Ransomware-as-a-Service bezeichnet ein kriminelles Gesch\u00e4ftsmodell, bei dem Ransomware-Entwickler ihre Angriffsinfrastruktur, Werkzeuge und Verwaltungsplattformen an andere Angreifer vermieten, die als Affiliates bezeichnet werden. Die Affiliates f\u00fchren die eigentlichen Angriffe durch, ohne die Schadsoftware selbst entwickeln zu m\u00fcssen, wobei die Plattformbetreiber je nach Modell am erpressten L\u00f6segeld beteiligt sind. Das Modell orientiert sich strukturell an legitimen Cloud-Diensten wie Software-as-a-Service und senkt dadurch die technische Einstiegsh\u00fcrde f\u00fcr Ransomware-Angriffe erheblich<\/strong>, sodass auch Kriminelle Kampagnen durchf\u00fchren k\u00f6nnen, ohne die Schadsoftware selbst entwickeln zu m\u00fcssen. Weil Entwicklung, Vertrieb und Ausf\u00fchrung dabei auf unterschiedliche Beteiligte verteilt sind, l\u00e4sst sich ein einzelner Vorfall nicht ohne Weiteres auf eine einzelne verantwortliche Partei zur\u00fcckf\u00fchren, was strafrechtliche Ermittlungen gegen das gesamte dahinterstehende kriminelle Gesch\u00e4ftsmodell zus\u00e4tzlich erschwert.<\/p>\n Weil Affiliates die bereitgestellte Ransomware eigenst\u00e4ndig einsetzen, kann dieselbe RaaS-Infrastruktur \u00fcber unterschiedliche Angriffswege gegen Systeme eines Versicherers zum Einsatz kommen, etwa \u00fcber Phishing-E-Mails oder kompromittierte Fernzug\u00e4nge. F\u00fcr die Angriffserkennung bedeutet das, dass ein Versicherer nicht nur einen bestimmten Angriffsweg absichern kann, sondern das Vorgehen mehrerer voneinander unabh\u00e4ngiger Affiliates einkalkulieren muss<\/strong>.<\/p>\n Ransomware-as-a-Service funktioniert \u00fcber eine Aufteilung der Rollen zwischen Plattformbetreibern, die Ransomware und Infrastruktur bereitstellen, und Affiliates, die damit Angriffe ausf\u00fchren. Die Betreiber entwickeln die Schadsoftware, pflegen ein Verwaltungspanel f\u00fcr Verschl\u00fcsselung und L\u00f6segeldverhandlung und stellen je nach Plattform zus\u00e4tzlich eine Leak-Seite f\u00fcr Datendiebstahl-Drohungen<\/strong> bereit. Ein Affiliate erh\u00e4lt Zugang zur Plattform, w\u00e4hlt ein Ziel aus und verschafft sich Zugang zum Zielnetzwerk, etwa \u00fcber einen exponierten Remote-Desktop-Dienst, eine Phishing-Kampagne oder \u00fcber Access Broker, die Netzwerkzug\u00e4nge verkaufen. Die technische Umsetzung der Verschl\u00fcsselung \u00fcbernimmt dabei die von der Plattform bereitgestellte Software, sodass der Affiliate selbst keine eigene Ransomware programmieren muss, um Angriffe auszuf\u00fchren.<\/p>\n Bei Plattformen mit Gewinnbeteiligung flie\u00dft nach einer Zahlung ein Anteil an den Plattformbetreiber zur\u00fcck<\/strong>, w\u00e4hrend der Rest beim Affiliate verbleibt. Weil Entwicklung und Ausf\u00fchrung getrennt sind, lassen sich Betreiber und ausf\u00fchrender Angreifer bei Ermittlungen nur schwer eindeutig derselben Tat zuordnen.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33670","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Ransomware-as-a-Service (RaaS) vermietet Ransomware und Infrastruktur an Affiliates, die eigenst\u00e4ndig Angriffe ausf\u00fchren.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"RaaS"}],"lead_definition":"Ransomware-as-a-Service ist ein kriminelles Gesch\u00e4ftsmodell, bei dem Entwickler ihre Ransomware-Infrastruktur, Werkzeuge und Verwaltungsplattform an sogenannte Affiliates vermieten, die damit eigenst\u00e4ndig eigene Angriffe gegen fremde Unternehmen durchf\u00fchren.","at_a_glance":[{"bullet":"Manche RaaS-Plattformen werben offen um neue Affiliates und lassen sie etwa einen Bewerbungsprozess durchlaufen, andere vergeben den Zugang eher auf Einladung."},{"bullet":"Die Plattformbetreiber sind je nach Modell am erpressten L\u00f6segeld beteiligt."