Analysezusammenfassung

• Die Cyberkriegsführung ist ein zunehmend prominenter Aspekt der iranisch-saudischen Hegemonialrivalität im Nahen Osten. Cyberangriffe bieten neue Möglichkeiten zur Rache (z. B. der Angriff auf Saudi Aramco im Jahr 2012) und zur Propaganda in diesem lang andauernden Konflikt vom Typ „Kalter Krieg“.
• Nach den saudischen Luftangriffen im Jemen Ende März eskalierte der Cyberkonflikt zwischen Iran und Saudi-Arabien. OSINT enthüllt einen rasanten Austausch von Website-Defacements und Social-Media-Account-Hijacking zwischen saudischen und iranischen Hackern Mitte April. Diese Periode begann am 31. März, als pro-saudische Hacker, die ungewöhnlicherweise die Angreifer waren, die Website der Nachrichtenagentur Fars attackierten . Dieser Vorfall scheint pro-iranische Hacker zum Handeln angeregt zu haben, wie im Folgenden detailliert beschrieben wird.
• Die Jemenitische Cyberarmee (YCA) entstand Mitte April. Die Gruppe, die vor ihrem Angriff auf die saudische Zeitung Al-Hayat unbekannt war, wurde inzwischen mit einem Datenleck in Verbindung gebracht im saudischen Außenministerium. Der Zeitpunkt der YCA-Angriffe, die Spuren ihrer Kommunikation (Exklusivberichte von Fars News und NewsQuickLeak.ir) und der Slogan „Schneidendes Schwert der Gerechtigkeit“, der beim Angriff auf Saudi Aramco verwendet wurde, lassen zumindest auf eine Koordination mit iranischen Akteuren schließen.

Unter den zahlreichen Rivalitäten und Konflikten im Nahen Osten ist die Iranisch-Saudi eine der ungewöhnlichsten und einzigartigsten. Diese Rivalität erstreckt sich über mehrere Jahrzehnte und scheint alles zu haben – Nachbarländer mit unterschiedlichen Religionen, Sprachen, Kulturen und Geschichten; zwei Nationen – Schiiten (Iran) und Sunniten (Saudi-Arabien) – Perser und Araber – konkurrierten gegeneinander um die Vorherrschaft im Nahen Osten.

Bemerkenswerterweise bestätigt dieser Konflikt, dass es nicht unbedingt eine physische Armee und eine Bodenkonfrontation braucht, um einen tatsächlichen Krieg zu führen. Im Laufe der Jahre hat sich die Natur dieses Konflikts weiterentwickelt und gelegentlich wieder aufgeflammt; sie beinhaltet diplomatische Bemühungen gegeneinander, das Schließen von Allianzen, eine öffentliche und unterirdische Beteiligung an der politischen Szene des anderen, indirekte Konfrontationen durch unterstützende Gegenmächte in der Region (wie derzeit im Jemen) und das Ergreifen von gegensätzlichen und schweren finanziellen Maßnahmen, um die Stellung des Rivalen zu schwächen. Dennoch hatte sich die Situation nie zu einer echten direkten Konfrontation entwickelt – es fand immer "hinter den Kulissen" statt – bis Cyberkrieg eingeführt wurde.

Iran gegen Saudi-Arabien: Cyberfähigkeiten und -ziele

In den letzten fünf Jahren hat sich der Iran zu einem wichtigen Akteur im Cyberraum entwickelt. Einzelpersonen und Hacktivistengruppen, von denen einige im Verdacht stehen, von der iranischen Regierung unterstützt zu werden, haben schädliche und ausgeklügelte Angriffe durchgeführt.

Das untenstehende Bild zeigt eine große Anzahl von Cyberangriffen, die Berichten zufolge von iranischen Hackern (sowohl Hacktivisten als auch angeblich staatlich gefördert) im Zeitraum von Mitte 2010 bis heute verübt wurden. Bemerkenswert ist, dass sich der Zeitplan auf die betroffenen Länder konzentriert und keine iranischen Angriffe auf einzelne Organisationen und Unternehmen berücksichtigt.

Es ist klar, dass Irans Cyberversuche auf eine große Anzahl von Ländern gerichtet sind, von denen viele im politischen Konflikt mit Iran stehen, und einige ohne. Wenn man sich diese Liste ansieht, ist bemerkenswert, dass Saudi-Arabien neben den USA eines der am stärksten betroffenen Länder Irans ist. Der bedeutendste einzelne Angriff auf saudische Vermögenswerte, der iranischen Hackern zugeschrieben wird, richtete sich gegen das Ölunternehmen Saudi Aramco. Saudische Vermögenswerte wurden auch im Rahmen eines längeren iranischen Cyber- Kampagne namens Operation Cleaver ins Visier genommen.

