Ein Kryptotrojaner ist ein Schadprogramm, das Dateien auf dem System eines Opfers – je nach Variante auch auf Netzlaufwerken – verschlüsselt, den Zugriff darauf einschränkt oder verhindert und die Grundlage für eine Lösegeldforderung an Unternehmen oder Privatpersonen schafft.
Auf einen Blick
Im engeren Sinn bezeichnet der Begriff im DACH-Raum die dateibasierte Verschlüsselungsvariante von Ransomware – im Unterschied zu Varianten, die das gesamte System sperren.
Ohne den passenden Schlüssel lässt sich die Verschlüsselung der betroffenen Dateien in der Regel nicht rückgängig machen.
Ein bekanntes Beispiel dateiverschlüsselnder Ransomware ist Locky.
Was ist Kryptotrojaner?
Ein Kryptotrojaner ist ein Schadprogramm, das Dateien auf dem System eines Opfers – je nach Variante auch auf Netzlaufwerken – verschlüsselt und den Zugriff darauf einschränkt oder verhindert. Angreifer setzen die Schadsoftware ein, um anschließend für die Freigabe der Daten Lösegeld zu fordern; ohne den passenden Schlüssel lässt sich die Verschlüsselung in der Regel nicht rückgängig machen. Im engeren Sinn bezeichnet der Begriff im DACH-Raum eine Unterform von Ransomware, die gezielt auf dateibasierte Verschlüsselung setzt – im Unterschied zu Ransomware, die das gesamte System sperrt. Betroffene Unternehmen und Privatpersonen können dadurch gleichermaßen den Zugriff auf geschäftskritische oder persönliche Daten verlieren. Die Schadsoftware gelangt etwa über E-Mail-Anhänge, präparierte Downloads, kompromittierte Zugänge oder ausgenutzte Schwachstellen auf Systeme.
Verschlüsselt die Schadsoftware Dateien auf Netzlaufwerken eines Versicherers, wird das dort abgelegte Archiv aus Vertrags- und Policendokumenten unzugänglich. Sachbearbeiter können dann auf die davon betroffenen Verträge und Schadensakten vorerst nicht zugreifen, was die Bearbeitung von Kundenanliegen und Auszahlungen behindern kann. Kundinnen und Kunden bemerken die Folgen mitunter erst, wenn eine angeforderte Auskunft oder Auszahlung ausbleibt. Je nach Umfang der betroffenen Netzlaufwerke und Verfügbarkeit aktueller, getrennt aufbewahrter Sicherungskopien lässt sich der Zugriff wiederherstellen oder bleibt dauerhaft gesperrt.
Wie funktioniert Kryptotrojaner?
Ein Kryptotrojaner nutzt nach dem Eindringen in ein System kryptografische Verfahren, um Dateien einzeln oder in großer Zahl zu verschlüsseln und dadurch unlesbar zu machen. Die Schadsoftware kann dabei Dateien auf lokalen Laufwerken und auf Netzlaufwerken, auf die das infizierte System Zugriff hat, automatisch verschlüsseln, ohne dass ein Angreifer jede einzelne Datei manuell auswählen muss. Im Anschluss an die Verschlüsselung hinterlässt das Schadprogramm – etwa als Text- oder Bilddatei – eine Lösegeldforderung, die eine Zahlung beispielsweise in Kryptowährung verlangt und eine Frist vorgeben kann. Der Entschlüsselungsschlüssel bleibt beim Angreifer, sodass sich die Daten ohne diesen Schlüssel in der Regel nicht entschlüsseln lassen. Manche Varianten löschen zusätzlich Schattenkopien oder deaktivieren integrierte Backup-Funktionen des Betriebssystems, um eine Wiederherstellung ohne externe Sicherung zu erschweren. Auch mobile Geräte oder Cloud-Speicher, die zum Zeitpunkt des Angriffs mit dem infizierten System synchronisiert sind, können über diesen Mechanismus indirekt betroffen sein. Aktuelle Sicherungskopien, die getrennt vom infizierten System aufbewahrt werden, ermöglichen je nach Zustand und Alter der Sicherung eine Wiederherstellung unabhängig vom Angreifer.
Kryptotrojaner im Vergleich
| Kriterium | Kryptotrojaner | Ransomware |
|---|---|---|
| Begriffsumfang | Bezieht sich in einer engeren Begriffsverwendung auf die dateibasierte Verschlüsselung als Angriffsmechanismus. | Umfasst als Oberbegriff auch Varianten, die den Systemzugriff insgesamt sperren, ohne einzelne Dateien zu verschlüsseln. |
| Mechanismus | Verschlüsselt gezielt Dateien, je nach Variante auch auf Netzlaufwerken, mit kryptografischen Verfahren. | Kann neben Verschlüsselung auch andere Sperrmechanismen wie Boot-Locker oder Bildschirmsperren einsetzen. |
| Übliche Verwendung des Begriffs | Wird im DACH-Raum oft synonym für dateiverschlüsselnde Schadsoftware wie Locky verwendet. | Wird als Sammelbegriff für die gesamte Angriffsklasse inklusive Geschäftsmodell, etwa Ransomware-as-a-Service, verwendet. |
| Zielsetzung | Ziel ist die Erpressung von Lösegeld über den Entzug des Datenzugriffs. | Ziel ist ebenfalls Erpressung, kann sich aber zusätzlich auf die Systemverfügbarkeit statt den Dateizugriff richten. |
Woran erkenne ich Kryptotrojaner?
