Ransomware 2025: Statistiken, Trends & Wichtige Vorfälle

Was ist Ransomware?

Es ist wahrscheinlich der schlimmste Albtraum, festzustellen, dass Dateien auf Ihrem PC verschlüsselt sind. Sie haben Ihre E-Mails überprüft und auf die angehängten Dateien geklickt, um zu sehen, was sie enthalten. Die seltsame Datei, die nichts weiter tat, als anzubieten, Makros zu aktivieren, sah nicht verdächtig aus. Aber plötzlich, weniger als 15 Minuten nachdem Sie dieses Dokument geöffnet haben, sehen Sie, dass alle Dateien auf Ihrem PC seltsame Erweiterungen haben und sich in jedem Ordner mindestens eine readme.txt-Datei befindet. Wie ist das passiert?

Die kurze Definition von Ransomware verbirgt sich in ihrem Namen, genau wie bei vielen anderen Viren. „Ransom Software“ (Lösegeld-Software) ist ein Programm, das in Ihren Computer eindringt, Ihre Dateien verschlüsselt und Sie dann auffordert, Lösegeld zu zahlen, um Ihre Dateien zurückzubekommen. Einige Beispiele von Ransomware können ihren Opfern drohen, ihre Dateien zu löschen oder sensible Daten zu veröffentlichen, wenn sie das Lösegeld nicht zahlen. Während die erste Drohung zu 100 % eine Lüge ist, kann die zweite These real sein, da Ransomware oft zusammen mit Spyware oder Stealern verbreitet wird.

Für jedes Opfer generiert Ransomware einen einzigartigen Online-Schlüssel. Dieser Schlüssel wird auf dem Server gespeichert, der von Cyberkriminellen unterhalten wird. Wenn der Virus keine Verbindung zu diesem Server herstellen kann, verschlüsselt er die Dateien mit dem Offline-Schlüssel, der lokal auf dem verschlüsselten Computer gespeichert ist. Die Anzahl der Offline-Schlüssel ist begrenzt. Daher haben Sie einen Entschlüsselungsschlüssel mit mehreren anderen Opfern gemeinsam.

Leider gibt es keine 100%ige Garantie, Ihre Dateien zurückzubekommen. Wenn Sie Glück haben und die Ransomware den Offline-Schlüssel verwendet, können Sie Ihre Daten viel schneller entschlüsseln. Dennoch ist das Erhalten von Schlüsseln recht langwierig, und Sie müssen möglicherweise mehrere Wochen warten. Die Entschlüsselungs-App, die für die Dateientschlüsselung verwendet werden soll, erhält das Update mit dem Schlüssel, der zu Ihnen passt, sobald Analysten ihn finden.

Online-Schlüssel sind viel schwieriger zu lösen. Da jeder dieser Schlüssel einzigartig ist, müssen Sie möglicherweise Monate warten. Ransomware-Verteiler werden wahrscheinlich gefasst und gezwungen, alle Schlüssel aufzudecken, die sie auf den Servern haben. Ein weiterer Fall, in dem alle Schlüssel der Öffentlichkeit zugänglich gemacht werden, ist, wenn Ransomware-Ersteller beschließen, ihre böswillige Aktivität einzustellen. Eine solche Situation gab es nur einmal – im Jahr 2018, als die Entwickler von GandCrab behaupteten, sie hätten 2 Milliarden Dollar verdient und ihre Aktivität eingestellt.

Ransomware im Jahr 2025: Statistiken & Überblick

Die Bedrohungslandschaft durch Ransomware hat im Jahr 2025 ein beispielloses Niveau an Raffinesse und Auswirkungen erreicht. Basierend auf einer umfassenden Analyse von Vorfällen von Januar bis September 2025 beobachtet die Cybersicherheits-Community eine dramatische Eskalation sowohl in der Häufigkeit als auch in der Schwere von Ransomware-Angriffen.

