Ransomware-Gruppen erklärt

Ransomware-Gruppen sind kriminelle Organisationen, die Daten von Unternehmen, Behörden und Einrichtungen verschlüsseln oder stehlen und für die Freigabe Lösegeld verlangen. Sie gehören zu den gefährlichsten Akteuren der Cyberkriminalität: Ihre Angriffe legen Krankenhäuser, Verwaltungen und Fabriken lahm. Das Darknet dient ihnen als Verhandlungsraum und Pranger.

Wie Ransomware-Gruppen organisiert sind#

Viele Gruppen arbeiten nach dem Modell Ransomware-as-a-Service (RaaS):

Der Erlös wird zwischen Betreibern und Partnern aufgeteilt. Dieses Modell macht Gruppen flexibel: Wird eine Marke zerschlagen, wechseln Partner zu einer anderen.

Doppelte Erpressung und Leak-Seiten#

Früher verschlüsselten Ransomware-Gruppen nur Daten. Heute stehlen die meisten sie zusätzlich und drohen mit der Veröffentlichung – die doppelte Erpressung. Dafür betreiben sie Leak-Seiten im Tor-Netzwerk, auf denen Opfer mit Countdown aufgelistet und Daten veröffentlicht werden, wenn nicht gezahlt wird. Manche Gruppen verzichten inzwischen ganz auf Verschlüsselung und setzen nur noch auf Datendiebstahl.

Die Lage 2025#

Neben Qilin waren 2025 unter anderem Akira, die laut GuidePoint massenhaft Schwachstellen in VPN-Geräten ausnutzte, und Clop besonders aktiv, die gezielt Lücken in weit verbreiteter Unternehmenssoftware ausnutzte. Viele Gruppen sind kurzlebig, benennen sich um oder zerfallen. Die Zahlungsseite erklärt Ransomware-Zahlungen in Kryptowährung.

Wie Ermittler zurückschlagen#

• Operation Cronos (2024): Internationale Behörden übernahmen die Infrastruktur von LockBit, einer der damals größten Gruppen. Siehe LockBit und Operation Cronos.
• Operation Endgame (seit 2024): Unter Beteiligung von BKA und ZIT wurden Schadsoftware-Netzwerke zerschlagen, die als Türöffner für Ransomware dienten – im Mai 2025 rund 300 Server und 650 Domains, 20 Haftbefehle. Siehe Operation Endgame erklärt.
• Geldwäsche-Infrastruktur: Die Abschaltung von Mixern und Tauschdiensten erschwert es Gruppen, Lösegeld zu nutzen.

Wie sich Unternehmen schützen#

1. Backups: Regelmäßig, getrennt vom Netzwerk (offline oder unveränderbar), und regelmäßig getestet.
2. Updates: Besonders Geräte am Netzrand wie VPN-Zugänge und Firewalls schnell patchen.
3. Zwei-Faktor-Authentifizierung für alle Fernzugänge und Administratorkonten.
4. Zugangsdaten überwachen: Darknet-Monitoring zeigt, ob Firmenzugänge gehandelt werden. Siehe Darknet-Monitoring für Unternehmen.
5. Notfallplan: Wer was tut, wer informiert wird, wie Systeme wiederhergestellt werden – vorher festlegen und üben.
6. Mitarbeitende schulen, vor allem zu Phishing.

Was im Ernstfall zu tun ist#

Betroffene Systeme vom Netz trennen, aber nicht ausschalten, um Spuren zu erhalten. Polizei und spezialisierte Dienstleister einschalten und Meldepflichten prüfen. BKA und BSI raten von Zahlungen ab: Sie finanzieren weitere Angriffe und garantieren weder die Entschlüsselung noch die Löschung gestohlener Daten.