| Signal | Woran erkennbar |
|---|---|
| Plötzlich verschlüsselte Dateien | Dateien lassen sich nicht mehr öffnen und tragen oft eine neue Dateiendung. |
| Lösegeldforderung als Text- oder Bilddatei | In betroffenen Ordnern erscheint eine Anweisung mit Zahlungsaufforderung, mitunter mit Frist. |
| Ungewöhnliche Dateizugriffe auf Netzlaufwerken | Innerhalb kurzer Zeit werden viele Dateien auf freigegebenen Laufwerken verändert. |
| Deaktivierte Sicherungsfunktionen | Schattenkopien oder automatische Backups des Systems sind plötzlich nicht mehr verfügbar. |
Schutz im Ernstfall
Vorbeugen
- Regelmäßige Sicherungskopien getrennt vom Produktivsystem aufbewahren (Offline- oder Air-Gap-Backup).
- Betriebssysteme und Anwendungen zeitnah mit Sicherheitsupdates versorgen.
- Zugriffsrechte auf Netzlaufwerke auf das notwendige Maß beschränken.
- E-Mail-Anhänge und Downloads aus unbekannten Quellen vor dem Öffnen prüfen.
Was tun im Ernstfall
- Betroffene Systeme umgehend vom Netzwerk trennen, um weitere Schäden zu begrenzen.
- Kein Lösegeld zahlen, da eine Entschlüsselung dadurch nicht garantiert ist.
- Prüfen, ob eine Meldepflicht etwa gegenüber dem BSI besteht oder eine freiwillige Meldung sinnvoll ist, und IT-Forensik einbeziehen.
- Daten erst nach Eindämmung und Bereinigung aus geprüften, integren Backups wiederherstellen, sofern vorhanden.
Beispiele aus der Praxis
- Der Kryptotrojaner Locky verbreitete sich ab 2016 massenhaft unter anderem über Spam-E-Mails mit präparierten Office-Anhängen und verschlüsselte Dateien auf lokalen Laufwerken und Netzwerkfreigaben.
- Bei einem beispielhaften Angriff auf ein mittelständisches Unternehmen verschlüsselt ein Kryptotrojaner nach dem Eindringen über einen kompromittierten VPN-Zugang innerhalb weniger Minuten Dateiserver und fordert anschließend Lösegeld in Bitcoin.
- Verschlüsselt ein Kryptotrojaner die Netzlaufwerke eines Versicherers, wird das dort abgelegte Archiv aus Vertrags- und Policendokumenten unzugänglich, bis eine Wiederherstellung aus Backups oder eine Entschlüsselung möglich ist.
Die Varianten im Detail (5)
Crypto-Ransomware Crypto-Ransomware ist die englische Bezeichnung für Kryptotrojaner, Erpressersoftware, die Dateien verschlüsselt.
Im Unterschied zu Locker-Ransomware, die lediglich den Zugriff auf das System sperrt, macht diese Form die Daten selbst unbrauchbar, bis ein Lösegeld gezahlt wird. Beide Begriffe bezeichnen dieselbe Schadsoftware.
Hybrid-Ransomware Hybrid-Ransomware ist Erpressersoftware, die mehrere Angriffs- oder Verschlüsselungsverfahren miteinander kombiniert.
Gemeint ist etwa die Verbindung von symmetrischer und asymmetrischer Verschlüsselung oder von Verschlüsselung mit Datendiebstahl. Dadurch sind Wiederherstellung und Abwehr schwieriger als bei einfachen Varianten.
Jaff-Ransomware Jaff-Ransomware ist der Name einer bestimmten Ransomware-Familie, die Dateien verschlüsselt und Lösegeld verlangt.
Die Bezeichnung geht auf die Dateiendung oder den Namen der Schadsoftware zurück. Sie steht für eine konkrete Schadsoftware und nicht für eine allgemeine Art von Kryptotrojanern.
Ransomware-Familie Ransomware-Familie ist eine Gruppe von Erpressersoftware-Varianten, die auf gemeinsamem Code oder Verhalten beruhen.
Sicherheitsforscher fassen Samples zusammen, die dieselbe Codebasis, ähnliche Verschlüsselung oder dieselben Erpressernachrichten nutzen. Die Zuordnung erleichtert Erkennung, Analyse und Vergleich einzelner Angriffe.
Häufiger Irrtum
Mythos „Wer das geforderte Lösegeld zahlt, bekommt seine Dateien garantiert zurück.“
Richtig Angreifer stellen nach einer Zahlung nicht in jedem Fall einen funktionierenden Schlüssel bereit; laut BSI gibt es trotz Zahlung keine Garantie, einen passenden Schlüssel zu erhalten.