Wichtige Statistiken (Januar–September 2025)

• 4.701 Vorfälle weltweit gemeldet (+46% im Vergleich zum gleichen Zeitraum 2024)
• 2.332 Angriffe (50%) zielten auf kritische Infrastrukturen ab (+34% im Jahresvergleich)
• Die Vereinigten Staaten machen 21% aller globalen Fälle aus, gefolgt von Kanada (8%) und dem Vereinigten Königreich (6%)
• 2 Millionen Dollar durchschnittliche Lösegeldforderung (gestiegen von 400.000 Dollar im Jahr 2023)
• 1,53 Millionen Dollar durchschnittliche Wiederherstellungskosten ohne Lösegeldzahlung (–44% gegenüber 2024)
• Nur 40% der Opfer schalteten die Strafverfolgungsbehörden ein (runter von 52% im Jahr 2024)
• 49% der Opfer mit verschlüsselten Daten zahlten das Lösegeld (runter von 70% im Jahr 2024)

Wichtige Trends im Jahr 2025

Das Ransomware-Ökosystem hat sich 2025 erheblich weiterentwickelt, wobei Bedrohungsakteure zunehmend aggressive und technologisch fortschrittliche Taktiken anwenden. Hier sind die wichtigsten Trends, die die aktuelle Bedrohungslandschaft prägen:

Angriffstaktiken & Eintrittsvektoren

Zu verstehen, wie Ransomware-Betreiber Erstzugang erhalten und ihre Angriffe ausführen, ist entscheidend für die Entwicklung effektiver Abwehrmaßnahmen. Im Jahr 2025 setzen Angreifer eine ausgefeilte Mischung aus technischen Exploits und Social Engineering ein.

Primäre Eintrittsvektoren

• 32% — Ausnutzung von Schwachstellen (ungepatchte VPN-Appliances, veraltete Content-Management-Systeme)
• 23% — Gestohlene Zugangsdaten (erhalten über Info-Stealer und Phishing-Kampagnen)
• 18% — Phishing-E-Mails (gestiegen von 11% im Jahr 2024, was verbesserte KI-generierte Inhalte widerspiegelt)
• Living-off-the-Land (LotL) Techniken — Missbrauch integrierter Windows-Dienstprogramme und BYOVD (Bring Your Own Vulnerable Driver), um Endpoint Detection and Response (EDR) Lösungen zu deaktivieren
• Angriffe über legitime Tools — Ausnutzung von RMM-Lösungen und Cloud-Speicherdiensten (OneDrive, Dropbox) für die Ransomware-Bereitstellung ohne traditionelle Malware-Binärdateien

Fortschrittliche Taktiken im Jahr 2025

Wichtige Ransomware-Vorfälle im Jahr 2025

2025 gab es mehrere hochkarätige Ransomware-Angriffe, die kritische Infrastrukturen, Gesundheitssysteme, Bildungseinrichtungen und große Unternehmen weltweit betrafen. Der folgende Zeitplan hebt die wichtigsten Vorfälle hervor:

Geografische & Branchenverteilung

Ransomware-Angriffe im Jahr 2025 zeigen weiterhin deutliche geografische und sektorale Muster, wobei bestimmte Regionen und Branchen ein überproportionales Risiko tragen.

Geografische Verteilung (Januar–September 2025)

Am stärksten betroffene Branchen

• Fertigung — 660 Angriffe
• Immobilien — 553 Angriffe
• Professionelle Dienstleistungen — 487 Angriffe
• Gesundheitswesen — Signifikanter Anstieg aufgrund der kritischen Natur der Operationen
• Energie & Transport — Ziele der kritischen Infrastruktur

Moderne Ransomware-Angriffsphasen – 2025

Der Lebenszyklus von Ransomware-Angriffen hat sich erheblich weiterentwickelt. Moderne Bedrohungsakteure operieren mit militärischer Präzision und folgen einem strukturierten Zeitplan, den Sicherheitsteams jagen und stören können. Das Verständnis dieser Phasen ist entscheidend für die Implementierung effektiver Abwehrmaßnahmen.

Phase 0 – Zielerfassung

Bevor ein technischer Angriff beginnt, führen Bedrohungsakteure umfangreiche Aufklärung und Zielauswahl durch:

• KI-gesteuerte Aufklärung: Automatisierte Scan-Tools bewerten potenzielle Ziele nach „Pay-Score“ – Analyse von Unternehmensumsatz, Cyber-Versicherungsschutz, kritischen Operationen und Zahlungswahrscheinlichkeit basierend auf öffentlichen Finanzdaten und der Historie von Sicherheitsverletzungen.
• Zugangserwerb: Kauf von kompromittierten VPN-Zugangsdaten, Outlook Web Access (OWA)-Konten, Citrix-Gateways oder Zero-Day-Exploits von Initial Access Brokers (IABs) auf Darknet-Märkten.

