{"id":33665,"date":"2026-10-22T17:11:00","date_gmt":"2026-10-22T15:11:00","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/play-ransomware\/"},"modified":"2026-10-26T14:37:14","modified_gmt":"2026-10-26T13:37:14","slug":"play-ransomware","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/angriffe-bedrohungen\/play-ransomware\/","title":{"rendered":"Play Ransomware"},"content":{"rendered":"

Was ist Play Ransomware?<\/h2>\n

Play Ransomware, auch als PlayCrypt bekannt, ist eine Cybercrime-Gruppe, die seit 2022 gezielte Angriffe auf Unternehmen und staatliche Institutionen durchf\u00fchrt. Laut MITRE ATT&CK richten sich die Angriffe unter anderem gegen Organisationen aus Wirtschaft, Verwaltung, kritischer Infrastruktur, Gesundheitswesen und Medien<\/strong>. Nach dem Eindringen in ein Netzwerk verschl\u00fcsselt Play Ransomware die Daten der Opfer und versieht die betroffenen Dateien mit einer eigenen Kennung, begleitet von einer L\u00f6segeldforderung. Betroffen waren laut CISA Organisationen in Nordamerika, S\u00fcdamerika und Europa.<\/p>\n

Ein m\u00f6glicher Einstiegspunkt sind bekannte Schwachstellen in \u00f6ffentlich erreichbaren Anwendungen<\/strong> sowie extern erreichbare RDP- oder VPN-Dienste. Verschaffen sich Angreifer auf einem dieser Wege Zugang bei einem Versicherer, k\u00f6nnen sie dar\u00fcber Zugriff auf interne Systeme erhalten, Daten verschl\u00fcsseln und zus\u00e4tzlich mit zuvor gestohlenen Unternehmensdaten Erpressungsdruck aufbauen. Ob ein solcher Angriff gelingt, h\u00e4ngt unter anderem davon ab, wie schnell bekannte Schwachstellen in \u00f6ffentlich erreichbaren Anwendungen geschlossen werden und wie konsequent Zugriffsrechte auf extern erreichbare RDP- und VPN-Dienste begrenzt sind. F\u00fcr den Erstzugang nutzte die Gruppe au\u00dferdem g\u00fcltige Benutzerkonten, etwa f\u00fcr VPN-Zug\u00e4nge.<\/p>\n

Wie funktioniert Play Ransomware?<\/h2>\n

Play Ransomware verschafft sich Zugang unter anderem \u00fcber extern erreichbare VPN- oder RDP-Dienste sowie \u00fcber bekannte Schwachstellen in \u00f6ffentlich erreichbaren Anwendungen wie FortiOS oder Microsoft Exchange. Bereits kompromittierte Zugangsdaten aus fr\u00fcheren Datenlecks<\/strong> k\u00f6nnen den initialen Zugriff zus\u00e4tzlich erleichtern, sofern Nutzer dieselben Passw\u00f6rter mehrfach verwenden. Nach dem ersten Zugriff bewegt sich die Gruppe innerhalb des Netzwerks weiter, sichert sich Zugriff auf zus\u00e4tzliche Systeme und kopiert wertvolle Unternehmensdaten, bevor die eigentliche Verschl\u00fcsselung beginnt. Verschl\u00fcsselte Dateien erhalten dabei die Endung .play, ein erkennbares Merkmal der Gruppe. Anschlie\u00dfend hinterlegt Play Ransomware eine Erpressernachricht, die zur Kontaktaufnahme per E-Mail auffordert, und droht zus\u00e4tzlich mit der Ver\u00f6ffentlichung der zuvor gestohlenen Daten<\/strong>, falls das Opfer nicht zahlt.<\/p>\n

MITRE ATT&CK dokumentiert \u00dcberschneidungen bei Taktiken und Werkzeugen<\/strong> mit den Ransomware-Gruppen Hive und Nokoyawa, leitet daraus aber keine Zugeh\u00f6rigkeit ab. Wie lange die Gruppe zwischen erstem Zugriff und Verschl\u00fcsselung agiert, h\u00e4ngt vom Einzelfall ab.<\/p>\n

