CISA und FBI warnen vor Gunra-Ransomware-Doppelerpressung

Was die CISA/FBI-Meldung über Gunra-Ransomware enthüllt

Die Cybersecurity and Infrastructure Security Agency (CISA) und das FBI haben in Zusammenarbeit mit US-Regierungsbehörden und internationalen Partnern eine gemeinsame Cybersicherheitsmeldung mit dem Titel #StopRansomware: Gunra Ransomware veröffentlicht. Die Meldung verfolgt eine Ransomware-Gruppe, die erstmals im April 2025 aufgetaucht ist und sich seither unbemerkt einen Ruf für aggressive, hochdruckvolle Erpressungskampagnen aufgebaut hat.

Laut der Meldung operiert Gunra nach einem Doppelerpressungsmodell. Das bedeutet, die Gruppe verschlüsselt nicht nur die Dateien eines Opfers, sondern stiehlt – exfiltriert – sensible Daten vor der Verschlüsselung. So erhalten die Angreifer zwei getrennte Druckmittel: eine Lösegeldforderung für den Entschlüsselungsschlüssel und eine weitere, um die Veröffentlichung oder den Weiterverkauf der gestohlenen Daten zu verhindern. Die Meldung weist darauf hin, dass Lösegeldforderungen über strukturierte Zahlungskanäle gestellt werden, ein Kennzeichen von Ransomware-Operationen, die sich von opportunistischen Angriffen hin zu organisierter, geschäftsmäßiger Erpressung entwickelt haben.

Dass die Bundesbehörden es für nötig hielten, eine eigene Meldung zu einer Gruppe herauszugeben, die erst seit dem Frühjahr 2025 aktiv ist, verdeutlicht, wie schnell sich Gunra ausgeweitet hat. Gemeinsame Meldungen dieser Art sind in der Regel Bedrohungen vorbehalten, von denen die Behörden annehmen, dass sie aktiv eine breite Palette von Organisationen ins Visier nehmen, nicht nur Einzelfälle.

Wie die gestohlenen Daten bei Doppelerpressungsangriffen zur Waffe werden

Die Kerngefahr der Doppelerpressung besteht darin, dass sie die Kalkulation der Opfer verändert. Bei älteren Ransomware-Angriffen konnte eine Organisation mit soliden Backups oft die Zahlung verweigern und ihre Systeme einfach wiederherstellen. Die Doppelerpressung nimmt dieses Sicherheitsnetz. Selbst wenn ein Unternehmen sein Netzwerk aus Backups wieder aufbauen kann, ohne für einen Entschlüsselungsschlüssel zu bezahlen, halten die Angreifer die gestohlenen Daten weiterhin als Geisel und können mit deren Veröffentlichung oder Verkauf drohen.

Diese Taktik hat weitreichendere Folgen, als viele erkennen. Gestohlene Daten bleiben selten auf interne Firmenunterlagen beschränkt. Sie umfassen häufig Kundennamen, Kontaktdaten, Zahlungsinformationen und andere personenbezogene Daten, die nach der Exfiltration aus verschiedenen Blickwinkeln genutzt werden können, um Druck auf ein Unternehmen auszuüben. Wie bereits in einer früheren Betrachtung darüber, wie Ransomware-Banden jetzt drohen, Ihre Kunden zu kontaktieren, dargelegt, sind einige Gruppen noch einen Schritt weiter gegangen und nehmen direkt Kontakt zu den Kunden einer Opferorganisation auf, warnen sie, dass ihre persönlichen Daten gestohlen wurden, und fordern sie auf, das Unternehmen zur Zahlung zu drängen. Gunras Doppelerpressungsansatz fügt sich nahtlos in dieses Muster ein, gestohlene Daten als Waffe sowohl gegen das betroffene Unternehmen als auch gegen die Personen, deren Daten es gespeichert hat, einzusetzen.

Für kleine und mittlere Unternehmen bedeutet dies, dass ein Ransomware-Vorfall nicht länger nur ein IT-Problem ist. Er kann schnell zu einem Kundenvertrauens- und Reputationsproblem werden, unabhängig davon, ob das Lösegeld letztlich gezahlt wird.

