Ransomware: Ein Geschäftsmodell skaliert

Management Summary

Die harte Wahrheit: Ransomware ist kein „Spezialfall“ mehr, sondern industrielles Tagesgeschäft der Angreifer. Das Modell RaaS senkt Eintrittsbarrieren, professionalisiert Abläufe und verteilt Risiken auf viele Akteure. Unternehmen scheitern weniger an fehlenden Tools als an Disziplin in Basiskontrollen, klaren Entscheidungswegen und geübten Playbooks. Wer heute keine belastbaren Zeitziele und Notfallbrücken definiert, bezahlt im Vorfall doppelt: einmal an die Angreifer – und ein zweites Mal beim Wiederanlauf.

Warum RaaS alles verändert

Früher brauchte es ein komplettes Täter-Team mit Technik, Infrastruktur und Geldwäschekanälen. RaaS entkoppelt das: Entwickler stellen Baukästen, Affiliates übernehmen Initialzugriff, andere kümmern sich um Verhandlung und Monetarisierung. Ergebnis: mehr Kampagnen, schnellere Iteration, besserer „Kundensupport“ auf Täterseite. Für Verteidiger heißt das: Angriffe kommen häufiger, variantenreicher und professioneller. Ein Einzelfall? Nein – ein skalierendes Ökosystem mit klaren Anreizen.

Taktiken & Einstiegstore: die 80/20-Hebel

Die Mehrzahl der erfolgreichen Fälle beginnt immer noch über dieselben Türen:

• Phishing und Social Engineering: Zugangsdaten, Session-Cookies, Freigaben in Eile.
• Ungepatchte Schwachstellen in Internet-exponierten Diensten (VPN, Gateways, Webapps).
• Abgegriffene Zugänge aus Drittsystemen oder durch Credential-Stuffing.
• Missbrauch von LOTL-Techniken (Living off the Land), um im Netzwerk ohne „laute“ Malware zu agieren.

Die Verteidigerseite verliert Zeit in komplexen Tool-Landschaften, während Angreifer mit Standardbausteinen Tempo machen. Konsequenz: Reduziert Reibung, erhöht Verlässlichkeit, setzt harte SLOs – statt euch in kosmetischen Maßnahmen zu verlieren.

Wirtschaftliche Logik: Warum Zahlen steigen – und bleiben

Ransomware bleibt attraktiv, weil die Marge stimmt. Datenexfiltration vor Verschlüsselung („Double/Triple Extortion“) maximiert den Druck, selbst wenn Backups vorhanden sind. Gleichzeitig sind viele Unternehmen in Lieferketten eingebunden: Ein Vorfall erzeugt nicht nur Eigenkosten, sondern triggert Vertragsstrafen, Offenlegungspflichten und operative Stillstände bei Partnern. Solange sich diese Kaskaden in Geld übersetzen lassen, bleibt die Anreizlage für Täter stabil – unabhängig von einzelnen Festnahmen oder Takedowns.

Was sofort wirkt – ohne Schönfärberei

• Identitäten härten: Phishing-resistente MFA (z. B. Passkeys/FIDO2), Abschaltung schwacher Legacy-Flows, durchgängige Session-Überwachung. Zero Trust heißt: prüfen, nicht hoffen.
• Patch-SLOs verbindlich machen: Internet-exponierte Kritikalitäten in Tagen; interne Lücken mit klaren Fristen. SLO-Verstöße führen automatisch zu Eskalation – nicht zu E-Mails.
• E-Mail-Schutz + Realitäts-Awareness: Technische Prüfungen (Authentifizierung, Anomalien) kombiniert mit szenariobasiertem Training, das echte Pressure-Taktiken simuliert.
• Backups, die wirklich helfen: Offline/Immutabel, Restore-Tests unter Zeitdruck, Beweisführung für Unversehrtheit. Ohne Drill sind Backups nur Hoffnung.
• Seitwärtsbewegung bremsen: Netzwerk-Segmentierung, App-Allowlisting, Standard-Blockierung gefährlicher Scripting-Tools, Härtung von Admin-Workstations.
• Lieferketten-Schnittstellen sichern: Mindestanforderungen, Zugriff nur über geprüfte Brücken, Logging-Pflichten und anlassbezogene Tests.

90-Tage-Plan gegen Ransomware

Tag 0–15 – Lagebild & Baseline

• Top-3 Einstiege identifizieren (E-Mail, externe Apps, Remote-Zugriffe) und mit Fakten belegen.
• KPI-Baseline erfassen: MTTD/MTTR je Kritikalität, Patch-SLO-Einhaltung, MFA-Abdeckung, Restore-Zeit.
• Rollen & Freigabematrix für Incident Response aktualisieren (inkl. Behörden- und Kommunikationspfaden).

Tag 16–45 – Härtung & Beschleunigung

• Phishing-resistente MFA ausrollen, Legacy-Protokolle deaktivieren, JIT-Privilegien für Admins pilotieren.
• Patch-SLOs erzwingen (Change-Fenster, Durchgriffsrechte, Eskalationslogik).
• Netzwerk-Segmente scharf ziehen; Admin-Workstations und kritische Server mit erhöhten Policies betreiben.

Tag 46–75 – Automatisieren & testen

• Standardreaktionen automatisieren: Isolierung, Konto-Sperre, Ticketing, Alarm-Bestätigung.
• Restore-Drill: zeitgestopptes Recovery eines geschäftskritischen Systems inklusive Integritätsnachweis.
• Lieferkette: Notfall-Kontaktwege, Change-Freeze-Prozesse und Protokolle für Zugriffsdienstleister proben.

Tag 76–90 – Wirkung verankern

• KPIs vs. Baseline prüfen: MTTD/MTTR runter, Patch-SLO-Quote rauf, Restore-Zeit runter.
• Lösegeld-Policy und Entscheidungsbaum finalisieren (inkl. juristischer Leitplanken).
• Quartalsweises Steering fixieren: Budget folgt nachweisbarer Risikoreduktion, nicht nach Bauchgefühl.

Kommunikation & Entscheidungslogik im Ernstfall

Der größte Kostentreiber ist Zeitverlust durch Unklarheit. Definiert im Voraus:

• Wer entscheidet über Produktionsstillstand, externe Forensik, Kommunikation an Kunden/Behörden?
• Welche Kriterien lösen welche Eskalation aus (z. B. Exfiltrationsindikatoren, Verschlüsselung aktiv, Lieferkette betroffen)?
• Welche Out-of-Band-Kanäle nutzt ihr, wenn Primärsysteme unzuverlässig sind?

Fazit: Disziplin schlägt Tool-Zoo

Ransomware verschwindet nicht – sie rechnet sich. Verteidiger gewinnen mit Tempo, Klarheit und Übung: Identitäten absichern, Lücken in Tagen schließen, Wiederherstellung beweisbar üben und Entscheidungen vorab fest verdrahten. Das ist nicht „nice to have“, sondern euer Kostenairbag. Wer den 90-Tage-Plan sauber durchzieht, reduziert Schaden und Verhandlungsdruck – und macht RaaS ein Stück weniger profitabel.