Glossar

Ransomware

Ransomware ist Schadsoftware, die Daten und Systeme verschlüsselt und für die Freigabe Lösegeld fordert – heute fast immer kombiniert mit Datendiebstahl und der Drohung, gestohlene Informationen zu veröffentlichen (Double Extortion). Hinter den Angriffen stehen arbeitsteilige kriminelle Ökosysteme: Ransomware-as-a-Service-Gruppen stellen die Software, „Affiliates“ führen die Angriffe aus, Initial Access Broker verkaufen Zugänge zu bereits kompromittierten Netzen. Die häufigsten Einfallstore sind seit Jahren dieselben: ungepatchte, aus dem Internet erreichbare Systeme (VPN-Gateways, Firewalls, Exchange-Server – viele Einträge im KEV-Katalog stammen aus Ransomware-Kampagnen), Phishing mit Schadanhängen oder gestohlenen Zugangsdaten sowie schwach gesicherte Fernzugänge ohne Mehrfaktor-Authentifizierung. Nach dem Erstzugang bewegen sich die Angreifer oft tage- bis wochenlang durchs Netz, sichern sich Admin-Rechte, exfiltrieren Daten und löschen Backups, bevor sie verschlüsseln. Wirksame Vorbeugung ist bekannt und bezahlbar: konsequentes, priorisiertes Patchen (KEV zuerst), Mehrfaktor-Authentifizierung auf allen Fernzugängen, Offline- oder unveränderliche Backups, die regelmäßig auf Wiederherstellbarkeit getestet werden, Netz-Segmentierung und geübte Notfallpläne. Vom Zahlen des Lösegelds raten Behörden ab – es finanziert das Ökosystem und garantiert weder Entschlüsselung noch Löschung der gestohlenen Daten. Der Bezug zum Schwachstellen-Management ist direkt: Wer aktiv ausgenutzte Lücken in seinen exponierten Systemen schnell schließt, nimmt Ransomware-Gruppen das wichtigste Werkzeug. SecFeed hilft mit KEV-Kennzeichnung, Risiko-Sortierung und Stack-Alerts, genau diese Lücken zuerst zu sehen. Für den Ernstfall zählt Vorbereitung: Ein geübter Notfallplan legt fest, wer entscheidet, wie Systeme isoliert werden, wie die Kommunikation läuft (auch ohne kompromittierte E-Mail) und wann Behörden sowie – unter NIS2 verpflichtend – Meldestellen informiert werden. Die Wiederherstellung gelingt nur so gut wie das schlechteste Backup: Die 3-2-1-Regel (drei Kopien, zwei Medientypen, eine Offline-Kopie) plus regelmäßige Restore-Tests ist der Unterschied zwischen einem schlechten Tag und einer Existenzkrise. Und weil Angreifer vor der Verschlüsselung oft wochenlang im Netz sind, lohnt Monitoring auf typische Vorzeichen: neue Admin-Konten, deaktivierte Sicherheitssoftware, ungewöhnliche Datenabflüsse. Wer diese Signale ernst nimmt, kann einen Angriff oft noch in der Vorbereitungsphase stoppen – bevor die Verschlüsselung beginnt.

Aktuelle Meldungen dazu: security · ← zum Glossar