Phase 1 – Initialer Zugang

Etablierung einer dauerhaften Präsenz in der Zielumgebung:

• Zustellungsvektoren: Phishing-Kampagnen, SEO-vergiftete gefälschte Software-Updates, per Post zugestellte USB-Laufwerke oder direkte Ausnutzung von internetseitigen Schwachstellen.
• Ausführungstechniken: Living-off-the-Land-Binärdateien (LOLBAS), PowerShell-Verschleierung, legitime Systemtools, die für böswillige Zwecke missbraucht werden. Implantate sind leichte Loader, um der Erkennung zu entgehen.
• Persistenzmechanismen: Geplante Aufgaben, Gruppenrichtlinienobjekte (GPO), Cloud-Automatisierungs-Runbooks oder WMI-Ereignisabonnements, um Neustarts zu überleben und den Zugriff aufrechtzuerhalten.

Phase 2 – Interne Ausbreitung

Die mittlere Verweildauer im Jahr 2025 beträgt nur 5 Tage vom ersten Zugriff bis zur Verschlüsselungsbereitstellung:

• Command & Control (C2): CDN-gestützter HTTPS-Verkehr, Domain-Fronting über legitime Cloud-Dienste (Azure, CloudFlare) oder Edge-Computing-Ressourcen, um sich in den normalen Verkehr einzufügen.
• Entdeckungsoperationen: Active Directory-Mapping, Inventarisierung von Backup-Systemen (kritisch für Sabotage), Cloud-IAM-Aufklärung und Identifizierung von Kronjuwelen-Datenbeständen.
• Privilegieneskalation: Kerberoasting-Angriffe, Ausnutzung von Active Directory Certificate Services (ADCS), Token-Replay-Angriffe oder Zero-Day-Exploits zur Privilegieneskalation.
• Laterale Bewegung: RDP-Verbindungen, PowerShell-Remoting (PS-Remoting) oder waffenfähige Remote-Management- und Monitoring-Tools (RMM) wie TeamViewer, AnyDesk und ScreenConnect.

Phase 3 – Vorbereitung vor dem Einschlag

Kritische Sabotagephase, die darauf ausgelegt ist, maximalen Schaden zu verursachen und die Wiederherstellung zu verhindern:

• Datenexfiltration: Mit Rclone, Mega.nz, IPFS oder benutzerdefinierten Tools exfiltrieren Angreifer durchschnittlich 1,2 TB sensibler Daten in weniger als 3 Stunden. Diese Daten werden zum Druckmittel für doppelte Erpressung.
• Defensive Sabotage: Angreifer demontieren systematisch Wiederherstellungsoptionen, indem sie Volume Shadow Copies (VSS) löschen, VMware ESXi-Snapshots wipen und Backup-Kataloge zerstören. Sie deaktivieren auch aktiv Endpoint Detection and Response (EDR)-Agenten mithilfe von „Bring Your Own Vulnerable Driver“ (BYOVD)-Techniken, um Sicherheitsteams vor dem finalen Schlag zu blenden.

Phase 4 – Erpressung

Die letzte Phase, in der Lösegeldforderungen gestellt werden:

• Schnelle Verschlüsselung: Vorgefertigte Verschlüsselungsschlüssel unter Verwendung von ChaCha20 + RSA-Algorithmen werden in weniger als 60 Sekunden im gesamten Netzwerk bereitgestellt. Moderne Ransomware kann 220.000 Dateien in 4,5 Minuten verschlüsseln.
• Dreifaches Erpressungsmodell (29% der Angriffe 2025): Über das traditionelle Lösegeld für Entschlüsselungsschlüssel hinaus erhöhen Angreifer den Druck, indem sie drohen, gestohlene Daten auf Leak-Sites zu veröffentlichen (doppelte Erpressung) und Distributed-Denial-of-Service (DDoS)-Angriffe gegen die öffentliche Infrastruktur des Opfers zu starten (dreifache Erpressung), um die Zahlung zu erzwingen.
• Aggressive Drucktaktiken: Live-Stream-Countdown-Timer, Spam an Kunden und Partner, Sprachanrufe an Führungskräfte mit KI-geklonten Stimmen, direkter Kontakt mit Kunden der Opfer unter Androhung von Datenveröffentlichung.
• Verzögerung zwischen Verschlüsselung und Notiz: Durchschnittlich 4 Minuten zwischen Abschluss der Verschlüsselung und Zustellung der Lösegeldforderung, was ein minimales Reaktionsfenster lässt.

