Ein ganz normaler Arbeitstag. Eine Mitarbeiterin schaltet den PC ein. Statt der üblichen Login-Maske erscheint plötzlich ein Fenster: „Datenbanken und Backups wurden verschlüsselt." Sie öffnet den in der Textdatei hinterlegten Link im Tor-Browser und rechnet mit den chaotischen Forderungen eines wütenden Einzeltäters.
Stattdessen lädt eine moderne, aufgeräumte Weboberfläche. Unten rechts ploppt ein Support-Widget auf:
Hinter Ransomware steckt längst nicht mehr der einsame Hacker im Kapuzenpullover, sondern eine hochgradig arbeitsteilige Schattenwirtschaft, die in ihren Strukturen etablierten Software-Konzernen in nichts nachsteht.
Der Ernstfall: Change Healthcare, Februar 2024
Wie real dieses Szenario ist, zeigte der Angriff auf Change Healthcare, den Abwickler eines Drittels aller US-Medizinforderungen. Am 12. Februar 2024 drang die Hackergruppe ALPHV/BlackCat über ein einziges entwendetes Passwort für ein Citrix-Portal ohne Multi-Faktor-Authentifizierung ein. Neun Tage lang bewegten sich die Angreifer unbemerkt durchs Netz, stahlen Daten von rund 100 Millionen Menschen und zündeten am 21. Februar die Ransomware.
Das US-Gesundheitssystem stand wochenlang still, Apotheken und Ärzte konnten keine Abrechnungen mehr durchführen. Das Unternehmen zahlte 22 Millionen US-Dollar in Bitcoin. Die Erpresser strichen das Geld ein, täuschten anschließend ein eigenes Krypto-„Exit" vor und verkauften die gestohlenen Daten über die Gruppe RansomHub trotzdem weiter.
Die Zahlen dahinter
Change Healthcare ist kein Einzelfall, sondern Symptom eines globalen Trends. Die aktuellen Kennzahlen zeigen, wie systematisch und profitabel das Geschäft mittlerweile ist:
| Top 5 Gruppen 2026 | Top 5 Länder 2026 (Opferzahl) |
|---|---|
| Qilin | USA (2.659) |
| Akira | Deutschland (360) |
| DragonForce | Großbritannien (311) |
| Nightspire | Kanada (223) |
| Clop | Italien (207) |
Am stärksten betroffen sind Manufacturing, Professional Services, Technology, Healthcare und Retail & E-Commerce, gefolgt von Financial Services, Agriculture, Transportation sowie Government & Defense.
Vom Disketten-Trojaner zur globalen Bedrohung
Ransomware ist eine Art von Malware, konzipiert als Denial-of-Access-Angriff, um den Zugriff auf ein System oder auf Daten so lange zu sperren, bis ein bestimmter Lösegeldbetrag gezahlt wurde.
Ransomware hat sich von einfachen Anfängen zu einer weltweiten Bedrohung entwickelt, die jährlich Milliarden schadet:
Ransomware-as-a-Service (RaaS): Erpressung als Franchise
RaaS ist ein cyberkriminelles Geschäftsmodell, bei dem Ransomware-Entwickler ihren Code oder ihre Malware an andere Hacker verkaufen. Diese sogenannten „Partner" (Affiliates) nutzen den Code, um eigene Angriffe zu starten. Das Modell ist für beide Seiten lukrativ: Affiliates profitieren von Erpressung, ohne eigene Malware zu entwickeln. Entwickler steigern ihre Gewinne, ohne selbst Netzwerke angreifen zu müssen.
