Kredit-Apps, vorgetäuschte Fahrzeugimporte und Krypto-Anlagebetrug.
Private Telemetrie wird zum Ermittlungswerkzeug
Zu den beteiligten privaten Partnern gehörten Team Cymru, Kaspersky, Group-IB und Fortinet. Sie unterstützten die Behörden mit technischer Expertise und Informationen über Domains, IP-Adressen und Steuerungsserver. Solche Daten helfen, Verbindungen zwischen einzelnen Kampagnen, Servern und mutmaßlichen Betreibern sichtbar zu machen.
Die Arbeitsteilung ist relevant: Sicherheitsanbieter beobachten Infrastruktur über viele Netze und Kundenumgebungen hinweg. Strafverfolger besitzen dagegen die rechtlichen Instrumente für Durchsuchungen, Festnahmen und Beschlagnahmen. Threat Intelligence allein legt noch kein kriminelles Verhalten gerichtsfest offen. Umgekehrt können Ermittlungen ohne ausreichend breite technische Daten an der grenzüberschreitenden und schnell wechselnden Infrastruktur scheitern.
Operation Serengeti III macht damit einen Mechanismus sichtbar, der bei internationalen Cybercrime-Verfahren oft wichtiger ist als ein einzelner spektakulärer Zugriff: Technische Indikatoren müssen in verwertbare Zuordnungen übersetzt und anschließend über mehrere Rechtsräume hinweg in konkrete Maßnahmen überführt werden.
10.909 Netzwerke sind nicht 10.909 Tätergruppen
Die von Interpol genannte Zahl sollte nicht mit 10.909 voneinander unabhängigen Verbrecherorganisationen gleichgesetzt werden. Der Begriff „bösartige Netzwerke“ kann technische Infrastruktur und zusammenhängende kriminelle Systeme umfassen. Eine Tätergruppe kann mehrere Domains, Server oder andere Infrastrukturkomponenten betreiben. Umgekehrt kann gemeinsam genutzte Infrastruktur von mehreren Kampagnen verwendet werden.
Auch „zerschlagen“ bedeutet nicht automatisch, dass sämtliche beteiligten Personen festgenommen wurden oder die jeweilige Struktur dauerhaft verschwunden ist. Die 1.462 Festnahmen, die Beschlagnahmen und die Sicherstellung von Geldern sind die konkreteren Maßstäbe für den unmittelbaren Strafverfolgungserfolg.
Die finanzielle Bilanz setzt ebenfalls eine Grenze: Den geschätzten Verlusten von mehr als 385 Millionen Dollar stehen über 105 Millionen Dollar an zurückgewonnenen illegalen Geldern gegenüber. Das ist ein erheblicher Betrag, aber weniger als ein Drittel der bezifferten Schäden. „Zurückgewonnen“ heißt zudem nicht zwangsläufig, dass das gesamte Geld bereits an Geschädigte ausgezahlt wurde.
Dritte Serengeti-Operation in drei Jahren
Die aktuelle Aktion setzt eine Serie fort. Bei der ersten Operation Serengeti im September und Oktober 2024 wurden 1.006 Verdächtige festgenommen und rund 44 Millionen Dollar zurückgewonnen. Interpol meldete damals 134.089 abgeschaltete oder zerschlagene bösartige Infrastrukturen und Netzwerke.
Serengeti 2.0 lief zwischen Juni und August 2025. Dabei gab es 1.209 Festnahmen, 11.432 zerschlagene Infrastrukturen und Sicherstellungen in Höhe von 97,4 Millionen Dollar. Die Zahlen lassen sich nur eingeschränkt direkt vergleichen, weil die jeweils erfassten Infrastrukturtypen, Fälle und Ziele unterschiedlich sein können. Erkennbar ist jedoch, dass Interpol das Vorgehen als wiederkehrende, länderübergreifende Operation organisiert und nicht als einmalige Razzia.
Für Unternehmen gibt es keinen einzelnen Patch
Operation Serengeti III betrifft keine bestimmte Softwarelücke. Es gibt deshalb weder eine CVE noch betroffene oder gepatchte Produktversionen. Für Unternehmen bleibt vor allem das Risiko gestohlener Zugangsdaten, manipulierter geschäftlicher Kommunikation und betrügerischer Zahlungsanweisungen.
Praktisch bedeutet das: Änderungen von Kontodaten und ungewöhnliche Zahlungsaufträge sollten über einen zweiten, bereits bekannten Kommunikationsweg bestätigt werden. Mehrfaktor-Authentifizierung reduziert den Nutzen gestohlener Passwörter; nach einem bestätigten Kontozugriff müssen zusätzlich aktive Sitzungen widerrufen, Zugangsdaten erneuert und Weiterleitungsregeln in E-Mail-Konten geprüft werden.
Die Operation beseitigt damit konkrete Infrastruktur und entzieht einzelnen Akteuren Geld, Geräte und Handlungsspielraum. Ihre eigentliche Lehre liegt aber in der Voraussetzung dieses Erfolgs: Grenzüberschreitende Cyberkriminalität wird nicht allein durch nachträgliche Anzeigen sichtbar. Ermittler benötigen eine laufende technische Sicht auf Domains, IP-Adressen und Steuerungsserver – und Verfahren, mit denen sich diese Daten in rechtlich belastbare Zugriffe übersetzen lassen.
Jens analysiert seit Jahren digitale Märkte, Preisbewegungen und Plattform-Strategien. Als Betreiber mehrerer datengetriebener Systeme wertet er täglich große Mengen an Produkt- und Trenddaten aus. Sein Fokus liegt auf Einordnung statt Hype: Was bedeutet eine Entwicklung wirklich für Nutzer, Preise und Märkte?
