Internationale Cyberangriffe aus dem IP-Block 195.24.236.0/24
Auffällige Strukturen und mögliche staatliche Bezüge aus dem Iran?
Eine technische Analyse wiederholter Cyberangriffe auf europäische und internationale Netzinfrastrukturen rückt einen spezifischen IP-Adressblock in den Fokus: 195.24.236.0/24. Die Auswertung öffentlich zugänglicher Registrierungs- und Abuse-Daten offenbart eine auffällige Häufung gemeldeter Sicherheitsvorfälle sowie eine ungewöhnliche Organisationsstruktur hinter dem Netzsegment.
Hohe Missbrauchsquote dokumentiert
Die IP-Adresse 195.24.236.50 wurde laut Einträgen bei AbuseIPDB insgesamt 592 Mal von 277 unterschiedlichen Quellen gemeldet. Die gemeldeten Vorfälle umfassen unter anderem Brute-Force-Angriffe, Port-Scanning, Botnet-Kommunikation und automatisierte Exploit-Versuche. Eine derart hohe Anzahl unabhängiger Meldungen deutet nicht auf vereinzelte Fehlkonfigurationen hin, sondern auf systematische Nutzung zu offensiven Zwecken.
Wichtig ist jedoch die sachliche Einordnung: Eine hohe Abuse-Quote beweist nicht automatisch Täterschaft des registrierten Inhabers – sie belegt zunächst nur die wiederholte Nutzung der Infrastruktur für Angriffsaktivitäten.
Registrierung bei RIPE NCC als eigenständiger Anbieter
Der IP-Block ist im Register der RIPE NCC einer Organisation mit der Kennung ORG-JN58-RIPE zugeordnet. Als Inhaber wird eine Person namens Jafar Naderlo geführt. Die Eintragung als sogenanntes LIR (Local Internet Registry) bedeutet, dass es sich formal um einen eigenständigen Internetanbieter mit eigenen Adressressourcen handelt – nicht um einen gewöhnlichen Privatnutzer.
Die zugehörige Autonome Systemnummer lautet AS60223, betrieben unter dem Namen „Netiface“, mit technischer Anbindung in den Niederlanden.
Im August 2025 wurde eine zweite Organisation mit nahezu identischen Strukturdaten angelegt:
- ORG-JN59-RIPE
- IP-Block: 194.26.66.0/24
- AS205899 („PAPILIOHOST“)
- identische niederländische Adressangabe
Diese Doppelstruktur ist ungewöhnlich. Seriöse Hosting-Unternehmen treten konsistent unter einer klaren Firmierung auf. Mehrere nahezu identische Organisationseinträge mit unterschiedlichen AS-Nummern sind im professionellen Marktumfeld selten und werfen Fragen auf.
Widersprüchliche Standortangaben
Besonders auffällig sind die im Whois-Register hinterlegten Adressen:
- „No 59, Computer Central of Valiasr“, Teheran, Iran
- Eygelshoven, Niederlande
Die parallele Nennung zweier Länder in unterschiedlichen geopolitischen Räumen ist kein Beweis für illegale Aktivitäten – sie ist jedoch erklärungsbedürftig. Während internationale Hosting-Unternehmen häufig Niederlassungen unterhalten, erfolgt die Darstellung üblicherweise transparent über eine klar benannte Gesellschaftsstruktur.
Hinzu kommt ein administrativer Kontakt namens „Arshia Parvane“ mit iranischer Mobilfunknummer. Ob es sich um einen Mitarbeiter, einen technischen Ansprechpartner oder eine formale Kontaktperson handelt, ist öffentlich nicht verifizierbar.
Keine Szene-Bekanntheit
Bemerkenswert ist, dass der Name „Jafar Naderlo“ in keiner bekannten sicherheitstechnischen Berichterstattung, in keiner einschlägigen Hacker-Datenbank und in keiner Publikation westlicher Sicherheitsbehörden auftaucht. Weder das Bundesamt für Sicherheit in der Informationstechnik noch der Chaos Computer Club noch Fachmedien wie Heise Online führen entsprechende Einträge.
