Halcyon-Bericht Q2 2026: Ransomware-Gruppen deaktivieren EDR

Ransomware-Angriffe gehen zurück, aber die Bedrohung wird schärfer

Ein neuer Quartalsbericht des Sicherheitsunternehmens Halcyon liefert eine zwiespältige Botschaft für alle, die Ransomware-Trends verfolgen: Die Gesamtzahl der Angriffe geht zurück, aber die Techniken hinter den erfolgreichen Angriffen werden erheblich schwerer zu erkennen und zu stoppen. Die zentrale Erkenntnis ist, dass Ransomware-Gruppen zunehmend sogenannte 'EDR-Kill'-Techniken einsetzen – Methoden, um Endpoint-Detection-and-Response (EDR)-Software zu deaktivieren, bevor sie dateiverschlüsselnde Malware ausbringen.

EDR-Tools sind die Sicherheitssoftware, auf die sich viele Unternehmen verlassen, um verdächtiges Verhalten auf Laptops, Servern und Workstations zu erkennen, bevor es zu einem vollständigen Sicherheitsverstoß kommt. Wenn Angreifer diese Software zunächst unbemerkt ausschalten oder blenden können, verschaffen sie sich Zeit, um sich durch ein Netzwerk zu bewegen, Daten zu stehlen und Systeme zu verschlüsseln – mit weitaus geringerer Wahrscheinlichkeit, mitten im Angriff entdeckt zu werden.

Vom Spezialtrick zur Standardpraxis

Laut den Daten von Halcyon für das zweite Quartal 2026 ist das, was einst als Nischenfähigkeit mit hohem technischen Anspruch galt, die den raffiniertesten Ransomware-Crews vorbehalten war, inzwischen ein routinemäßiger Bestandteil der Angriffskette. Endgerätesicherheit zu deaktivieren oder zu umgehen, ist nicht länger die Ausnahme, sondern zunehmend die Erwartung für Gruppen, die moderne Ransomware-Operationen durchführen.

Diese Verschiebung ist bedeutsam, weil EDR eine der wichtigsten Verteidigungsschichten war, in die Unternehmen investieren, um Eindringlinge frühzeitig zu erkennen. Wenn das Ausschalten dieser Schicht zu einem standardisierten, wiederholbaren Schritt wird und nicht mehr eine seltene, maßgeschneiderte Technik ist, senkt das die Einstiegshürde für weniger versierte Gruppen, um dasselbe Ergebnis zu erzielen wie Spitzenakteure. Es bedeutet auch, dass traditionelle Anzeichen einer Kompromittierung, wie eine ausgelöste EDR-Warnung, unter Umständen gar nicht mehr auftauchen, sodass Sicherheitsteams weniger Vorwarnung haben, bevor Daten gestohlen oder Systeme gesperrt werden.

Die Ironie, die Halcyons Bericht hervorhebt, besteht darin, dass dies geschieht, während die absolute Zahl der Ransomware-Angriffe zurückgeht. Weniger Vorfälle bedeuten nicht zwangsläufig weniger Risiko. Es kann bedeuten, dass die Angriffe, die noch stattfinden, gezielter, besser ausgestattet und schwerer zu stoppen sind, sobald sie begonnen haben – denn die Angreifer haben ihre Vorgehensweise gezielt darauf ausgerichtet, die Werkzeuge zu überwinden, auf die sich Verteidiger am meisten verlassen.

Warum das für den Datenschutz relevant ist, nicht nur für die IT-Sicherheit

Es ist verlockend, EDR-Kill-Techniken als rein technisches Backoffice-Problem für IT-Abteilungen zu betrachten. Doch die Konsequenzen treffen ganz unmittelbar die Menschen, deren Daten sich in den betroffenen Organisationen befinden. Ransomware-Angriffe enden heute selten bei der Verschlüsselung; Gruppen entwenden routinemäßig zuerst sensible Dateien und drohen mit deren Veröffentlichung, wenn kein Lösegeld gezahlt wird. Wenn Angreifer Erkennungswerkzeuge deaktivieren und über längere Zeit ungestört agieren können, haben sie mehr Zeit, genau die Daten zu lokalisieren und zu kopieren, die am wichtigsten sind – Kundendaten, Personalakten, Finanzdokumente und proprietäre Geschäftsinformationen.

Der jüngste Fall, bei dem Gentlemen-Ransomware Soja de Portugal traf und dabei 491 GB sensible Unternehmensdaten veröffentlicht wurden, zeigt deutlich, wie solche Angriffe zu realer Gefährdung für Einzelpersonen und Unternehmen gleichermaßen führen. Unabhängig davon, ob dieser spezielle Vorfall eine EDR-Umgehung beinhaltete, macht er deutlich, welche Datenmengen abgegriffen werden können, sobald Angreifer erst einmal Fuß gefasst haben und mit minimaler Behinderung agieren können.

Was das für Sie bedeutet

Für die meisten Leser ist dies kein Aufruf zur Panik, sondern eine Erinnerung daran, dass sich die Sicherheitsannahmen, auf die viele Unternehmen sich stützen, verschieben. Wenn Sie in der IT oder Sicherheit tätig sind, unterstreichen Halcyons Ergebnisse, dass EDR allein nicht länger als garantiertes Frühwarnsystem betrachtet werden kann; mehrschichtige Verteidigungsstrategien, Netzwerküberwachung und schnelle Reaktionsplanung sind wichtiger denn je. Wenn Sie eine Einzelperson sind, deren persönliche Daten von Unternehmen, Schulen, Gesundheitsdienstleistern oder Serviceplattformen gespeichert werden, ist dieser Trend eine Mahnung, dass eine Sicherheitsverletzung bei einer dieser Organisationen Ihre Daten möglicherweise mit weniger Vorwarnung als früher preisgeben könnte, da Angreifer immer besser darin werden, unbemerkt zu agieren.

Konkrete Handlungsempfehlungen

• Wenn Sie Sicherheitsinfrastruktur verwalten, verlassen Sie sich nicht ausschließlich auf EDR-Alarme; kombinieren Sie diese mit netzwerkbasierter Überwachung und regelmäßigen Tabletop-Übungen, bei denen angenommen wird, dass Erkennungswerkzeuge deaktiviert werden könnten.
• Setzen Sie sich für Sicherheitsrichtlinien ein, die Offline-Backups umfassen, denn Ransomware-Gruppen, die EDR erfolgreich deaktivieren, haben oft mehr Zeit, um auch Backup-Systeme ins Visier zu nehmen.
• Verwenden Sie als Einzelperson einzigartige Passwörter und aktivieren Sie Multifaktor-Authentifizierung überall dort, wo Ihre Daten gespeichert sind, damit Ihre anderen Konten auch dann geschützt bleiben, wenn ein von Ihnen genutztes Unternehmen einen Sicherheitsverstoß erleidet.
• Behalten Sie Benachrichtigungen über Datenschutzverletzungen von Unternehmen, mit denen Sie Geschäfte tätigen, im Auge und reagieren Sie rasch auf empfohlene Passwortänderungen oder Kreditüberwachungsangebote.

Ransomware mag in absoluten Zahlen rückläufig sein, aber die Raffinesse der EDR-Kill-Techniken bedeutet, dass die Angriffe, die dennoch stattfinden, ein höheres Risiko für die betroffenen Daten bergen. Über die Entwicklung dieser Bedrohungen informiert zu bleiben, ist eine der einfachsten Methoden, um einen Schritt voraus zu sein.