Auf den Punkt: Ransomware-Angriffe sind das sichtbare Endprodukt einer arbeitsteiligen Industrie aus Zugangshändlern, RaaS-Betreibern und Affiliates, weshalb die eigentliche Kompromittierung meist Tage oder Wochen vor der Lösegeldforderung beginnt.
Ransomwaregruppen verschlüsseln nicht spontan Daten, sondern setzen den letzten Schritt einer meist wochenlangen Kompromittierung um. Für Sicherheitsverantwortliche bedeutet das: Wer erst bei der Lösegeldforderung reagiert, kommt strukturell zu spät.
Wenn die Lösegeldforderung auf den Bildschirmen erscheint, ist ein Angriff aus Sicht der Täter meist bereits abgeschlossen. Zu diesem Zeitpunkt kennen sie in der Regel die kritischen Systeme des Unternehmens, haben Backup-Strukturen geprüft, sensible Daten kopiert und privilegierte Konten übernommen. Die Verschlüsselung selbst ist damit nicht der Angriff, sondern der Moment, in dem eine bestehende Kompromittierung öffentlich sichtbar wird.
Dahinter steht laut IT-Daily eine arbeitsteilige kriminelle Industrie mit Entwicklern, Zugangshändlern, Infrastrukturanbietern, ausführenden Angreifern, Verhandlungsführern und Spezialisten für Geldwäsche. Ransomware as a Service funktioniert als Plattformmodell: Betreiber stellen Schadsoftware und Verwaltungsoberflächen bereit, sogenannte Affiliates führen die eigentlichen Angriffe durch und teilen Einnahmen über feste Preise, Beteiligungen oder erfolgsabhängige Provisionen. Wer Zugang zu einem Firmennetz hat, muss keine eigene Schadsoftware entwickeln; wer eine leistungsfähige Ransomware baut, muss nicht selbst in Unternehmen eindringen.
Für CISOs ist relevant, dass die Zerschlagung einzelner Gruppen den Markt nur begrenzt schwächt. Namen verschwinden, Plattformen werden abgeschaltet, Täter festgenommen – Wissen, Kontakte und bestehende Zugänge bleiben im Ökosystem erhalten und tauchen unter neuer Marke wieder auf. Die Lieferkette der Cyberkriminalität ist damit widerstandsfähiger als einzelne Akteure.
Ein eigenständiger Handelsmarkt besteht zudem für Netzwerkzugänge selbst: Initial Access Broker kompromittieren Benutzerkonten, Fernwartungszugänge oder Cloudumgebungen und verkaufen sie weiter. Der Preis richtet sich nicht primär nach der technischen Qualität des Zugangs, sondern nach dem wirtschaftlichen Potenzial des Opfers – Branche, Umsatz, Standort, Berechtigungsniveau und operative Abhängigkeiten entscheiden über die Attraktivität. Produktionsunternehmen versprechen hohe Ausfallkosten, Krankenhäuser erzeugen unmittelbaren Zeitdruck, Logistikdienstleister können Lieferketten binnen Stunden beeinträchtigen, und der Zugang zu einem Softwareanbieter öffnet potenziell den Weg zu dessen Kunden.
Zwischen erstem Eindringen und tatsächlicher Erpressung können Tage bis Wochen liegen, in denen der Handel mit dem kompromittierten Zugang für das betroffene Unternehmen unsichtbar bleibt. Für Sicherheitsverantwortliche folgt daraus, dass Detektion und Reaktion auf Initial-Access-Indikatoren – etwa ungewöhnliche Aktivität privilegierter Konten oder untypischer Datenabfluss – vor der eigentlichen Verschlüsselungsphase ansetzen müssen, da die eigentliche Entscheidung über den Schaden bereits in dieser vorgelagerten Handelskette fällt.
Quelle: www.it-daily.net · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.