Ransomware-Gruppen und -Familien

Die Familie ist die Schadsoftware: das Verschlüsselungsprogramm und seine Werkzeuge, meist benannt nach dem Code oder der Lösegeldforderung, etwa LockBit oder Akira. Die Gruppe ist die kriminelle Organisation, die sie entwickelt und betreibt, einschließlich Leak-Seite, Zahlungsabwicklung und Verhandlern. Ein Affiliate ist ein eigenes kriminelles Team, das die Schadsoftware von der Gruppe mietet und die eigentlichen Einbrüche ausführt, gegen einen Anteil am Lösegeld, oft den größeren. Für Verteidiger ist das wichtig, weil dieselbe Familie je nach Affiliate auf ganz unterschiedlichen Wegen ankommen kann, während ein Affiliate von Monat zu Monat die Familie wechseln kann. Behördliche Warnungen beschreiben deshalb beides: die Indikatoren der Familie und die Techniken, die bei ihren Affiliates beobachtet wurden. Heißt es in einem Bericht, eine Gruppe habe eine Firma angegriffen, war es meist einer ihrer Affiliates.

Ransomware as a Service ist ein Geschäftsmodell, bei dem Entwickler ihre Ransomware an Affiliates vermieten, die die Angriffe ausführen und die Erlöse mit ihnen teilen. Die Entwickler stellen die Verschlüsselungssoftware, ein Steuerungspanel, eine Leak-Seite zur Veröffentlichung gestohlener Daten, die Zahlungsabwicklung und manchmal Verhandler und Support. Die Affiliates bringen den Zugang zu Opfern mit, oft von Initial Access Brokern gekauft, und erledigen die Einbruchsarbeit. Das Modell erklärt einiges, was kleine Firmen bemerken: Ransomware ist nicht mehr auf versierte Angreifer beschränkt, Angriffe sind häufig und opportunistisch statt nur auf bekannte Namen gerichtet, und dieselbe Marke taucht mit sehr unterschiedlichen Techniken auf. Die meisten Familien in aktuellen Warnungen von CISA und FBI, darunter LockBit, ALPHV, RansomHub und Medusa, werden als so organisiert beschrieben. Wer die Entwickler ausschaltet, trifft viele Affiliates auf einmal, deshalb zielen Strafverfolger oft auf die Plattform.

Doppelte Erpressung heißt, dass die Angreifer Ihre Systeme verschlüsseln und zugleich eine Kopie Ihrer Daten stehlen, um dann für zweierlei Geld zu verlangen: den Entschlüsselungsschlüssel und das Versprechen, die Daten nicht zu veröffentlichen. Das wurde um 2020 üblich und ist heute die Regel: Warnungen von CISA und FBI beschreiben es für die meisten aktuellen Gruppen, darunter Black Basta, Akira, Play und Rhysida. Manche Gruppen verzichten ganz auf Verschlüsselung und erpressen nur mit gestohlenen Daten, wie die Warnung zu BianLian ab 2024 beschreibt. Praktisch heißt das: Gute Backups lösen nur die Hälfte des Problems. Sie bringen den Betrieb zurück, ändern aber nichts an den gestohlenen Daten, die eine DSGVO-Meldung und Pflichten gegenüber Kunden auslösen können. Es heißt auch, dass der Diebstahl vor der Verschlüsselung stattfindet, oft über mehrere Tage, was Verteidigern ein Zeitfenster gibt. Große ausgehende Übertragungen an unbekannte Ziele sind eines der Signale, die NetSenX in jedem Tarif meldet.