Sofortige Schutzmaßnahmen für kleine Unternehmen

Die Veröffentlichung der Meldung bietet einen nützlichen Anlass für Organisationen jeder Größe, ihre Ransomware-Abwehr zu überprüfen, zumal Gruppen wie Gunra ihre Angriffe offenbar nicht auf große Konzerne beschränken. Ein paar grundlegende Schritte sind sehr wirkungsvoll:

• Offline- oder unveränderbare Backups vorhalten, die von einem Angreifer mit Netzwerkzugang nicht verändert oder gelöscht werden können.
• Netzwerke segmentieren, damit eine Kompromittierung in einem System, etwa einem Mitarbeiterarbeitsplatz, nicht einfach auf Server mit sensiblen Kundendaten übergreifen kann.
• Multi-Faktor-Authentifizierung für Fernzugriffs-Tools, E-Mail und administrative Konten durchsetzen, da gestohlene Zugangsdaten einer der häufigsten Einstiegspunkte für Ransomware-Akteure bleiben.
• Aus dem Internet erreichbare Systeme zügig patchen, da ungepatchte Software routinemäßig ausgenutzt wird, um ersten Zugang zu erlangen.
• Einen Notfallplan entwickeln und testen, bevor ein Angriff passiert, nicht erst danach.

Antivirensoftware spielt weiterhin eine Rolle, aber sie war nie dafür konzipiert, einen Angreifer aufzuhalten, der bereits Fuß gefasst hat und über einen längeren Zeitraum Daten exfiltriert. Gestaffelte Abwehrmaßnahmen sind wichtiger als jedes einzelne Tool.

Warum Backup-Verschlüsselung und Datensparsamkeit wichtiger denn je sind

Backups allein genügen nicht, wenn Doppelerpressung das Ziel ist. Die Verschlüsselung ruhender Backup-Daten und die Einschränkung des Zugriffs- und Änderungsrechts darauf verringern die Wahrscheinlichkeit, dass Angreifer während der Aufklärungsphase eines Angriffs die Wiederherstellungsoptionen manipulieren können. Ebenso wichtig ist Datensparsamkeit: Unternehmen, die nur die wirklich benötigten Kundendaten erheben und speichern, verkleinern den Datenpool, den ein Angreifer wie Gunra exfiltrieren und später als Druckmittel nutzen könnte. Alte Datensätze, die in einer ungenutzten Datenbank liegen, sind eine Belastung, kein Vermögenswert.

Was das für Sie bedeutet

Wenn Sie ein kleines Unternehmen führen oder die IT dafür betreuen, ist die Gunra-Meldung eine Erinnerung daran, dass Ransomware-Vorsorge heute gestohlene Daten ebenso berücksichtigen muss wie gesperrte Dateien. Gunra-Ransomware-Doppelerpressungskampagnen haben Erfolg, weil sie sowohl die operative Störung durch Verschlüsselung als auch die reputationsbezogenen Folgen eines Datenlecks ausnutzen. Sich nur auf eine Seite vorzubereiten, hinterlässt eine Lücke, die Angreifer zunehmend zu finden trainiert sind.

Umsetzbare Empfehlungen

• Überprüfen Sie Ihre Backup-Strategie, um sicherzustellen, dass Kopien offline, unveränderbar und verschlüsselt sind.
• Prüfen Sie, welche Kundendaten Sie tatsächlich speichern müssen, und löschen Sie, was Sie nicht brauchen.
• Stellen Sie sicher, dass Multi-Faktor-Authentifizierung für alle Fernzugriffs- und administrativen Zugangspunkte aktiviert ist.
• Entwickeln Sie einen Notfallplan, der Verfahren zur Benachrichtigung von Kunden einschließt, da gestohlene Daten direkt gegen sie verwendet werden könnten.
• Verfolgen Sie die Meldungen von CISA und FBI aufmerksam, da neue Ransomware-Gruppen weiterhin dasselbe Doppelerpressungsmuster übernehmen.