Ransomware ist eine schädliche Software (Malware), die wichtige Dateien oder Systeme blockiert und verschlüsselt, um Lösegeld zu verlangen – eine der größten Bedrohungen für die Cybersicherheit, da sie Datenverlust und hohe Kosten verursacht.
Inhaltsverzeichnis
Was ist der Ursprung von Ransomware?
Ransomware entstand Mitte der 2000er Jahre in Russland und entwickelte sich rasch weiter. Anfangs wurden Dateien verschlüsselt und ein Lösegeld gefordert. Später kamen Varianten hinzu, die Mobilgeräte und den Master Boot Record infizierten. Ab 2012 breitete sich die Bedrohung in Europa aus, mit neuen Taktiken wie gefälschten Strafverfolgungswarnungen und anonymen Zahlungsmethoden. Crypto-Ransomware wie CryptoLocker verschärfte die Bedrohung durch Datenlöschung bei Nichtzahlung. Seitdem nutzen Cyberkriminelle immer raffiniertere Methoden zur Erpressung.
Bis 2012 breitete sich Ransomware von Russland auf andere europäische Länder aus. Dies könnte auf das verstärkte Vorgehen gegen gefälschte Antivirenprogramme (FAKEAV) zurückzuführen sein, woraufhin Cyberkriminelle neue Methoden finden mussten, um weiterhin von ahnungslosen Opfern zu profitieren. Ransomware-Akteure entwickelten neue Taktiken zur Verbreitung der Bedrohung. Eine damals populäre Methode wurde durch Reveton eingeführt – dabei wurden Strafverfolgungsbehörden imitiert und den Opfern mit strafrechtlichen Konsequenzen gedroht. Gleichzeitig experimentierten Ransomware-Gruppen mit verschiedenen Zahlungsmethoden wie Ukash, paysafecard und MoneyPak, um ihre Spuren zu verschleiern.
Ende 2013 trat das bekannt gewordene „Crypto-Ransomware“ in den Vordergrund, angeführt von Varianten wie CryptoLocker. Diese Bedrohung verschlüsselte nicht nur Dateien, sondern begann auch damit, sie zu löschen, wenn das Opfer die Zahlung verweigerte. Zur Wiederherstellung der Dateien mussten Opfer unterschiedlich hohe Lösegeldbeträge in Form von Bitcoins zahlen, um den Entschlüsselungsschlüssel zu erhalten.
Seit der Einführung von Crypto-Ransomware ergreifen Cyberkriminelle zunehmend Maßnahmen, um effektiver Geld von Opfern – ob Privatpersonen oder Unternehmen jeglicher Größe – weltweit zu erpressen.
Ende 2013 trat das bekannt gewordene „Crypto-Ransomware“ in den Vordergrund, angeführt von Varianten wie CryptoLocker. Diese Bedrohung verschlüsselte nicht nur Dateien, sondern begann auch damit, sie zu löschen, wenn das Opfer die Zahlung verweigerte. Zur Wiederherstellung der Dateien mussten Opfer unterschiedlich hohe Lösegeldbeträge in Form von Bitcoins zahlen, um den Entschlüsselungsschlüssel zu erhalten.
Seit der Einführung von Crypto-Ransomware ergreifen Cyberkriminelle zunehmend Maßnahmen, um effektiver Geld von Opfern – ob Privatpersonen oder Unternehmen jeglicher Größe – weltweit zu erpressen.
Wie funktioniert Ransomware?
Ransomware verschlüsselt gezielt wichtige Dateien auf lokalen und Netzwerk-Speichern. Ohne Backup bleibt oft nur die Zahlung des Lösegelds. Angreifer nutzen Phishing, Schwachstellen oder unsichere Passwörter, um Zugang zu erhalten. Danach folgen interne Aktivitäten, Datenexfiltration und schließlich die Ausführung der Ransomware. Ziel ist maximale Erpressung durch Verschlüsselung und Drohung mit Veröffentlichung sensibler Daten.
Wird die Ransomware aktiviert, durchsucht sie den lokalen und Netzwerkspeicher nach Dateien, um sie zu verschlüsseln. Sie sucht gezielt nach Dateien, die für das Unternehmen oder die Einzelperson besonders wichtig sind. Dies umfasst auch Backup-Dateien, mit denen Sie Ihre Daten wiederherstellen könnten
Verschiedene Arten von Ransomware zielen auf verschiedene Dateiarten ab. Aber es gibt auch Dateiarten, die für alle interessant sind. Die meisten Arten von Ransomware suchen nach Microsoft Office Dateien, weil diese oft kritische Unternehmensinformationen enthalten. Die Ransomware konzentriert sich auf wichtige Dateien, um die Wahrscheinlichkeit zu erhöhen, dass das Lösegeld gezahlt wird.
