{"id":33673,"date":"2026-10-22T17:11:09","date_gmt":"2026-10-22T15:11:09","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/hive\/"},"modified":"2026-10-26T14:37:29","modified_gmt":"2026-10-26T13:37:29","slug":"hive","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/angriffe-bedrohungen\/hive\/","title":{"rendered":"Hive"},"content":{"rendered":"

Was ist Hive?<\/h2>\n

Hive war eine Ransomware-as-a-Service-Gruppierung sowie die gleichnamige Schadsoftware, die f\u00fcr eine Reihe schwerwiegender Erpressungsangriffe auf Unternehmen weltweit verantwortlich war. Die Gruppe operierte nach dem Affiliate-Modell: Die Kerngruppe entwickelte Ransomware und Infrastruktur, w\u00e4hrend angeworbene Affiliates die eigentlichen Angriffe durchf\u00fchrten und einen Anteil des erpressten L\u00f6segelds erhielten. Bei dieser Arbeitsteilung musste die Kerngruppe die Angriffe nicht selbst ausf\u00fchren, w\u00e4hrend Affiliates von fertiger Schadsoftware und Infrastruktur profitierten. Kritische Infrastrukturen und Gesundheitseinrichtungen geh\u00f6rten neben Unternehmen zu den Zielen des Netzwerks, wodurch einzelne Angriffe unmittelbare Auswirkungen auf den Betrieb ganzer Kliniken<\/strong> haben konnten.<\/p>\n

Je nach Affiliate verschafften sich die Angreifer etwa \u00fcber VPN- oder RDP-Zug\u00e4nge ohne Multi-Faktor-Authentifizierung, Phishing-Mails mit sch\u00e4dlichen Anh\u00e4ngen oder bekannte Schwachstellen Zugang zu Unternehmensnetzwerken, bevor sie die Ransomware ausl\u00f6sten. Verschaffen sich Fremde auf einem dieser Wege Zugriff auf Systeme, die Vertr\u00e4ge und Zahlungen eines Versicherers verwalten, k\u00f6nnen sensible Kundendaten und Zahlungsprozesse gleicherma\u00dfen betroffen sein. Ohne getrennt aufbewahrte Sicherungskopien kann eine Wiederherstellung dieser Systeme zus\u00e4tzlich erschwert werden<\/strong>, etwa wenn Backups \u00fcber dasselbe Netzwerk erreichbar und damit ebenfalls betroffen sind. Im Januar 2023 beschlagnahmten Ermittlungsbeh\u00f6rden die technische Infrastruktur der Gruppe im Rahmen einer international koordinierten Operation.<\/p>\n

Wie funktioniert Hive?<\/h2>\n

Hive funktionierte nach dem Affiliate-Modell, bei dem die Kerngruppe Schadsoftware und Infrastruktur bereitstellte und angeworbene Affiliates die eigentlichen Angriffe durchf\u00fchrten. F\u00fcr den Erstzugriff nutzten Affiliates unter anderem VPN- und RDP-Zug\u00e4nge ohne Multi-Faktor-Authentifizierung, Phishing-Mails mit sch\u00e4dlichen Anh\u00e4ngen oder bekannte Schwachstellen und bewegten sich anschlie\u00dfend lateral durch das Netzwerk<\/strong>, bevor sie die Ransomware ausl\u00f6sten. Eine solche Trennung zwischen Entwicklung und Ausf\u00fchrung kann es erschweren, einzelne Angriffe einer zentralen Verantwortung zuzuordnen, da unterschiedliche Affiliates mit derselben Schadsoftware operieren.<\/p>\n

Vor der Verschl\u00fcsselung exfiltrierten Affiliates in der Regel zus\u00e4tzlich Daten<\/strong>, um im Rahmen einer Double-Extortion-Strategie mit deren Ver\u00f6ffentlichung auf einer Leak-Site zu drohen. Vom erpressten L\u00f6segeld erhielt die Kerngruppe einen Anteil, den Rest behielten die ausf\u00fchrenden Affiliates. Im Januar 2023 beschlagnahmten Ermittlungsbeh\u00f6rden die technische Infrastruktur der Gruppe, darunter die von ihr genutzte Leak-Site im Tor-Netzwerk.<\/p>\n

