Wichtige Erkenntnisse

• Ransomware ist eine Art Malware, die Dateien auf dem Gerät des Opfers verschlüsselt oder sperrt und eine Zahlung verlangt — meist in Kryptowährung —, um den Zugriff wiederherzustellen.

• Ransomware verbreitet sich häufig über Phishing-E-Mails, Exploit-Kits und bösartige Werbung (Malvertising).

• Moderne Ransomware nutzt häufig eine Double-Extortion-Taktik: Angreifer verschlüsseln Dateien und drohen zugleich, gestohlene Daten zu veröffentlichen, sofern das Lösegeld nicht bezahlt wird.

• Sich zu schützen bedeutet, regelmäßige Backups zu erstellen, Software aktuell zu halten und vorsichtig mit Links sowie E-Mail-Anhängen umzugehen.

Einführung

Ransomware ist eine Art bösartiger Software, die entwickelt wurde, um den Zugriff auf ein Computersystem oder dessen Daten zu blockieren, bis eine Geldsumme gezahlt wird. Sie ist zu einer der zerstörerischsten Formen von Cyberkriminalität geworden und betrifft Einzelpersonen, Krankenhäuser, Unternehmen und Regierungsbehörden weltweit.

Im Gegensatz zu anderen Malware-Arten, die möglicherweise darauf abzielen, verborgen zu bleiben, kündigt sich Ransomware an. Sobald sie Ihre Dateien verschlüsselt hat, zeigt sie eine Aufforderung zur Zahlung an, meist in Kryptowährung, im Austausch gegen einen Entschlüsselungsschlüssel. Es gibt keine Garantie, dass Angreifer die Zahlung anerkennen.

Die erste dokumentierte Ransomware erschien 1989. Seitdem sind Angriffe ausgefeilter, gezielter und finanziell schädigender geworden. Zu verstehen, wie Ransomware funktioniert, ist einer der ersten Schritte, um sich dagegen zu schützen.

Wie funktioniert Ransomware?

Die meisten modernen Ransomware-Varianten verwenden Verschlüsselung, um die Opfer von ihren Dateien auszuschließen. Wenn Ransomware auf einem Gerät ausgeführt wird, erzeugt sie einen Verschlüsselungsschlüssel, verwendet ihn, um Dateien im System zu „durcheinanderzubringen“, und löscht anschließend den ursprünglichen Schlüssel auf dem Gerät des Opfers. Der Angreifer hält nur die einzige Kopie des Entschlüsselungsschlüssels.

Frühe Ransomware nutzte eine einfache Verschlüsselung, die Forscher manchmal knacken konnten. Heutige Ransomware verwendet typischerweise hybride Verschlüsselung, bei der asymmetrische und symmetrische Algorithmen kombiniert werden. Das macht eine unabhängige Entschlüsselung praktisch unmöglich, ohne den Schlüssel des Angreifers.

Einige Ransomware greift auch ganze Festplatten statt einzelne Dateien an und sperrt das Opfer vollständig von seinem Betriebssystem aus. Andere fügen eine zweite Druckstufe hinzu, indem sie Daten vor der Verschlüsselung exfiltrieren und damit drohen, sie öffentlich zu veröffentlichen, falls das Lösegeld nicht bezahlt wird. Diese Taktik heißt Double Extortion.

Wie verbreitet sich Ransomware?

Phishing-E-Mails

Phishing ist eine der häufigsten Arten, Ransomware auszuliefern. Angreifer senden E-Mails, die so wirken, als kämen sie von legitimen Absendern wie Banken, Kurierdiensten oder internen HR-Systemen. Diese E-Mails enthalten bösartige Anhänge oder Links, die beim Öffnen den Download der Ransomware auslösen. Innerhalb eines Netzwerks kann bereits ein einzig infiziertes Gerät ausreichen, um eine gesamte Organisation zu kompromittieren.

Exploit-Kits

Exploit-Kits sind Pakete bösartigen Codes, die entwickelt wurden, um Schwachstellen in Software und Betriebssystemen zu identifizieren und auszunutzen. Angreifer verteilen sie über kompromittierte Websites. Wenn ein anfälliges Gerät eine dieser Seiten besucht, kann das Exploit-Kit die Ransomware still und ohne Zutun des Nutzers installieren.

Malvertising

Malvertising bezeichnet das Einbetten bösartigen Codes in Online-Werbeanzeigen. Selbst legitime Websites können unwissentlich Malvertising anzeigen, wenn ihre Werbenetzwerke kompromittiert wurden. Nutzer können sich bereits dadurch infizieren, dass sie eine Seite laden, auf der eine dieser Anzeigen angezeigt wird — ohne irgendetwas anzuklicken.