Ransomware-Angriffe lassen sich in vier Hauptphasen unterteilen:
„erste Kompromittierung“, „interne Aktivitäten“, „Datenexfiltration“ und „Ausführung der Ransomware“.
Ab der Phase der „internen Aktivitäten“ kommen dabei Angriffsmethoden zum Einsatz, die jenen aus sogenannten „zielgerichteten Angriffen“ (Targeted Attacks) ähneln.
1. Erste Kompromittierung
Um ihre Ziele, also Datendiebstahl und die Infektion mit Ransomware, zu erreichen, verschaffen sich Angreifer zunächst Zugang zum internen Netzwerk.
Typische Einstiegsmethoden sind:
- Ausnutzen von Schwachstellen in Netzwerksystemen (z. B. VPN)
- Missbrauch unsicherer Passwörter bei Remote Desktop Protocol (RDP)
- Phishing-E-Mails an Mitarbeitende, um Malware zu installieren
Diese Taktiken ermöglichen es Angreifern, unbemerkt in die Infrastruktur einer Organisation einzudringen.
2. Interne Aktivitäten
Nach erfolgreicher Infiltration nutzen Angreifer sogenannte Remote Access Tools (RATs), um Endgeräte fernzusteuern und sich maximale Zugriffsrechte zu verschaffen.
Um Entdeckung zu vermeiden, greifen sie oft auf legitime Tools zurück, die bereits im Unternehmen genutzt werden.
Beispiele:
Penetrationstest-Tools zur Schwachstellenerkennung
Cloud-Dienste wie Speicherplattformen zur Datenübertragung
Diese Methode wird als „Living off the Land“ bezeichnet – der Angreifer nutzt vorhandene Infrastruktur und fällt dadurch weniger auf.
Zunehmend setzen Angreifer auch Anti-EDR-Techniken ein, um moderne Endpoint-Detection-and-Response-Lösungen gezielt zu deaktivieren und unentdeckt zu bleiben.
3. Datenexfiltration
Nach Erlangung ausreichender Rechte durchsuchen Angreifer das Netzwerk gezielt nach sensiblen Daten, die sich für Erpressung durch Veröffentlichung eignen.
Die erbeuteten Dateien werden zentral gesammelt und anschließend auf Angreiferserver hochgeladen.
4. Ausführung der Ransomware
Nachdem die Daten erfolgreich exfiltriert wurden, wird die Ransomware im Netzwerk verteilt und aktiviert.
Vor dem Angriff wird oft die Sicherheitssoftware deaktiviert, um die Ausführung zu gewährleisten.
Mittels Gruppenrichtlinien wird die Ransomware im gesamten internen Netzwerk ausgerollt.
Nach der Verschlüsselung der Dateien erscheint auf den betroffenen Geräten eine Lösegeldforderung, um die Opfer zur Zahlung zu bewegen.
Welche Arten von Ransomware gibt es?
Es gibt verschiedene Ransomware-Typen: Leakware droht mit Veröffentlichung sensibler Daten, Mobile Ransomware sperrt Geräte, RaaS ermöglicht auch technisch weniger versierten Angreifern den Einsatz von Ransomware, und Scareware nutzt Angst zur Erpressung. Jede Variante verfolgt unterschiedliche Ziele, aber alle zielen darauf ab, Opfer zur Zahlung zu bewegen.
Leakware oder Doxware
Leakware, auch bekannt als Doxware, bringt Ransomware-Bedrohungen auf eine neue Ebene, indem Dateien nicht nur verschlüsselt werden, sondern auch sensible oder vertrauliche Daten veröffentlicht werden, wenn das Lösegeld nicht bezahlt wird. Im Gegensatz zu herkömmlicher Ransomware, bei der der Fokus darauf liegt, den Zugriff auf Daten durch Durchschaltung zu verhindern, nutzt Leakware die Angst der Menschen vor öffentlicher Exposition. Oft verwenden Hacker Leakware als Teil einer doppelten Erpressungsstrategie, was sowohl die Entschlüsselung als auch die Verhinderung von Datenlecks erfordert.
Mobile Ransomware
Da mobile Geräte zu einem zentralen Bestandteil privater und geschäftlicher Aktivitäten geworden sind, wurden sie zum Ziel von Ransomware-Angriffen. Mobile Ransomware verbreitet sich häufig über bösartige Apps oder Phishing-Nachrichten. Nach der Installation sperrt die Malware das Gerät, zeigt Lösegeldnachrichten an oder verschlüsselt lokalen Speicher, was verhindert, dass Benutzer auf ihre Apps, Fotos und Kontakte zugreifen können. In der Regel verlangen Hacker Zahlungen in Kryptowährung, um das Gerät zu entsperren.
