Qilin ist eine Ransomware-as-a-Service-Gruppe sowie die gleichnamige Schadsoftware, die auf gezielte Erpressungsangriffe gegen Unternehmen und Organisationen spezialisiert ist. Die Gruppe setzt auf das Double-Extortion-Modell: Angreifer exfiltrieren in der Regel Daten vor der Verschl\u00fcsselung und setzen Betroffene zus\u00e4tzlich mit der drohenden Ver\u00f6ffentlichung sensibler Informationen unter Druck. Qilin operiert als kriminelles \u00d6kosystem, in dem die Kerngruppe die Infrastruktur bereitstellt und unabh\u00e4ngige Affiliates die Angriffe ausf\u00fchren. Diese Arbeitsteilung erlaubt es der Gruppe, parallel mehrere Ziele in unterschiedlichen Branchen anzugreifen<\/strong>. Laut SecurityWeek ist Qilin auch unter dem Namen Agenda bekannt, wirbt in Darknet-Foren und vermietet die Schadsoftware an Affiliates, die damit gegen einen Anteil an den L\u00f6segeldzahlungen Angriffe ausf\u00fchren.<\/p>\n Exfiltrieren Affiliates vor der Verschl\u00fcsselung Daten aus einem Maklerportal, k\u00f6nnen sie zus\u00e4tzlich mit deren Ver\u00f6ffentlichung drohen, um den Erpressungsdruck auf den Versicherer zu erh\u00f6hen. Eine Zahlung stellt dabei nicht sicher, dass die Ver\u00f6ffentlichung tats\u00e4chlich unterbleibt. Betroffen sein k\u00f6nnen damit nicht nur die eigenen Vertragsdaten, sondern auch personenbezogene Informationen von Kunden, deren Vertr\u00e4ge \u00fcber das kompromittierte Portal verwaltet wurden, was zus\u00e4tzliche Meldepflichten ausl\u00f6sen kann<\/strong>.<\/p>\n Qilin-Affiliates verschaffen sich zun\u00e4chst Zugriff auf ein Unternehmensnetzwerk und exfiltrieren in der Regel Daten, bevor die eigentliche Verschl\u00fcsselung beginnt. Als Zugangswege sind etwa ausgenutzte, \u00f6ffentlich erreichbare Anwendungen und Schnittstellen wie Citrix und RDP sowie Spearphishing-E-Mails dokumentiert. Der Datendiebstahl sichert den Angreifern einen Druckhebel<\/strong>, selbst wenn die sp\u00e4tere Verschl\u00fcsselung durch Sicherheitsma\u00dfnahmen teilweise vereitelt wird oder Systeme aus Backups wiederhergestellt werden k\u00f6nnen. Die Schadsoftware selbst kann zudem Prozesse und Dienste von Antivirenprogrammen beenden und Volumenschattenkopien l\u00f6schen; Varianten gibt es f\u00fcr Windows, Linux und VMware ESXi.<\/p>\n Anschlie\u00dfend verschl\u00fcsseln die Affiliates erreichbare Systeme und k\u00f6nnen bei ausbleibender Zahlung gestohlene Daten auf einer Leak-Site ver\u00f6ffentlichen. F\u00fcr Betroffene bedeutet das, dass ein Vorfall selbst nach erfolgreicher Wiederherstellung der Systeme aus Backups<\/strong> nicht automatisch abgeschlossen ist, solange gestohlene Daten weiterhin drohen, ver\u00f6ffentlicht zu werden. Die Kommunikation \u00fcber die Leak-Site dient dabei zugleich als Beleg f\u00fcr die Ernsthaftigkeit der Drohung gegen\u00fcber Betroffenen.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33691","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Qilin kombiniert Datendiebstahl mit Verschl\u00fcsselung; der Name bezeichnet ein chinesisches Fabelwesen.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Agenda"}],"lead_definition":"Qilin ist eine Ransomware-as-a-Service-Gruppe sowie die gleichnamige Schadsoftware, die mithilfe unabh\u00e4ngiger Affiliates gezielte Erpressungsangriffe gegen Unternehmen und Organisationen durchf\u00fchrt und dabei auf das Double-Extortion-Modell mit in der Regel vorangehendem Datendiebstahl setzt.","at_a_glance":[{"bullet":"Der Name Qilin bezeichnet ein chinesisches Fabelwesen."