LockerGoga ist eine Ransomware-Familie, die gezielt gegen Industriebetriebe eingesetzt wurde und neben der Verschl\u00fcsselung von Dateien Systeme durch deaktivierte Netzwerkschnittstellen vom Netz abschneiden kann. Der Angriff geht \u00fcber klassische Verschl\u00fcsselungs-Ransomware hinaus: Beobachtet wurde, dass die Schadsoftware zus\u00e4tzlich Kontopassw\u00f6rter \u00e4ndert und Netzwerkschnittstellen deaktiviert<\/strong>, wodurch betroffene Arbeitspl\u00e4tze zus\u00e4tzlich zur Dateiverschl\u00fcsselung vom restlichen Firmennetz isoliert werden k\u00f6nnen. Sind Produktionsanlagen auf einen durchgehenden Systemzugriff angewiesen, kann sich ein solcher Ausfall unmittelbar auf laufende Fertigungsprozesse auswirken. Laut MITRE wurde LockerGoga erstmals im Januar 2019 gemeldet und mit Angriffen auf mehrere europ\u00e4ische Unternehmen in Verbindung gebracht, darunter Industrie- und Fertigungsbetriebe.<\/p>\n In einem Versicherungsunternehmen k\u00f6nnen Mitarbeiter durch ge\u00e4nderte Passw\u00f6rter und gekappte Netzwerkverbindungen den Zugriff auf ihre Verwaltungssysteme insgesamt verlieren, nicht nur auf verschl\u00fcsselte Dateien. Kommt es dazu, macht eine Wiederherstellung der Dateien aus Backups die ge\u00e4nderten Passw\u00f6rter und deaktivierten Netzwerkschnittstellen nicht r\u00fcckg\u00e4ngig<\/strong>. Schaden- und Vertragsbearbeitung, die auf den Zugriff mehrerer vernetzter Systeme angewiesen ist, bleibt so l\u00e4nger unterbrochen als bei einer reinen Dateiverschl\u00fcsselung. Sind Schadensf\u00e4lle an Bearbeitungsfristen gebunden, versch\u00e4rft ein verl\u00e4ngerter Systemausfall zus\u00e4tzlich den Druck auf die Bearbeitungszeiten.<\/p>\n Vor dem Einsatz von LockerGoga verschaffen sich die Angreifer Zugang zum Firmennetz und k\u00f6nnen dort zentrale Systeme wie das Active Directory manipulieren, bevor die eigentliche Verschl\u00fcsselung beginnt. Laut MITRE kopieren die Angreifer die Schadsoftware dabei manuell per SMB von Rechner zu Rechner<\/strong>, statt dass sie sich selbstst\u00e4ndig verbreitet.<\/p>\n Anschlie\u00dfend verschl\u00fcsselt LockerGoga Dateien; beobachtet wurde zudem, dass die Schadsoftware Kontopassw\u00f6rter \u00e4ndert und angemeldete Nutzer abmeldet, wodurch sich Besch\u00e4ftigte selbst mit korrekten alten Zugangsdaten nicht mehr anmelden k\u00f6nnen. Zus\u00e4tzlich kann die Schadsoftware alle Netzwerkschnittstellen eines Systems deaktivieren, was eine zentrale Fernsteuerung oder Fehlerbehebung durch die IT-Abteilung erschwert<\/strong>. Treten Datei-, Konto- und Netzwerksperre zusammen auf, macht eine Wiederherstellung der Dateien aus Backups die ge\u00e4nderten Passw\u00f6rter, die abgemeldeten Nutzer und die deaktivierten Netzwerkschnittstellen nicht r\u00fcckg\u00e4ngig.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33686","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"LockerGoga verschl\u00fcsselt Dateien und kann Systeme vom Netz trennen; bekannt durch den Angriff auf Norsk Hydro 2019.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"LockerGoga ist eine Ransomware-Familie, die gezielt gegen Industriebetriebe eingesetzt wurde und Dateien verschl\u00fcsselt; beobachtet wurde zudem, dass sie Kontopassw\u00f6rter \u00e4ndert, angemeldete Nutzer abmeldet und alle Netzwerkschnittstellen des Systems deaktiviert.","at_a_glance":[{"bullet":"Bekannt wurde LockerGoga durch den Angriff auf den norwegischen Aluminiumhersteller Norsk Hydro im M\u00e4rz 2019, der zu Produktionsausf\u00e4llen in mehreren L\u00e4ndern f\u00fchrte."