Ransomware
Ransomware: Einbruch als wichtigstes Ziel
Bei Ransomware-Angriffen ist mittlerweile der Zugriff auf die Umgebungen der Opfer das zentrale Handelsgut ist. Wir liefern eine strategische Einschätzung der aktuellen spezialisierten kriminellen Lieferkette mit Empfehlungen für den Schutz von Unternehmen.
Save to Folio
Wichtigste Erkenntnisse
- Der Einbruch ist mittlerweile das wichtigste Ziel. Ein erfolgreicher Angriff kann Einnahmen durch Ransomware, Datendiebstahl und Erpressung, den Weiterverkauf von Zugriffsrechten, Betrug oder zukünftige Ausnutzung generieren.
- Verschlüsselung ist nicht mehr notwendig, um Druck auszuüben. Datendiebstahl, regulatorische Verpflichtungen, Reputationsschäden und Betriebsstörungen können Opfer auch ohne Systemverschlüsselung reichen aus.
- Das Ransomware-Ökosystem hat sich zu einer spezialisierten kriminellen Lieferkette entwickelt. Initial-Access-Broker, Malware-Entwickler, Verhandlungsführer, Infrastrukturanbieter und Partner übernehmen nun unterschiedliche Rollen.
- KI verstärkt bestehende Ransomware-Arbeitsabläufe, anstatt sie zu verändern. KI senkt eher die Kosten für Aktivitäten nach dem Angriff. KI-Systeme in Unternehmen könnten zudem zu sekundären Zielen werden, da sie wertvolles Unternehmenswissen bündeln.
- Externer Druck hat das Ökosystem verändert, ohne dessen Wirtschaftlichkeit zu beeinflussen. Strafverfolgungsmaßnahmen, Sanktionen, regulatorische Reformen, verbesserte Abwehrmaßnahmen und Cyberversicherungen haben einzelne Ransomware-Gruppen zwar geschwächt, das übergeordnete Ökosystem jedoch nicht zerschlagen.
- Verteidiger müssen sich auf die Verhinderung unbefugter Zugriffe konzentrieren, nicht nur auf die Payload.
Ransomware gehört nach wie vor zu den gravierendsten und hartnäckigsten Cyberbedrohungen, denen Unternehmen weltweit ausgesetzt sind. Seit unserer letzten Analyse 2022 hat sich das Ökosystem jedoch erheblich weiterentwickelt. Maßnahmen der Strafverfolgungsbehörden, regulatorische Reformen, Cyberversicherungen, stärkere Abwehrmaßnahmen und KI haben die Vorgehensweise der Ransomware-Betreiber beeinflusst.
Das heutige Ransomware-Ökosystem ist ein flexibler, vernetzter Marktplatz, der zahlreiche Malware-Familien, kriminelle Gruppen und Verschlüsselungstechniken vereint, wo sich Angreifer spezialisieren, Dienstleistungen austauschen, Zugriffsrechte weiterverkaufen, Daten stehlen und auf vielfältigen Wegen aus einem einzigen Angriff Profit schlagen.
Die sich wandelnde Ökonomie von Ransomware
Ransomware hat sich dahingehend entwickelt, dass die Betreiber mit einer neuen Ware handeln: dem unbefugten Zugriff auf die Umgebungen ihrer Opfer. Den Zugang erlangen sie durch gestohlene Credentials, ausgenutzte Sicherheitslücken, kompromittierte Identitäten oder bereits bestehende Einfallstore, und der ermöglicht den Zugriff auf Unternehmensnetzwerke, Cloud-Umgebungen, Software-as-a-Service-Plattformen (SaaS) und Fernzugriffssysteme.
Die zentrale Einsicht unserer Recherchen ist, dass Ransomware mittlerweile nur noch eine von vielen Monetarisierungsmöglichkeiten innerhalb eines umfassenderen kriminellen Systems darstellt. Zu den verschiedenen Einnahmequellen gehören:
- Verschlüsselung von Systemen und Lösegeldforderung
- Diebstahl sensibler Daten zu Erpressungszwecken
- Verkauf des Zugriffs an andere kriminelle Gruppen
- Erfassung von Anmeldedaten und Geschäftsinformationen
- Durchführung von Betrugs- oder Lieferkettenangriffen
- Aufrechterhaltung des Zugriffs für zukünftige Ausnutzung
Das bedeutet, dass die wichtigste Frage der Kriminellen nicht mehr lautet, ob einfach nur Ransomware eingesetzt wird, sondern wie sie den Wert eines erfolgreichen Eindringens maximieren können. Die erste und folgenreichste dieser Entscheidungen war die Trennung von Erpressung und Verschlüsselung.