Eine Leak-Seite ist eine Website einer Ransomware-Gruppe, meist nur über das Tor-Netzwerk erreichbar, auf der sie die Firmen auflistet, die sie angeblich angegriffen hat, und deren gestohlene Daten veröffentlicht, wenn sie nicht zahlen. Ein Eintrag beginnt oft mit dem Firmennamen, einem Countdown und einer Dateiprobe, als Druckmittel in den Verhandlungen. Leak-Seiten sind auch Werbung: Sie zeigen potenziellen Affiliates die Reichweite der Gruppe. Einige Punkte für eine Firma, die sich dort wiederfindet. Ein Eintrag ist eine Behauptung, kein Beweis; Gruppen übertreiben manchmal oder veröffentlichen alte Daten erneut, prüfen Sie also, was tatsächlich entwendet wurde. Er ist aber ein starkes Indiz, dass Daten das Netzwerk verlassen haben, was für die DSGVO-Meldung zählt. Bei Aktionen der Strafverfolgung werden Leak-Seiten oft durch ein Beschlagnahmebanner ersetzt, wie bei LockBit im Februar 2024 und BlackSuit im Juli 2025. Überwachungsdienste und nationale CERTs verfolgen diese Seiten; besuchen Sie sie nicht von Firmengeräten aus.

Beginnen Sie mit behördlichen Quellen: Sie sind kostenlos, datiert und vorsichtig in ihren Aussagen. Die US-Behörde CISA veröffentlicht mit dem FBI und Partnerbehörden die Reihe gemeinsamer StopRansomware-Warnungen; jede behandelt eine Gruppe mit ihren bekannten Techniken, Kompromittierungsindikatoren und empfohlenen Schutzmaßnahmen, und jede hat eine Kennung wie AA24-131A und ein Datum. In Europa schauen Sie bei Ihrem nationalen CERT oder Ihrer Cybersicherheitsbehörde, die Warnungen in Ihrer Sprache veröffentlicht, in den jährlichen ENISA Threat Landscape für Trends und bei Europol für Zerschlagungen und Festnahmen. Das Projekt No More Ransom listet kostenlose Entschlüsselungswerkzeuge auf. Berichte von Sicherheitsanbietern liefern Details, aber auch Werbung, gleichen Sie deren Zahlen also mit einer offiziellen Quelle ab. Achten Sie bei einer Warnung zuerst auf Datum und Änderungshistorie: Gruppen wechseln Werkzeuge, ältere Indikatoren verlieren schnell an Wert, während die beschriebenen Techniken meist viel länger relevant bleiben.

No More Ransom ist eine kostenlose Website, die im Juli 2016 vom Europäischen Zentrum zur Bekämpfung der Cyberkriminalität bei Europol, der niederländischen Polizei und Sicherheitsfirmen gestartet wurde und Entschlüsselungswerkzeuge für Ransomware sammelt. Zum sechsten Jahrestag im Juli 2022 meldete Europol 136 kostenlose Werkzeuge für 165 Ransomware-Varianten. Auf der Seite Crypto Sheriff können Sie eine Lösegeldforderung oder zwei verschlüsselte Dateien hochladen, um zu prüfen, ob es ein Werkzeug gibt. Das lohnt sich, aber bleiben Sie realistisch: Werkzeuge gibt es vor allem für ältere Familien, für Familien, deren Schlüssel die Polizei sichergestellt hat, und für Familien mit Fehlern in der Verschlüsselung. Für die meisten aktuellen professionellen Gruppen gibt es keinen kostenlosen Entschlüssler. Laden Sie keine Dateien mit sensiblen personenbezogenen Daten hoch, ohne Ihre DSGVO-Pflichten zu bedenken, bewahren Sie Kopien der verschlüsselten Dateien auf, falls später ein Werkzeug erscheint, und holen Sie Rat ein, bevor Sie einen Entschlüssler auf Produktivsystemen ausführen.

