Die Auslieferung des 34-jährigen Xu Zewei markiert einen seltenen diplomatischen Erfolg im Kampf gegen staatlich geförderte Cyberkriminalität. Der Chinese wurde im Juli 2025 von italienischen Behörden festgenommen, nachdem er mit seiner Frau in Mailand im Urlaub war. Bei seinem Gerichtsverfahren plädierte er auf nicht schuldig und bestritt jegliche Verbindungen zu chinesischen Regierungshacking-Operationen.
Laut der Anklage des U.S. Department of Justice arbeitete Xu Zewei für das Unternehmen Shanghai Powerock Network Co. Ltd., das als eines von vielen “unterstützenden” chinesischen Unternehmen fungiert, die Hacking-Operationen für die Regierung durchführen. Die Attacken erfolgten unter Anweisung des Ministeriums für Staatssicherheit, speziell der Shanghaier Staatssicherheitsbehörde.
Zwischen Februar 2020 und Juni 2021 zielten Xu und seine Mitverschwörer gezielt auf US-amerikanische Universitäten, Immunologen und Virologen ab, die an COVID-19-Impfstoffen, Behandlungsmethoden und Tests forschten. Ein besonders aufsehenerregender Fall war der Einbruch in Systeme einer texanischen Universität zur Beschaffung von Impfstoffinformationen. Ab Ende 2020 exploitierten die Angreifer bekannte Sicherheitslücken im Microsoft Exchange Server – eine Aktivität, die Microsoft als “Hafnium” verfolgte und dokumentierte.
Die Anklage umfasst neun Anklagepunkte wegen Drahtzugsbetrügen, Verschwörung zu unbefugtem Zugriff auf geschützte Computer sowie schwerer Identitätsdiebstahl. Sein Komplize Zhang Yu bleibt flüchtig und wird derzeit gesucht.
Für die deutsche Cybersicherheitslandschaft unterstreicht dieser Fall die persistente Bedrohung durch staatlich geförderte Hackergruppen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat wiederholt vor ähnlichen Angriffsmustern gewarnt und deutschen Unternehmen – besonders in kritischen Infrastrukturen und der Forschung – eine Überprüfung ihrer Exchange-Server-Konfigurationen empfohlen. Organisationen, die Opfer solcher Angriffe werden, müssen zudem die DSGVO-Meldepflicht beachten und könnten mit Bußgeldern bis zu vier Prozent des Jahresumsatzes rechnen.