{"id":33675,"date":"2026-10-22T17:11:12","date_gmt":"2026-10-22T15:11:12","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/petya\/"},"modified":"2026-10-26T14:37:31","modified_gmt":"2026-10-26T13:37:31","slug":"petya","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/angriffe-bedrohungen\/petya\/","title":{"rendered":"Petya"},"content":{"rendered":"

Was ist Petya?<\/h2>\n

Petya ist eine Ransomware-Familie, die den Master Boot Record einer Festplatte \u00fcberschreibt und die Master File Table verschl\u00fcsselt, wodurch der Zugriff auf das gesamte Betriebssystem gesperrt ist. Weil die Verschl\u00fcsselung tiefer im System ansetzt als bei dateibasierter Ransomware, kann der Rechner den Systemstart nicht mehr abschlie\u00dfen<\/strong>, noch bevor eine Zahlungsaufforderung erscheint. Eine Petya-Variante wurde mit der zus\u00e4tzlichen Ransomware-Komponente Mischa kombiniert, die eine klassische Dateiverschl\u00fcsselung durchf\u00fchrt, sofern Petya mangels Administratorrechten den Master Boot Record nicht \u00fcberschreiben kann. Dadurch bleibt die Schadsoftware auch auf Systemen wirksam, auf denen die tiefere Systemebene nicht erreichbar ist.<\/p>\n

Auf einem Arbeitsplatzrechner eines Versicherers verhindert der \u00fcberschriebene Master Boot Record den regul\u00e4ren Systemstart bereits, bevor eine Zahlungsaufforderung \u00fcberhaupt sichtbar wird. Ein regul\u00e4rer Zugriff auf lokal gespeicherte Unterlagen oder Anwendungen \u00fcber das Betriebssystem ist damit nicht mehr m\u00f6glich. F\u00fcr die Bearbeitung laufender Vorg\u00e4nge bedeutet das einen vollst\u00e4ndigen Stillstand des Arbeitsplatzes<\/strong>, unabh\u00e4ngig davon, ob einzelne Dateien darauf \u00fcberhaupt verschl\u00fcsselt wurden. Weil Kundenanliegen und Vertragsunterlagen teils lokal zwischengespeichert werden, wirkt sich der Stillstand unmittelbar auf die Bearbeitungsgeschwindigkeit aus.<\/p>\n

Wie funktioniert Petya?<\/h2>\n

Petya funktioniert, indem die Schadsoftware nach der Ausf\u00fchrung zun\u00e4chst den Master Boot Record der Festplatte \u00fcberschreibt und anschlie\u00dfend einen Systemneustart erzwingt. Beim folgenden Start zeigt der Rechner eine gef\u00e4lschte Systempr\u00fcfung<\/strong>, hinter der sich die eigentliche Verschl\u00fcsselung der Master File Table verbirgt, w\u00e4hrend der Nutzer einen gew\u00f6hnlichen Wartungsvorgang vermutet.<\/p>\n

Ohne eine intakte Master File Table kann das Betriebssystem den Speicherort seiner eigenen Dateien nicht mehr finden, wodurch der regul\u00e4re Systemstart bereits vor der Anmeldung scheitert<\/strong>. Erst danach erscheint auf dem gesperrten Bildschirm die L\u00f6segeldforderung mit Zahlungsanweisung. Fehlen einem Petya-Prozess die notwendigen Administratorrechte, um den Master Boot Record zu \u00fcberschreiben, springt bei manchen Varianten stattdessen die kombinierte Komponente Mischa<\/strong> ein und verschl\u00fcsselt einzelne Dateien direkt, ohne den Bootvorgang zu manipulieren. So bleibt die Schadsoftware auch dann wirksam, wenn ihr die f\u00fcr den ersten Angriffsweg n\u00f6tigen Rechte fehlen. Ist der MBR bereits manipuliert und die Pre-Boot-Verschl\u00fcsselung gestartet, kann Schutzsoftware auf Betriebssystemebene zu diesem Zeitpunkt nicht mehr eingreifen. Ein reines Dateibackup repariert den Boot-Bereich nicht; je nach Fall sind Boot-Reparatur, Systemabbild oder Neuaufsetzen erforderlich.<\/p>\n