Manchmal viel, oft weniger, als die Schlagzeilen vermuten lassen. Wenn die Polizei die Server einer Gruppe beschlagnahmt, findet sie unter Umständen Entschlüsselungsschlüssel: Bei der im Januar 2023 bekannt gegebenen Aktion gegen Hive gab das FBI an, Schlüssel an über 300 Opfer während laufender Angriffe und an mehr als 1.000 frühere Opfer weitergegeben zu haben, und die Operation Cronos gegen LockBit im Februar 2024 brachte über 1.000 Schlüssel. Opfer können bei ihrer nationalen Polizei nachfragen, ob es Schlüssel für ihren Fall gibt, und No More Ransom veröffentlicht danach oft Werkzeuge. Beschlagnahmte Daten können zudem weitere Leaks verhindern. Die Menschen dahinter verschwinden aber selten: Affiliates wechseln auf andere Plattformen, und in mehreren Fällen tauchten Mitglieder binnen Monaten unter neuem Namen wieder auf. Für noch nicht angegriffene Firmen ändert sich wenig. Dieselben Techniken laufen unter anderen Marken weiter, die in den Warnungen empfohlenen Schutzmaßnahmen bleiben also die richtigen.

Vor allem, um Druck auszuweichen. Ein bekannter Name zieht Strafverfolgung, Sanktionen und Sperrlisten an, und viele Versicherer und Firmen weigern sich, sanktionierte Gruppen zu bezahlen, sodass ein neuer Name den Kriminellen die Zahlung erleichtern kann. Eine Umbenennung kann auch auf eine interne Spaltung, ein Leak der Chats der Gruppe oder eine Polizeiaktion folgen. Offizielle Quellen belegen mehrere solcher Wechsel: Die Aktualisierung der CISA-Warnung zu Royal vom August 2024 stellt fest, dass BlackSuit ein Rebranding von Royal ist, und die CISA-Warnung zu RansomHub vom August 2024 hält fest, dass die Operation früher als Cyclops und Knight bekannt war. Nach dem Leak der internen Chats von Conti 2022 verteilten sich ihre Mitglieder auf andere Operationen. Für Verteidiger ist die Lehre einfach: Der Name auf der Lösegeldforderung wechselt schneller als die Techniken dahinter. Verfolgen Sie die Techniken, die jede Warnung mit MITRE-ATT&CK-Bezügen aufführt, nicht nur die Markennamen.

Lesen Sie sie als Checkliste, nicht als Nachricht. Jede StopRansomware-Warnung der CISA endet mit einem Abschnitt zu Gegenmaßnahmen, und der wiederholt meist dieselbe Handvoll Punkte: Systeme mit Internetzugang zügig patchen, besonders VPN und Fernzugriff; Multi-Faktor-Authentifizierung für Fernzugriff, E-Mail und Administratorkonten verlangen; Offline-Backups vorhalten und testen; das Netzwerk segmentieren, damit ein infizierter Rechner nicht alles erreicht; Adminrechte und Remote-Desktop-Nutzung begrenzen; und ungewöhnlichen internen und ausgehenden Verkehr überwachen. Haken Sie ab, was Sie schon tun, und beheben Sie zuerst den schwächsten Punkt. Lesen Sie dann den Abschnitt zum Erstzugang: Nutzt die Gruppe bekanntermaßen ein Produkt aus, das Sie einsetzen, prüfen Sie noch heute dessen Patchstand. Die Kompromittierungsindikatoren wie IP-Adressen und Datei-Hashes sind für Ihren IT-Dienstleister oder Ihre Sicherheitswerkzeuge nützlich, veralten aber schnell. Sie müssen nicht jedes technische Detail verstehen, um die Gegenmaßnahmen umzusetzen.

LockBit ist eine Ransomware-as-a-Service-Operation, die 2019 auftauchte und 2022 die weltweit am häufigsten eingesetzte Ransomware-Variante war, so die gemeinsame Warnung AA23-165A, die CISA, FBI und internationale Partner am 14. Juni 2023 veröffentlichten. Ihre Affiliates kamen über offen erreichbare Remote-Desktop-Dienste, Phishing, gestohlene Zugangsdaten und Schwachstellen in Systemen mit Internetzugang hinein; eine eigene Warnung, AA23-325A vom November 2023, beschrieb die Ausnutzung der Lücke Citrix Bleed. Am 20. Februar 2024 übernahm die Operation Cronos unter Führung der britischen National Crime Agency mit FBI und Europol die Infrastruktur und Leak-Seite von LockBit und sicherte über 1.000 Entschlüsselungsschlüssel. Die Marke versuchte danach einen Neustart, mit weit geringerer Reichweite. Die Lehren der Warnungen gelten weiter: Edge-Geräte zügig patchen, MFA für Fernzugriff verlangen und vor der Verschlüsselung auf laterale Bewegung und große ausgehende Übertragungen achten.

