Die Sanktionen gegen iranische Hacker nehmen Fahrt auf: Das US-Finanzministerium kündigte frische Maßnahmen gegen mutmaßlich iranisch verbundene Cyber-Akteure an. Hintergrund ist ein breit angelegter wirtschaftlicher Druck, der nach Angaben der Behörde auch digitale Wege und finanzielle Verbindungen treffen soll.
Die Aktion trägt den Namen „Operation Economic Outcast“. Laut dem US-Finanzminister wird damit versucht, jede wirtschaftliche „Lebenslinie“ zu kappen, die ein als terroristischen Unterstützer eingestuftes Regime am Laufen hält. Im Fokus stehen dabei nicht nur klassische Industriesektoren, sondern ausdrücklich auch der Cyber- und der digitale Vermögenswerte-Bereich.
Was steckt hinter „Operation Economic Outcast“?
Die USA positionieren die Sanktionen als Teil einer „whole-of-government“-Kampagne. Ziel sei es, die iranische Führung und insbesondere die Islamic Revolutionary Guard Corps (IRGC) von finanziellen Verbindungen abzuschneiden, die als entscheidend für Operationen gelten.
Das Finanzministerium spricht in diesem Zusammenhang von einer strategischen Isolierung – on- und off-chain. Damit ist gemeint, dass die Maßnahmen sowohl auf regulatorischer Ebene als auch im Umfeld digitaler Gelder und Abwicklungsprozesse ansetzen sollen.
Fast 60 Zielpersonen und -einheiten in mehreren Netzwerken
Im Rahmen der neuen Sanktionen wurden laut Mitteilung rund 60 Einheiten, Personen und sogar Schiffe erfasst, die dem Iran zugerechnet werden. Die Bandbreite reicht über Bereiche wie Nuklear- und Raketennetze, Öl- und Energiekontexte bis hin zu digitalen Strukturen.
Besonders hervorgehoben wird ein Cyber-Kollektiv, das als mit dem Ministry of Intelligence and Security (MOIS) verbunden beschrieben wird. Die Behörde ordnet dem MOIS-nahen Umfeld umfangreiche Kompromittierungen kritischer US-Infrastruktur sowie finanziell motivierte Cyberdiebstähle zu.
Der MOIS-nahen Gruppe werden Angriffe auf kritische Infrastruktur zugerechnet
Die US-Behörden beschreiben, dass das MOIS mehrere Netzwerke von Bedrohungsakteuren steuert oder koordiniert. Dazu zählen Aktivitäten, die als Cyber-Spionage in Unterstützung politischer Ziele gelten – und die laut Mitteilung auch darauf ausgerichtet sein sollen, Schaden bei US-Bürgern zu verursachen.
Die Sanktionen richten sich daher nicht nur gegen vermeintliche Angreifer, sondern auch gegen Strukturen, die Angriffe ermöglichen oder finanziell absichern. In diesem Kontext wird eine Gruppe genannt, die in den letzten Jahren wiederholt Zugriff auf Systeme erlangt und Daten exfiltriert haben soll.
Fünf Angeklagte: Mabna Institute als mutmaßlicher Zusammenhang
Unter den Sanktionierten sind fünf Personen, die zuletzt auch im Zusammenhang mit weitreichenden Kompromittierungen gegen US-Unternehmen angeklagt wurden. Laut Darstellung sollen sie Mitglieder des Teheran-basierten Mabna Institute sein.
Die namentlich genannten Personen sind:
- Behzad Mesri
- Mojtaba Ghal’eh-Kuhi
- Keyvan Fayyaz Ghareh Blagh
- Saber Shahbazi Balujeh
- Mohammad Reza Kadkhoda’i
Zusätzlich wird Arman Kahzadian im Kontext der Maßnahmen erwähnt. Einzelne Namen tauchen demnach bereits früher in Sanktionierungszusammenhängen auf; zu Behzad Mesri wird etwa genannt, dass er 2018 und 2019 zweimal durch das Office of Foreign Assets Control (OFAC) designiert worden sei.