Ransomware-as-a-Service (RaaS)
Ransomware as a Service (RaaS) ist ein Geschäftsmodell für Cyberkriminalität, das den Verkauf oder die Vermietung von Ransomware an Käufer umfasst, die als verbundene Unternehmen bezeichnet werden. RaaS kann als einer der Hauptgründe für die schnelle Verbreitung von Ransomware-Angriffen angerechnet werden, da es eine Vielzahl von Bedrohungsakteuren erleichtert hat – selbst diejenigen, die wenig technische Fähigkeiten und Wissen mit der Munition haben, Ransomware gegen ihre Ziele einzusetzen.
Scareware
Scareware verlässt sich auf psychologische Manipulation, um Opfern Geld zu erpressen. Oft wird es als Antivirensoftware oder Systemwarnung ausgegeben, die behaupten, dass das Gerät des Opfers mit Malware infiziert ist oder kritische Schwachstellen aufweist. Die Software verlangt dann eine Zahlung, um die nicht vorhandenen Probleme zu „beheben“. Obwohl Scareware Dateien nicht immer verschlüsselt, kann es Benutzer aus ihren Systemen aussperren oder sie mit dauerhaften Pop-up-Nachrichten bombardieren, bis eine Lösegeldzahlung erfolgt. Scareware setzt auf Angst und mangelndes technisches Wissen und ist damit ein effektives Tool für weniger technisch versierte Nutzer.
Wie kannst du dich vor Ransomware schützen?
Backups sind essenziell – idealerweise in der Cloud. Prävention beginnt bei den Anwendern: DNS-Filter und E-Mail-Schutz verhindern Downloads schädlicher Inhalte. Anti-Malware mit Machine Learning erkennt Bedrohungen frühzeitig. Regelmäßige Updates und Schulungen stärken die Verteidigung gegen Ransomware
Die beste Möglichkeit, sich vor Ransomware zu schützen, sind Backups. Lokal oder auf einem Netzlaufwerk gespeicherte Backup-Dateien sind angreifbar. Cloud-Speicher ist vor Netzwerk-Scans durch Ransomware geschützt und damit eine gute Lösung zur Wiederherstellung. Ausnahme: Sie erfassen Cloud-Speicher als lokales Laufwerk oder Unterordner.
Prävention ist das beste Mittel, um Schäden durch Ransomware zu vermeiden. Die meisten Angriffe beginnen, wenn Anwender die Software unbeabsichtigt direkt herunterladen oder versehentlich ein böswilliges Skript ausführen.
Zwei Möglichkeiten, die verhindern, dass Anwender Ransomware herunterladen, sind DNS-basiertes Content Filtering und E-Mail-Cybersicherheitslösungen mit intelligenten Quarantänefunktionen. DNS-basiertes Content Filtering verhindert, dass Anwender Internetseiten aufrufen, die auf der Sperrliste stehen. E-Mail-Filter stellen böswilligen Content und böswillige Anhänge unter Quarantäne, damit sie von einem Administrator überprüft werden können.
Zudem empfiehlt es sich, auf allen Geräten (einschließlich Mobilgeräten) immer Anti-Malware-Software mit Machine Learning und Verhaltensüberwachung einzusetzen. Eine gute Anti-Malware-Anwendung erkennt Ransomware, bevor sie auf den Speicher zugreifen und Dateien verschlüsseln kann. Für bestmögliche Effektivität muss Anti-Malware-Software immer über die neuesten Patches und Updates verfügen, damit sie die aktuellen Bedrohungen erkennt.
Welche Auswirkungen hat Ransomware auf Unternehmen?
Ransomware kann Unternehmen lahmlegen und hohe Kosten verursachen. Varianten wie Ryuk, CryptoLocker und WannaCry haben weltweit Schäden angerichtet. Selbst nach Entfernung der Malware bleiben oft Probleme bestehen. Neue Bedrohungen wie REvil und Zeppelin zeigen, dass Ransomware weiterhin eine ernsthafte Gefahr für Unternehmen darstellt.
Ein Beispiel: 2018 und 2019 deaktivierte die Ryuk-Ransomware die Windows-Systemwiederherstellung. Die Anwender konnten ihre Daten nicht mehr von einem früheren Restore-Punkt im Betriebssystem wiederherstellen. Ryuk nahm dabei Unternehmen ins Visier und verlangte mehrere hunderttausend Dollar Lösegeld.
CryptoLocker, WannaCry und Petya waren unterschiedliche Formen von Ransomware, die globale Infrastrukturen lahmlegten und von denen sogar Banken und Regierungsbehörden betroffen waren. Insbesondere WannaCry zielte auf Windows-Rechner ab und nutzte ein von der United States National Security Agency (NSA) entwickeltes Exploit, um offene Netzlaufwerke zu scannen und angreifbare Dateien zu verschlüsseln.