Die Ransomware-Killchain beschreibt die typischen Phasen eines Angriffs, vom ersten Eindringen bis zur Lösegeldforderung:
Das Ökosystem hinter jedem Angriff
Ein Ransomware-Ökosystem ist das Netzwerk aus Personen, Diensten und Infrastruktur, das einen Angriff unterstützt, vom ersten Eindringen in ein Netzwerk bis hin zur Erpressung und zum Einzug der Zahlungen. Dazu gehören:
Wichtige Rollen und Konzepte in der Ransomware-Lieferkette
| Begriff | Bedeutung |
|---|---|
| Affiliate | Mietet oder nutzt eine RaaS-Plattform für Angriffe und führt dafür meist einen Prozentsatz des Lösegelds an den Betreiber ab. |
| Initial Access Broker (IAB) | Verkauft Zugriff auf kompromittierte Netzwerke (VPN, RDP, Anmeldedaten, Web-Shells) an Ransomware-Gruppen. |
| Dedicated Leak Site (DLS) | Öffentliche Plattform im Dark Web, auf der gestohlene Daten veröffentlicht werden, um Druck bei Verhandlungen zu erhöhen. |
| Builder | Tool des RaaS-Betreibers, mit dem Affiliates maßgeschneiderte Ransomware-Payloads erstellen. |
| Panel / Dashboard | Webbasierte Verwaltungsoberfläche zum Verfolgen von Opfern, Generieren von Payloads und Verwalten der Kommunikation. |
| Cryptor | Verschleiert bösartigen Code, um Sicherheitserkennung zu umgehen. |
| Locker | Ransomware-Variante, die den Systemzugriff sperrt, statt Dateien zu verschlüsseln. |
| Stealer-Logs | Gestohlene Zugangsdaten, Tokens und Cookies, oft für Lateral Movement genutzt oder an IABs verkauft. |
Kundenservice: Der Helpdesk der Erpresser
Der Opfer-Helpdesk (meist ein 24/7-Chat-Support) erklärt Schritt für Schritt, wie Bitcoin oder Monero gekauft und Dateien wiederhergestellt werden. Verhandlungsführer bauen dabei gezielt psychologischen Druck auf, gewähren Rabatte, setzen Fristen und aktivieren parallele Erpressungshebel, etwa Anrufe bei Kunden der Opferfirma.
Buchhaltung & Geldwäsche
RaaS funktioniert wie legitime Software-as-a-Service-Geschäftsmodelle: Die Betreiber übernehmen Entwicklung und Wartung, verkaufen ihre Tools als Kits an Partner.
| Umsatzmodell | Funktionsweise |
|---|---|
| Monatliche Subskription | Wiederkehrende Gebühr (manchmal ab 40 US-Dollar pro Monat) für den Zugang zu den Ransomware-Tools. |
| Einmalige Gebühr | Partner kaufen den Ransomware-Code direkt und einmalig. |
| Partnerprogramme | Monatliche Gebühr plus ein geringer Prozentsatz aller erhaltenen Lösegeldzahlungen. |
| Gewinnbeteiligung | Keine Vorabkosten, dafür ein beträchtlicher Anteil am Lösegeld, oft 30 bis 40 %. |
Das RaaS-Panel teilt eingehende Lösegeldzahlungen meist automatisch über Krypto-Mixer im vereinbarten Verhältnis auf, häufig 80 % Affiliate, 20 % Betreiber. Spezialisierte Finanzteams nutzen Chain-Hopping (z. B. BTC zu XMR), Mixer und illegale OTC-Trader, um die Kryptogewinne in sauberes Fiatgeld zu verwandeln.
HR & Recruiting: Die Personalabteilung der Erpressung
Ransomware-Gruppen wie Conti nutzen strukturierte HR-Praktiken, um Mitarbeiter zu rekrutieren, zu binden und zu motivieren. Die Rekrutierung entwickelte sich von vagen Foren-Anzeigen hin zu gezielten E-Mail-Anfragen über Plattformen wie HeadHunter:
Die Anwerbung erwies sich oft als schwierig, weil die Illegalität Bewerber abschreckte. Ein Zitat aus internen Recherchen bringt es auf den Punkt: „[...] der schwierigste Teil sei es, Leute zu halten, sobald sie erfahren, worum es bei dem Job wirklich geht."