Kritische Jagd-Trigger für SOC-Teams

Security Operations Centers sollten auf diese hochgradig zuverlässigen Indikatoren für Ransomware-Aktivitäten achten:

• JA3 TLS-Fingerabdruck-Anomalien: SSL/TLS-Verbindungen zu neu registrierten Domains (weniger als 24 Stunden alt), insbesondere mit ungewöhnlichen Cipher-Suites.
• Verdächtige LDAP-Abfragen: LDAP-Abfragen für adminCount=1 (privilegierte Konten), die von nicht-administrativen Arbeitsstationen stammen – deutet auf Aufklärung für Privilegieneskalationsziele hin.
• Rclone.exe Ausführung: Das legitime Cloud-Sync-Tool Rclone, das von SYSTEM gestartet wird oder mit verdächtigen Befehlszeilenargumenten läuft – ein gängiges Datenexfiltrations-Tool.
• Dateioperationen mit hoher Entropie: Dateischreibvorgänge mit einer Entropie von mehr als 0,96 (was auf Verschlüsselung hinweist), die mehr als 100 Netzwerkfreigaben innerhalb von 5 Minuten betreffen – definitive Ransomware-Verschlüsselungsaktivität.
• VSS-Löschbefehle: Ausführung von vssadmin delete shadows, wmic shadowcopy delete oder bcdedit /set {default} recoveryenabled no.
• Missbrauch von RMM-Tools: Unerwartete Installation oder Ausführung von AnyDesk, TeamViewer, ScreenConnect von Systemkonten oder außerhalb der Geschäftszeiten.

Arten von Ransomware

Ransomware hat sich in mehrere unterschiedliche Kategorien entwickelt, jede mit einzigartigen Verhaltensweisen und Erpressungsmethoden. Das Verständnis dieser Arten ist entscheidend für die Identifizierung der Bedrohung:

1. Krypto-Ransomware (Verschlüsseler)

Verschlüsseler sind die häufigste und schädlichste Variante in der modernen Bedrohungslandschaft. Dieser Typ infiltriert ein System und verschlüsselt wertvolle Dateien (Dokumente, Fotos, Datenbanken) unter Verwendung militärischer Verschlüsselungsalgorithmen (wie AES-256 oder RSA-2048). Der Inhalt wird ohne den einzigartigen Entschlüsselungsschlüssel, der von den Angreifern gehalten wird, vollständig unzugänglich. Beispiele sind LockBit, Ryuk und WannaCry.

2. Locker

Locker verschlüsseln keine spezifischen Dateien, sondern sperren Sie stattdessen vollständig aus Ihrem Betriebssystem oder Ihrer Benutzeroberfläche aus. Eine Vollbild-Lösegeldforderung wird angezeigt, oft mit einem Countdown-Timer, um Dringlichkeit zu erzeugen. Während Ihre Dateien technisch intakt bleiben, sind sie unzugänglich, bis das System entsperrt ist. Dieser Typ war in früheren Ransomware-Wellen häufiger, tritt aber immer noch bei mobiler Malware auf.

3. Scareware

Scareware ist trügerische Software, die sich als legitimes Sicherheitstool ausgibt. Sie behauptet, nicht existierende Viren oder kritische Probleme auf Ihrem Computer entdeckt zu haben, und bombardiert Sie aggressiv mit Pop-up-Warnungen. Sie verlangt eine Zahlung für eine „Vollversion“, um diese gefälschten Probleme zu beheben. Einige aggressive Scareware kann den Computer sperren, während andere den Benutzer einfach nerven, bis er zahlt.