Im Vergleich dazu liegt Saudi-Arabien bei äußeren Angriffen, die seiner Regierung und/oder Hacktivisten zugeschrieben werden, weit zurück. Betrachtet man das folgende Bild, sieht man, dass es deutlich weniger Aktivitäten gibt, wobei länderspezifische Ziele Berichten zufolge aus Saudi-Arabien stammen.

Ein Vergleich der Angriffe beider Länder aufeinander zeigt, dass es mehr Angriffe vom Iran auf Saudi-Arabien gibt als umgekehrt. Auch wenn man alle Ereignisse zusammennimmt, ist die Anzahl der einzelnen Ereignisse recht gering; viele der Punkte auf der untenstehenden Zeitleiste zeigen Folgeberichte über Aramco . Diese beiden Länder weisen bis vor Kurzem keine nennenswerte Geschichte öffentlich geführter Cyberkriege auf.

Das bestehende Ungleichgewicht könnte teilweise durch Irans demografischen Vorteil erklärt werden: Während nur 30 % der iranischen Bürger Internetzugang haben, entspricht dies 23,5 Millionen Nutzern, deutlich mehr als die 60 % der Saudis, die Internetzugang haben – insgesamt 17,28 Millionen Nutzer.

Darüber hinaus konzentrieren saudische Hacker einen Teil ihrer Aktivitäten auf das Inland und beteiligen sich an Operationen wie „#opSaudi“ – einer laufenden Kampagne von SaudiAnonymous als Protest gegen das saudische Regime. Dieses Phänomen tritt im Iran nicht in einem so großen Ausmaß auf.

Eine weitere Erklärung für den Unterschied zwischen Iran und Saudi-Arabien auf der Cyberfront ist, dass der Iran im Cyberbereich meist allein agiert, Saudi-Arabien jedoch einige starke Verbündete hat, die seine geopolitischen Interessen teilen. Eine häufig von den Iranern aufgestellte Behauptung ist, dass die Saudis manchmal dazu neigen, anderen Ländern ihre "Drecksarbeit" an ihrer Stelle erledigen zu lassen.

Ereignisse der Gegenwart: Cyber-Propaganda im Jemen

Im Jahr 2004 begann im Norden Jemens ein schiitischer Aufstand, der bis heute andauert. Sowohl der Iran als auch Saudi-Arabien sind in diese Angelegenheit verwickelt – der Iran unterstützt die Rebellen, während Saudi-Arabien die sunnitisch geführte jemenitische Regierung berät und finanziert.

Die saudische Beteiligung eskalierte von bloßen diplomatischen und politischen Aktionen gegen die iranische Beteiligung bis hin zu Luftangriffen auf die Houthi-Rebellen im Jemen Ende März. Dies löste einen Cyberkrieg zwischen Hackern aus, die mit den beiden Ländern verbunden waren.

Innerhalb einer Woche nach den ersten Luftangriffen kommt es zu einem mutmaßlichen Angriff saudischer Hacker auf die Website der iranischen Nachrichtenagentur Fars . Dieser Vorfall, der damals als isolierter Propagandaakt gegen eine Nachrichtenagentur galt, die weithin als offizielles Sprachrohr der iranischen Regierung angesehen wurde, war erst der Anfang.

Bald darauf verbreitete sich eine Welle von Hacktivistenaktionen. Beispielsweise wurde am 13. April der Twitter-Account des iranischen Staatsfernsehsenders Al-Alam gehackt und veröffentlichte eine falsche Meldung über den Tod des vom Iran unterstützten Rebellenführers. Der YouTube-Kanal von Al-Alam wurde ebenfalls gehackt und spielte ein Lied, das den saudischen König lobte, während später im selben Monat die Website des iranischen Verteidigungsministeriums von einem saudischen Hacker verunstaltet wurde.

Auf der anderen Seite wurde ein Twitter-Account eines kleinen saudischen Benzinunternehmens beschädigt und Tweets, die den saudischen König verfluchten, veröffentlicht (diese wurden inzwischen gelöscht). Auch andere lokale saudische Nachrichten- und kommunale Seiten wurden gehackt.

Von den vielen Angriffen, die mit schnellem Erfolg stattfanden, wurde der interessanteste von einer neuen "Anonymous"-artigen Hacktivistengruppe namens Yemen Cyber Army (YCA) übernommen. Ihr erster angeblicher Angriff erfolgte am 12. April, als sie Al-Hayats Website (eine der größten pro-saudischen Nachrichtenquellen der Welt, veröffentlicht in London) abschalteten. Die Gruppe behauptete, dies sei aus Protest gegen die saudische Intervention im Jemen geschehen; sie würden bald ein noch bedeutenderes Ziel beanspruchen.