Wer soll besonders aktiv gewesen sein?
Laut dem Finanzministerium sollen Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh und Mohammad Reza Kadkhoda’i den Schwerpunkt der Netzwerkaktivitäten gebildet haben. Ihnen wird zugeschrieben, seit mindestens Ende 2023 unter anderem in Branchen wie Energie, Verteidigung, Gesundheitswesen, Informationstechnologie und Finanzwesen eingebrochen und Daten ausgeleitet zu haben.
Die Behörde beschreibt außerdem, dass die Gruppe offenbar für den Nutzen des MOIS agiert, zugleich aber auch stark an persönlicher Bereicherung interessiert sei. Dabei wird der Vorwurf erhoben, dass teils eigene Profite priorisiert würden – was wiederum dazu geführt haben soll, dass auch gezielt iranische Unternehmen angegriffen worden seien.
Angriffsmuster: von Behörden bis zu Finanz- und Krypto-Diebstählen
Im Sommer 2024 wurden die Akteure laut Bericht mit Einbrüchen in verschiedene Regierungsstellen in Verbindung gebracht – sowohl auf lokaler als auch auf bundesstaatlicher und föderaler Ebene. Ein Jahr später sollen Mojtaba Ghal’eh-Kuhi und Saber Shahbazi Balujeh Daten aus einem iranischen Telekommunikationsunternehmen extrahiert haben.
Parallel dazu wird Arman Kahzadian besonders mit Krypto-Diebstählen in Verbindung gebracht: Demnach habe er im Sommer 2023 angeblich unrechtmäßig Zugriff auf eine Wallet erlangt, die Bitcoin im Gegenwert von mehr als 30.000 US-Dollar enthielt.
Wie viele Gelder flossen – und wer verfolgte sie?
Die Analyse von TRM Labs zeigt, dass den fünf Mabna-Institute-Mitgliedern zugeordnete Wallets insgesamt rund 16,8 Millionen US-Dollar an eingegangenen Mitteln enthalten sollen. Laut der Auswertung hält Keyvan Fayyaz Ghareh Blagh demnach zehn Adressen, die zusammen etwa 15,5 Millionen US-Dollar erhalten haben sollen. Diese Summe soll rund 92 % des gesamten on-chain Volumens des Netzwerks ausmachen.
Für Behzad Mesri werden weitere rund 1,2 Millionen US-Dollar genannt, verteilt über mehrere Wallet-Adressen im Zeitraum von Mitte 2019 bis August 2026. Der verbleibende Gesamtbestand über alle 30 Adressen soll bei 202.662 US-Dollar liegen.
Die Zahlen werden in dem Bericht als Teil der Begründung herangezogen, warum digitale Geldflüsse als zentraler Hebel der Sanktionen gelten.
Finanzielle Fassaden: Frontfirmen und „digitale“ Abschottung
Ergänzend zu den Personensanktionen wird auf Berichte zu Finanzierungswegen verwiesen. Anfang des Jahres hatte TRM Labs demnach offengelegt, dass zwei in Großbritannien ansässige Frontunternehmen – Zedcex und Zedxion – operatives Finanzieren für die IRGC ermöglicht hätten. Laut Darstellung seien dabei Wechsel (Exchanges) mit rund 1 Milliarde US-Dollar an Mitteln befasst gewesen, die dem bewaffneten Zweig zugeordnet worden seien.
In einem Folgebericht soll DomainTools darauf hingedeutet haben, dass das Zusammenspiel dieser Akteure typische Merkmale einer finanziellen „Fassade“-Ökosystems aufweist. Damit wird ein Muster beschrieben, bei dem echte Aktivitäten durch strukturierte Tarnung verschleiert werden.