Woran erkenne ich Play Ransomware?<\/h2>\n\n\n\n\n\n\n\n\n
Signal<\/th>\nWoran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
Dateiendung .play<\/td>\nVerschl\u00fcsselte Dateien tragen die charakteristische Endung .play<\/td>\n<\/tr>\n
Zugriff \u00fcber Fernzugriffsdienst oder Anwendungsschwachstelle<\/td>\nInitialer Zugriff erfolgt etwa \u00fcber einen extern erreichbaren VPN- oder RDP-Dienst, \u00fcber g\u00fcltige Zugangsdaten oder \u00fcber eine ausgenutzte Schwachstelle in einer \u00f6ffentlich erreichbaren Anwendung<\/td>\n<\/tr>\n
\u00c4hnlichkeit zu Hive\/Nokoyawa<\/td>\nTaktiken und Werkzeuge \u00fcberschneiden sich mit denen der Gruppen Hive und Nokoyawa; MITRE leitet daraus keine Zugeh\u00f6rigkeit ab<\/td>\n<\/tr>\n
Erpressernachricht mit E-Mail-Kontakt<\/td>\nHinterlassene Nachricht nennt keinen L\u00f6segeldbetrag und keine Zahlungsanweisungen, sondern fordert zur Kontaktaufnahme per E-Mail auf<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • \u00d6ffentlich erreichbare Anwendungen zeitnah patchen und Fernzugriffsdienste wie VPN und RDP wo m\u00f6glich mit Multi-Faktor-Authentifizierung absichern.<\/li>\n
  • Zugriff auf VPN- und RDP-Dienste auf notwendige Nutzergruppen beschr\u00e4nken und ungenutzte Zug\u00e4nge deaktivieren.<\/li>\n
  • Netzwerksegmentierung einsetzen, damit ein kompromittierter Fernzugriffsdienst nicht direkten Zugriff auf alle Systeme erlaubt.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Betroffene Systeme sofort vom Netzwerk trennen, um eine weitere Verschl\u00fcsselung zu stoppen.<\/li>\n
    • Ausma\u00df der Datenexfiltration forensisch kl\u00e4ren.<\/li>\n
    • Vorfall bei den zust\u00e4ndigen Beh\u00f6rden melden und, falls relevant, aufsichtsrechtliche Meldepflichten pr\u00fcfen.<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33665","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Play Ransomware (PlayCrypt): seit 2022 aktive Gruppe, die Unternehmen und Beh\u00f6rden mit Verschl\u00fcsselung und Datendiebstahl angreift.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"PlayCrypt"},{"value":"playcrypt ransomware"}],"lead_definition":"Play Ransomware, auch PlayCrypt genannt, ist eine seit 2022 aktive Cybercrime-Gruppe, die gezielte Ransomware-Angriffe auf Unternehmen und staatliche Institutionen durchf\u00fchrt und betroffene Dateien mit einer eigenen Dateiendung verschl\u00fcsselt.","at_a_glance":[{"bullet":"MITRE ATT&CK dokumentiert \u00dcberschneidungen bei Taktiken und Werkzeugen mit den Gruppen Hive und Nokoyawa, leitet daraus aber keine Zugeh\u00f6rigkeit ab."},{"bullet":"Laut CISA traf Play Ransomware Unternehmen und kritische Infrastruktur in Nordamerika, S\u00fcdamerika und Europa."},{"bullet":"Verschl\u00fcsselte Dateien tragen die charakteristische Endung .play als erkennbaren Hinweis auf die verantwortliche Gruppe."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Play-Ransomware-Angriff auf einen kommunalen IT-Dienstleister kann die Verwaltung mehrerer Beh\u00f6rden gleichzeitig beeintr\u00e4chtigen, wenn zentrale Fachverfahren \u00fcber dieselbe Infrastruktur laufen."},{"example":"In der Schweiz war das Unternehmen NZZ Mediengruppe 2023 Ziel eines Play-Ransomware-Angriffs, der den Betrieb mehrerer Redaktionen erheblich beeintr\u00e4chtigte."},{"example":"Ein typisches Angriffsszenario von Play Ransomware umfasst den Zugang \u00fcber extern erreichbare RDP- oder VPN-Dienste oder die Ausnutzung bekannter Schwachstellen in \u00f6ffentlich erreichbaren Anwendungen, gefolgt von Datenverschl\u00fcsselung und Erpressung mit gestohlenen Unternehmensdaten."},{"example":"Verschaffen sich Angreifer \u00fcber einen extern erreichbaren RDP- oder VPN-Dienst eines Versicherers Zugang, k\u00f6nnen sie anschlie\u00dfend Daten verschl\u00fcsseln und mit den zuvor gestohlenen Unternehmensdaten zus\u00e4tzlichen Erpressungsdruck aufbauen."}],"misconception":[{"myth":"Play Ransomware ist Teil der Gruppen Hive oder Nokoyawa.","reality":"MITRE ATT&CK dokumentiert \u00dcberschneidungen bei Taktiken und Werkzeugen mit Hive und Nokoyawa, leitet daraus aber keine Zugeh\u00f6rigkeit ab."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33673,33689],"pillar_link":null,"sources":[{"publisher":"","name":"Updated Guidance on Play Ransomware","url":"https:\/\/www.cisa.gov\/news-events\/cybersecurity-advisories\/aa23-352a","doc_type":"2025","group":"used"},{"publisher":"","name":"Play, Group G1040","url":"https:\/\/attack.mitre.org\/groups\/G1040\/","doc_type":"","group":"used"},{"publisher":"","name":"Schweiz: Hooligan-Datenbank mit mehr als 700 Personen im Darknet aufgetaucht","url":"https:\/\/www.heise.de\/news\/Hooligan-Datenbank-mit-Daten-von-mehr-als-700-Personen-im-Darknet-aufgetaucht-9214915.html","doc_type":"2023","group":"used"},{"publisher":"","name":"NZZ: Schweizer Zeitungen durch Cyberangriff massiv beeintr\u00e4chtigt","url":"https:\/\/www.heise.de\/news\/Schweizer-Zeitungen-durch-Cyberangriff-massiv-beeintraechtigt-8853835.html","doc_type":"2023","group":"used"},{"publisher":"","name":"Play (Hackergruppe)","url":"https:\/\/de.wikipedia.org\/wiki\/Play_(Hackergruppe)","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-06"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t