NotPetya ist eine destruktive Schadsoftware, die im Juni 2017 weltweit massive Sch\u00e4den verursachte und sich als Ransomware tarnte, obwohl sie tats\u00e4chlich ein Wiper war. Ein Wiper zerst\u00f6rt Daten, anstatt sie wiederherstellbar zu verschl\u00fcsseln; anders als bei echter Ransomware war f\u00fcr die betroffenen Dateien keine funktionierende Entschl\u00fcsselung vorgesehen<\/strong>. Die angezeigte L\u00f6segeldforderung diente lediglich als Tarnung f\u00fcr den eigentlichen Zweck der Schadsoftware, nicht als Grundlage f\u00fcr eine echte Zahlungsverhandlung.<\/p>\n Gelangt NotPetya in das Netzwerk eines Versicherers, kann sich die Schadsoftware \u00fcber legitime Administrationswerkzeuge auf weitere erreichbare Windows-Systeme ausbreiten und dort ebenfalls Daten zerst\u00f6ren. Betroffen sein k\u00f6nnen dabei ebenso Bestandsf\u00fchrungs- wie Abrechnungssysteme, sofern sie \u00fcber das interne Netzwerk erreichbar sind und der Angriff nicht durch Segmentierung einged\u00e4mmt wird. Bei Versicherern bedeutet das destruktive Muster von NotPetya, dass sich zerst\u00f6rte Daten in der Regel nur aus getrennt aufbewahrten Backups<\/strong> wiederherstellen lassen, weil f\u00fcr sie keine funktionierende Entschl\u00fcsselung existiert. Die Dauer eines Ausfalls h\u00e4ngt damit st\u00e4rker vom Zustand der eigenen Sicherungen ab als von einer m\u00f6glichen Zahlung an die Angreifer.<\/p>\n NotPetya verbreitet sich \u00fcber den EternalBlue-Exploit f\u00fcr eine Schwachstelle in SMBv1 sowie \u00fcber die legitimen Windows-Administrationswerkzeuge PsExec und WMIC, mit denen sich die Schadsoftware ohne weiteres Zutun lateral im Netzwerk ausbreitet. Ein einzelner infizierter Rechner gen\u00fcgt damit als Einfallstor f\u00fcr die Ausbreitung<\/strong> auf weitere erreichbare Windows-Systeme im selben Netzwerk, sofern diese nicht durch Netzwerksegmentierung oder fehlende Berechtigungen abgeschottet sind.<\/p>\n Hat die Schadsoftware ein System erreicht, \u00fcberschreibt sie Teile des Master Boot Records irreversibel und verschl\u00fcsselt Dateien mit wichtigen Daten, die sie zuvor anhand Dutzender Dateiendungen ausw\u00e4hlt. Eine anschlie\u00dfend angezeigte L\u00f6segeldforderung fordert zwar zur Zahlung auf, eine funktionierende Entschl\u00fcsselung ist daf\u00fcr jedoch nicht vorgesehen<\/strong>. Das Fehlen einer vorgesehenen Wiederherstellung unterscheidet NotPetya von echter Ransomware, bei der eine Zahlung auf eine tats\u00e4chliche Entschl\u00fcsselung der Daten abzielt. F\u00fcr die Wiederherstellung betroffener Daten bleibt deshalb in der Regel nur der R\u00fcckgriff auf Sicherungen, die getrennt vom betroffenen Netzwerk aufbewahrt wurden.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33687","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"NotPetya tarnte sich als Ransomware, war aber ein Wiper, der Daten ohne funktionierende Entschl\u00fcsselungsm\u00f6glichkeit zerst\u00f6rte.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"NotPetya ist eine im Juni 2017 weltweit aufgetretene destruktive Schadsoftware, die sich \u00e4u\u00dferlich als Ransomware tarnte, tats\u00e4chlich jedoch Daten zerst\u00f6rte, ohne den Betroffenen eine funktionierende M\u00f6glichkeit zur Entschl\u00fcsselung anzubieten.","at_a_glance":[{"bullet":"NotPetya verbreitete sich \u00fcber den EternalBlue-Exploit sowie \u00fcber die legitimen Windows-Administrationswerkzeuge PsExec und WMIC."