ALPHV, auch bekannt als BlackCat, war eine Ransomware-as-a-Service-Operation, die ab Ende 2021 aktiv war und auffiel, weil sie in der Programmiersprache Rust geschrieben war und sowohl gewöhnliche Server als auch Virtualisierungshosts verschlüsselte. CISA und FBI beschrieben sie in der Warnung AA23-353A, erstmals veröffentlicht am 19. Dezember 2023 und im Februar 2024 aktualisiert: Bis dahin hatten ihre Affiliates weltweit über 1.000 Organisationen kompromittiert, oft nachdem sie Helpdesks und IT-Personal zur Herausgabe von Zugangsdaten verleitet hatten. Im Dezember 2023 gab das FBI bekannt, die Gruppe gestört und mehr als 500 Opfern ein Entschlüsselungswerkzeug gegeben zu haben. ALPHV machte kurz weiter und stellte im März 2024 den Betrieb ein, was viele Forscher als Betrug an den eigenen Affiliates beschrieben. Die Affiliates verschwanden nicht; viele wechselten auf andere Plattformen. Die wichtigste Lehre der Warnung für kleine Firmen: Helpdesk-Personal schulen, vor jedem Zurücksetzen von Passwort oder MFA die Identität zu prüfen.

Black Basta ist eine Ransomware-as-a-Service-Operation, die erstmals im April 2022 beobachtet wurde. In der gemeinsamen Warnung AA24-131A, erstmals veröffentlicht am 10. Mai 2024, berichteten CISA, FBI und Partnerbehörden, dass ihre Affiliates weltweit über 500 Organisationen getroffen hatten, darunter in 12 der 16 kritischen Infrastruktursektoren der USA, mit doppelter Erpressung: Systeme verschlüsseln und Daten stehlen. Der Erstzugang erfolgte meist über Spear-Phishing und die Ausnutzung bekannter Schwachstellen; die Warnung beschreibt auch, wie Affiliates legitime Fernzugriffs- und Dateiübertragungswerkzeuge, gestohlene Zugangsdaten und Remote Desktop nutzten, um sich zwischen Rechnern zu bewegen. Forscher berichteten vielfach, dass die internen Chatprotokolle der Gruppe im Februar 2025 geleakt wurden, wonach ihre Aktivität zurückging. Die Empfehlungen der Warnung sind eine gute Grundlage für jede Firma: Systeme gepatcht halten, phishingresistente MFA verlangen, Mitarbeitende im Erkennen von Phishing schulen, Offline-Backups vorhalten und festlegen, welche Fernzugriffssoftware erlaubt ist.

Akira ist eine Ransomware-Operation, die erstmals im März 2023 beobachtet wurde und Unternehmen und kritische Infrastruktur in Nordamerika, Europa und Australien angreift. CISA, FBI, das Cybercrime-Zentrum von Europol und das niederländische NCSC beschrieben sie in der gemeinsamen Warnung AA24-109A vom 18. April 2024: Bis zum 1. Januar 2024 hatte sie über 250 Organisationen getroffen und rund 42 Millionen US-Dollar eingenommen. Eine Aktualisierung vom 13. November 2025 hob die Summe auf etwa 244 Millionen US-Dollar mit Stand Ende September 2025 an und nannte Fertigung, Bildung, IT, Gesundheitswesen, Finanzdienstleistungen sowie Lebensmittel und Landwirtschaft unter den am häufigsten getroffenen Sektoren. Akira-Affiliates kommen meist über VPN-Konten ohne Multi-Faktor-Authentifizierung und über bekannte Lücken in VPN- und Firewall-Produkten herein, die Aktualisierung nennt darunter eine Schwachstelle bei SonicWall, und sie stehlen Daten vor der Verschlüsselung. Der Rat folgt daraus direkt: MFA auf jedem VPN-Konto, zügiges Patchen der Edge-Geräte und Offline-Backups.