4. Doxware oder Leakware

Leakware (auch bekannt als Doxware) nutzt die Drohung der Datenoffenlegung anstelle von Datenverlust. Angreifer exfiltrieren sensible persönliche oder Unternehmensinformationen und drohen, sie öffentlich zu machen oder im Dark Web zu verkaufen, wenn kein Lösegeld gezahlt wird. Diese Taktik ist besonders effektiv gegen Unternehmen mit strengen Compliance-Anforderungen (DSGVO, HIPAA) oder Einzelpersonen mit sensiblen privaten Daten. Eine Variante ist Polizei-Ransomware, die sich als Strafverfolgungsbehörde ausgibt, dem Opfer illegale Aktivitäten vorwirft und ein „Bußgeld“ verlangt, um eine Verhaftung zu vermeiden.

5. RaaS (Ransomware as a Service)

Ransomware as a Service (RaaS) ist kein Malware-Typ, sondern ein Geschäftsmodell, das die moderne Ransomware-Wirtschaft antreibt. Professionelle Kernentwickler erstellen den Ransomware-Stamm und die Zahlungsinfrastruktur und vermieten sie dann an „Partner“ (weniger qualifizierte Hacker), die die eigentlichen Angriffe durchführen. Die Gewinne werden geteilt, wobei Partner typischerweise 70-80% und Entwickler den Rest behalten. Dieses Modell hat zu einer Explosion von Ransomware-Angriffen geführt, indem es die Eintrittsbarriere für Cyberkriminelle gesenkt hat.

Neueste Ransomware-Angriffe

• Dire Wolf (.direwolf) Ransomware Virus - Removal and Decryption
• PE32 Ransomware
• VerdaCrypt Ransomware
• D0glun Ransomware: Analysis and Protection Guide
• Moscovium Ransomware
• Fox Ransomware
• Lucky Ransomware (MedusaLocker)
• CipherLocker Ransomware

Aktive Ransomware-Familien im Jahr 2025

Die folgenden Ransomware-Gruppen bleiben 2025 hochaktiv und sind für die Mehrheit der Angriffe auf Organisationen weltweit verantwortlich:

• LockBit 4.0 — Trotz Störungen durch Strafverfolgungsbehörden im Jahr 2024 tauchte LockBit mit Version 4.0 wieder auf und integrierte DDoS-Erpressungstaktiken und schnellere Verschlüsselungsgeschwindigkeiten. Bleibt eine der produktivsten Ransomware-as-a-Service (RaaS)-Operationen, verantwortlich für zahlreiche Angriffe auf kritische Infrastrukturen im Jahr 2025.
• Qilin (Agenda) — Hochentwickelte Gruppe, die auf kritische Infrastrukturen wie Flughäfen und das Gesundheitswesen abzielt. Verantwortlich für den Angriff auf den Flughafen Kuala Lumpur (März 2025, 10 Mio. $ Forderung) und die Störung der Asahi-Brauerei (November 2025). Verwendet Rust-basierte Verschlüsselung und konzentriert sich auf hochwertige Unternehmensziele.
• Rhysida — Aktive RaaS-Operation, die auf Gesundheitswesen, Bildung und Regierungssektoren abzielt. Bemerkenswerte Angriffe im Jahr 2025 umfassen die Sunflower Medical Group (220.968 Patientenakten) und die Maryland Transit Administration (30 BTC/3,4 Mio. $ Lösegeld). Bekannt für dreifache Erpressung und Data-Leak-Site-Operationen.
• Black Basta — Entstand aus der Auflösung von Conti und setzt KI-gestützte Phishing-Kampagnen unter Verwendung von Large Language Models (LLMs) ein, um überzeugende Social-Engineering-Angriffe zu erstellen. Konzentriert sich auf Unternehmensziele mit schnellen Bereitstellungszeiten und ausgefeilten Infiltrationsmethoden.
• Akira — Eine der aktivsten Gruppen im Jahr 2025, die VPN-Schwachstellen ausnutzt und auf Fertigungs-, Gesundheits- und Finanzsektoren abzielt. Verwendet doppelte Erpressungstaktiken und unterhält eine aktive Leak-Site. Bekannt für das Ziel auf Cisco VPN- und Citrix-Schwachstellen.
• Medusa — Verantwortlich für große Angriffe im Jahr 2025, einschließlich NASCAR (SSN-Datenleck, 4 Mio. $ Lösegeld). Betreibt ein RaaS-Modell mit Partnerpartnerschaften. Bemerkenswert für aggressive mehrstufige Erpressung, einschließlich direktem Kontakt mit Kunden und Partnern der Opfer.
• Play — Zielt auf kritische Infrastrukturen und große Unternehmen ab und verwendet intermittierende Verschlüsselungstechniken, um der Erkennung zu entgehen. Aktiv im gesamten Jahr 2025 mit Angriffen auf Regierungsbehörden und Bildungseinrichtungen. Verwendet doppelte Erpressung mit dedizierter Leak-Site.
• Cl0p (Clop) — Spezialist für Lieferketten- und Zero-Day-Exploits, insbesondere gegen Dateiübertragungsanwendungen und Unternehmens-ERP-Systeme. Verantwortlich für die Oracle E-Business Suite-Kampagne, die Cox Enterprises und das Dartmouth College betraf. Pionier bei Massen-Exploit-Taktiken für maximale Opferzahl.
• ALPHV/BlackCat — Rust-basierte Ransomware, bekannt für Flexibilität und plattformübergreifende Fähigkeiten (Windows, Linux, ESXi). Setzt den Betrieb trotz Störungsversuchen des FBI fort. Verwendet dreifache Erpressung, einschließlich Anrufen bei Kunden und Partnern der Opfer. Bemerkenswert für ausgefeiltes Partnerprogramm.
• Interlock — Verantwortlich für den Angriff auf DaVita Healthcare (April 2025, 2,7 Mio. Patienten, 13,5 Mio. $ Verluste). Zielt auf Gesundheitswesen und kritische Dienste mit schneller Verschlüsselung und umfassender Datenexfiltration vor der Verschlüsselungsbereitstellung ab.
• RansomHub — Schnell wachsende RaaS-Operation, die Partner von stillgelegten Operationen anzog. Bekannt für schnelle Verschlüsselung und Multi-Plattform-Support. Zielt auf Organisationen in allen Sektoren ab, mit Schwerpunkt auf Datenexfiltration vor der Verschlüsselung.
• Fog (Akira-Variante) — Nutzt ausgebeutete SonicWall-VPNs für den Erstzugang. Zielt auf Bildungs- und Gesundheitssektoren ab. Setzt doppelte Erpressung mit dedizierter Leak-Infrastruktur ein. Verwandt mit Akira-Operationen, operiert aber unabhängig.
• Scattered Spider (0ktapus) — Hochentwickelte Gruppe, die Voice Phishing mit KI-generierten Deepfake-Stimmen verwendet, um MFA zu umgehen. Zielt auf Identitätsanbieter, Telekommunikation und Outsourcing-Unternehmen ab. Bekannt für Social-Engineering-Expertise und „Vishing“-Kampagnen.
• 8Base — Extrem aktiv im gesamten Jahr 2025, zielt auf kleine bis mittlere Unternehmen ab. Verwendet doppelte Erpressung mit dedizierter Leak-Site. Es wird angenommen, dass Verbindungen zur REvil-Infrastruktur bestehen. Konzentriert sich auf schnelle Angriffe gegen weniger geschützte Organisationen.
• Cactus — Verwendet gestohlene VPN-Zugangsdaten und nutzt Fortinet-Schwachstellen für den Erstzugang. Zielt auf Fertigungs-, Finanzdienstleistungs- und Technologiesektoren ab. Setzt ausgefeilte Verschlüsselung mit einzigartigen Datenexfiltrationsmethoden über SSH-Tunnel ein.

Stillgelegte Operationen: Conti (aufgelöst Mitte 2022), Avaddon (Stilllegung Mai 2021), Egregor (gestört 2021) und Hive (beschlagnahmt vom FBI 2023) sind nicht mehr aktiv, obwohl ihre Techniken und Mitglieder zu neueren, oben aufgeführten Operationen abgewandert sind.

Read also: PE32 Ransomware

Ist es eine Lösung, das Lösegeld zu zahlen?