Woran erkenne ich Hive?<\/h2>\n\n\n\n\n\n\n\n
Signal<\/th>\nWoran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
Ransomnote mit Verweis auf Hive<\/td>\nDie L\u00f6segeldforderung nennt die Gruppe beim Namen und verweist auf eine Leak-Site<\/td>\n<\/tr>\n
Erstzugriff \u00fcber VPN-Zugangsdaten<\/td>\nKompromittierte VPN-Anmeldedaten dienen als beobachteter Einstiegspunkt in das Netzwerk<\/td>\n<\/tr>\n
Betroffener Sektor<\/td>\nZielsysteme liegen unter anderem im Gesundheits- oder Infrastrukturbereich, neben Unternehmen allgemein<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • VPN-Zug\u00e4nge mit Multi-Faktor-Authentifizierung absichern<\/li>\n
  • Zugriffsrechte auf Netzwerksegmente nach dem Prinzip der geringsten Rechte begrenzen<\/li>\n
  • Backups getrennt vom Produktivnetzwerk und offline vorhalten<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Betroffene Systeme umgehend vom Netzwerk isolieren, um eine weitere Ausbreitung zu verhindern<\/li>\n
    • Vorfall den zust\u00e4ndigen Beh\u00f6rden und dem BSI beziehungsweise der zust\u00e4ndigen nationalen Beh\u00f6rde melden<\/li>\n
    • Betroffene Systeme erst nach Eind\u00e4mmung und Bereinigung aus gepr\u00fcften, integren Backups wiederherstellen<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33673","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Hive war eine RaaS-Gruppierung, deren Affiliate-Netzwerk Unternehmen weltweit verschl\u00fcsselte und erpresste, bis zur Zerschlagung 2023.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Hive ist eine im Januar 2023 zerschlagene Ransomware-as-a-Service-Gruppierung, deren angeworbene Affiliates weltweit Unternehmen und kritische Infrastrukturen kompromittierten, deren Daten verschl\u00fcsselten und L\u00f6segeld f\u00fcr die Entschl\u00fcsselung und in der Regel auch f\u00fcr die Nichtver\u00f6ffentlichung zuvor gestohlener Daten erpressten.","at_a_glance":[{"bullet":"Vor der Beschlagnahmung im Januar 2023 stellte das FBI Betroffenen \u00fcber mehrere Monate Entschl\u00fcsselungsschl\u00fcssel bereit."},{"bullet":"Zu den bekannten Betroffenen z\u00e4hlte 2021 auch das Memorial Health System in den USA, dessen Klinikbetrieb dadurch beeintr\u00e4chtigt wurde."},{"bullet":"Die Zerschlagung der Infrastruktur 2023 erfolgte in einer koordinierten Operation US-amerikanischer und europ\u00e4ischer Strafverfolgungsbeh\u00f6rden."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"2021 wurde ein Angriff auf das Memorial Health System in den USA Hive zugeschrieben; der Angriff zwang den Klinikverbund, Operationen abzusagen und Patienten in andere Einrichtungen umzuleiten."},{"example":"Hive-Affiliates nutzten kompromittierte VPN-Zugangsdaten als Angriffsvektor, um in Unternehmensnetzwerke einzudringen und anschlie\u00dfend Ransomware auszurollen."},{"example":"Das FBI infiltrierte die Hive-Infrastruktur \u00fcber mehrere Monate und stellte Betroffenen Entschl\u00fcsselungsschl\u00fcssel bereit, bevor die Server im Januar 2023 beschlagnahmt wurden."},{"example":"Verschaffen sich Affiliates \u00fcber kompromittierte VPN-Zugangsdaten Zugriff auf Systeme, die Vertr\u00e4ge und Zahlungen eines Versicherers verwalten, k\u00f6nnen sensible Kundendaten davon betroffen sein."}],"misconception":[{"myth":"Nach Zahlung des L\u00f6segelds lassen sich alle verschl\u00fcsselten Daten vollst\u00e4ndig wiederherstellen.","reality":"Eine L\u00f6segeldzahlung garantiert nicht, dass verschl\u00fcsselte Daten wiederhergestellt werden; Strafverfolgungsbeh\u00f6rden raten von einer Zahlung ab."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33703,33637,33689,33670],"pillar_link":null,"sources":[{"publisher":"","name":"Ich m\u00f6chte einen IT-Sicherheitsvorfall melden","url":"https:\/\/www.bsi.bund.de\/DE\/IT-Sicherheitsvorfall\/Unternehmen\/Ich-moechte-einen-IT-Sicherheitsvorfall-melden\/ich-moechte-einen-it-sicherheitsvorfall-melden_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Hive Ransomware Gang Hits 1,300 Businesses, Makes $100 Million","url":"https:\/\/www.securityweek.com\/hive-ransomware-gang-hits-1300-businesses-makes-100-million\/","doc_type":"","group":"used"},{"publisher":"","name":"US Reiterates $10 Million Reward Offer After Disruption of Hive Ransomware","url":"https:\/\/www.securityweek.com\/us-reiterates-10-million-reward-offer-after-disruption-of-hive-ransomware\/","doc_type":"","group":"used"},{"publisher":"","name":"Cyberattack Forces Memorial Health System to Cancel Surgeries, Divert Patients","url":"https:\/\/www.securityweek.com\/cyberattack-forces-memorial-health-system-cancel-surgeries-divert-patients\/","doc_type":"","group":"used"},{"publisher":"","name":"FBI Shares IOCs for 'Hive' Ransomware Attacks","url":"https:\/\/www.securityweek.com\/fbi-shares-iocs-hive-ransomware-attacks\/","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t