Hafnium-Hacker Zhang Yu: USA setzen 10 Millionen Dollar aus

Das US-Außenministerium hat ein Kopfgeld von 10 Millionen Dollar auf Zhang Yu ausgesetzt. Amerikanische Behörden bezeichnen den chinesischen Staatsbürger als zentrale Figur der Hacking-Kampagne Hafnium. Die Belohnung gibt es für Hinweise auf seinen Aufenthaltsort.

Nach Angaben der US-Behörden ist Zhang Geschäftsführer von Shanghai Firetech Information Science and Technology und handelte im Auftrag der chinesischen Regierung. Die Kampagne, die er unterstützt haben soll, kompromittierte Tausende Computer und führte zum Diebstahl großer Mengen an Dokumenten und E-Mails.

COVID-19-Forschung im Visier

Die Behörden werfen Zhang vor, mit Xu Zewei zusammengearbeitet zu haben, einem weiteren chinesischen Staatsbürger, der in dem Fall angeklagt ist. Den beiden wird vorgeworfen, COVID-19-Forschung von US-Universitäten, Immunologen und Virologen gestohlen zu haben.

Laut Außenministerium verstießen Zhangs Cyberangriffe gegen den Computer Fraud and Abuse Act (CFAA), das zentrale Anti-Hacking-Gesetz der USA auf Bundesebene. Zu den Zielen gehörten mindestens eine Universität und eine Anwaltskanzlei.

Nach der Anklage gingen die Wege der beiden Männer weit auseinander. Zhang ist weiterhin auf freiem Fuß. Xu wurde im Juli 2025 während eines Urlaubs in Mailand von italienischen Behörden festgenommen und im April an die USA ausgeliefert.

Eine Anklage in neun Punkten

Das US-Justizministerium hat im vergangenen Jahr eine Anklage in neun Punkten gegen beide Männer veröffentlicht. Darin wird ihnen die Beteiligung an "Computereinbrüchen zwischen Februar 2020 und Juni 2021" vorgeworfen, "darunter die wahllose HAFNIUM-Kampagne, bei der Tausende Computer weltweit kompromittiert wurden, auch in den Vereinigten Staaten."

Nach Darstellung der Staatsanwaltschaft wurden die Angriffe von zwei chinesischen Geheimdienststellen in Auftrag gegeben: dem Ministerium für Staatssicherheit (MSS), Chinas wichtigstem zivilen Nachrichten- und Sicherheitsdienst, und dessen regionaler Außenstelle, dem Shanghai State Security Bureau (SSSB).

Die Angeklagten sollen an Führungsoffiziere beim SSSB berichtet haben. In einem Fall bestätigte Xu laut Staatsanwaltschaft, dass er "das Netzwerk einer Forschungsuniversität im Southern District of Texas kompromittiert" habe. Der Southern District of Texas ist ein Bundesgerichtsbezirk, zu dem auch Houston gehört.

Das Ausmaß von Hafnium

US-Behörden zufolge war die Kampagne sehr groß angelegt. Brett Leatherman, stellvertretender Direktor der Cyber-Abteilung des FBI, nannte im vergangenen Jahr Zahlen zu ihrer Reichweite.

"Über HAFNIUM hat die KPCh mehr als 60.000 US-Organisationen ins Visier genommen und mehr als 12.700 davon erfolgreich angegriffen, um sensible Informationen zu stehlen", sagte Leatherman.

Mit CCP ist die Kommunistische Partei Chinas (KPCh) gemeint. US-Behörden verwenden den Begriff häufig, wenn sie staatlich gestützte Operationen Peking zuschreiben.

Warum die Belohnung wichtig ist

Eine Belohnung von 10 Millionen Dollar gehört zu den höchsten Standardangeboten des Außenministeriums. Sie signalisiert, dass Washington Zhang als hochrangiges Ziel betrachtet, auch wenn es keine realistische Möglichkeit gibt, ihn festzunehmen, solange er in China bleibt.

Die Belohnung sagt auch etwas darüber aus, wie die USA gegen staatlich gestützte Hacker vorgehen. Anklagen gegen chinesische Geheimdienstmitarbeiter führen selten zu Prozessen, weil die Verdächtigen Länder, die sie nicht ausliefern, nur selten verlassen. Der Fall Xu zeigt die Ausnahme. Er wurde auf Reisen in Italien gefasst und landete vor einem amerikanischen Gericht. Ähnliche Festnahmen auf Reisen gab es auch anderswo, etwa im Fall eines aus Montenegro ausgelieferten iranischen Hackers und eines in Japan festgenommenen Qilin-Ransomware-Verdächtigen, der anschließend nach Deutschland überstellt wurde.

Unsere Einschätzung

Diese Belohnung folgt einem bekannten Muster. Wenn die USA nicht direkt an einen Verdächtigen herankommen, setzen sie auf öffentliche Anklagen, die Nennung von Firmen und hohe Kopfgelder, um Menschen das Leben schwer zu machen, denen sie vorwerfen, für ausländische Geheimdienste zu arbeiten. Das Ziel scheint eher Druck zu sein als eine baldige Festnahme. Jede Auslandsreise wird zum Risiko, und jeder im Umfeld des Verdächtigen bekommt einen Grund, sich zu melden.

Zwei Details fallen auf. Erstens wird Zhang mit einem namentlich genannten Privatunternehmen in Verbindung gebracht, Shanghai Firetech. Das deutet darauf hin, dass die US-Behörden weiterhin das Umfeld von Auftragnehmern ins Visier nehmen, die mutmaßlich für chinesische Geheimdienste arbeiten, und nicht nur Regierungsbeamte. Zweitens erinnern die in dem Fall genannten Ziele, also Universitäten, Forscher und eine Anwaltskanzlei, daran, dass die Netzwerke von Hochschulen und freiberuflichen Dienstleistern für staatlich gestützte Gruppen attraktiv bleiben. Das gilt vor allem dann, wenn dort Forschung von strategischem Wert liegt. Leser aus diesen Branchen sollten nicht davon ausgehen, dass sie außerhalb des Bedrohungsmodells chinesischer Spionageoperationen stehen.

Es lohnt sich zu beobachten, wie sich das Verfahren gegen Xu entwickelt, nun da er in US-Gewahrsam ist. Gerichtsakten in seinem Fall könnten mehr darüber verraten, wie die Hafnium-Operation beauftragt und gesteuert wurde. Abzuwarten bleibt auch, ob die Belohnung brauchbare Hinweise auf Zhang bringt oder ob sie vor allem als öffentliche Zuschreibung dient.