Was bei der CMD-Ransomware-Auktion geschah

Eine Ransomware-Gruppe namens CMD hat das Double-Extortion-Playbook einen Schritt weitergeführt, indem sie gestohlene Dateien versteigert und 1,9 Millionen Dollar von ihrem Opfer fordert. Anstatt lediglich mit der Veröffentlichung der Daten zu einem festgelegten Termin zu drohen, behandelt CMD die gestohlenen Informationen wie eine Ware und lädt Bieter dazu ein, um den Zugang zu konkurrieren, falls das ursprüngliche Ziel nicht zahlt. Dieser Schritt spiegelt einen breiteren Wandel in der Ransomware-Ökonomie wider: Verschlüsselung allein reicht seit Jahren nicht mehr aus, um eine Zahlung zu garantieren, daher experimentieren Banden mit neuen Wegen, selbst dann noch Wert aus gestohlenen Daten zu pressen, wenn ein Opfer Verhandlungen ablehnt.

Dieser Fall passt in ein viel größeres Muster. Wie in vpn.socials Zusammenfassung des umfassenden Ransomware-Anstiegs 2026 berichtet, ist das kriminelle Ökosystem in ein überfülltes Feld konkurrierender Gruppen zerfallen, die alle versuchen, sich abzuheben, um Opfer schneller und härter unter Druck zu setzen. Die Versteigerung von Daten ist eine der aggressiveren Taktiken, die aus diesem Wettbewerb hervorgegangen ist und eine Leak-Drohung in ein Marktereignis verwandelt.

So funktioniert Double-Extortion-Ransomware

Der Datendiebstahl bei Double-Extortion-Ransomware kombiniert zwei separate Bedrohungen in einem Angriff. Zuerst dringen Angreifer in ein Netzwerk ein und kopieren heimlich sensible Dateien: Finanzunterlagen, Kundendaten, interne Kommunikation – alles, was von Wert ist. Erst nach Abschluss dieser Datenexfiltration setzen sie die Verschlüsselungsnutzlast ein, die die Systeme des Opfers sperrt. Diese Reihenfolge ist entscheidend. Sie bedeutet, dass der Schaden bereits angerichtet ist, lange bevor eine Lösegeldforderung überhaupt erscheint.

Das ursprüngliche Modell mit nur einem Druckmittel – bezahle für einen Entschlüsselungsschlüssel oder verliere deine Dateien – verlor an Wirksamkeit, als Unternehmen in Offline- und unveränderliche Backups investierten. Wenn man seine Systeme ohne Hilfe des Angreifers wiederherstellen kann, wird Verschlüsselung eher zu einem Ärgernis als zu einer existenziellen Bedrohung. Die doppelte Erpressung löst dieses Problem für Angreifer, indem sie einen zweiten Hebel hinzufügt: Selbst wenn man den Entschlüsselungsschlüssel nicht benötigt, muss man sich dennoch Sorgen machen, dass die gestohlenen Daten veröffentlicht, verkauft oder – wie im Fall von CMD – an den Meistbietenden versteigert werden. Einige Banden haben dies noch weiter zu dreifacher und vierfacher Erpressung ausgebaut, indem sie Denial-of-Service-Angriffe oder die direkte Kontaktaufnahme mit Kunden und Partnern des Opfers hinzufügen, um den Druck zu erhöhen.

Warum Offline-Backups keine Sicherheit mehr garantieren

Jahrelang drehte sich die Standardempfehlung zur Ransomware-Abwehr um Backups: Bewahren Sie Kopien Ihrer Daten offline oder in unveränderlichen Speichern auf, dann wird ein Verschlüsselungsangriff wiederherstellbar statt katastrophal. Dieser Rat ist für die Verschlüsselungshälfte der Bedrohung nach wie vor sinnvoll, trägt aber nichts zur Verhinderung von Datendiebstahl bei. Backups stellen Ihre Betriebsfähigkeit wieder her; sie machen die Tatsache nicht rückgängig, dass eine Kopie Ihrer Dateien bereits auf dem Server eines Angreifers liegt.