Social Engineering

Jenseits von E-Mail könnten Angreifer auch Telefonanrufe, gefälschte Nachrichten zum „technischen Support“ oder betrügerische Software-Updates nutzen, um Nutzer dazu zu bringen, die Ransomware selbst zu installieren. Diese Taktiken setzen auf Manipulation und Social-Engineering statt auf technische Exploits.

Ransomware und Kryptowährung

Ransomware-Angreifer verlangen nahezu immer eine Zahlung in Kryptowährung, weil Transaktionen schwerer rückgängig zu machen sind und — je nach Coin — schwieriger nachzuverfolgen als herkömmliche Banküberweisungen. Bitcoin bleibt die am häufigsten geforderte Währung, obwohl einige Gruppen für Teile ihrer Operationen auf datenschutzorientiertere Coins oder Stablecoins umgestiegen sind.

Selbst wenn Opfer zahlen, gibt es keine Garantie, dass sie einen funktionierenden Entschlüsselungsschlüssel erhalten. Strafverfolgungsbehörden raten allgemein davon ab, Lösegeld zu zahlen, da Zahlungen weitere Angriffe finanzieren und nicht immer zu einer Wiederherstellung der Daten führen.

Bekannte Beispiele für Ransomware

WannaCry (2017)

WannaCry infizierte in vier Tagen über 300.000 Computer in 150 Ländern und nutzte eine Windows-Sicherheitslücke namens EternalBlue aus. Ziel waren Computer mit älteren Versionen von Windows. Gestoppt wurde der Angriff unter anderem durch die Entdeckung eines „Kill Switch“. Der Angriff verursachte schätzungsweise 4 Milliarden US-Dollar Schaden und betraf Krankenhäuser, Telekommunikationsunternehmen und Logistikfirmen weltweit.

Bad Rabbit (2017)

Bad Rabbit verbreitete sich hauptsächlich über Russland und die Ukraine und gab sich als gefälscher Adobe-Flash-Installer auf kompromittierten Websites aus. Die Opfer mussten ihn manuell installieren, und es wurden ungefähr 0,05 BTC als Lösegeld zum Zeitpunkt der Infektion gefordert.

GandCrab (2018)

GandCrab gehörte zu den ersten Ransomware-Betrieben, die als Ransomware-as-a-Service (RaaS) funktionierten und kriminellen Affiliates die Bereitstellung im Austausch gegen einen Anteil an den Lösegeld-Einnahmen ermöglichten. Es infizierte mehr als 500.000 Opfer, bevor die Betreiber 2019 ihren Rückzug ankündigten. Später wurde ein Entschlüsselungstool kostenlos zur Verfügung gestellt.

LockBit (2019-2024)

LockBit wurde zu einer der produktivsten Ransomware-Gruppen und war für Hunderte von Angriffen auf kritische Infrastrukturen und große Organisationen verantwortlich. Im Februar 2024 koordinierten internationale Strafverfolgungsbehörden eine große Operation, bei der die Infrastruktur von LockBit beschlagnahmt und mehrere Affiliates verhaftet wurden. Die Gruppe versuchte danach zwar, den Betrieb wiederaufzunehmen,

So schützen Sie sich vor Ransomware

• Sichern Sie Dateien regelmäßig an einem externen oder offline Speicherort. Das ist Ihre zuverlässigste Option zur Wiederherstellung, falls Sie angegriffen werden. Machen Sie sich mit allgemeinen Sicherheitsgrundsätzen und Tipps vertraut, wie Sie Ihre Konten und elektronischen Geräte schützen.

• Halten Sie Ihr Betriebssystem und alle Software auf dem neuesten Stand. Ransomware nutzt häufig bekannte Sicherheitslücken in veralteter Software aus.

• Seien Sie vorsichtig mit E-Mail-Anhängen und Links. Überprüfen Sie den Absender, bevor Sie etwas Ungewöhnliches öffnen, und vermeiden Sie das Anklicken von Links in unerwünschten Nachrichten.

• Vermeiden Sie verdächtige Websites und laden Sie keine Software aus nicht vertrauenswürdigen Quellen herunter. Dateiendungen wie .exe, .vbs und .scr in E-Mail-Anhängen sind besonders riskant.

• Seien Sie sich gängiger Kryptowährungs-Betrugsmaschen und Social-Engineering-Taktiken bewusst, mit denen Angreifer Nutzer dazu bringen, die Installation von Malware auszulösen.

• Wenn Sie infiziert sind, wenden Sie sich an einen Cybersicherheits-Fachmann oder prüfen Sie Ressourcen wie NoMoreRansom.org auf kostenlose Entschlüsselungstools, bevor Sie eine Zahlung in Erwägung ziehen.

FAQ

Was ist Ransomware?