},{"bullet":"In einer international koordinierten Operation brachten Beh\u00f6rden mehrerer L\u00e4nder die Plattform und weitere Infrastruktur der RaaS-Gruppe LockBit unter ihre Kontrolle."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Eine kriminelle Gruppe betreibt eine RaaS-Plattform und stellt Affiliates ein Verwaltungspanel sowie eine einsatzbereite Ransomware zur Verf\u00fcgung, die \u00fcber Phishing-Kampagnen gegen Industrieunternehmen eingesetzt wird."},{"example":"Ein Affiliate mietet Zugang zu einer RaaS-Plattform, kompromittiert ein Krankenhaus \u00fcber einen exponierten Remote-Desktop-Dienst und erpresst L\u00f6segeld, wovon ein Teil an die Plattformbetreiber flie\u00dft."},{"example":"Bei einer international koordinierten Aktion gegen die RaaS-Gruppe LockBit wurden zwei Mitglieder festgenommen, Server in mehreren L\u00e4ndern abgeschaltet und die Leak-Seite der Gruppe \u00fcbernommen."},{"example":"Setzt ein Affiliate dieselbe RaaS-Ransomware \u00fcber eine Phishing-Kampagne gegen einen Versicherer ein, w\u00e4hrend ein anderer Affiliate einen kompromittierten Fernzugang nutzt, muss der Versicherer beide Angriffswege gegen dieselbe Schadsoftware absichern."}],"misconception":[{"myth":"Ransomware-as-a-Service wird mit einer einzelnen, technisch hochentwickelten Angreifergruppe gleichgesetzt.","reality":"Bei RaaS trennen sich Entwicklung und Ausf\u00fchrung: Ein Kernteam entwickelt die Schadsoftware und betreibt die zugeh\u00f6rige Plattform, w\u00e4hrend Affiliates den lizenzierten Code f\u00fcr ihre Angriffe einsetzen."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Ransomware-Betreiber","inline_description":"Ransomware-Betreiber sind die Entwickler und Anbieter, die eine Ransomware-Plattform bereitstellen und betreuen.","description":"Betreiber pflegen Schadsoftware, Zahlungsabwicklung und Verhandlungsportale und stellen sie Partnern zur Verf\u00fcgung. Die eigentlichen Angriffe f\u00fchren meist die Affiliates aus; die Betreiber erhalten daf\u00fcr einen Anteil der Erl\u00f6se.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33639,33691,33677,33673,33692],"pillar_link":null,"sources":[{"publisher":"","name":"LockBit 3.0, Software S1202","url":"https:\/\/attack.mitre.org\/software\/S1202\/","doc_type":"","group":"used"},{"publisher":"","name":"Aktive Crime-Gruppen in Deutschland","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Cyber-Sicherheitslage\/Analysen-und-Prognosen\/Threat-Intelligence\/Aktive-Crime-Gruppen\/aktive-crime-gruppen.html","doc_type":"2026","group":"used"},{"publisher":"","name":"Eurojust supports international operation against world's largest ransomware group","url":"https:\/\/www.eurojust.europa.eu\/news\/eurojust-supports-international-operation-against-worlds-largest-ransomware-group","doc_type":"2024","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Ransomware-as-a-Service?<\/h2>\n
Woran erkenne ich Ransomware-as-a-Service?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Erstzugang \u00fcber einen Access Broker<\/td>\n Auf eine fr\u00fchere Infektion mit Schadsoftware eines Access Brokers folgen h\u00e4ufig Datendiebstahl und der Einsatz von Ransomware<\/td>\n<\/tr>\n \n Wiederkehrende Ransomware-Familie mit unterschiedlichen Angriffswegen<\/td>\n Dieselbe Verschl\u00fcsselungssoftware, etwa LockBit, taucht bei Vorf\u00e4llen mit v\u00f6llig unterschiedlichem Erstzugang auf<\/td>\n<\/tr>\n \n Leak-Seite mit einheitlicher Markenbezeichnung<\/td>\n Datenlecks tragen denselben Markennamen, obwohl die ausf\u00fchrenden Angreifer wechseln<\/td>\n<\/tr>\n \n Aufteilung des L\u00f6segelds zwischen Betreibern und Affiliates in Ermittlungsdaten<\/td>\n Bei Plattformen mit Gewinnbeteiligung k\u00f6nnen Auswertungen von Zahlungsfl\u00fcssen darauf hindeuten, dass ein Teil der Zahlung an die Plattformbetreiber flie\u00dft<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n