Anhaltende Ransomware-Bedrohungen sind unter anderem Gandcrab, SamSam, Zeppelin und REvil. Diese neueren Varianten stellen weiterhin gefährliche Malware dar, die Unternehmenssysteme zerstören kann.
Welche Ransomware-Varianten sind am weitesten verbreitet?
Bekannte Familien wie Ryuk, MAZE und LockBit agieren weltweit. Jede Gruppe hat eigene Ziele und Methoden. Seit 2022 sind neue Varianten wie RansomHub aktiv. Trend Micro analysiert diese Gruppen und bietet Einblicke zur Risikominimierung und Ursachenanalyse bei Angriffen.
Obwohl internationale Strafverfolgungsbehörden bei der Zerschlagung und Anklage bekannter Gruppen Fortschritte erzielt haben, nimmt die Bedrohung durch Ransomware weiterhin zu. Ein wesentlicher Grund hierfür ist das Aufkommen neuer Ransomware-Familien seit 2022.
Laut Trend Micros Monitoring von Leak-Seiten haben Gruppen wie RansomHub ihre Aktivitäten im Jahr 2024 stark ausgeweitet. Im Oktober 2024 machten die Top 10 der Ransomware-Gruppen bereits 90 % aller Veröffentlichungen auf Leak-Seiten aus.
Trend Micro stellt in seinem Blog detaillierte Informationen über die wichtigsten Ransomware-Familien und deren spezifische Angreiferprofile bereit.
Ein solches Verständnis der Angriffsarten hilft dabei, Risiken frühzeitig zu erkennen. Sollte Ihre Organisation Ziel eines Ransomware-Angriffs werden und die jeweilige Familie identifizierbar sein, können diese Informationen auch bei der Ursachenanalyse unterstützen.
Besteht eine anhaltende Gefahr durch Ransomware?
Ja, Ransomware bleibt eine globale Bedrohung. Unternehmen jeder Größe sind gefährdet. Schutzmaßnahmen wie Backups, Anti-Malware und Schulungen sind entscheidend. Trend Micro bietet Studien und Tools zur Risikominimierung und besseren Vorbereitung auf mögliche Angriffe.
Hier können Sie die Trend Micro-Studie herunterladen
https://www.trendmicro.com/vinfo/de/security/news/cybercrime-and-digital-threats/the-future-of-ransomware
Wie schützt Trend Micro vor Ransomware?
Trend Micro senkt das Cyberrisiko durch Echtzeit-Erkennung, automatisierte Behebung und umfassende Plattformlösungen. Die Trend Vision One™ Plattform hilft Unternehmen, Sicherheitsverletzungen zu vermeiden und Kosten zu reduzieren. Cyber Risk Exposure Management ist ein zentraler Bestandteil dieser Strategie.
- Zentralisierte Bedrohungserkennung: Ermöglicht eine schnelle und gezielte Reaktion auf sicherheitsrelevante Vorfälle.
- KI-gestützte Analyse und Automatisierung: Optimiert Sicherheitsprozesse und reduziert manuelle Eingriffe.
- Regulatorische Unterstützung: Hilft bei der Einhaltung gesetzlicher Vorgaben und branchenspezifischer Standards.
- Proaktive Risikobewertung: Identifiziert Schwachstellen frühzeitig und verhindert potenzielle Angriffe.
FAQs
Was ist Ransomware?
Ransomware ist eine Art von Schadsoftware, die deine Daten sperrt oder verschlüsselt und ein Lösegeld für deren Freigabe verlangt.
Wie erkennt man Ransomware?
Achte auf ungewöhnliche Dateiendungen, gesperrte Dateien, Erpressernachrichten oder eine plötzliche Verlangsamung des Systems.
Woran erkenne ich, ob ich Ransomware habe?
Du siehst möglicherweise eine Lösegeldforderung, kannst keine Dateien öffnen oder bemerkst seltsames Verhalten des Systems.
Was passiert, wenn man Ransomware bekommt?
- Ransomware verschlüsselt deine Dateien, und der Angreifer fordert ein Lösegeld. Das kann deine Abläufe stören und sensible Daten gefährden.
Wie entfernt man Ransomware?
Trenne das infizierte Gerät vom Netzwerk, führe einen Malware-Scan durch und stelle saubere Backups wieder her. Bezahle kein Lösegeld.
Was ist der wichtigste Schutz gegen Ransomware-Angriffe?
Regelmäßige Backups, Mitarbeiterschulungen und aktuelle Sicherheitssoftware sind entscheidend.