Was geschah: Der Safe-Mode-Fehltritt eines Akira-Affiliates

Ransomware-Banden investieren viel Aufwand, damit ihre Malware reibungslos läuft. Da ist es eine kleine Genugtuung zu erfahren, dass ein Akira-Affiliate seinen eigenen Angriff mit einer einzigen schlechten Entscheidung sabotiert hat.

Laut Berichten über den Vorfall startete ein Akira-Ransomware-Affiliate den kompromittierten Computer eines Opfers im Safe Mode neu, dem abgespeckten Windows-Startmodus, der normalerweise der Fehlerbehebung dient. Das Ziel war simpel: Der Safe Mode lädt nur einen minimalen Satz an Treibern und Diensten, wodurch in der Regel Tools für Endpoint Detection and Response (EDR) und Antivirensoftware nicht gestartet werden. Ohne diese laufenden Abwehrmaßnahmen, so die Überlegung des Angreifers, könnte die Verschlüsselungsnutzlast ungehindert arbeiten.

Stattdessen legte der Neustart den eigenen Verschlüssler des Angreifers lahm. Genau die eingeschränkte Umgebung, die die Sicherheitssoftware des Opfers abschaltete, entfernte auch Komponenten, die die Malware für ihre Funktion benötigte. Der Angriff geriet ins Stocken, und der sorgfältig geplante Erpressungsversuch des Affiliates scheiterte, bevor der Verschlüsselungsprozess abgeschlossen werden konnte.

Es ist ein kleines, fast schwarzhumoriges Detail in einer ansonsten ernsten Geschichte: Ransomware-Gruppen machen nicht immer alles richtig, und ihre Tools können genauso fehleranfällig sein wie alles andere, was in einem kompromittierten Netzwerk läuft.

Warum der Safe Mode den Verschlüssler lahmlegte, nicht nur die Abwehr

Der Safe Mode ist dazu da, IT-Teams und Anwender bei der Fehlersuche an einem fehlerhaften Windows-Rechner zu unterstützen, indem nur Kerntreiber und Systemdienste geladen werden. Genau deshalb haben sich Ransomware-Betreiber in der Vergangenheit auf ihn verlassen: Viele EDR-Agenten und Antivirenprodukte sind als normale Autostart-Dienste konfiguriert, und Windows lädt sie in diesem eingeschränkten Zustand schlicht nicht. Theoretisch ist damit die Bahn frei für einen Verschlüssler, Dateien zu sperren, ohne dass jemand oder etwas dazwischenfunkt.

Der Haken ist, dass der Safe Mode nicht gezielt nur Sicherheitssoftware deaktiviert. Er ist eine Alles-oder-nichts-Umgebung, die einschränkt, welche Treiber, Dienste und Systemkomponenten überhaupt verfügbar sind. Wenn ein Verschlüssler auf irgendetwas außerhalb dieses minimalen Footprints angewiesen ist – sei es ein bestimmter Treiber, ein Hintergrunddienst oder eine Abhängigkeit, an die der Malware-Autor nicht gedacht hat –, kann die Nutzlast genauso leicht scheitern wie das Antivirenprodukt, dem sie ausweichen wollte.

In diesem Fall war das Tooling des Akira-Affiliates offenbar nicht dafür ausgelegt, in diesem abgespeckten Zustand zu funktionieren. Der Verschlüssler benötigte etwas, das der Safe Mode nicht bereitstellte, und der Angriff brach unter seinem eigenen Gewicht zusammen. Das ist eine Erinnerung daran, dass offensive Werkzeuge immer noch Software sind, entwickelt von Menschen, die Annahmen über die Umgebung treffen, in der sie ausgeführt werden. Wenn diese Annahmen nicht zutreffen, kann selbst eine gut ausgestattete Ransomware-Operation über ihr eigenes Playbook stolpern.

Wie Angreifer Sicherheits-Tools vor der Verschlüsselung üblicherweise deaktivieren

Ein Neustart in den Safe Mode ist nur eine von mehreren Techniken, die Ransomware-Affiliates nutzen, um den Weg freizumachen, bevor sie einen Verschlüssler einsetzen. Weitere sind der Einsatz gestohlener oder kompromittierter Administrator-Anmeldedaten, um EDR-Agenten manuell zu deinstallieren oder zu deaktivieren, der Einsatz von Tools, die speziell dafür entwickelt wurden, Sicherheitsprozesse zu beenden, das Ausnutzen verwundbarer Treiber, um geschützte Dienste zu beenden, sowie das Ändern von Registrierungsschlüsseln oder Gruppenrichtlinien, die mit der Antivirenkonfiguration zusammenhängen.

