Die Anatomie eines Ransomware-Angriffs: Vom Erstzugriff bis zur Verschlüsselung

Ransomware-Angriffe sind nicht das “alles auf einmal verschlüsselt” der Schlagzeilen. Sie sind meist ein gestufter Prozess über Tage, manchmal Wochen. Diese Phasen zu verstehen ist wichtig, denn es ist möglich, den Angriff vor dem Verschlüsselungsschritt zu erkennen und zu stoppen. Hier ist die Anatomie eines typischen Ransomware-Angriffs.

Phase 1: Erstzugriff

Der Angreifer gelangt irgendwie ins Netz. Die häufigsten Wege:

• Phishing: ein Nutzer wird über einen schädlichen Anhang oder Link getäuscht.
• Exponierte Angriffsfläche: ein internetseitiger Dienst, schwacher/Standard-Zugang für Remote-Zugriff (RDP usw.) oder eine ungepatchte Schwachstelle.
• Geleakte Zugangsdaten: anderswo geleakte Passwörter ausprobieren (Credential Stuffing).

Der Erstzugriff zeigt, warum die Sicherheit Ihrer Angriffsfläche so wichtig ist; die Tür des Angriffs ist meist hier.

Phase 2: Fußfassen und Erkundung

Nach dem Eindringen verschlüsselt der Angreifer nicht sofort. Zuerst sichert er Persistenz, erkundet das Netz (welche Systeme, wo Daten und Backups) und versucht Rechteausweitung.

Phase 3: Lateral Movement und Backup-Zerstörung

Mit Admin-Zugriff bewegt sich der Angreifer lateral und breitet sich auf möglichst viele Systeme aus. Ein kritischer, oft übersehener Schritt: Backups finden und löschen/verschlüsseln, um die Wiederherstellungsoption des Opfers zu entfernen und den Zahlungsdruck zu erhöhen. Genau deshalb sind unveränderliche/Offline-Backups wichtig.

Phase 4: Exfiltration und Verschlüsselung

Moderne Ransomware wendet oft doppelte Erpressung an: erst exfiltriert sie die Daten, dann verschlüsselt sie. Selbst wenn das Opfer nicht zahlt, geht der Druck mit “wir veröffentlichen die Daten” weiter. Die Verschlüsselung ist der letzte, sichtbarste Schritt — doch dann ist der Schaden geschehen.

Abwehr in jeder Phase

• Erstzugriff: starke Angriffsfläche, MFA, Phishing-Bewusstsein, Patch-Management.
• Erkundung/Ausbreitung: Netzwerksegmentierung, Least Privilege, Anomalieerkennung.
• Backup-Zerstörung: unveränderliche und Offline-Backups.
• Exfiltration: Überwachung von Ausgangsdaten-Anomalien, Datenzugriffskontrollen.

Zusammenfassung

Ransomware ist ein gestufter Prozess: Erstzugriff → Fußfassen/Erkundung → Lateral Movement und Backup-Zerstörung → Exfiltration und Verschlüsselung. Da die Verschlüsselung der letzte Schritt ist, kann der Angriff früher erkannt werden. Die wirksamste Kombination: eine starke Angriffsfläche (Tür schließen), Segmentierung (Ausbreitung bremsen) und unveränderliche Backups (Wiederherstellung garantieren).

Quellen: CISA StopRansomware, MITRE ATT&CK.

Der häufigste Einstiegspunkt von Ransomware ist ein exponierter Dienst oder eine schwache Konfiguration in der Angriffsfläche. Der Scan von CyberTestify kartiert diese Erstzugriffsfläche.