Genau diese Unterscheidung ist der Grund, warum einige Organisationen, die sich technisch selbst erholen könnten, dennoch unter starkem Druck stehen zu zahlen. Deshalb ist die Weigerung zu zahlen auch sichtbarer und in manchen Fällen üblicher geworden. Die Berichterstattung von vpn.social über den Ransomware-Angriff auf Stadler Rail dokumentierte ein Unternehmen, das eine Forderung von 12,3 Millionen Dollar öffentlich ablehnte, obwohl die Gefahr von Datendiebstahl bestand, und ein verwandter Beitrag schilderte, wie der Datenleck-Angriff der Everest-Bande ablief. Diese Fälle zeigen, dass eine Zahlung nicht automatisch erfolgt, nur weil Daten gestohlen wurden, aber sie unterstreichen auch, dass die Entscheidung nun von der Datenoffenlegung und dem Reputationsrisiko abhängt und nicht nur von Betriebsausfällen.

Prüfen, ob Ihre Daten offengelegt wurden, und künftiges Risiko reduzieren

Wenn Sie mit einer Organisation zu tun haben, die einen Vorfall mit einer Gruppe wie CMD offenlegt, nehmen Sie jede Benachrichtigung ernst, auch wenn das Unternehmen angibt, die Systeme seien wiederhergestellt. Die Wiederherstellung adressiert die Verschlüsselung, nicht die Offenlegung. Achten Sie auf offizielle Benachrichtigungen über Datenschutzverletzungen, prüfen Sie, ob die betroffene Organisation Kreditüberwachung oder Identitätsschutz anbietet, und seien Sie wachsam gegenüber Phishing-Versuchen, die auf den Vorfall Bezug nehmen, da gestohlene Daten häufig genutzt werden, um überzeugende Folgebetrügereien zu konstruieren.

Für Organisationen besteht der praktische Wandel darin, zu reduzieren, was überhaupt gestohlen werden kann: strengere Zugriffskontrollen, Netzwerksegmentierung, schnellere Erkennung ungewöhnlicher Datenübertragungen und die Minimierung der Zeitspanne, in der sensible Daten in internen Systemen zugänglich sind. Die Wiederherstellungsplanung bleibt wichtig, aber wie ein aktueller globaler Ransomware-Bericht detailliert darlegt, steigen die Wiederherstellungskosten selbst bei sinkenden Zahlungsraten insgesamt – ein Zeichen dafür, dass Prävention und die Begrenzung von Datenoffenlegungen ebenso wichtig werden wie die Backup-Strategie.

Was das für Sie bedeutet

Ob Sie ein IT-Entscheider sind oder einfach nur Kunde eines Unternehmens, das kompromittiert wurde – die CMD-Auktion erinnert daran, dass der Datendiebstahl bei Double-Extortion-Ransomware nicht auf eine Lösegeldentscheidung wartet, um Schaden anzurichten. Die Offenlegung geschieht in dem Moment, in dem die Daten das Netzwerk verlassen, unabhängig davon, was danach passiert. Das verändert die Kalkulation sowohl für Verteidiger als auch für normale Nutzer, die nach einer Benachrichtigung über einen Sicherheitsvorfall wachsam bleiben müssen und nicht einfach annehmen dürfen, dass ein gelöster Vorfall auch ein gelöstes Risiko bedeutet.

Kernaussagen

  • Backups schützen vor Verschlüsselung, nicht vor Datendiebstahl oder Leaks.
  • Double-Extortion-Taktiken wie das Auktionsmodell von CMD üben selbst dann Druck aus, wenn Opfer ihre Systeme eigenständig wiederherstellen können.
  • Die Weigerung zu zahlen, wie im Fall von Stadler Rail, wird zu einer sichtbareren Option, beseitigt aber nicht das Risiko der Offenlegung.
  • Wenn Sie über einen Vorfall benachrichtigt werden, achten Sie auf nachfolgendes Phishing und ziehen Sie Identitätsüberwachung in Betracht, statt anzunehmen, dass die Bedrohung mit der Lösegeldentscheidung endet.
  • Unternehmen sollten der Begrenzung von Datenzugriffen und der frühzeitigen Erkennung von Datenabflüssen Vorrang einräumen, nicht nur der Aufrechterhaltung starker Backup-Systeme.