Play, auch Playcrypt genannt, ist eine Ransomware-Gruppe, die seit Juni 2022 aktiv ist. CISA, FBI und das Australian Cyber Security Centre beschrieben sie in der gemeinsamen Warnung AA23-352A vom 18. Dezember 2023, damals mit rund 300 betroffenen Organisationen; eine Aktualisierung vom Juni 2025 gab an, dass dem FBI mit Stand Mai 2025 etwa 900 bekannt waren. Play setzt auf doppelte Erpressung, doch die Lösegeldforderung nennt keinen Betrag: Opfer sollen per E-Mail Kontakt aufnehmen, und laut Aktualisierung wurden einige auch telefonisch bedroht. Der Erstzugang kommt meist über echte, gestohlene oder gekaufte Konten und über Schwachstellen in Systemen mit Internetzugang wie Remote-Desktop- und Firewall-Diensten. Die Gruppe kompiliert ihre Schadsoftware für jeden Angriff neu, Datei-Hashes helfen daher wenig. Zuverlässiger ist das Verhalten: Diebstahl von Zugangsdaten, Bewegung zwischen internen Rechnern sowie Sammeln und Abfließen von Daten vor der Verschlüsselung, was die Netzwerküberwachung sehen kann.

Royal war eine Ransomware-Operation, die etwa ab September 2022 aktiv war, und BlackSuit ist ihr Nachfolger. CISA und FBI beschrieben Royal erstmals in der Warnung AA23-061A vom 2. März 2023; eine Aktualisierung vom November 2023 zählte seit September 2022 über 350 bekannte Opfer, und eine Aktualisierung vom August 2024 stellt fest, dass BlackSuit ein Rebranding von Royal ist und die Lösegeldforderungen zusammen über 500 Millionen US-Dollar lagen, die höchste einzelne bei 60 Millionen. Phishing war der häufigste Weg hinein, gefolgt von Remote Desktop, der Ausnutzung öffentlich erreichbarer Anwendungen und bei Brokern gekauftem Zugang. Im Juli 2025 beschlagnahmte eine internationale, über Europol koordinierte und von den US Homeland Security Investigations geführte Operation Server und Domains von BlackSuit, wie das US-Justizministerium im August 2025 bekannt gab. Festnahmen wurden nicht gemeldet, und Forscher beobachteten, wie Mitglieder zu neuen Operationen wechselten. Die Schutzmaßnahmen der Warnung bleiben unabhängig von der Marke relevant.

Rhysida ist eine Ransomware-as-a-Service-Gruppe, die im Mai 2023 auftauchte. CISA, FBI und MS-ISAC beschrieben sie in der gemeinsamen Warnung AA23-319A vom 15. November 2023 und hielten fest, dass sie opportunistisch in Bildung, Gesundheitswesen, Fertigung, IT und Verwaltung angriff, mit doppelter Erpressung. Laut Warnung verschafften sich die Täter meist über externe Remote-Dienste wie VPN Zugang, oft mit gestohlenen Zugangsdaten, wo keine Multi-Faktor-Authentifizierung durchgesetzt war, über Phishing und in einigen Fällen durch Ausnutzung der Zerologon-Schwachstelle in Domänencontrollern. Drinnen nutzten sie eingebaute Admin-Werkzeuge und Remote Desktop, um sich zu bewegen, das Living-off-the-Land-Muster vieler Gruppen. Für eine kleine Firma ist die Botschaft der Warnung bekannt, aber wichtig: MFA auf jedem Fernzugriffsweg verlangen, Domänencontroller patchen, Remote Desktop einschränken und das Netzwerk segmentieren, damit ein einzelner Brückenkopf nicht alles offenlegt.