Der Großteil der Einnahmen, die Ransomware-Entwickler erhalten, wird zur Finanzierung verschiedener illegaler Aktivitäten verwendet, wie Terrorismus, andere Malware-Verbreitungskampagnen, Drogenhandel und so weiter. Da alle Lösegeldzahlungen in Kryptowährungen erfolgen, gibt es keine Möglichkeit, die Identität der Gauner aufzudecken. E-Mail-Adressen können jedoch manchmal auf Ransomware-Verteiler im Nahen Osten hinweisen.

Wie Sie bereits schlussfolgern können, bedeutet das Zahlen des Lösegelds die Teilnahme an illegalen Aktivitäten. Natürlich wird Ihnen niemand die Finanzierung von Terrorismus vorwerfen. Aber es ist kein angenehmes Gefühl zu wissen, dass Geld, das Sie für ehrliche Arbeit erhalten, für Terrorismus oder Drogen ausgegeben wird. Oft zahlen selbst große Unternehmen, die mit der Veröffentlichung interner Daten erpresst werden, keinen Cent an diese Gauner.

Wie schützt man sich 2025 vor Ransomware?

Die sich entwickelnde Ransomware-Bedrohungslandschaft erfordert eine mehrschichtige Verteidigungsstrategie. Basierend auf der Analyse von Angriffen im Jahr 2025 sollten Organisationen und Einzelpersonen die folgenden umfassenden Schutzmaßnahmen umsetzen:

Wesentliche Sicherheitskontrollen

• Zero-Trust-Architektur & Netzwerksegmentierung: Implementieren Sie Zero-Trust-Sicherheitsmodelle, die jede Zugriffsanfrage unabhängig von der Quelle verifizieren. Segmentieren Sie kritische Systeme und Daten, um laterale Bewegungen zu begrenzen, falls Angreifer den Perimeter durchbrechen.
• Multi-Faktor-Authentifizierung (MFA) für alle Fernzugriffe: Fordern Sie MFA für alle VPN-Verbindungen, Remote Desktop Protocol (RDP) und Remote Management und Monitoring (RMM) Tools. Dies verhindert Angriffe auf Basis von Zugangsdaten, die 23% der Ransomware-Vorfälle ausmachen.
• Zeitnahes Patch-Management: Priorisieren Sie das Patchen von internetseitigen Systemen, einschließlich VPN-Appliances, Unternehmens-ERP-Systemen (Oracle E-Business Suite, SAP) und Content-Management-Plattformen. 32% der Angriffe nutzen ungepatchte Schwachstellen aus.
• Vierteljährliche Backup-Tests: Führen Sie regelmäßige Tests von Backup-Wiederherstellungsverfahren in isolierten Umgebungen durch. Stellen Sie sicher, dass Backups offline oder in unveränderlichem Speicher aufbewahrt werden, um zu verhindern, dass Ransomware sie verschlüsselt. Überprüfen Sie, ob die Wiederherstellungszeitziele (RTO) den Geschäftsanforderungen entsprechen.
• Endpoint Detection and Response (EDR): Setzen Sie fortschrittliche EDR-Lösungen ein, die in der Lage sind, Living-off-the-Land (LotL)-Techniken und BYOVD (Bring Your Own Vulnerable Driver)-Angriffe zu erkennen, die versuchen, Sicherheitskontrollen zu deaktivieren.

Bewusstseinsschulung für Bedrohungen im Jahr 2025

• Erkennung von KI-generiertem Phishing: Schulen Sie Mitarbeiter darin, ausgefeilte Phishing-Versuche zu erkennen, die von Large Language Models (LLMs) erstellt wurden. Betonen Sie die Überprüfung unerwarteter Anfragen, auch wenn E-Mails professionell geschrieben und kontextrelevant erscheinen.
• Verifizierungsprotokolle für Sprachanrufe: Etablieren Sie Verfahren, die Mitarbeiter verpflichten, Sprachanrufe, die vorgeben, vom IT-Support zu stammen, über unabhängige Kanäle zu verifizieren. KI-Stimmenklonen macht telefonbasiertes Social Engineering zunehmend überzeugend.
• Vorsicht bei Makros und Anhängen: Verstärken Sie weiterhin das Bewusstsein für E-Mail-Anhänge, insbesondere Microsoft Office-Dateien, die die Aktivierung von Makros anfordern. Obwohl es ein traditioneller Vektor ist, bleibt E-Mail ein primärer Angriffseintrittspunkt (18% der Vorfälle).

