Ransomware ist eine Kategorie von Schadprogrammen, die Daten auf einem befallenen System verschlüsseln oder den Zugriff vollständig darauf sperren, um von den Betroffenen anschließend ein Lösegeld für die Freigabe zu fordern.
Auf einen Blick
Der Begriff setzt sich aus dem englischen ransom für Lösegeld und der Endung ware zusammen, nach demselben Muster wie Software oder Malware.
Im Deutschen sind die Bezeichnungen Erpressungstrojaner und Verschlüsselungstrojaner gebräuchlich.
Immer öfter drohen Angreifer zusätzlich zur Verschlüsselung mit der Veröffentlichung zuvor entwendeter Daten, falls das Lösegeld ausbleibt (Double Extortion).
Was ist Ransomware?
Ransomware bezeichnet eine Kategorie von Schadprogrammen, die Daten auf einem befallenen System verschlüsseln oder den Zugriff darauf sperren, um anschließend ein Lösegeld für die Freigabe zu fordern. Der Name setzt sich aus dem englischen ransom für Lösegeld und der Endung ware zusammen, nach demselben Muster wie bei Software oder Malware; im Deutschen sind die Bezeichnungen Erpressungstrojaner und Verschlüsselungstrojaner gebräuchlich. Betroffen sein können Privatpersonen, Unternehmen und kritische Infrastrukturen; die Schadprogrammkategorie zählt zu den folgenreichsten Bedrohungen im Bereich Cybersicherheit. Der wirtschaftliche Schaden entsteht dabei nicht nur durch die geforderte Zahlung selbst, sondern auch durch den Stillstand betroffener Systeme bis zur Wiederherstellung.
Verschlüsselt Ransomware Bestandsdaten eines Versicherers oder sperrt den Zugriff darauf, bleibt die Policenverwaltung beeinträchtigt, bis der Zugriff technisch wiederhergestellt ist. Betroffen sein können dabei sowohl Vertrags- als auch Schadensdaten, abhängig davon, welche Systeme die Angreifer im Netzwerk erreichen konnten und wie weit sich die Verschlüsselung ausbreiten kann. Bei Versicherern hängt die Dauer der Beeinträchtigung stark davon ab, ob aktuelle, getrennt aufbewahrte Sicherungen für eine rasche Wiederherstellung der Policenverwaltung zur Verfügung stehen.
Wie funktioniert Ransomware?
Ransomware gelangt über einen Infektionsweg wie eine Phishing-E-Mail, eine kompromittierte Werbeanzeige oder eine ausgenutzte Softwarelücke auf ein System und verschlüsselt dort erreichbare Dateien oder blockiert den Zugriff darauf. Ein kryptografischer Schlüssel sperrt dabei den Zugriff auf Dokumente, Datenbanken oder ganze Systemlaufwerke, wodurch weder Anwendungen noch die zugrunde liegenden Daten ohne den passenden Schlüssel nutzbar bleiben. Je nach Ausbreitung im Netzwerk kann die Verschlüsselung dabei ein einzelnes Gerät oder mehrere verbundene Systeme gleichzeitig betreffen.
Nach der Verschlüsselung zeigt die Schadsoftware eine Lösegeldforderung an, die in der Regel eine Zahlung in Kryptowährung verlangt und im Gegenzug die Bereitstellung eines Entschlüsselungsschlüssels verspricht. Ob die Zahlung tatsächlich zu einem funktionierenden Schlüssel führt, hängt von den Angreifern ab und lässt sich vorab nicht verlässlich prüfen. Immer öfter exfiltrieren die Angreifer zusätzlich Daten, in der Regel vor der Verschlüsselung, und drohen mit deren Veröffentlichung, falls die Zahlung ausbleibt, eine Taktik, die als doppelte Erpressung bezeichnet wird. Für die Betroffenen bedeutet das: Selbst eine vollständige Wiederherstellung aus Backups beseitigt die Drohung der Veröffentlichung nicht.