},{"bullet":"Wie die Ransomware Petya \u00fcberschrieb auch NotPetya Teile des Master Boot Records, den Angreifern ging es dabei aber wohl nicht ums Geld."},{"bullet":"Zu den betroffenen Unternehmen z\u00e4hlen der Logistikkonzern Maersk, der seine gesamte IT-Infrastruktur neu aufsetzen musste, und der Pharmakonzern Merck, dessen Umsatz der Angriff erheblich beeintr\u00e4chtigte."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Der Logistikkonzern Maersk musste nach dem NotPetya-Angriff laut SecurityWeek die Software seiner gesamten IT-Infrastruktur neu installieren, darunter rund 45.000 PCs und 4.000 Server; die Arbeiten dauerten zehn Tage."},{"example":"Das Pharmaunternehmen Merck erlitt durch NotPetya Produktionsausf\u00e4lle und Datenverluste mit rund 135 Millionen US-Dollar entgangenem Umsatz allein im dritten Quartal 2017."},{"example":"NotPetya gelangte \u00fcber den Update-Mechanismus einer legitimen Software in die Netzwerke der Opfer; als Hauptangriffsvektor diente laut SecurityWeek das Produkt eines ukrainischen Steuersoftware-Herstellers, ein klassisches Supply-Chain-Angriffsszenario."},{"example":"Trifft NotPetya das Netzwerk eines Versicherers, kann sich die Schadsoftware \u00fcber legitime Administrationswerkzeuge lateral auf weitere erreichbare Windows-Systeme ausbreiten; f\u00fcr dabei zerst\u00f6rte Daten steht anschlie\u00dfend keine funktionierende Entschl\u00fcsselung zur Verf\u00fcgung."}],"misconception":[{"myth":"NotPetya war eine gew\u00f6hnliche Ransomware, bei der eine Zahlung des L\u00f6segelds die Daten wiederherstellt.","reality":"NotPetya tarnte sich als Ransomware, war aber tats\u00e4chlich ein Wiper: F\u00fcr die zerst\u00f6rten Daten war keine funktionierende Entschl\u00fcsselung vorgesehen, die L\u00f6segeldforderung diente lediglich als Tarnung."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33710,33690,33675,33689],"pillar_link":null,"sources":[{"publisher":"","name":"NotPetya, Software S0368","url":"https:\/\/attack.mitre.org\/software\/S0368\/","doc_type":"2025","group":"used"},{"publisher":"","name":"Maersk Reinstalled 50,000 Computers After NotPetya Attack","url":"https:\/\/www.securityweek.com\/maersk-reinstalled-50000-computers-after-notpetya-attack\/","doc_type":"","group":"used"},{"publisher":"","name":"NotPetya Attack Had Significant Impact on Merck Revenue","url":"https:\/\/www.securityweek.com\/notpetya-attack-had-significant-impact-merck-revenue\/","doc_type":"","group":"used"},{"publisher":"","name":"Petya\/NotPetya: Kein Erpressungstrojaner, sondern ein \"Wiper\"","url":"https:\/\/www.heise.de\/news\/Petya-NotPetya-Kein-Erpressungstrojaner-sondern-ein-Wiper-3759293.html","doc_type":"2017","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert NotPetya?<\/h2>\n
Woran erkenne ich NotPetya?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n L\u00f6segeldforderung erscheint, obwohl keine funktionierende Entschl\u00fcsselung angeboten wird<\/td>\n Laut MITRE ATT&CK beabsichtigten die Angreifer nie, die verschl\u00fcsselten Daten wiederherstellbar zu machen; die Zahlungsaufforderung war kein echter Wiederherstellungsweg<\/td>\n<\/tr>\n \n Verbreitung erfolgt zus\u00e4tzlich \u00fcber legitime Windows-Administrationswerkzeuge<\/td>\n Auff\u00e4llige Nutzung von PsExec oder WMIC zur Ausbreitung im Netzwerk statt nur \u00fcber eine einzelne Infektionsquelle<\/td>\n<\/tr>\n \n Angriff nutzt den EternalBlue-Exploit f\u00fcr eine bekannte SMBv1-Schwachstelle<\/td>\n Ungepatchte Systeme sind \u00fcber diese Schwachstelle angreifbar<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n