},{"bullet":"2024 wurde Qilin mit einem Angriff auf einen britischen Pathologiedienstleister in Verbindung gebracht, der den Klinikbetrieb des Londoner NHS st\u00f6rte."},{"bullet":"Bereits die Drohung mit einer Ver\u00f6ffentlichung gestohlener Daten kann zur Zahlung bewegen, auch wenn die Verschl\u00fcsselung selbst misslingt."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"2024 wurde Qilin mit einem Angriff auf einen britischen Pathologiedienstleister in Verbindung gebracht, der zu erheblichen St\u00f6rungen im Krankenhausbetrieb des Londoner NHS f\u00fchrte."},{"example":"Qilin-Affiliates kompromittieren Unternehmensnetzwerke, exfiltrieren Daten und k\u00f6nnen diese auf einer Leak-Site ver\u00f6ffentlichen, wenn das L\u00f6segeld nicht gezahlt wird."},{"example":"Exfiltrieren Affiliates vor der Verschl\u00fcsselung Daten aus dem Maklerportal, drohen sie zus\u00e4tzlich mit deren Ver\u00f6ffentlichung, um den Erpressungsdruck auf den Versicherer zu erh\u00f6hen."}],"misconception":[{"myth":"Wird das L\u00f6segeld bezahlt, l\u00f6scht die Gruppe die gestohlenen Daten zuverl\u00e4ssig.","reality":"Eine Zahlung stellt nicht sicher, dass die von Qilin gestohlenen Daten nicht doch ver\u00f6ffentlicht werden."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Qilin-Ransomware","inline_description":"Qilin-Ransomware bezeichnet die Schadsoftware der Qilin-Familie mit Verschl\u00fcsselung und Datendiebstahl.","description":"Der Zusatz Ransomware stellt klar, dass die Schadsoftware gemeint ist und nicht das Fabelwesen gleichen Namens. Die Gruppe, die diese Software betreibt, ist vom Schadprogramm selbst zu unterscheiden.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33703,33670],"pillar_link":null,"sources":[{"publisher":"","name":"Synnovis Confirms Patient Information Stolen in Disruptive Ransomware Attack","url":"https:\/\/www.securityweek.com\/synnovis-confirms-patient-information-stolen-in-disruptive-ransomware-attack\/","doc_type":"2024","group":"used"},{"publisher":"","name":"A Russian Cyber Gang Is Thought to Be Behind a Ransomware Attack That Hit London Hospitals","url":"https:\/\/www.securityweek.com\/a-russian-cyber-gang-is-thought-to-be-behind-a-ransomware-attack-that-hit-london-hospitals\/","doc_type":"2024","group":"used"},{"publisher":"","name":"England: Cyber attack on pathology service provider led to a patient's death","url":"https:\/\/www.heise.de\/en\/news\/England-Cyber-attack-on-pathology-service-provider-led-to-a-patient-s-death-10463963.html","doc_type":"2025","group":"used"},{"publisher":"","name":"Qilin, Software S1242","url":"https:\/\/attack.mitre.org\/software\/S1242\/","doc_type":"2026","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Qilin?<\/h2>\n
Woran erkenne ich Qilin?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Datenabfluss vor Verschl\u00fcsselung<\/td>\n Ungew\u00f6hnlicher ausgehender Datenverkehr geht der eigentlichen Verschl\u00fcsselung in der Regel zeitlich voraus<\/td>\n<\/tr>\n \n Drohung mit Ver\u00f6ffentlichung<\/td>\n Die Erpressungsnachricht droht mit der Ver\u00f6ffentlichung gestohlener Daten<\/td>\n<\/tr>\n \n L\u00f6segeldnachricht als Desktop-Hintergrund<\/td>\n Auf kompromittierten Rechnern kann der Desktop-Hintergrund durch eine L\u00f6segeldnachricht ersetzt werden<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n