Woran erkenne ich Ransomware?
| Signal | Woran erkennbar |
|---|---|
| Dateien plötzlich nicht mehr zugänglich oder mit neuer Dateiendung versehen | Geänderte oder unbekannte Dateiendungen bei zuvor normal nutzbaren Dokumenten |
| Erpresserbrief mit Zahlungsaufforderung erscheint auf dem Bildschirm oder als Datei in betroffenen Ordnern | Anweisung zur Zahlung, in der Regel in Kryptowährung, teils mit Frist |
| Ungewöhnlich hohe Systemauslastung durch Verschlüsselungsvorgänge | Deutlich verlangsamte Systeme kurz vor sichtbarem Datenausfall |
| Drohung mit Veröffentlichung gestohlener Daten zusätzlich zur Verschlüsselung | Hinweis auf doppelte Erpressung (Double Extortion) im Erpresserbrief |
Schutz im Ernstfall
Vorbeugen
- Regelmäßige, vom Netzwerk getrennte Backups anlegen
- Sicherheitsupdates zeitnah einspielen
- Schulung im Umgang mit Phishing-E-Mails als einem der Infektionswege
- Zugriffsrechte nach dem Bedarfsprinzip begrenzen
Was tun im Ernstfall
- Betroffene Systeme sofort vom Netzwerk trennen
- Vorfall bei der Polizei anzeigen und an die zuständige Stelle, etwa das BSI, melden
- Kein Lösegeld zahlen
- Systeme erst nach Eindämmung und Bereinigung aus geprüften, integren Backups wiederherstellen, sofern diese getrennt vom Netzwerk aufbewahrt wurden
Beispiele aus der Praxis
- Im Zuge der umfangreichen WannaCry-Angriffswelle im Mai 2017 wurden auch Rechner von Behörden des britischen National Health Service mit Schadcode infiziert.
- Der Ransomware-Angriff auf die Colonial Pipeline im Jahr 2021 veranlasste das Unternehmen, den Pipelinebetrieb einzustellen, was im Südosten der USA zu massiven Störungen der Benzinversorgung führte; der CEO autorisierte eine Lösegeldzahlung von 4,4 Millionen US-Dollar.
- Das Universitätsklinikum Düsseldorf wurde 2020 Opfer eines Ransomware-Angriffs, der den IT-Betrieb des Krankenhauses erheblich beeinträchtigte; laut heise soll die Ransomware DoppelPaymer hinter dem Angriff stecken.
- Verschlüsselt eine Ransomware nach einer Phishing-Infektion die Bestandsdaten eines Versicherers, bleibt die Policenverwaltung beeinträchtigt, bis der Zugriff technisch wiederhergestellt ist; drohen die Angreifer zusätzlich mit der Veröffentlichung exfiltrierter Vertragsdaten, kommt zur Sperrung noch ein Vertraulichkeitsrisiko hinzu.
Die Varianten im Detail (22)
Cloud-Ransomware Cloud-Ransomware ist Schadsoftware, die in Cloud-Diensten gespeicherte Daten verschlüsselt oder unzugänglich macht.
Das Ziel sind nicht lokale Rechner, sondern Cloud-Speicher, Software-Dienste und Backups in der Cloud. Angriffspunkte sind meist gestohlene Zugangsdaten oder fehlerhaft konfigurierte Zugriffsrechte, nicht klassische Dateiinfektionen.
Erpressungs-Infrastruktur Erpressungs-Infrastruktur bezeichnet die technischen Systeme, über die Erpressungsangriffe abgewickelt werden.
Dazu zählen etwa Server für Schlüsselverwaltung, Zahlungsabwicklung, Verhandlungsportale und die Veröffentlichung gestohlener Daten. Sie trennt die eigentliche Verschlüsselung von der Kommunikation mit den Opfern.
Erpressungsgruppe Erpressungsgruppe ist eine organisierte Gruppe von Tätern, die Ransomware-Angriffe plant und durchführt.
Solche Gruppen verteilen Aufgaben wie Einbruch, Datenabfluss, Verschlüsselung und Verhandlung. Der Begriff beschreibt die Akteure hinter den Angriffen, nicht die Schadsoftware selbst, die oft über mehrere Gruppen hinweg genutzt wird.
