Palo Alto schwächt Bericht ab: China-Vorwürfe aus Angst vor Vergeltung zurückgehalten

Das US-Cybersecurity-Unternehmen Palo Alto Networks hat laut Insidern einen Bericht über eine großangelegte Hacking-Kampagne abgeschwächt, um China nicht direkt zu beschuldigen. Die Änderungen erfolgten aus Sorge vor möglichen Vergeltungsmaßnahmen der chinesischen Behörden gegen das Unternehmen und seine Mitarbeiter, wie zwei mit der Angelegenheit vertraute Personen gegenüber Reuters erklärten.

Ein ursprünglicher Entwurf der Bedrohungsanalyse-Abteilung Unit 42 habe die Hackergruppe "TGR-STA-1030" direkt mit Peking in Verbindung gebracht. Im finalen Bericht vom vergangenen Donnerstag wurde die Gruppe jedoch nur vage als "staatlich ausgerichtete Gruppe, die von Asien aus operiert" bezeichnet. Die Forscher von Unit 42 waren den Quellen zufolge aufgrund forensischer Beweise von der China-Verbindung überzeugt.

Die Entscheidung zur Abschwächung sei von Führungskräften bei Palo Alto getroffen worden, nachdem Reuters im vergangenen Monat berichtet hatte, dass die Software des Unternehmens von chinesischen Behörden aus Gründen der nationalen Sicherheit verboten wurde. Palo Alto war eines von etwa 15 US-amerikanischen und israelischen Cybersecurity-Unternehmen, die von dem Verbot betroffen waren.

Weltweite Spionagekampagne aufgedeckt

Die Hacking-Gruppe TGR-STA-1030 führte laut dem Palo-Alto-Bericht Aufklärungsaktivitäten gegen nahezu jedes Land der Welt durch. Die als "The Shadow Campaigns" bezeichnete Operation drang erfolgreich in Regierungs- und kritische Infrastrukturorganisationen in 37 Ländern ein. Die Kampagne wurde Anfang 2025 erstmals entdeckt.

Trotz fehlender direkter Nennung Chinas enthält der Bericht mehrere Hinweise auf eine mögliche Verbindung zu Peking. Die Hacker-Aktivitäten stimmen mit der Zeitzone GMT+8 überein, die auch China umfasst. Zudem konzentrierten sich die Angreifer auf tschechische Staatsinfrastruktur nach einem Treffen zwischen dem tschechischen Präsidenten und dem Dalai Lama im August – dem geistigen Oberhaupt Tibets, das Peking als Separatisten betrachtet.

Am 5. November nahmen die Hacker Thailand ins Visier, kurz vor dem ersten Staatsbesuch eines amtierenden thailändischen Königs in Peking in der Folgewoche. Diese zeitlichen Übereinstimmungen deuten auf ein gezieltes Vorgehen im Interesse chinesischer Staatsinteressen hin.

Externe Experten bestätigen China-Verbindung

Unabhängige Cybersecurity-Forscher, die den Palo-Alto-Bericht analysierten, kamen zu ähnlichen Schlussfolgerungen. "Unsere Einschätzung ist, dass dies Teil eines breiteren Musters globaler Kampagnen mit Verbindung zu China ist", erklärte Tom Hegel, leitender Bedrohungsforscher bei SentinelOne. Die Operationen zielten auf Geheimdienstinformationen und dauerhaften Zugang zu für Peking interessanten Organisationen ab.

Palo Alto hat in der Vergangenheit wiederholt Hacking-Aktivitäten China zugeschrieben, zuletzt im September 2024. Die aktuelle Zurückhaltung stellt damit einen Bruch mit der bisherigen Praxis dar.

Unternehmen weist Vorwürfe zurück

Auf Anfrage von Reuters erklärte Palo Alto, die Zuschreibung sei "irrelevant". Nicole Hockin, Vice President of Global Communications, betonte in nachfolgenden E-Mails, dass die fehlende Zuschreibung nicht mit den "Beschaffungsvorschriften in China" korreliere. Jede gegenteilige Behauptung sei "spekulativ und falsch". Die Sprachwahl spiegele wider, wie Regierungen am besten über die Kampagne informiert und geschützt werden könnten.

Palo Alto unterhält laut eigenen Angaben fünf Niederlassungen in China, darunter in Peking, Shanghai und Guangzhou. Mehr als 70 Mitarbeiter arbeiten für das Unternehmen in China, darunter Ingenieure und Kundenbetreuer. Diese Präsenz könnte das Unternehmen anfällig für Druck durch chinesische Behörden machen.

Die chinesische Botschaft in Washington wies die Vorwürfe zurück und lehnte "alle Formen von Cyberangriffen" ab. Die Zuschreibung von Hacks sei ein "komplexes technisches Problem", das auf "ausreichende Beweise" gestützt werden müsse, nicht auf "unbegründete Spekulationen".

Dilemma für globale Cybersecurity-Firmen

Der Vorfall verdeutlicht die schwierige Lage internationaler Cybersecurity-Unternehmen. Einerseits kann die Entlarvung staatlicher Hacker positive Publizität und Branchenanerkennung bringen. Andererseits riskieren Firmen mit globaler Präsenz Vergeltungsmaßnahmen gegen ihre Mitarbeiter und Geschäftsinteressen.

"Man ist schon immer Risiken eingegangen, wenn man Ross und Reiter genannt hat", erklärte Thomas Rid, Professor an der Johns Hopkins University und Experte für digitale Zuschreibung. "Wenn man Mitarbeiter vor Ort hat, ist das ein zusätzlicher Aspekt. Setzt man seine eigenen Leute einem Risiko aus?"