Scattered Spider: Wie eine Windows-Geräte-ID zum Verhängnis wurde
15.07.2026 attributiontelemetryscattered-spiderforensic-readiness
Am 30. Juni 2026 stand ein 19-jähriger Mann vor einem Bundesgericht in Chicago – extradiert aus Finnland, wo er beim Versuch festgenommen wurde, an Bord eines Flugzeugs nach Japan zu gehen. Der Fall gegen Peter Stokes, online als „Bouquet" bekannt, liest sich zunächst wie ein gewöhnlicher Scattered-Spider-Fahndungserfolg. Doch ein Detail auf Seite 8 der Anklageschrift hat die DFIR-Community aufhorchen lassen: Microsoft soll Ermittlern Telemetriedaten geliefert haben, die über eine sogenannte Global Device ID (GDID) direkt zu einer einzigen Windows-Installation führten.
Vom Helpdesk-Anruf zur globalen Geräte-ID
Der zugrunde liegende Angriff folgt dem inzwischen vertrauten Scattered-Spider-Drehbuch: Zwischen dem 12. und 15. Mai 2025 riefen Angreifer über Google-Voice-Nummern beim Helpdesk eines Luxus-Schmuckhändlers an, gaben sich als ausgesperrte Mitarbeiter aus und brachten das Personal dazu, Passwörter und die mit der Multi-Faktor-Authentifizierung verknüpften Mobilgeräte zurückzusetzen. Genau diese Persistenzphase wurde später zum forensischen Ausgangspunkt: Microsoft-Aufzeichnungen verknüpften die betreffende Geräte-ID zunächst mit dem Konto, das die Angreifer nutzten, um während der Mai-2025-Intrusion Zugriff zu behalten, und anschließend mit Online-Konten, die den Ermittlern zufolge Peter Stokes gehören.
Konkret geht es dabei um eine GDID – Microsoft übermittelte den Ermittlern Telemetriedaten zu der GDID des Verdächtigen direkt, wobei die Anklageschrift explizit aufzeigt, wie eine Global Device ID mit der IP-Adresse eines bestimmten VPN-Proxy-Dienstes verknüpft wurde, um unmaskierte Aktivitäten des Angreifers nachzuverfolgen. Diese Telemetrie verband denselben Geräte-Identifier mit mehreren Clustern bislang unmaskierter Aktivität, darunter aktive Ngrok-Tunneling-Infrastruktur. Die zentrale Erkenntnis für Forensiker: Attribution erfordert nicht immer einen einzigen Fehler – sie kann aus Telemetrie entstehen, die still über Sitzungen, Dienste und Infrastruktur hinweg fortbesteht, lange nachdem ein VPN das Offensichtliche verschleiert hat.
Bei der Festnahme in Helsinki wurden zudem zwei 2-Terabyte-Festplatten sichergestellt – der gesamte Fall stützte sich auf genau diese Art von Material: Geräteaufzeichnungen, Kontoverknüpfungen und IP-Spuren, wobei die Festplatten angesichts des diffusen Netzwerks mehr Bedeutung haben könnten als die Verurteilung selbst, sollten sie Werkzeuge, Infrastruktur oder Kontakte enthalten, die zum nächsten Mitglied führen.
Was das für Forensik-Teams bedeutet
Der Fall bestätigt eine Grunderkenntnis moderner Attributions- und Incident-Response-Arbeit: moderne Untersuchungen beruhen auf Beweiskorrelation statt auf einem einzelnen Indikator, und digitale Fußabdrücke reichen häufig über IP-Adressen hinaus. Gleichzeitig wirft er unbequeme Governance-Fragen auf: Für Unternehmen stellt sich die Frage, welche Diagnosedaten auf verwalteten Endgeräten aktiviert sind, wie Edge-Telemetrie konfiguriert ist und ob Logs lange genug aufbewahrt werden, um Incident Response zu unterstützen.
Das deckt sich mit aktuellen Empfehlungen aus der IR-Praxis: Identitätstelemetrie sollte als Tier-1-Forensikbeweis behandelt werden, mit Aufbewahrungsfristen für Anmelde-, Audit- und API-Aktivitätslogs, die über die Standardwerte hinausgehen – zur Unterstützung von Ermittlungen, Versicherungsprüfungen und regulatorischer Kontrolle. Auch aktuelle SANS-FOR508-Updates spiegeln diesen Trend: Im Frühjahr 2025 führte FOR508 verfeinerte Inhalte zu modernem Credential-Missbrauch, Workflows zur Erkennung lateraler Bewegung, Memory-Forensik-Tooling und hybrider Cloud-Sichtbarkeit einschließlich Entra ID ein.
Fazit
Forensische Reife ist keine Compliance-Übung, sondern die Grundlage jeder späteren Attribution. Forensische Bereitschaft bedeutet die Fähigkeit, digitale Beweise zu sichern und zu erfassen, bevor ein Vorfall eintritt – nur so können Ermittler Zeitlinien erstellen, kompromittierte Konten identifizieren und genau nachvollziehen, wie sich Angreifer durch die Umgebung bewegt haben. Der GDID-Fall zeigt: Selbst hochprofessionelle, VPN-gestützte Cyberkriminelle hinterlassen Spuren in Telemetrieebenen, die Unternehmen heute oft gar nicht aktiv sammeln oder auswerten. Wer erst nach dem Vorfall fragt, welche Logs eigentlich existieren, hat die wichtigste forensische Lektion bereits verpasst.
← Zurück zur Übersicht