Medusa ist eine Ransomware-as-a-Service-Operation, die erstmals im Juni 2021 identifiziert wurde und nicht mit der unabhängigen Familie MedusaLocker oder einer gleichnamigen mobilen Schadsoftware verwechselt werden sollte. CISA, FBI und MS-ISAC beschrieben sie in der gemeinsamen Warnung AA25-071A vom 12. März 2025 und meldeten bis Februar 2025 über 300 Opfer in Sektoren der kritischen Infrastruktur, darunter Medizin, Bildung, Rechtswesen, Versicherungen, Technologie und Fertigung; eine Aktualisierung vom August 2026 nennt über 500 Opfer mit Stand April 2026. Ihre Entwickler und Affiliates verschaffen sich Zugang über Phishing zum Diebstahl von Zugangsdaten und über ungepatchte Schwachstellen, und die Warnung beschreibt eine starke Nutzung legitimer Fernzugriffssoftware und eingebauter Admin-Werkzeuge. Medusa betreibt eine Leak-Seite mit Countdown und bietet an, die Veröffentlichung gegen Bezahlung aufzuschieben. Die Gegenmaßnahmen sind die bekannten: Betriebssysteme, Software und Firmware patchen, Multi-Faktor-Authentifizierung für alle Dienste, Netzwerksegmentierung, Offline-Backups und Remote-Desktop- und Fernzugriffswerkzeuge auf die beschränken, die Sie wirklich nutzen.

RansomHub war eine Ransomware-as-a-Service-Operation, die im Februar 2024 auftauchte und schnell wuchs, indem sie Affiliates anderer Plattformen anwarb, auch nach dem Zusammenbruch von ALPHV und der Zerschlagung von LockBit. CISA, FBI, MS-ISAC und das US-Gesundheitsministerium beschrieben sie in der gemeinsamen Warnung AA24-242A vom 29. August 2024: Bis dahin hatte sie Daten von mindestens 210 Opfern verschlüsselt und gestohlen, in Sektoren wie Wasser, IT, Behördendienste, Gesundheitswesen, Rettungsdienste, Lebensmittel, Finanzdienstleistungen und Kommunikation. Die Warnung hält fest, dass die Operation früher als Cyclops und Knight bekannt war und doppelte Erpressung betreibt. Affiliates kamen meist über Phishing, Password Spraying und die Ausnutzung bekannter Schwachstellen in Systemen mit Internetzugang hinein. Forscher berichteten, dass ihre Infrastruktur im April 2025 offline ging und viele Affiliates woandershin wechselten. Das Muster ist die Lehre: Marken kommen und gehen schnell, die Einstiegstechniken und die empfohlenen Schutzmaßnahmen bleiben dieselben.

Cl0p, auch Clop geschrieben, ist eine Ransomware- und Erpressungsoperation, die Sicherheitsbehörden einer als TA505 geführten kriminellen Gruppe zuordnen. Bekannt ist sie vor allem für massenhaften Datendiebstahl über Lücken in Dateiübertragungssoftware, weniger für klassische Verschlüsselung. CISA und FBI beschrieben in der gemeinsamen Warnung AA23-158A vom 7. Juni 2023, wie sie eine Zero-Day-Schwachstelle, CVE-2023-34362, im Produkt MOVEit Transfer ausnutzte: Ab Ende Mai 2023 stahl die Gruppe über dieses eine Produkt Daten zahlreicher Organisationen und verlangte dann Geld dafür, sie nicht zu veröffentlichen. Frühere Kampagnen hatten ähnliche Lücken in anderen Managed-File-Transfer-Produkten genutzt. Für eine kleine Firma sind die Lehren konkret: Wissen Sie, welche Dateiübertragungs- und anderen internetseitigen Anwendungen Sie betreiben, auch solche, die Dienstleister für Sie betreiben, patchen Sie sie, sobald eine Warnung erscheint, und achten Sie auf ungewöhnliche Datenmengen, die diese Server verlassen. Für ernsten Schaden braucht es keine Verschlüsselung.