Fake-Ransomware Fake-Ransomware täuscht eine Verschlüsselung von Dateien nur vor und fordert dennoch Lösegeld.
Die Dateien bleiben dabei entweder unverändert oder werden unwiederbringlich zerstört. Eine Zahlung führt deshalb nicht zur Freigabe. Die Täter setzen allein auf die Drohkulisse einer vermeintlichen Verschlüsselung.
Human-Operated Ransomware Human-Operated Ransomware ist ein Angriff, bei dem Täter das Netzwerk manuell durchsuchen und gezielt verschlüsseln.
Anders als automatisch verbreitete Schadsoftware steuern Angreifer hier jeden Schritt selbst: Sie erkunden Systeme, erweitern ihre Rechte, entfernen Sicherungen und starten die Verschlüsselung erst zum geeigneten Zeitpunkt.
IoT-Ransomware IoT-Ransomware sperrt vernetzte Geräte wie Kameras, Sensorik oder Steuerungen statt einzelner Dateien.
Betroffen sind etwa Kameras, Sensorik oder Steuerungen mit eingeschränkten Sicherheitsfunktionen. Statt Dateien wird häufig die Nutzbarkeit des Geräts selbst gesperrt, wodurch auch Abläufe im physischen Umfeld ausfallen können.
Java-Ransomware Java-Ransomware ist Ransomware, die in der Programmiersprache Java geschrieben ist.
Da Java-Programme auf verschiedenen Betriebssystemen laufen, lässt sich dieselbe Schadsoftware plattformübergreifend einsetzen. Voraussetzung ist eine installierte Java-Laufzeitumgebung auf dem Zielsystem.
JavaScript-Ransomware JavaScript-Ransomware ist Ransomware, die als JavaScript-Code ausgeführt wird, etwa über Skriptdateien.
Die Verbreitung erfolgt häufig über Skriptanhänge oder manipulierte Webseiten. Weil Skripte ohne klassische Installation laufen, fallen sie weniger auf als ausführbare Programme und umgehen mitunter einfache Dateifilter.
Leak-Site Leak-Site ist eine Webseite, auf der Angreifer gestohlene Daten von Opfern veröffentlichen oder ankündigen.
Die Seite erhöht den Druck bei Erpressungen, weil neben der Verschlüsselung die Offenlegung vertraulicher Informationen droht. Sie ist meist über anonymisierende Netze erreichbar und listet betroffene Organisationen auf.
Linux-Ransomware Linux-Ransomware verschlüsselt Server, virtuelle Maschinen und Speichersysteme und legt zentrale Dienste lahm.
Im Fokus stehen Server, virtuelle Maschinen und Speichersysteme, auf denen Linux läuft. Ein Angriff darauf legt zentrale Dienste lahm und wirkt dadurch stärker als die Verschlüsselung einzelner Arbeitsplatzrechner.
NAS-Ransomware NAS-Ransomware trifft Netzwerkspeicher mit Backups, meist über Schwachstellen oder schwache Zugangsdaten.
Netzwerkspeicher bündeln oft Backups und gemeinsam genutzte Dateien. Ein Befall trifft daher viele Nutzer zugleich. Angriffe erfolgen meist über Schwachstellen oder schwache Zugangsdaten der Speichersysteme.
Netzwerk-Ransomware Netzwerk-Ransomware breitet sich über freigegebene Laufwerke, Verwaltungsprotokolle oder erbeutete Zugangsdaten aus.
Sie nutzt freigegebene Laufwerke, Verwaltungsprotokolle oder erbeutete Zugangsdaten, um von einem Ausgangsrechner auf viele Geräte überzugreifen. Dadurch wächst der Schaden weit über den ursprünglich infizierten Rechner hinaus.
Nokoyawa Nokoyawa ist der Name einer Ransomware-Familie, die Daten verschlüsselt und für deren Freigabe Lösegeld fordert.
Der Name bezeichnet eine konkrete Schadsoftware, die von Angreifergruppen im Rahmen gezielter Erpressungsangriffe eingesetzt wird. Wie bei anderen benannten Familien dient der Name zur Zuordnung von Vorfällen und Techniken.