Das spricht gegen die These eines bekannten Einzelakteurs – und eher für eine infrastrukturelle Rolle.
Infrastruktur versus Akteur
In der Cybersicherheitsanalyse ist klar zwischen Täter und Infrastruktur zu unterscheiden. IP-Blöcke können vermietet, weiterverpachtet oder kompromittiert werden. Wer hinter konkreten Angriffskampagnen steht, lässt sich allein auf Basis von Whois-Daten nicht gerichtsfest bestimmen.
Gleichzeitig ist ebenso klar:
Wer als LIR eigene Netze betreibt, trägt Verantwortung für deren Nutzung. Eine dauerhaft hohe Abuse-Dichte ohne wirksame Gegenmaßnahmen ist mindestens ein Indiz für mangelhafte Kontrolle – im ungünstigsten Fall für bewusste Duldung.
Geopolitischer Kontext
Der iranische Cyberraum ist seit Jahren Gegenstand sicherheitspolitischer Analysen. Verschiedene internationale Studien beschreiben ein Ökosystem zahlreicher Hacktivist- und Proxy-Gruppen mit teils koordinierter Ausrichtung. Offiziell unabhängige Akteure nutzen dabei häufig gemietete oder neu registrierte Infrastrukturen, um Attribution zu erschweren.
Wichtig ist hier die Trennung von Fakten und Spekulation:
Faktisch belegt:
- Hohe Abuse-Meldungen zu 195.24.236.50
- Registrierung als eigenständiges LIR
- Parallele Organisationsstrukturen mit ähnlichen Daten
- Iranischer Bezug in den Registrierungsangaben
Nicht belegt:
- Eine direkte staatliche Steuerung
- Persönliche Täterschaft der registrierten Person
- Ein nachweisbarer Zusammenhang zu konkreten APT-Gruppen
Eine direkte Zuordnung zu staatlichen iranischen Strukturen wäre ohne zusätzliche forensische Beweise unseriös.
Bewertung
Die vorliegenden Daten deuten nicht auf einen „berühmten Hacker“ hin, sondern auf eine möglicherweise bewusst flexibel gehaltene Hosting-Struktur mit auffälliger Missbrauchsstatistik. Ob es sich um:
- einen schlecht kontrollierten Infrastrukturbetreiber,
- einen absichtlich anonymisierten Reseller,
- oder um eine gezielt aufgebaute operative Plattform handelt,
lässt sich auf Basis der offenen Quellen nicht abschließend klären.
Was jedoch klar ist:
Ein IP-Block mit hunderten unabhängigen Missbrauchsmeldungen ist kein Zufall und kein Bagatelldelikt. Er gehört in die Beobachtung professioneller Sicherheitsanalysten und CERT-Strukturen.
Fazit
Die Kombination aus hoher Abuse-Quote, doppelter Organisationsstruktur, geografischer Inkonsistenz und fehlender öffentlicher Sichtbarkeit ergibt ein Bild, das nicht typisch für einen transparent agierenden Internetanbieter ist. Gleichzeitig wäre jede vorschnelle politische oder strafrechtliche Zuschreibung unseriös.
Cyber-Sicherheit erfordert Nüchternheit:
Nicht jeder auffällige Datensatz ist Beweis für staatliche Operationen – aber Ignorieren ist ebenso fahrlässig.
Weitere technische Tiefenanalysen, Traffic-Korrelationen und Kooperation mit internationalen CERT-Stellen wären erforderlich, um belastbare Schlussfolgerungen zu ziehen.
Vor knapp zehn Jahren existierte „Eltern ans Netz e. V.“ als ernst gemeinter Versuch, Eltern im digitalen Wandel Orientierung zu geben. Damals glaubte man noch, das Problem bestehe darin, Menschen ins Internet zu bringen. Heute wirkt dieser Gedanke fast rührend. Wenn man ehrlich ist, müsste der Verein inzwischen „Eltern vom Netz“ heißen – nicht, weil Digitalisierung rückgängig zu machen wäre, sondern weil die eigentliche Herausforderung längst nicht mehr der Zugang, sondern die Entgrenzung ist.
