Es war nach Angaben der Polizei der VPN-Dienst des Vertrauens für etliche Cyberkriminelle: First VPN war in den vergangenen Jahren Teil jeder größeren Cybercrime-Ermittlung der europäischen Polizeiorganisation Europol, nun gingen die Behörden aus mehreren europäischen Ländern gegen den Anbieter vor.

Bei der Aktion unter dem Namen „Operation Saffron“ am 19. und 20. Mai gab es eine Hausdurchsuchung in der Ukraine, zudem schaltete Europol nach eigenen Angaben 33 Server des Anbieters ab und nahm weitere Infrastruktur außer Betrieb. Mehrere Domains im Clear Web und Deep Web gingen vom Netz. Der Administrator des Dienstes wurde festgenommen und vernommen, er befindet sich derzeit in Haft.

Laut Europol „erlangten Ermittler Zugriff auf den Dienst, sicherten dessen Nutzerdatenbank und identifizierten VPN-Verbindungen, die von Cyberkriminellen genutzt wurden, um ihre Aktivitäten zu verschleiern.“ Dabei unterstützte demnach auch das IT-Sicherheitsunternehmen Bit Defender.

Auf seiner Webseite warb First VPN laut der niederländischen Polizei, dass jegliche Zusammenarbeit mit den Justizbehörden abgelehnt würde, der Dienst keiner Gerichtsbarkeit unterliege und keine Nutzerdaten gespeichert würden.

Die Ermittler identifizierten letztlich doch 506 Nutzer des Dienstes, deren Informationen Europol nun international mit anderen Behörden teilt. Betroffene Nutzer würden jetzt darüber informiert, dass Europol sie demaskieren konnte, schreibt die Polizeiorganisation. Die französische Polizei schätzt die Gesamtnutzerzahl auf bis zu 5000.

Etliche Cybercrime-Gruppen waren Kunde

Die US-Bundespolizei Federal Bureau of Investigation (FBI) veröffentlichte als Reaktion auf die Europol-Aktion am Freitag eine Warnmeldung zu First VPN. Mindestens 25 Ransomware-Gruppen, darunter Avaddon Ransomware, haben die Infrastruktur von First VPN Service demnach genutzt, um Netzwerkaufklärung zu betreiben und in Systeme einzudringen. In diversen russischsprachigen Cybercrime-Foren wurde der Dienst von Nutzern empfohlen, berichten Europol und das FBI.

IP-Adressen von First VPN Service seien laut FBI für Scan-Aktivitäten, Botnetze, Denial-of-Service-Angriffe, Betrugsversuche und Hackerangriffe verwendet worden. Das FBI liefert auch eine Liste aller First-VPN-IPs, die im Mai 2026 und davor bekannt waren. Allerdings können solche bösartigen Infrastrukturen auch auf virtualisierten Plattformen oder Cloud-Plattformen gehostet werden, wodurch IP-Adressen dynamisch oder vorübergehend zugewiesen werden. Das FBI schränkt zudem ein: Eine Adresse, die in der Liste auftaucht, kann in der Vergangenheit, zum Zeitpunkt der Beobachtung durch Ermittler, für kriminelle Aktivitäten genutzt worden sein, aber gegenwärtig für nicht-bösartige Aktivitäten dienen. Für mehr Aufschluss sollten Interessierte demnach Netzwerktelemetriedaten und andere Informationsquellen hinzuziehen.

Unterstützung auch aus Deutschland

Die Aktion fand in den Ländern Luxemburg, Schweiz, Rumänien, Ukraine und Großbritannien statt. Beteiligt an der Aktion waren Polizeikräfte aus den Ländern Frankreich, Niederlande, Luxemburg, Rumänien, Schweiz, Ukraine und Großbritannien. Unterstützt wurden die Ermittlungen zudem von Polizeibehörden in Kanada, Rumänien, USA und Deutschland. Die Federführung hatten laut einem Europol-Sprecher französische und niederländische Behörden.

(nen)