Zur Bindung setzte die Gruppe auf klassische Anreize: pünktliche Gehälter, bezahlten Urlaub und echte Aufstiegschancen. Auch die Illegalität selbst wurde im Onboarding heruntergespielt, etwa gegenüber neuen Programmierern:
Rechtliche Risiken wurden vor allem bei Auslandsreisen intern als konkrete Gefahr diskutiert, etwa als ein Verhandlungsführer ohne Laptop in den Urlaub fliegen wollte:
Die Gruppe Conti zeigt: Ransomware-Organisationen managen ihre Mitarbeiter mit denselben Instrumenten wie legitime Unternehmen: Gehalt, Urlaub, Karrierepfade und Risikokommunikation. Nur das Produkt ist Erpressung.
Multi-Extortion: Wie aus einer Drohung drei werden
Ein einzelner Ransomware-Angriff kann heute mehrere Druckmittel gleichzeitig nutzen, um Opfer schneller zur Zahlung zu bewegen.
Die Opfer zahlen oft lieber ein Lösegeld, als die Schande (und mögliche rechtliche Konsequenzen) eines Datenlecks zu riskieren. Genau diese Kalkulation macht Double und Triple Extortion so wirksam.
Was Unternehmen gegen RaaS tun können
Obwohl RaaS die Bedrohungslandschaft verändert hat, bleiben viele Standardverfahren zum Schutz vor Ransomware wirksam:
- Umfassende Notfallpläne: klar definierte Abläufe für den Ernstfall, statt Improvisation unter Druck.
- Tools zur Anomalieerkennung: Lösungen wie EDR und NDR nutzen KI und maschinelles Lernen, um neue Bedrohungen nahezu in Echtzeit zu erkennen.
- Verringerung der Netzwerk-Angriffsfläche: regelmäßige Schwachstellenbewertungen und konsequentes Patchen häufig ausgenutzter Lücken.
- Cybersicherheitsschulungen: Mitarbeiter lernen, Phishing, Social Engineering und bösartige Links zu erkennen und zu vermeiden.
- Zugriffskontrollen: Multi-Faktor-Authentifizierung, Zero-Trust-Architektur und Netzwerksegmentierung verhindern, dass Ransomware sensible Daten erreicht.
- Verwaltung von Backups: regelmäßige Sicherungen, idealerweise auf vom Netzwerk trennbaren Geräten oder Festplatten.
- Zusammenarbeit mit Strafverfolgungsbehörden: spart oft Kosten und Zeit bei der Eindämmung eines Angriffs.
Laut dem IBM Data Breach Kostenreport konnten Opfer, die mit Strafverfolgungsbehörden zusammenarbeiteten, die Kosten ihrer Datenschutzverletzung um durchschnittlich fast 1 Million US-Dollar senken, ohne die Kosten eines gezahlten Lösegelds mitzurechnen.
Eine Industrie, die man nicht unterschätzen darf
Ransomware hat sich zu einer hochkomplexen, globalen Schattenwirtschaft entwickelt. Durch das Modell Ransomware-as-a-Service organisieren sich kriminelle Akteure wie etablierte Softwarekonzerne, mit spezialisierten Rollen von Access Brokern über Affiliates bis hin zu eigenen HR- und Support-Abteilungen.
Gleichzeitig haben sich die Erpressungsmethoden massiv verschärft. Reichte früher reine Verschlüsselung, setzen Angreifer heute auf Multi-Extortion: Systemblockade, Datenveröffentlichung und DDoS-Drohungen in Kombination. Der Vorfall bei Change Healthcare zeigt, wie verwundbar selbst kritische Infrastrukturen sind und dass Lösegeldzahlungen keine Garantie bieten.
Technologische Maßnahmen wie Zero-Trust-Architekturen, MFA und kontinuierliches Patching müssen mit organisatorischen Notfallplänen, Offline-Backups und präventiven Mitarbeiterschulungen verknüpft werden. Konsequente Prävention und enge Zusammenarbeit mit Strafverfolgungsbehörden bleiben die wirksamsten Hebel gegen das lukrative Geschäft der RaaS-Betreiber.
Ist eure Netzwerk-Infrastruktur ausreichend vor Datenexfiltration und Ransomware-Verschlüsselung geschützt?
Wir analysieren eure Einfallstore und testen eure Abwehrketten unter realistischen Bedingungen.
ERSTGESPRÄCH ANFRAGEN →