Verschlüsselung bleibt wirksam, da sie unmittelbaren operativen Druck erzeugt, auch wenn viele Erpressungsaktionen nicht mehr davon abhängig sind. Gestohlene Daten, regulatorische Verpflichtungen, Reputationsschäden und Betriebsstörungen können auch dann Druckmittel darstellen, wenn Systeme nicht verschlüsselt sind.
Erpressung jenseits der Verschlüsselung
Doppelte Erpressung hat gezeigt, dass gestohlene Daten Druck über die Systemverschlüsselung hinaus erzeugen können. Seitdem haben Angreifer den Einsatz von Datendiebstahl, Drohungen mit öffentlicher Offenlegung, regulatorischem Druck und Rufschädigung weiter ausgebaut.
Für Erpressung ist keine Verschlüsselung mehr erforderlich, denn bereits die Offenlegung an sich stellt ein Druckmittel dar, und damit eröffnen sich verschiedene Vorgehensweisen. Einige stützen sich auf gestohlene Daten und veröffentlichte Beispiele als Beweis für den Angriff. Andere üben mit begrenzten Beweisen Druck auf die Opfer aus und nutzen dabei die Unsicherheit darüber aus, auf welche Daten möglicherweise zugegriffen wurde. Selbst die Behauptung des Vorhandenseins eines Datenleaks wird zu einem Druckmittel, wenn das Opfer diese nicht widerlegen kann.
Der Verzicht auf Verschlüsselung kommt Angreifern gelegen, da diese die Verteidiger alarmiert, Incident Response auslöst und die forensische Untersuchung beschleunigt. Datendiebstahl kann länger unentdeckt bleiben, sodass Angreifer Zeit haben, die Exfiltration abzuschließen, ihre Tools zu entfernen und Verhandlungen aufzunehmen, bevor die Opfer den Vorfall überhaupt bemerken. Zudem verkürzt sich der Lebenszyklus des Angriffs, da die Bereitstellung und Verwaltung von Verschlüsselungs-Payloads in großen Umgebungen entfällt.
Die Offenlegung von Sicherheitsverletzungen, über die in der Presse berichtet und das Vertrauen des Marktes untergraben wird, ist ein Druckmittel, das außerhalb des Netzwerks des Opfers liegt. Wenn gestohlene Daten Kunden, Patienten oder Partner betreffen, können diese Gruppen direkt Druck auf das Opfer ausüben, zum Teil nachdem die Angreifer sie kontaktiert haben. Das Opfer verhandelt daher nicht mehr nur, um den Betrieb wiederherzustellen, sondern um Schaden von denjenigen abzuwenden, für die es verantwortlich ist.
Zudem haben die Angreifer gelernt, die Compliance-Verpflichtungen ihrer Opfer als Druckmittel auszunutzen. Vorschriften zum Schutz von Daten erhöhen die Kosten und verstärken die Dringlichkeit, wodurch sich die Auswirkungen des Angriffs über das Unternehmen hinaus auf alle damit verbundenen Personen ausweiten.
Der Aufstieg einer spezialisierten kriminellen Lieferkette
Das Ransomware-Ökosystem hat sich zu einem Netzwerk spezialisierter Akteure entwickelt. Initial Access Broker (IAB), Malware-Entwickler, Infrastrukturanbieter, Verhandlungsführer, Partner und Geldwäsche-Dienste können jeweils unterschiedliche Rollen übernehmen. Zugriff ist zur Basisware geworden. Der Aufstieg der IABs verdeutlicht diesen Wandel: Sie verkaufen häufig Zugriffe, ohne selbst Ransomware einzusetzen, wodurch Ransomware-Betreiber nur einer von vielen potenziellen Kunden sind. Chainalysis schätzt, dass IABs 2025 etwa 14 Mio. US-Dollar für Zugangsdaten und Zugriffsrechte eingenommen haben. Diese Spezialisierung senkt die Eintrittsbarrieren und ermöglicht es kriminellen Akteuren, sich Fähigkeiten zu verschaffen, ohne jeden Teil eines Angriffs selbst aufbauen zu müssen.