BianLian ist eine kriminelle Gruppe, die im Juni 2022 als Ransomware-Operation begann und zur reinen Erpressung mit gestohlenen Daten übergegangen ist. CISA, FBI und das Australian Cyber Security Centre beschrieben sie in der gemeinsamen Warnung AA23-136A vom 16. Mai 2023; laut Warnung wechselte die Gruppe um Januar 2023 vorwiegend zu Erpressung durch Datenabfluss, und eine Aktualisierung vom November 2024 besagt, dass sie um Januar 2024 ausschließlich dazu überging. Die Täter kommen meist mit gültigen Remote-Desktop-Zugangsdaten herein, oft von Initial Access Brokern gekauft oder per Phishing erlangt, erkunden dann mit eingebauten Werkzeugen und Fernzugriffssoftware das Netzwerk und kopieren Daten hinaus, bevor sie Geld verlangen. Weil nichts verschlüsselt wird, erfährt ein Opfer womöglich erst durch die Erpressernachricht vom Angriff. Deshalb ist die Überwachung ausgehender Daten hier besonders wichtig: Der Diebstahl ist der Angriff. Die Warnung empfiehlt, Remote Desktop streng zu begrenzen, Fernzugriffswerkzeuge zu prüfen und Administratorkonten eng zu kontrollieren.

Hive war eine Ransomware-as-a-Service-Operation, die von Juni 2021 bis Anfang 2023 aktiv war. In der gemeinsamen Warnung AA22-321A vom 17. November 2022 berichteten CISA, FBI und das US-Gesundheitsministerium, dass sie weltweit über 1.300 Unternehmen geschädigt und rund 100 Millionen US-Dollar Lösegeld erhalten hatte, mit besonderen Folgen für das Gesundheitswesen. Ihre Affiliates kamen über Remote-Desktop- und VPN-Konten ohne MFA, über Phishing und über bekannte Schwachstellen in Servern mit Internetzugang hinein. Am 26. Januar 2023 gab das US-Justizministerium bekannt, dass das FBI seit Juli 2022 heimlich im Netzwerk von Hive war und über 300 Opfern während laufender Angriffe sowie mehr als 1.000 früheren Opfern Entschlüsselungsschlüssel gegeben hatte, bevor es mit Unterstützung der deutschen und niederländischen Polizei und von Europol die Server beschlagnahmte. Hive zeigt, was eine Zerschlagung Opfern bringen kann, und auch ihre Grenzen: Forscher berichteten später, dass Hive-Code in einer neuen Ransomware-Marke wiederverwendet wurde.

Conti war eine der aktivsten Ransomware-Operationen der Jahre 2020 bis 2022. In der gemeinsamen Warnung AA21-265A vom 22. September 2021 meldeten CISA, FBI und NSA über 400 Angriffe auf Organisationen in den USA und weltweit, wobei Affiliates über Spear-Phishing, gestohlene oder schwache Remote-Desktop-Zugangsdaten, gefälschte Software-Downloads und bekannte Schwachstellen hereinkamen; die Warnung wurde später um weitere Indikatoren ergänzt. Conti arbeitete eher wie ein Unternehmen als wie ein loses Netzwerk, mit bezahlten Mitarbeitern, was im Februar 2022 sichtbar wurde, als zehntausende interne Chatnachrichten geleakt wurden. Die Marke stellte etwa Mitte 2022 den Betrieb ein, und ihre Mitglieder verteilten sich auf andere Ransomware- und Erpressungsoperationen. Für Verteidiger bestätigte das geleakte Material, was die Warnungen sagten: Die meisten Einbrüche beruhten auf gewöhnlichen Schwächen wie fehlender MFA, offen erreichbarem Fernzugriff und langsamem Patchen, nicht auf exotischen Exploits.

