Lilith ist eine in den Programmiersprachen C\/C++ entwickelte Ransomware-Familie, die auf 64-Bit-Windows-Systeme abzielt. Angreifer setzen dabei auf doppelte Erpressung, auch Double Extortion genannt<\/strong>: Neben der Verschl\u00fcsselung von Daten drohen sie zus\u00e4tzlich mit der Ver\u00f6ffentlichung gestohlener Informationen, um den Druck auf das betroffene Unternehmen zu erh\u00f6hen. Diese Kombination aus Datenverschl\u00fcsselung und Datenexfiltration z\u00e4hlt Lilith zur Kategorie moderner Unternehmens-Ransomware, die \u00fcber die reine Datenblockade hinausgeht. Der Name der Schadsoftware entspricht dem der altorientalischen D\u00e4monenfigur Lilith. F\u00fcr betroffene Unternehmen bedeutet diese Kombination, dass eine reine Wiederherstellung aus Backups die Erpressung nicht vollst\u00e4ndig entsch\u00e4rft<\/strong>.<\/p>\n Exfiltrieren Angreifer vor der Verschl\u00fcsselung vertrauliche Unterlagen aus dem Netzwerk eines Unternehmens, ist die Vertraulichkeit der betroffenen Daten bereits gef\u00e4hrdet, bevor die eigentliche Blockade der Systeme einsetzt<\/strong>. Kundendaten und Vertragsunterlagen k\u00f6nnen dabei ebenso abflie\u00dfen wie interne Dokumente, sofern die Angreifer vor der Verschl\u00fcsselung Zugriff auf die entsprechenden Speicherorte erhalten. Bei Versicherern z\u00e4hlt der Bestand an Kunden- und Vertragsdaten zu den Werten, deren Vertraulichkeit unabh\u00e4ngig davon gef\u00e4hrdet ist, ob die anschlie\u00dfende Verschl\u00fcsselung technisch erfolgreich verl\u00e4uft.<\/p>\n Lilith wird nach einer initialen Kompromittierung auf dem Zielsystem ausgef\u00fchrt; wie bei anderen Ransomware-Angriffen k\u00f6nnen sich Angreifer zuvor lateral durch verbundene Systeme bewegen. Vor der eigentlichen Verschl\u00fcsselung exfiltrieren die Angreifer in der Regel vertrauliche Dateien, um sie f\u00fcr die doppelte Erpressung einzusetzen<\/strong>. Dieser Zwischenschritt l\u00e4uft in der Regel ab, bevor auf dem Zielsystem sichtbare Ver\u00e4nderungen auftreten, wodurch der Datenabfluss zu diesem Zeitpunkt leicht unbemerkt bleiben kann.<\/p>\n Bei der Ausf\u00fchrung beendet Lilith zun\u00e4chst bestimmte laufende Prozesse und Dienste, damit diese den Zugriff auf die zu verschl\u00fcsselnden Dateien nicht blockieren, und verschl\u00fcsselt anschlie\u00dfend Dateien auf den erkannten Laufwerken, wodurch der Zugriff auf die betroffenen Daten blockiert wird. Ein Erpresserbrief fordert ein L\u00f6segeld f\u00fcr die Entschl\u00fcsselung und droht zus\u00e4tzlich mit der Ver\u00f6ffentlichung der zuvor exfiltrierten Daten, sofern die Zahlung ausbleibt. Der zus\u00e4tzliche Datendiebstahl erh\u00f6ht den Druck auf das betroffene Unternehmen, weil ein Wiederherstellen der Systeme aus Backups die Drohung der Ver\u00f6ffentlichung nicht entkr\u00e4ftet<\/strong>. F\u00fcr die Angreifer bleibt der Erpressungshebel damit auch dann bestehen, wenn die verschl\u00fcsselten Systeme technisch vollst\u00e4ndig wiederhergestellt werden k\u00f6nnen.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33693","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"Lilith ist eine Ransomware-Familie, die Daten verschl\u00fcsselt und zus\u00e4tzlich mit der Ver\u00f6ffentlichung gestohlener Informationen droht.