Ransomware ist eine Art Malware, die Dateien auf dem Gerät des Opfers verschlüsselt oder sperrt. Anschließend fordern Angreifer ein Lösegeld, meist in Form von Kryptowährung, im Austausch dafür, dass der Zugriff wiederhergestellt wird. Selbst wenn bezahlt wird, gibt es keine Garantie, dass der Angreifer einen funktionierenden Entschlüsselungsschlüssel bereitstellt.

Wie gelangt Ransomware auf Ihren Computer?

Ransomware gelangt am häufigsten über Phishing-E-Mails mit bösartigen Anhängen oder Links auf Systeme, über Exploit-Kits, die Schwachstellen in Software ausnutzen, über bösartige Anzeigen auf kompromittierten Websites sowie über gefälschte Software-Updates, die Nutzer dazu verleiten sollen, die Malware manuell zu installieren.

Sollten Sie das Lösegeld an die Ransomware zahlen?

Strafverfolgungsbehörden raten allgemein davon ab, Lösegeld zu zahlen. Zahlungen finanzieren weitere kriminelle Aktivitäten und garantieren keine Wiederherstellung der Daten. Regelmäßige Backups sind die zuverlässigeste Alternative, um ein Lösegeld zu vermeiden. Opfer, die dennoch eine Zahlung erwägen, sollten zunächst mit der Strafverfolgung sprechen, da einige Rechtsräume Zahlungen an sanktionierte Gruppen einschränken.

Warum verwenden Ransomware-Angreifer Kryptowährung?

Kryptowährungstransaktionen lassen sich nur schwer rückgängig machen und sind — je nach Coin — schwieriger nachzuverfolgen als herkömmliche Banküberweisungen. Das erleichtert es Angreifern, Zahlungen zu erhalten, ohne sofort identifiziert zu werden. Am häufigsten wird Bitcoin als Währung gefordert, obwohl einige Gruppen auf stärker datenschutzorientierte Coins oder Stablecoins umgestiegen sind bzw. diese für Teile ihrer Operationen nutzen.

Was ist Double Extortion (Doppelte Erpressung) bei Ransomware?

Double Extortion ist eine Taktik, bei der Angreifer sowohl die Dateien eines Opfers verschlüsseln als auch vor der Verschlüsselung eine Kopie sensibler Daten exfiltrieren. Wenn das Opfer sich weigert zu zahlen, droht der Angreifer, die gestohlenen Daten öffentlich zu veröffentlichen. Diese Taktik erhöht den Druck zusätzlich zur Unzugänglichkeit der Dateien.

Abschließende Gedanken

Ransomware hat sich von einfachen „Locker“-Programmen zu einer ausgeklügelten kriminellen Industrie entwickelt, die jährlich Milliarden von US-Dollar wert ist. Trotz mehr Durchgreifen der Strafverfolgung und einer gestiegenen Zahl nicht zahlender Opfer bleibt Ransomware eine erhebliche Bedrohung für Einzelpersonen und Organisationen. Die besten Schutzmaßnahmen bestehen weiterhin aus regelmäßigen Backups, guter Softwarehygiene und dem Bewusstsein für die Social-Engineering-Taktiken, mit denen Angreifer den initialen Zugriff erlangen.

Weiterführende Informationen

• Was ist Phishing?

• Was ist Social Engineering?

• Allgemeine Sicherheitsgrundsätze

• 8 gängige Bitcoin-Scams und wie Sie sie vermeiden

• Häufige Betrugsmaschen auf mobilen Geräten

Haftungsausschluss: Diese Inhalte werden Ihnen „wie besehen“ ("as is") zur allgemeinen Information und nur zu Bildungszwecken bereitgestellt. Ohne jede Form von Zusicherung oder Gewährleistung. Dies ist keine Finanz-, Rechts- oder sonstige professionelle Beratung und soll auch nicht dazu dienen, den Kauf eines bestimmten Produkts oder einer bestimmten Dienstleistung zu empfehlen. Holen Sie sich bitte Ihren eigenen Rat bei geeigneten professionellen Beratern ein. Wenn Inhalte von einem Drittanbieter beigesteuert werden, beachten Sie bitte, dass die dort geäußerten Ansichten dem Drittanbieter zuzuordnen sind und nicht zwangsläufig die Ansichten der Binance Academy widerspiegeln. Preise für digitale Vermögenswerte können volatil sein. Der Wert Ihrer Anlage kann steigen oder fallen, und Sie erhalten möglicherweise nicht den investierten Betrag zurück. Sie sind allein für Ihre Anlageentscheidungen verantwortlich, und die Binance Academy haftet nicht für Verluste, die Ihnen entstehen könnten. Weitere Informationen finden Sie in unseren Nutzungsbedingungen, der Risikowarnung sowie den Binance-Academy-Bedingungen.