Belohnung für Hinweise auf Angreifer kritischer Infrastruktur
Parallel zur Sanktionsankündigung startete das US-Programm Rewards for Justice eine Ausschreibung. Dabei ist eine Belohnung von bis zu 10 Millionen US-Dollar für Hinweise vorgesehen, die helfen sollen, Personen zu identifizieren, die unter Steuerung oder Kontrolle einer ausländischen Regierung an schädlichen Cyberaktivitäten gegen US-Kritische Infrastruktur beteiligt sind.
Die Kombination aus Sanktionen und Anreizprogrammen soll laut der Gesamtausrichtung offenbar sowohl finanzielle als auch personelle Zugänge zu den Netzwerken unter Druck setzen.
Warum der Fokus auch für andere Länder zählt
In der Berichterstattung wird betont, dass es nicht ausschließlich um Primärziele im Iran-Kontext geht. Vielmehr wird im Umfeld der Maßnahmen auch das Thema Secondary Sanctions als „maximaler Druck“ erwähnt: Länder und Plattformen, die weiterhin Geschäfte mit Iran machen, sollen gewarnt werden.
Als besonders relevanter Schwerpunkt wird dabei der digitale Assets-Sektor genannt. Damit rückt auch der Bereich in den Blick, in dem sich Angriffsgewinne, Umlagerungen und Liquiditätswege abbilden können.
Ein mehrgleisiges Bedrohungsbild: Datendiebstahl, Zerstörung und Informationskrieg
Die zugrunde liegende Sicherheitsbetrachtung beschreibt ein mehrstufiges Risiko. Es soll verschiedene Cluster geben, die unterschiedliche Missionen verfolgen – von Datensammlung und -zerstörung über Social Engineering bis hin zu Kompromittierungen von Cloud-Umgebungen.
Zusätzlich wird auf Szenarien verwiesen, in denen Überwachung von Regimegegnern vorkommen kann. Auch opportunistische Angriffe auf betriebliche technische Systeme (Operational Technology) zählen in dieser Einordnung zu den möglichen Stoßrichtungen.
„Attack claims“ und Propaganda – Geschwindigkeit als strategischer Hebel
Ein weiterer Aspekt ist die Rolle von öffentlichkeitswirksamen Aktionen: In dem Bericht wird beschrieben, dass Angriffsansprüche und Propaganda oft innerhalb weniger Stunden nach konkreten Ereignissen in Zusammenhang mit militärischen Vorgängen auftauchen können. Viele Aktivitäten seien technisch nicht zwingend auf dem höchsten Niveau, aber der strategische Effekt entstehe durch Schnelligkeit, sichtbare Wirkung und eine Ideologie- und Nachrichteninszenierung, die in Medienzyklen landet.
Die Sicherheitsanalyse bewertet den Kernrisikotreiber als skalierbare Form von asymmetrischem Informationskrieg. So kann eine Cyberaktion auch dann Wirkung entfalten, wenn die rein technische Komponente begrenzt ist.
Fazit: Sanktionen als Teil eines größeren Sicherheits- und Abschottungsansatzes
Die Sanktionen gegen iranische Hacker, die im Rahmen von „Operation Economic Outcast“ angekündigt wurden, zeigen, wie stark die US-Behörden Cyberaktivitäten mit Finanzierungswegen und digitalen Vermögenswerten verknüpfen. Durch die Benennung mutmaßlicher MOIS-naher Akteure sowie die Ausrichtung auf Wallet-bezogene Spuren soll der Handlungsspielraum für Angriffe auf kritische Infrastruktur eingeengt werden.
Für Organisationen in Energie-, Gesundheits-, Finanz- und Behördenumfeldern bedeutet das vor allem: IT- und Sicherheitsmaßnahmen bleiben entscheidend, um Kompromittierungen früh zu erkennen und Datenabflüsse wirksam zu verhindern. Gleichzeitig kann die öffentliche Kombination aus Sanktionen, Analysen und Hinweisprogrammen die Bedrohungslage sichtbar verschieben – und Netzwerke unter anhaltenden Druck setzen.
Quelle: https://thehackernews.com/2026/08/us-sanctions-iran-linked-hackers-behind.html