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Lilith ist eine in den Programmiersprachen C\/C++ entwickelte Ransomware-Familie, die auf 64-Bit-Windows-Systeme abzielt und neben der Verschl\u00fcsselung von Daten zus\u00e4tzlich mit der Ver\u00f6ffentlichung zuvor gestohlener vertraulicher Informationen droht.","at_a_glance":[{"bullet":"Der Name Lilith entspricht dem einer altorientalischen D\u00e4monenfigur."},{"bullet":"Wie bei anderen Ransomware-Angriffen k\u00f6nnen sich Angreifer nach einer ersten Kompromittierung lateral durch das Netzwerk bewegen, bevor die Verschl\u00fcsselung beginnt."},{"bullet":"Lilith z\u00e4hlt zur Kategorie moderner Unternehmens-Ransomware, die Datenverschl\u00fcsselung und Datenexfiltration in einem Angriff kombiniert."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Wird ein mittelst\u00e4ndisches Produktionsunternehmen mit Lilith-Ransomware angegriffen, k\u00f6nnen die Angreifer zun\u00e4chst Konstruktionspl\u00e4ne exfiltrieren, anschlie\u00dfend gro\u00dfe Teile der Dateisysteme verschl\u00fcsseln und mit der Ver\u00f6ffentlichung der Daten drohen."},{"example":"Wie bei anderen Ransomware-Angriffen k\u00f6nnen sich Angreifer in einer Unternehmensumgebung nach einer initialen Kompromittierung lateral durch das Netzwerk bewegen, bevor sie eine Ransomware wie Lilith ausf\u00fchren."},{"example":"Bei einem Versicherer kann Lilith zun\u00e4chst vertrauliche Kunden- und Vertragsunterlagen aus dem Netzwerk exfiltrieren, bevor die eigentliche Verschl\u00fcsselung einsetzt; die Vertraulichkeit der Daten ist damit schon vor der Systemblockade gef\u00e4hrdet."}],"misconception":[{"myth":"Lilith verschl\u00fcsselt nur Dateien, sensible Daten bleiben im Unternehmen.","reality":"Die Betreiber von Lilith stehlen Opferdaten, um sie f\u00fcr Double Extortion einzusetzen."}],"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33703],"pillar_link":null,"sources":[{"publisher":"","name":"Organizations Warned of New Lilith, RedAlert, 0mega Ransomware","url":"https:\/\/www.securityweek.com\/organizations-warned-new-lilith-redalert-0mega-ransomware\/","doc_type":"","group":"used"},{"publisher":"","name":"ENISA Threat Landscape for Ransomware Attacks","url":"https:\/\/www.enisa.europa.eu\/publications\/enisa-threat-landscape-for-ransomware-attacks","doc_type":"2022","group":"further"},{"publisher":"","name":"Ransomware \u2013 Fakten und Abwehrstrategien","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Cyber-Sicherheitslage\/Analysen-und-Prognosen\/Ransomware-Angriffe\/ransomware-angriffe.html","doc_type":"","group":"further"},{"publisher":"","name":"Ransomware","url":"https:\/\/de.wikipedia.org\/wiki\/Ransomware","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Lilith?<\/h2>\n
Woran erkenne ich Lilith?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Erpresserbrief droht zus\u00e4tzlich mit Ver\u00f6ffentlichung gestohlener Daten<\/td>\n Textbaustein zur Double-Extortion-Taktik, nicht nur Aufforderung zur Zahlung f\u00fcr die Entschl\u00fcsselung<\/td>\n<\/tr>\n \n Dateiendung .lilith<\/td>\n Verschl\u00fcsselte Dateien tragen die Endung .lilith und ersetzen die Originaldateien auf dem Datentr\u00e4ger<\/td>\n<\/tr>\n \n Datenabfluss vor der eigentlichen Verschl\u00fcsselung<\/td>\n Ungew\u00f6hnlicher ausgehender Datenverkehr in gro\u00dfem Umfang, typischerweise bevor Dateien unzug\u00e4nglich werden<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n