Fortschrittliche Schutzmaßnahmen

• Deaktivieren unnötiger RDP-Exposition: Schließen Sie externe RDP-Ports und fordern Sie VPN-Zugang an, bevor Sie Remotedesktopverbindungen zulassen. Überwachen und begrenzen Sie die RDP-Nutzung nur auf essenzielles Personal.
• Anwendungs-Whitelisting: Implementieren Sie Anwendungskontrollrichtlinien, die nur die Ausführung genehmigter Software zulassen und verhindern, dass nicht autorisierte Ransomware-Binärdateien ausgeführt werden.
• E-Mail-Sicherheits-Gateways: Setzen Sie fortschrittliche E-Mail-Filter ein, die KI-generierte Phishing-Inhalte erkennen und verdächtige Anhänge in einer Sandbox prüfen können, bevor sie in die Posteingänge der Benutzer gelangen.
• Notfallreaktionsplanung: Entwickeln und testen Sie regelmäßig Notfallreaktionspläne speziell für Ransomware-Szenarien. Schließen Sie Verfahren zur Isolierung infizierter Systeme, Aktivierung von Backups und Einbeziehung von Strafverfolgungsbehörden und Cybersicherheitsexperten ein.

Anti-Malware-Schutz

Normalerweise aktualisieren Anti-Malware-Programme ihre Erkennungsdatenbanken jeden Tag. GridinSoft Anti-Malware kann Ihnen stündliche Updates anbieten, was die Wahrscheinlichkeit verringert, dass ein völlig neues Ransomware-Sample Ihr System infiltriert. Die Verwendung von Anti-Malware-Software ist jedoch kein Allheilmittel. Es wäre am besten, wenn Sie an allen riskanten Orten vorsichtig wären. Diese sind:

• E-Mail-Nachrichten. Die meisten Ransomware-Fälle, unabhängig von der Familie, stehen im Zusammenhang mit bösartigen E-Mail-Nachrichten. Menschen vertrauen oft allen Nachrichten, die per E-Mail gesendet werden, und denken nicht, dass sich in der angehängten Datei etwas Bösartiges befinden könnte. Inzwischen nutzen Cyber-Einbrecher diese Schwäche und ködern Menschen, Makros in Microsoft Office-Dateien zu aktivieren. Makros sind eine spezielle Anwendung, die eine erhöhte Interaktion mit dem Dokument ermöglicht. Sie können alles in Visual Basic konstruieren und als Makros zum Dokument hinzufügen. Gauner fügen ohne weiteres Nachdenken Ransomware-Code hinzu.
• Zweifelhafte Dienstprogramme und nicht vertrauenswürdige Programme. Sie sehen möglicherweise verschiedene Ratschläge beim Surfen im Internet. Online-Foren, soziale Netzwerke und Seeding-Netzwerke – diese Orte sind als Quellen für verschiedene spezifische Tools bekannt. Und an solcher Software ist nichts Schlechtes – manchmal benötigen Menschen Funktionen, die für die Unternehmensproduktion nicht gefragt (oder akzeptiert) sind. Solche Tools sind sogenannte Keygens für verschiedene Apps, Lizenzschlüssel-Aktivatoren (KMS Activator ist einer der bekanntesten) und Dienstprogramme zur Systemanpassung. Die meisten Anti-Malware-Engines erkennen diese Anwendungen als bösartig, sodass Sie wahrscheinlich das Antivirus deaktivieren oder die App zur Whitelist hinzufügen werden. Inzwischen kann dieses Dienstprogramm sauber oder mit Trojanern oder Ransomware infiziert sein.

Häufig gestellte Fragen

References

• Industrial Cyber / KELA: Global Ransomware Attacks Against Critical Industries Surge 34% in 2025 (October 22, 2025)
• Bright Defense (DeepStrike): Ransomware Statistics 2025 - Key Trends & Costs (October 6, 2025)
• Exabeam: Top Ransomware Statistics and Trends for 2025 (September 2025)
• NordLayer: 8 Biggest Ransomware Attacks of 2025 (October 2025)
• PKWARE: Data Breaches and Ransomware Attacks 2025 (November 2025)
• Commvault: Ransomware Trends 2026