(JNS) „Wir haben es hier nicht mit einer klassischen Hackergruppe mit ausgeprägten nachrichtendienstlichen Fähigkeiten zu tun, sondern eher mit einem ‚lauten‘ Akteur, dessen Hauptziel darin besteht, psychologischen und kognitiven Einfluss auszuüben“, sagt Refael Franco, ehemaliger stellvertretender Leiter des israelischen National Cyber Directorate und derzeit Geschäftsführer von Code Blue, über die iranische Hackergruppe Handala.
Die Gruppe, die am Sonntagmorgen Materialien aus dem Telefon von Tzachi Braverman, dem Stabschef von Premierminister Benjamin Netanjahu, veröffentlichte, hat sich in den letzten Monaten zu einem der prominentesten Akteure bei Cyberangriffen gegen Israel entwickelt.
Laut Franco besteht „der Großteil ihrer Mission darin, das Vertrauen der Öffentlichkeit zu untergraben, ein Gefühl der Durchdringung zu erzeugen und die Resonanz in den Medien zu verstärken, manchmal durch Übertreibung ihrer Erfolge“. Er betont jedoch, dass „ihre Aktivitäten manchmal in eine breitere Kampagne eingebunden sind, einschließlich ideologischer und manchmal infrastruktureller Überschneidungen mit staatlichen Akteuren oder regionalen Stellvertretern.“
Nach Berichten von Geheimdiensten und Cybersicherheitsunternehmen ist die Gruppe mit einer iranischen Einheit verbunden, die dem Geheimdienstministerium untersteht und sich auf Cyberangriffe zur Einflussnahme spezialisiert hat. Ihr Name leitet sich von der gleichnamigen Comicfigur ab, die zu einem palästinensischen Symbol für die „Flüchtlingsfrage“ geworden ist. Die Gruppe nennt sich „Die Volkswiderstandsfront der Menschen, die Gerechtigkeit suchen“ und ist seit mindestens Dezember 2023 aktiv, etwa zwei Monate nach Ausbruch des jüngsten Gaza-Krieges.
Von Bennett bis zu Atomwissenschaftlern
Auf der Zielliste von Handala stehen hochrangige Politiker, Sicherheitsbeamte und israelische Zivilisten. Vor etwa zehn Tagen gab die Gruppe bekannt, dass sie sich Zugang zum Telegram-Konto des ehemaligen Premierministers Naftali Bennett verschafft und persönliche Korrespondenz, Kontaktlisten und Fotos veröffentlicht habe. Bennett gab schließlich zu, dass „Zugriff auf den Telegram-Account erlangt wurde“, betonte jedoch, dass das Telefon selbst nicht gehackt worden sei.
Vor etwa drei Wochen veröffentlichte die Gruppe Informationen über einen roten Blumenstrauß, der laut ihrer Behauptung im Fahrzeug eines hochrangigen israelischen Atomwissenschaftlers zurückgelassen worden war. „Gestern haben Sie unseren Blumenstrauß erhalten. Es ist ein scheinbar harmloser Gegenstand, aber haben Sie sein Gewicht bemerkt?“, lautete die Drohung. Zusammen mit den Unterlagen wurde eine Liste mit Namen und Telefonnummern veröffentlicht, die angeblich Mitgliedern der Einheit 8200 des israelischen Militärgeheimdienstes IDF Intelligence Directorate gehören.
Darüber hinaus veröffentlichte Handala die Namen und detaillierten Profile von 14 Personen, die laut der Gruppe eine Schlüsselrolle bei der Planung und Entwicklung von Drohnensystemen in der IDF und der Verteidigungsindustrie spielen.
Die Aktivitäten der Gruppe konzentrieren sich auf Angriffe gegen israelische Unternehmen, Regierungsbehörden und öffentliche Einrichtungen. Zu den bekanntesten Fällen zählen die Veröffentlichung von Details zu vielen Israelis, die Anfang Februar 2025 eine Waffengenehmigung besaßen, und die Behauptung im September 2024, dass Server im Zusammenhang mit der Nuklearanlage Nahal Sorek gehackt worden seien, wobei die Hacker angaben, etwa 197 Gigabyte an Daten erbeutet zu haben.
Eindeutige Verbindung zum Iran
Laut einem Positionspapier des Jerusalem Institute for Strategy and Security (JISS) ist die Handala-Gruppe mit einer iranischen Einheit verbunden, die dem Geheimdienstministerium untersteht. Das Cybersicherheitsunternehmen Cyberint verwies auf einen Beitrag vom Dezember 2023, in dem Handala seine Unterstützung für die Hamas zum Ausdruck brachte und schrieb, dass es nach der Ermordung des Kommandanten der Revolutionsgarden, Razi Mousavi, begonnen habe, gegen Israel vorzugehen.
Im Jahr 2024 veröffentlichte Microsoft Berichte, in denen die Gruppe eindeutig der iranischen Angriffsgruppe Storm-0842 zugeordnet wurde, die mit dem iranischen Geheimdienstministerium in Verbindung steht und auch für Aktivitäten unter den Identitäten „DarkBit“ und „Homeland Justice“ verantwortlich ist.
„Ihre Hauptaktivitäten basieren auf ungesicherten Sicherheitsverletzungen, Informationslecks und der gezielten Verbreitung von Materialien in sozialen Netzwerken“, erklärt Franco. Ihm zufolge zeichnet sich Handala durch einen geringen bis mittleren Grad an technologischer Raffinesse aus, ist jedoch sehr aktiv und konzentriert sich stark darauf, öffentliche und mediale Wirkung zu erzielen.
Franco betont: „Die Bedrohung wird nicht nur an den direkten technologischen Schäden gemessen, sondern auch an der Fähigkeit, menschliche und organisatorische Schwächen auszunutzen und isolierte Cybervorfälle zu einem Instrument im andauernden Bewusstseinskrieg gegen Israel zu machen.“
