Lorenz ist eine Ransomware-Gruppierung, die sich auf gezielte Angriffe gegen Unternehmensnetzwerke spezialisiert hat und Daten typischerweise noch vor der Verschl\u00fcsselung exfiltriert. Statt breit gestreute Kampagnen zu fahren, w\u00e4hlen die Angreifer einzelne Organisationen gezielt aus und bereiten den Angriff \u00fcber einen l\u00e4ngeren Zeitraum vor. Zentrales Merkmal ist die doppelte Erpressung: In der Regel noch vor der Verschl\u00fcsselung exfiltrieren die Angreifer sensible Daten aus dem Netzwerk und drohen zus\u00e4tzlich mit deren Ver\u00f6ffentlichung, falls das Opfer nicht zahlt. Diese Kombination erh\u00f6ht den Druck auch dann, wenn ein Unternehmen dank vorhandener Backups<\/strong> auf die Zahlung verzichten k\u00f6nnte.<\/p>\n F\u00fcr einen Versicherer versch\u00e4rft dieses Vorgehen die Folgen eines Angriffs deutlich. Verweigert das Unternehmen die Zahlung, droht die Gruppe damit, gestohlene Kundendaten auf einer eigenen Leak-Seite im Darknet zu ver\u00f6ffentlichen. Neben dem Verlust der Datenverf\u00fcgbarkeit durch Verschl\u00fcsselung ist durch den Datendiebstahl auch die Vertraulichkeit sensibler Kundendaten verletzt, was Meldepflichten und Reputationssch\u00e4den nach sich ziehen kann<\/strong> und den wirtschaftlichen Schaden \u00fcber die reine Systemwiederherstellung hinaus vergr\u00f6\u00dfert.<\/p>\n Lorenz funktioniert nach dem Prinzip der doppelten Erpressung: Die Angreifer verschaffen sich zun\u00e4chst \u00fcber einen initialen Zugang, etwa eine kompromittierte Fernzugriffsl\u00f6sung oder eine ausgenutzte Schwachstelle, Zugriff auf das Unternehmensnetzwerk. Von dort aus bewegen sie sich lateral durch das Netzwerk, identifizieren wertvolle Systeme und Daten und kopieren sensible Dokumente auf eigene Infrastruktur<\/strong>. Diese Vorbereitungsphase kann je nach Gr\u00f6\u00dfe des Netzwerks mehrere Tage oder Wochen dauern.<\/p>\n Typischerweise exfiltrieren die Angreifer Daten, bevor sie Systeme verschl\u00fcsseln und eine L\u00f6segeldforderung hinterlegen. Zahlt das Opfer nicht innerhalb der gesetzten Frist<\/strong>, droht die Gruppe damit, die zuvor gestohlenen Daten auf einer eigenen Darknet-Leak-Seite zu ver\u00f6ffentlichen.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33679","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Lorenz: Ransomware-Gruppe, die gezielt Firmen angreift, Daten verschl\u00fcsselt und mit gestohlenen Informationen zus\u00e4tzlich erpresst.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Lorenz ist eine Ransomware-Gruppierung, die sich auf gezielte Angriffe gegen Unternehmensnetzwerke spezialisiert hat und durch doppelte Erpressung Daten verschl\u00fcsselt sowie zus\u00e4tzlich mit der Ver\u00f6ffentlichung gestohlener Informationen droht, um Opfer unter Druck zu setzen.","at_a_glance":[{"bullet":"Der Zugang zum Netzwerk entsteht unter anderem \u00fcber Phishing-Nachrichten aus bereits kompromittierten Konten von Gesch\u00e4ftspartnern."},{"bullet":"Eine eigene Darknet-Leak-Seite dient der Gruppe dazu, mit der Ver\u00f6ffentlichung gestohlener Daten zu drohen, falls das Opfer nicht zahlt."},{"bullet":"Die Kombination aus Datendiebstahl und Verschl\u00fcsselung wirkt selbst dann als Druckmittel, wenn Opfer \u00fcber funktionierende Backups verf\u00fcgen."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Bei einem typischen Lorenz-Angriff wird das Netzwerk einer Organisation kompromittiert; die Gruppe exfiltriert Daten und verschl\u00fcsselt anschlie\u00dfend erreichbare Systeme, bevor eine L\u00f6segeldforderung gestellt wird."},{"example":"Nach einer verweigerten L\u00f6segeldzahlung droht die Gruppe damit, gestohlene Daten auf ihrer Darknet-Leak-Seite zu ver\u00f6ffentlichen."},{"example":"Ein typisches Vorgehen von Lorenz kombiniert die Verschl\u00fcsselung von Servern mit dem vorherigen Abfluss sensibler Dokumente, sodass Opfer selbst bei vorhandenen Backups weiterhin unter Erpressungsdruck stehen."},{"example":"Stiehlt Lorenz Kundendaten eines Versicherers und droht mit deren Ver\u00f6ffentlichung auf einer Leak-Seite, ist neben der Verf\u00fcgbarkeit der verschl\u00fcsselten Daten auch deren Vertraulichkeit verletzt."}],"misconception":[{"myth":"Wer \u00fcber aktuelle Backups verf\u00fcgt, ist vor den Folgen eines Lorenz-Angriffs gesch\u00fctzt.","reality":"Die Gruppe stiehlt zus\u00e4tzlich zur Verschl\u00fcsselung Daten und droht mit deren Ver\u00f6ffentlichung, sodass funktionierende Backups zwar die Verf\u00fcgbarkeit wiederherstellen, den Druck durch die Vertraulichkeitsverletzung aber nicht beseitigen."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33642,33689],"pillar_link":null,"sources":[{"publisher":"","name":"Lorenz Ransomware: In-Depth Analysis, Detection, and Mitigation","url":"https:\/\/www.sentinelone.com\/anthology\/lorenz\/","doc_type":"2022","group":"used"},{"publisher":"","name":"Cybereason vs. Lorenz Ransomware","url":"https:\/\/web.archive.org\/web\/20260818183656\/https:\/\/www.cybereason.com\/blog\/research\/cybereason-vs.-lorenz-ransomware","doc_type":"","group":"used"},{"publisher":"","name":"Ransomware: Fortschrittliche Angriffe \u2013 dynamische Entwicklung","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Informationen-und-Empfehlungen\/Empfehlungen-nach-Gefaehrdungen\/Fortschrittliche-Angriffe\/Fortschrittliche-Angriffe_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Ransomware 101","url":"https:\/\/www.cisa.gov\/stopransomware\/ransomware-101","doc_type":"","group":"further"},{"publisher":"","name":"Data Encrypted for Impact, Technique T1486","url":"https:\/\/attack.mitre.org\/techniques\/T1486\/","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Lorenz?<\/h2>\n
Woran erkenne ich Lorenz?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Gezielter, vorbereiteter Angriff statt Massenkampagne<\/td>\n Der Angriff richtet sich gegen einzelne Unternehmensnetzwerke, nicht breit gestreut gegen Einzelpersonen<\/td>\n<\/tr>\n \n Datenabfluss, typischerweise vor der Verschl\u00fcsselung<\/td>\n Ungew\u00f6hnlich gro\u00dfe ausgehende Datenmengen zu externen Zielen k\u00f6nnen auf eine Exfiltrationsphase hindeuten<\/td>\n<\/tr>\n \n Drohung mit Ver\u00f6ffentlichung auf Leak-Seite<\/td>\n Die L\u00f6segeldforderung verweist auf eine Darknet-Leak-Seite, mit der die Gruppe bei Nichtzahlung die Ver\u00f6ffentlichung gestohlener Daten androht<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n