Pysa-Ransomware Pysa-Ransomware verschlüsselt Daten angegriffener Organisationen und nutzt gestohlene Informationen zur Erpressung.
Die Bezeichnung dient der Zuordnung von Vorfällen zu einer bestimmten Schadsoftware. Sie wird bei gezielten Angriffen auf Organisationen eingesetzt, bei denen zusätzlich Daten entwendet und zur Erpressung genutzt werden können.
QNAP-Ransomware QNAP-Ransomware ist Schadsoftware, die Netzwerkspeicher des Herstellers QNAP angreift und deren Daten verschlüsselt.
Der Begriff beschreibt Angriffe auf eine bestimmte Gerätefamilie. Typische Einfallstore sind nicht aktualisierte Firmware, ausnutzbare Schwachstellen oder aus dem Internet erreichbare Verwaltungsoberflächen.
Ransomware-Mehrfacherpressung Ransomware-Mehrfacherpressung ist die Kombination mehrerer Druckmittel in einem Ransomware-Angriff.
Neben der Verschlüsselung kommen weitere Drohungen hinzu, etwa die Veröffentlichung gestohlener Daten, Angriffe auf Dienste oder die Kontaktaufnahme mit Kunden und Geschäftspartnern der Opfer. Jede Stufe verstärkt den Zahlungsdruck.
Ransomware-Ökosystem Ransomware-Ökosystem bezeichnet das Zusammenspiel von Akteuren und Diensten rund um Ransomware-Angriffe.
Dazu gehören Entwickler der Schadsoftware, Zugangsvermittler, Partner, Verhandler und Geldwäschedienste. Die arbeitsteilige Struktur senkt die Einstiegshürden und erschwert die Zuordnung eines Angriffs zu einzelnen Tätern.
Yanluowang-Ransomware Yanluowang-Ransomware ist der Name einer Ransomware-Familie, die Daten verschlüsselt und Lösegeld fordert.
Der Name dient der Einordnung von Vorfällen und Angreifertechniken. Solche Familien werden in gezielten Angriffen auf einzelne Organisationen eingesetzt, bei denen Täter zuvor Zugang zum Netzwerk erlangen.
Yatron-Ransomware Yatron-Ransomware ist der Name einer Ransomware-Familie, die Dateien verschlüsselt und Lösegeld verlangt.
Die Bezeichnung ordnet Vorfälle einer bestimmten Schadsoftware zu. Ob die Familie als Dienstleistungsmodell für andere Täter angeboten wird oder eigenständig auftritt, ist hier nicht Teil der Definition.
Ymir-Ransomware Ymir-Ransomware ist der Name einer Ransomware-Familie, die Daten verschlüsselt und Lösegeld fordert.
Der Name dient zur Kennzeichnung einer konkreten Schadsoftware in Vorfallsberichten und Analysen. Er erlaubt es, Angriffe, Techniken und Indikatoren einer Familie gemeinsam zu betrachten.
Zielgerichtete Ransomware Zielgerichtete Ransomware trifft ausgewählte Organisationen und erpresst sie mit Verschlüsselung oder Datendiebstahl.
Die Täter wählen ihre Opfer nach Zahlungsfähigkeit und Abhängigkeit von laufenden Systemen aus und passen den Angriff an die Zielumgebung an. Das Gegenstück ist breit gestreute Ransomware ohne konkretes Ziel.
Zweifache Erpressung Zweifache Erpressung ist ein Angriff, bei dem Verschlüsselung und Datenveröffentlichung zugleich angedroht werden.
Die Täter entwenden vor der Verschlüsselung Daten. Selbst wenn Betroffene Wiederherstellungsmöglichkeiten besitzen, bleibt die Drohung bestehen, vertrauliche Informationen offenzulegen.
Häufiger Irrtum
Mythos „Ransomware betrifft ausschließlich die Verschlüsselung von Daten.“
Richtig Immer öfter nutzen Angreifer die Taktik der doppelten Erpressung: Neben der Verschlüsselung werden sensible Daten exfiltriert und mit deren Veröffentlichung auf Leak-Seiten gedroht, falls das Lösegeld ausbleibt.