},{"bullet":"In Europa wurde LockerGoga auch gegen Fertigungsunternehmen eingesetzt; beim Angriff auf Norsk Hydro gab es laut BSI im Vorfeld Manipulationen des Active Directory."},{"bullet":"Neben der Verschl\u00fcsselung wurde beobachtet, dass LockerGoga Kontopassw\u00f6rter \u00e4ndert, angemeldete Nutzer abmeldet und die Netzwerkschnittstellen des Systems deaktiviert."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Im M\u00e4rz 2019 infizierte LockerGoga die Systeme von Norsk Hydro und zwang den Konzern, Aluminiumwerke in mehreren L\u00e4ndern auf manuelle Produktion umzustellen."},{"example":"LockerGoga wurde in Europa auch gegen Unternehmen in der Fertigungsindustrie eingesetzt; laut BSI kam die Ransomware erstmals Anfang 2019 bei einem franz\u00f6sischen Unternehmen zum Einsatz."},{"example":"In einem Versicherungsunternehmen k\u00f6nnen Mitarbeiter durch ge\u00e4nderte Passw\u00f6rter und gekappte Netzwerkverbindungen den Zugriff auf ihre Verwaltungssysteme vollst\u00e4ndig verlieren, nicht nur auf verschl\u00fcsselte Dateien."}],"misconception":[{"myth":"Nach der Wiederherstellung der verschl\u00fcsselten Dateien aus dem Backup l\u00e4uft der Betrieb wieder normal.","reality":"Bei LockerGoga wurde beobachtet, dass die Schadsoftware zus\u00e4tzlich Kontopassw\u00f6rter \u00e4ndert, angemeldete Nutzer abmeldet und alle Netzwerkschnittstellen des Systems deaktiviert."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33703,33700,33689],"pillar_link":null,"sources":[{"publisher":"","name":"LockerGoga, Software S0372","url":"https:\/\/attack.mitre.org\/software\/S0372\/","doc_type":"","group":"used"},{"publisher":"","name":"Die Lage der IT-Sicherheit in Deutschland 2019","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Publikationen\/Lageberichte\/Lagebericht2019.pdf?__blob=publicationFile&v=6","doc_type":"","group":"used"},{"publisher":"","name":"Werke auf manuellem Betrieb: Cyberangriff auf Aluminiumkonzern Norsk Hydro","url":"https:\/\/www.heise.de\/newsticker\/meldung\/Werke-auf-manuellem-Betrieb-Cyberangriff-auf-Aluminiumkonzern-Norsk-Hydro-4339886.html","doc_type":"2019","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert LockerGoga?<\/h2>\n
Woran erkenne ich LockerGoga?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Unerwartet ge\u00e4nderte Kontopassw\u00f6rter<\/td>\n Betroffene k\u00f6nnen sich trotz korrekter bisheriger Zugangsdaten nicht mehr anmelden<\/td>\n<\/tr>\n \n Abbruch von Netzwerkverbindungen einzelner Systeme<\/td>\n IT-Abteilung kann betroffene Rechner nicht mehr zentral erreichen<\/td>\n<\/tr>\n \n Verschl\u00fcsselte Dateien und L\u00f6segeldforderung<\/td>\n Dateien, teils auch zentrale Windows-Systemdateien, sind verschl\u00fcsselt; f\u00fcr den Schl\u00fcssel wird eine Zahlung in Bitcoin gefordert<\/td>\n<\/tr>\n \n Vorherige Kompromittierung der Active-Directory-Infrastruktur<\/td>\n ungew\u00f6hnliche administrative Zugriffe auf zentrale Verzeichnisdienste vor der eigentlichen Verschl\u00fcsselung<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n