Der gemeinsame Nenner all dieser Methoden ist, dass Angreifer ein – wenn auch noch so kurzes – Zeitfenster brauchen, in dem Sicherheits-Tools nicht zuschauen. Das ist ein Grund dafür, warum Ransomware-Operationen so viel Zeit auf die Zugangs- und Aufklärungsphase verwenden, bevor sie überhaupt einen Verschlüssler anfassen. Das breitere Muster von Akiras Opferauswahl zeigt, dass diese Gruppe in einer großen Bandbreite von Branchen und Unternehmensgrößen aktiv ist, was auf ein ziemlich wiederholbares Playbook statt einmaliger Improvisation hindeutet. Genau diese Beständigkeit macht einen Fehltritt wie das Safe-Mode-Versagen bemerkenswert: Es ist ein seltener Riss in einem ansonsten eingespielten Ablauf.

Defense-in-Depth-Lektionen für Organisationen, die mit Angriffen im Akira-Stil konfrontiert sind

Die naheliegende Erkenntnis ist nicht, dass Unternehmen hoffen sollten, jeder Angreifer mache einen solchen Fehler. Sondern dass mehrschichtige Verteidigungsmaßnahmen – nicht ein einzelnes Tool – Angriffe schwerer sauber durchführbar machen. Wenn sich ein Netzwerk auf ein einziges Antivirenprodukt als einzige Verteidigungslinie verlässt, kann ein Safe-Mode-Neustart oder das Abschalten über kompromittierte Anmeldedaten es in einem Zug neutralisieren. Organisationen hingegen, die EDR mit Manipulationsschutz, eingeschränkte lokale Administratorrechte, Netzwerksegmentierung und überwachte Startkonfigurationen betreiben, geben Angreifern deutlich mehr Gelegenheiten zu scheitern oder entdeckt zu werden, bevor die Verschlüsselung überhaupt beginnt.

Dieser Vorfall unterstreicht auch, warum es sinnvoll ist, Ransomware-Trends über einen längeren Zeitraum zu verfolgen, statt nur auf einzelne Schlagzeilen zu reagieren. Der Ransomware-Roundup für Q2 2026 zu Qilin, Akira und LockBit5 liefert nützlichen Kontext dazu, wie diese Gruppen ihre Taktiken von Quartal zu Quartal weiterentwickeln. Das hilft Sicherheitsteams, vorausschauend zu handeln statt nur zu reagieren.

Was das für Sie bedeutet

Wenn Sie die IT eines kleinen oder mittelständischen Unternehmens verwalten, ist diese Geschichte ein guter Anlass, einige Grundlagen zu prüfen: Ist bei Ihrem EDR- oder Antivirenprodukt der Manipulationsschutz aktiviert, damit es nicht einfach durch einen Neustart oder eine Registrierungsänderung deaktiviert werden kann? Sind lokale Administratorrechte strikt eingeschränkt, damit ein Angreifer mit einem einzigen kompromittierten Konto keine Autostart-Dienste umkonfigurieren kann? Überwacht tatsächlich jemand ungewöhnliche Neustarts oder Safe-Mode-Aktivitäten auf Produktivsystemen? Schon das allein kann ein Warnsignal sein, das einer Untersuchung wert ist.

Konkrete Handlungsempfehlungen

  • Aktivieren Sie den Manipulationsschutz für EDR- und Antiviren-Tools, damit diese nicht durch Safe-Mode-Neustarts oder Registrierungsänderungen deaktiviert werden können.
  • Schränken Sie lokale Administratorrechte ein, um es einem Angreifer zu erschweren, Systemdienste umzukonfigurieren.
  • Überwachen Sie unerwartete Starts im Safe Mode oder das Deaktivieren von Diensten als frühe Warnsignale für einen aktiven Angriff.
  • Bewahren Sie getestete Offline-Backups auf, damit ein fehlgeschlagener oder teilweiser Verschlüsselungsversuch Sie nicht dennoch in eine Notlage bringt.

Das Safe-Mode-Versagen der Akira-Ransomware ist eine nützliche Erinnerung daran, dass selbst ausgeklügelte kriminelle Operationen an genau der Komplexität scheitern können, die sie ausnutzen. Starke, mehrschichtige Verteidigungsmaßnahmen stoppen Angriffe nicht nur – sie erhöhen die Wahrscheinlichkeit, dass, wenn für den Angreifer etwas schiefgeht, es zu Ihren Gunsten schiefgeht.