Die jemenitische Cyberarmee und ihre Verbindungen zum Iran

Wie bereits erwähnt, hackte die jemenitische Cyberarmee am 12. April die saudische Nachrichtenseite Al-Hayat . Dieser Vorfall ereignete sich, während auch andere saudische Ziele von pro-iranischen Akteuren angegriffen wurden, und zwar zwischen dem 11. und 15. April.

Interessanterweise weist die YCA Ähnlichkeiten zu anderen iranischen Hackerteams auf. Die Gruppe verwendete in ihrem Pastebin-Beitrag, in dem sie sich zu dem Angriff auf das saudische Außenministerium bekannte, den Ausdruck „Schneidendes Schwert der Gerechtigkeit“ (siehe hier die zwischengespeicherte Seite und den Screenshot unten). Dies ist besonders interessant, da dieselbe einzigartige Formulierung im August 2012 von Angreifern auf Saudi Aramco in einem Pastebin-Beitrag verwendet wurde, in dem sie sich als „Schneidendes Schwert der Gerechtigkeit“ bezeichneten. Der Angriff auf Aramco wurde angeblich als Protest gegen die Politik des Al-Saud-Regimes durchgeführt; diese Formulierung taucht nur an sehr wenigen anderen Stellen im Internet auf und scheint charakteristisch für diese Angriffe zu sein.

Wie Qassam Cyber Fighters, Parastoo und die iranische Cyberarmee ist die YCA in populären sozialen Medien wie Facebook und Twitter nicht präsent. Das ist äußerst merkwürdig für eine Hacktivistengruppe, die Unterstützung für ihre Sache sucht.

Die YCA nutzt die Website QuickLeak.ir. was ähnlich wie Parastoo ist, um Daten zu exportieren Inhalte und Kommunikation. Ansonsten sind auf der Seite kaum Beiträge von Hacktivistengruppen zu sehen. Abschließend sei darauf hingewiesen, dass vor dem plötzlichen Auftauchen der Jemenitischen Cyberarmee in OSINT KEINE Aktivitäten jemenitischer Cybergruppen erkennbar waren.

Der Hackerangriff auf Al-Hayat wurde zuerst von der iranischen Nachrichtenagentur Fars in einem „exklusiven“ Bericht gemeldet. Das Nachrichtenportal entwickelte sich schnell zum Sprachrohr der YCA. Einen Monat später (am 21. Mai) titelte die Zeitung erneut mit einer „Exklusivmeldung“, als die YCA behauptete, gegen verschiedene saudische Regierungsbehörden, darunter das Außenministerium, verstoßen zu haben. Die gesamte im Rahmen dieser Operation gesammelte Informationsmenge wurde schließlich am 19. Juni von WikiLeaks veröffentlicht, genau drei Jahre nachdem Julian Assange in der ecuadorianischen Botschaft in London Asyl beantragt hatte.

Uns fällt außerdem eine überproportionale Berichterstattung von Fars News über die YCA auf (siehe unten). Es handelt sich dabei um die mit Abstand prominenteste Quelle außerhalb von Social-Media-Beiträgen, die über die Aktivitäten der YCA berichtet, und wie bereits erwähnt, werden die YCA-Aktivitäten wiederholt als „exklusive“ Berichte dargestellt.

Es gibt keine "Rauchende Waffe" in OSINT, die es uns erlaubt, die Jemenitische Cyberarmee direkt mit iranischen Akteuren zu verknüpfen. Wenn die Angriffe jedoch von jemenitischen und nicht iranischen Hackern durchgeführt werden, erscheint eine Koordination mit iranischen Akteuren angesichts des Zeitpunkts der YCA-Bemühungen und der engen Zusammenarbeit mit den iranischen Medien sehr wahrscheinlich.

Der Fall zeigt perfekt, wie Cyber ideal ist, um Stellvertreterkriege zu führen (oder zu fördern). Die Zuordnung kann schwierig sein, und es gibt eine geringe Hürde für wirksames Handeln angesichts technischer Ausbildung, Bereitstellung von Infrastruktur und strategischer Beratung. Wie der aktuelle Fall im Jemen zeigt, findet der anhaltende Kampf um die Vorherrschaft im Nahen Osten zwischen Iran und Saudi-Arabien nun sowohl physische als auch digitale Ventile.