Destabilisierung statt Datendiebstahl Statt Cybercrime wird Ransomware zum geopolitischen Instrument

Anbieter zum Thema

msg systems ag

FAST LTA GmbH

FTAPI Software GmbH

Ransomware dient längst nicht mehr nur der Erpressung. Staatlich unter­stützte Akteure nutzen sie zunehmend für Spionage, Datenmanipulation und strategische Destabilisierung. Während Unternehmen sich gegen Ver­schlüs­se­lung schützen, kopieren Angreifer unbemerkt Daten oder ma­ni­pu­lie­ren sie. Die Folgen reichen weit über Löse­geld­zah­lung­en hinaus.

Ransomware war lange ein finanziell motiviertes Massenphänomen. Unternehmen wurden verschlüsselt, anschließend mit Lösegeldforderungen konfrontiert. Doch die aktuellen Entwicklungen belegen einen deutlichen Wandel: Immer häufiger stehen nicht mehr rein finanzielle Interessen im Vordergrund, sondern politische, wirtschaftliche oder nachrichtendienstliche Ziele.

Nach Erkenntnissen zahlreicher Security-Analysen (z. B. Microsoft Digital Defense Report 2025 verschiebt sich der Fokus klassischer Ransomware-Gruppen hin zu komplexen Angriffskampagnen. Besonders russische und chinesische Akteure nutzen Ransomware inzwischen als Vehikel für verdeckte Datendiebstähle oder Manipulationen von Informationen. Der Verschlüsselungsteil ist häufig nur noch Tarnung.

Microsoft Digital Defense Report 2025

Deutschland ist das größte Ziel für Cyberangriffe in der EU

Stille Kompromittierung statt lautem Angriff

Ein wesentlicher Trend der letzten zwei Jahre ist die Erosion der klaren Trennlinien zwischen Ransomware, Advanced Persistent Threats (APT) und Cybercrime-as-a-Service. Moderne Kampagnen folgen dem Prinzip „Silent Intrusion First“:

• 1. Initialer Zugang über Phishing, ungepatchte Systeme oder kompromittierte VPN-Zugänge.

• 2. Lateral Movement mit legitimen Tools („Living off the Land“).

• 3. Gezielter Datendiebstahl, häufig verschlüsselt oder fragmentiert, um forensische Erkennung zu erschweren.

• 4. Manipulation oder Sabotage kritischer Daten – ein wachsendes Risiko für Infrastruktur, Behörden und Unternehmen.

• 5. Erst am Ende, wenn überhaupt: Verschlüsselung zur Ablenkung oder nachgelagerten Monetarisierung.

Viele Angriffe bleiben über Wochen oder Monate unentdeckt. In unserer praktischen Arbeit mit Behörden, Ermittlern und Unternehmen sehen wir vermehrt Fälle, in denen Angreifer bewusst fehlerfreie Backups intakt lassen, um keinen Alarm auszulösen – während im Hintergrund sensible Daten abfließen oder verändert werden.

Immutability schützt Backups vor Ransomware-Angriffen

96 Prozent der Ransomware-Opfer verlieren auch ihre Backups

Warum staatlich unterstützte Akteure vermehrt Ransomware nutzen

Staatlich oder staatsnah geführte Gruppen profitieren von Ransomware in mehrfacher Hinsicht:

• Plausible Deniability: Ein Angriff kann als Cybercrime erscheinen, selbst wenn er geopolitische Ziele verfolgt.

• Finanzielle Selbstfinanzierung: Lösegeldzahlungen tragen zur Finanzierung nachrichtendienstlicher Operationen bei.

• Große Angriffsfläche: Unternehmen schützen sich primär vor Verschlüsselung – nicht vor verdeckter Datenmanipulation.

• Überlagerung von Spionage und Sabotage: Der gezielte Einsatz von Ransomware ermöglicht es, Spuren zu verwischen und forensische Analysen zu erschweren.

Reports wie der „ENISA Threat Landscape 2023“ bestätigen diese Vermischung von Cybercrime und staatlich motivierten Operationen. Für Unternehmen bedeutet das: Die Bedrohung ist nicht mehr nur ökonomisch, sondern auch geopolitisch.

ENISA Threat Landscape 2025

Hacktivismus wird zur Gefahr für Europas Infrastruktur

Manipulierte Daten – die unterschätzte Gefahr

Die Verschlüsselung selbst ist oft das geringere Problem. Kritischer wird die Integrität der Daten. In mehreren Ermittlungsfällen, die wir im Rahmen von Incident Response oder forensischen Lehrgängen analysiert haben, zeigte sich:

• Angreifer manipulierten Logs oder interne Datenbanken, um eigene Aktivitäten zu verschleiern.