Woran erkenne ich Petya?<\/h2>\n\n\n\n\n\n\n\n\n
Signal<\/th>\nWoran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
Erzwungener Systemneustart kurz nach Ausf\u00fchrung der Datei<\/td>\nRechner f\u00e4hrt ohne Nutzeraktion neu hoch<\/td>\n<\/tr>\n
Gef\u00e4lschte CHKDSK-Systempr\u00fcfung beim Neustart<\/td>\nangezeigter Festplattencheck l\u00e4uft tats\u00e4chlich nicht, sondern verschleiert die Verschl\u00fcsselung<\/td>\n<\/tr>\n
Betriebssystem startet nach dem Neustart nicht mehr<\/td>\nBildschirm zeigt nur noch die L\u00f6segeldforderung statt des gewohnten Anmeldebildschirms<\/td>\n<\/tr>\n
Verbreitung \u00fcber infizierte Bewerbungsunterlagen mit Dropbox-Link<\/td>\nE-Mail-Anhang oder Link f\u00fchrt zu einer ausf\u00fchrbaren Datei statt zu einem Dokument<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Regelm\u00e4\u00dfige, getrennt aufbewahrte Systemabbilder zus\u00e4tzlich zu Dateisicherungen<\/li>\n
  • Einschr\u00e4nkung von Administratorrechten auf Endger\u00e4ten f\u00fcr allt\u00e4gliche Nutzerkonten<\/li>\n
  • Schulung zu verd\u00e4chtigen Bewerbungs- oder Rechnungsanh\u00e4ngen mit ausf\u00fchrbaren Dateien<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Betroffenen Rechner vom Netzwerk trennen<\/li>\n
    • Bei Verdacht den Vorfall umgehend den IT-Sicherheitsverantwortlichen melden<\/li>\n
    • Je nach Fall Boot-Bereich reparieren, System aus einem Abbild wiederherstellen oder neu aufsetzen; eine reine Dateiwiederherstellung reicht nicht aus<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33675","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Petya \u00fcberschreibt den Master Boot Record mit eigenem Bootcode und verschl\u00fcsselt danach die Master File Table der Festplatte.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Petya ist eine Ransomware-Familie, die den Master Boot Record einer Festplatte mit eigenem Bootcode \u00fcberschreibt, anschlie\u00dfend die Master File Table verschl\u00fcsselt und dadurch das gesamte Betriebssystem bereits vor dem Systemstart unzug\u00e4nglich macht.","at_a_glance":[{"bullet":"NotPetya ging \u00e4hnlich wie Petya vor und traf 2017 Unternehmen und kritische Infrastruktur."},{"bullet":"Fr\u00fche Petya-Varianten verbreiteten sich \u00fcber gef\u00e4lschte Bewerbungsunterlagen mit einem infizierten Dropbox-Link, der an Personalabteilungen gesendet wurde."},{"bullet":"Weil die Verschl\u00fcsselung der Master File Table erst nach dem erzwungenen Neustart und noch vor dem Start des Betriebssystems abl\u00e4uft, kann Schutzsoftware auf Betriebssystemebene zu diesem Zeitpunkt nicht mehr eingreifen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Der NotPetya-Angriff im Juni 2017 traf weltweit Unternehmen wie den Logistikkonzern Maersk und den Pharmahersteller Merck; Maersk rechnete laut heise mit bis zu 300 Millionen US-Dollar Verlust."},{"example":"Fr\u00fche Petya-Varianten verbreiteten sich \u00fcber manipulierte Bewerbungsunterlagen, die per E-Mail an Personalabteilungen gesendet wurden und einen infizierten Dropbox-Link enthielten."},{"example":"Eine kombinierte Variante von Petya und der Ransomware Mischa wurde eingesetzt, um Systeme zu verschl\u00fcsseln, auf denen Petya mangels Administratorrechten nicht den Master Boot Record \u00fcberschreiben konnte."},{"example":"Auf einem Arbeitsplatzrechner eines Versicherers verhindert der von Petya \u00fcberschriebene Master Boot Record den regul\u00e4ren Systemstart bereits, bevor \u00fcberhaupt eine Zahlungsaufforderung erscheint."}],"misconception":[{"myth":"Wenn ich die verschl\u00fcsselten Dateien aus dem Backup zur\u00fcckspiele, l\u00e4uft der Rechner wieder.","reality":"Weil Petya den Master Boot Record und die Master File Table angreift, startet das Betriebssystem selbst nicht mehr; eine reine Dateiwiederherstellung reicht nicht aus; je nach Fall sind ein Systemabbild, eine Boot-Reparatur oder ein Neuaufsetzen n\u00f6tig."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33703,33687,33689],"pillar_link":null,"sources":[{"publisher":"","name":"NotPetya, Software S0368","url":"https:\/\/attack.mitre.org\/software\/S0368\/","doc_type":"","group":"used"},{"publisher":"","name":"Die Lage der IT-Sicherheit in Deutschland 2017","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Publikationen\/Lageberichte\/Lagebericht2017.pdf?__blob=publicationFile","doc_type":"","group":"used"},{"publisher":"","name":"NotPetya: Maersk erwartet bis zu 300 Millionen Dollar Verlust","url":"https:\/\/www.heise.de\/news\/NotPetya-Maersk-erwartet-bis-zu-300-Millionen-Dollar-Verlust-3804688.html","doc_type":"2017","group":"used"},{"publisher":"","name":"Malware NotPetya schm\u00e4lert Mercks Umsatz","url":"https:\/\/heise.de\/newsticker\/meldung\/Malware-NotPetya-schmaelert-Mercks-Umsatz-3875823.html","doc_type":"2017","group":"used"},{"publisher":"","name":"Decrypting the Petya Ransomware","url":"https:\/\/blog.checkpoint.com\/research\/decrypting-the-petya-ransomware\/","doc_type":"2016","group":"used"},{"publisher":"","name":"Petya\/NotPetya: Kein Erpressungstrojaner, sondern ein \"Wiper\"","url":"https:\/\/www.heise.de\/news\/Petya-NotPetya-Kein-Erpressungstrojaner-sondern-ein-Wiper-3759293.html","doc_type":"2017","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t