Phobos ist eine Ransomware-as-a-Service-Familie, die etwa seit 2019 aktiv ist, und 8Base war eine der Gruppen, die eine Phobos-Variante einsetzten. CISA, FBI und MS-ISAC beschrieben Phobos in der gemeinsamen Warnung AA24-060A vom 29. Februar 2024: Ihre Affiliates griffen Kreis- und Kommunalverwaltungen, Rettungsdienste, Bildung, Gesundheitswesen und andere kritische Infrastruktur an und kamen meist über Remote-Desktop-Dienste mit schwachen oder gestohlenen Passwörtern oder über Phishing herein. Sicherheitsforscher weisen darauf hin, dass Phobos überwiegend gegen kleine und mittlere Organisationen statt gegen Großunternehmen eingesetzt wurde. Am 11. Februar 2025 gab Europol eine international koordinierte Operation bekannt, bei der vier mutmaßliche Anführer von 8Base festgenommen wurden; nach Angaben des US-Justizministeriums wurden dabei über 100 mit dem Netzwerk verbundene Server gestört. Der Rat für kleine Firmen ist klar: Remote Desktop nicht ins Internet stellen, starke Passwörter und MFA für Fernzugriff durchsetzen und Offline-Backups vorhalten.

Ghost, auch bekannt als Cring und unter mehreren anderen Namen, ist eine finanziell motivierte Ransomware-Operation, die CISA, FBI und MS-ISAC in der gemeinsamen Warnung AA25-050A vom 19. Februar 2025 beschrieben. Laut Warnung begannen die Ghost-Akteure ihre Angriffe etwa Anfang 2021 und haben Organisationen in über 70 Ländern kompromittiert, in Sektoren wie kritischer Infrastruktur, Schulen und Hochschulen, Gesundheitswesen, Verwaltung, Fertigung und vielen kleinen und mittleren Unternehmen. Zugang verschaffen sie sich meist über bekannte, oft jahrealte Schwachstellen in internetseitiger Software wie Firewalls, Webservern und Mailservern, für die längst Patches vorlagen. Außerdem wechseln sie häufig die Dateinamen ihrer Ransomware und die Texte der Lösegeldforderungen, was die Marke schwer verfolgbar macht. Die Lehre ist deutlich: Öffentlich erreichbare Systeme gegen bekannte Schwachstellen patchen und Geräte ersetzen, die keine Updates mehr erhalten, ist die wichtigste Abwehr, die die Warnung empfiehlt.

Interlock ist eine Ransomware-Operation, die erstmals im September 2024 beobachtet wurde und Unternehmen und kritische Infrastruktur in Nordamerika und Europa angreift. CISA, FBI, das US-Gesundheitsministerium und MS-ISAC beschrieben sie in der gemeinsamen Warnung AA25-203A vom 22. Juli 2025. Anders als viele Gruppen kommt Interlock oft über Drive-by-Downloads von kompromittierten legitimen Websites herein, darunter gefälschte Browser-Updates, und über die ClickFix-Technik, bei der ein gefälschtes CAPTCHA oder eine Fehlermeldung den Nutzer dazu bringt, einen Befehl einzufügen und auszuführen. Sie setzt auf doppelte Erpressung und verschlüsselt gewöhnliche Rechner ebenso wie virtuelle Maschinen. Die empfohlenen Schutzmaßnahmen spiegeln diesen Einstiegsweg: DNS- und Webfilterung gegen schädliche Seiten, aktuelle Browser und Endpunktschutz und Mitarbeitende, die wissen, dass keine echte Website das Einfügen von Befehlen verlangt, dazu das übliche Patchen, MFA und Netzwerksegmentierung. Nach dem Erstzugang sind der Fernsteuerungsverkehr und die laterale Bewegung die Phasen, die Netzwerküberwachung sehen kann.