• Produktionssysteme wurden so verändert, dass Fehler erst Monate später sichtbar wurden.

• In einzelnen Fällen fanden wir Hinweise auf gezielte Integritätsangriffe, die den Unternehmen schaden sollten, ohne dass Lösegeld gefordert wurde.

Die Wiederherstellung der Datenintegrität ist erheblich komplexer als das Einspielen von Backups. Insbesondere bei industrie-, energie- oder behördennahen Systemen ist Manipulation ein sicherheitskritischer Vorfall – häufig mit strafrechtlicher Relevanz.

Unternehmen müssen keine leichte Beute sein

Diese 10 Fehler lieben Ransomware-Angreifer

Warum klassische Abwehrmaßnahmen nicht mehr ausreichen

Viele Sicherheitskonzepte konzentrieren sich weiterhin auf Prävention und Backup-Strategien. Diese bleiben essenziell, decken aber die aktuellen Angriffsformen nicht ausreichend ab. Moderne Ransomware-Operationen verlangen erweiterte Schutzmechanismen:

• 1. Threat Hunting und kontinuierliche Forensik
  Regelmäßige Log- und Speicheranalysen – wie sie in forensischen Trainings für Cybercrime-Ermittler etabliert werden – sind entscheidend, um stille Kompromittierungen zu erkennen.

• 2. Zero Trust statt Perimeterschutz
  Strenge Zugriffsmodelle und kontextbasierte Authentifizierung reduzieren die Bewegungsfreiheit von Angreifern.

• 3. Überwachung der Datenintegrität
  Checksums, Versioning und kryptografische Hashverfahren müssen systematisch eingesetzt werden, um Manipulationen nachvollziehbar zu machen.

• 4. Schulung von Ermittlern und Incident-Response-Teams
  In unseren Trainingsprogrammen, etwa im Bereich Apple-Forensik oder RAM-Analyse mit Volatility, sehen wir deutlich: Die Qualität der Incident Response entscheidet über den Unternehmenserfolg nach einem Angriff. Die Fähigkeit, ein manipuliertes System korrekt zu untersuchen, wird zunehmend zum kritischen Erfolgsfaktor.

• 5. Vorbereitung auf den Ernstfall
  Eine realistische Incident-Response-Übung, die Datendiebstahl, Spionage und Manipulation mit abdeckt, ist heute unverzichtbar. Viele Unternehmen testen nur das Szenario „Verschlüsselung“, nicht jedoch die viel häufiger vorkommende stille Kompromittierung.

Dragos identifiziert drei neue OT-Angreifergruppen"

OT-Ransomware-Angriffe stiegen 2025 um 64 Prozent

Fazit: Ransomware ist heute ein strategisches Risiko

Unternehmen müssen Ransomware nicht mehr als isolierten Angriff sehen, sondern als Teil eines größeren, geopolitischen Bedrohungsbildes. Während die technische Umsetzung oft ähnlich bleibt, hat sich das Ziel der Angreifer fundamental verändert.

Datendiebstahl, Manipulation und langfristige Infiltration sind heute die eigentliche Gefahr – und die Erpressung oft nur eine Nebelkerze. Wer seine Organisation schützen will, muss diese Entwicklungen verstehen und Sicherheitsmaßnahmen anpassen. Die Zeiten des rein technischen Ransomware-Schutzes sind vorbei. Jetzt geht es um strategische Resilienz – technisch, organisatorisch und geopolitisch.

Über den Autor: Jan Schledzinski ist Leiter der Abteilung Digital Forensics & Incident Response (DFIR) bei msg. Er verfügt über mehr als 15 Jahre Erfahrung in IT-Forensik, Incident Response und IT-Sicherheitsanalysen in Behörden und Unternehmen. Vor seiner Tätigkeit in der Beratung war er IT-Kriminalist bei der Bayerischen Polizei sowie technischer Beamter bei verschiedenen Sicherheitsbehörden. Sein Schwerpunkt liegt auf der Analyse komplexer Cyberangriffe, der Entwicklung forensischer Methoden und der Erstellung gerichtsfester Gutachten.

The Global Cost of Ransomware

Erschreckende Zahlen zu Ransomware-Attacken weltweit

(ID:50794034)