Der Einfluss von KI
KI kann mehrere Phasen eines Angriffs beeinflussen, doch zeigen sich die deutlichsten operativen Auswirkungen erst nach dem Zugriff. Anfang 2026 setzten Gruppen wie The Gentlemen und die GLOBAL Group bereits KI für die Datenanalyse, die codeunterstützte Entwicklung und für Opfer-orientierte Chatbots auf ihren Leak-Seiten ein.
Zudem dient sie der Unterstützung bei Routinearbeiten, wie Identifizierung Opfern, Informationsbeschaffung, Übersetzung der Kommunikation etc., und trägt damit zur Senkung der Kosten für Aktivitäten nach einer Kompromittierung bei.
KI hilft auch bei Vorabauswahl und ergänzt das menschliche Urteilsvermögen, indem sie den Betreibern hilft, Chancen zu priorisieren, den Wert zu erkennen und vielversprechende Monetarisierungswege aufzuzeigen.
Die Verbreitung der KI-basierten Assistenten hat neue Angriffsmöglichkeiten geschaffen. Viele KI-Systeme sind mit einer Vielzahl interner Ressourcen verbunden, darunter Dokumentenarchive, Kollaborationsplattformen, Ticket-Systeme, Plattformen zur Quellcodeverwaltung, Kundenbeziehungsmanagementsysteme und unternehmensinterne Wissensdatenbanken. Durch die Bündelung dieser Ressourcen in einer einzigen Schnittstelle macht die KI-Ebene die individuelle Suche in jedem einzelnen System überflüssig. Was aber für die Anwender praktisch ist, nutzt auch Angreifern, die nur noch eine einzige kompromittierte Umgebung verstehen müssen.
Insgesamt scheint KI bestehende Ransomware-Abläufe eher zu verstärken, als sie grundlegend zu verändern.
Wie Strafverfolgung und Regulierung den Markt prägen
Strafverfolgungsmaßnahmen, Sanktionen, Anforderungen an Cyberversicherungen, verbesserte Sicherheitskontrollen und regulatorische Reformen haben einzelne Gruppen und Operationen zerschlagen. Dennoch haben sich die zugrunde liegenden wirtschaftlichen Mechanismen der Ransomware gehalten, und das Ökosystem hat sich durch Fragmentierung, Kooperation und flexible Monetarisierungsstrategien angepasst.
Was dies für Verteidiger bedeutet
Die Bewertung der Bedrohung allein anhand der Anzahl der Ransomware-Vorfälle liefert ein unvollständiges Bild. Ein Unternehmen kann einem erheblichen Risiko ausgesetzt sein, selbst wenn es nie zu einer Verschlüsselung kommt. Ein erfolgreicher Angriff kann dennoch zu Datendiebstahl, dem Sammeln von Anmeldedaten, dem Weiterverkauf von Zugriffsrechten, Betrug, der Kompromittierung der Lieferkette oder zukünftiger Ausnutzung führen.
Zu einer umfassenderen Verteidigungsstrategie gehören folgende Punkte:
- Verhindern Sie unbefugten Zugriff, nicht nur den Einsatz von Ransomware
- Erkennen Sie verdächtige Aktivitäten über den gesamten Lebenszyklus eines Angriffs hinweg
- Identifizieren Sie, wie Angreifer gestohlene Zugriffsrechte oder Daten monetarisieren könnten
- Behandeln Sie offengelegte Anmeldedaten und kompromittierte Umgebungen als strategische Risiken
- Überwachen Sie Cloud- und unternehmensinterne KI-Umgebungen auf wertvolle Informationen
- Bereiten Sie sich auf Erpressungsszenarien vor, die nicht auf Verschlüsselung beruhen
- Berücksichtigen Sie bei der Bewertung des Ransomware-Risikos das umfassendere kriminelle Ökosystem
Lesen Sie den vollständigen Bericht, um weitere Informationen zum Markt und der Differenzierung im Bereich Ransomware zu erhalten.