LockBit 3.0 Ransomware: 2.000 Opfer in 95 Ländern

Ein Ransomware-Stamm, der die Bedrohungslandschaft neu geformt hat

LockBit 3.0, auch bekannt als LockBit Black, hat laut einer neuen technischen Analyse von ProvenData, die die vollständige Angriffskette der Gruppe gegen den MITRE ATT&CK-Framework abbildet, über 2.000 Opfer in 95 Ländern gefordert. Der Bericht enthält Indicators of Compromise (IOCs) und eine Checkliste für die Incident Response, die sich an Sicherheitsteams und Managed Service Provider (MSPs) richtet, die die Malware erkennen und eindämmen müssen, bevor sie Schaden anrichtet.

Was LockBit 3.0 bemerkenswert macht, ist nicht nur sein Umfang. Es ist die operative Reife dahinter. Als Ransomware-as-a-Service-Plattform (RaaS) stellt LockBit Affiliates ausgefeilte Werkzeuge, ein Bug-Bounty-Programm für die eigene Malware und konfigurierbare Verschlüsselungs-Payloads zur Verfügung. Diese Professionalisierung ist ein wichtiger Grund, warum der Stamm Tausende von Zielen in fast der Hälfte aller Länder der Erde treffen konnte – von kleinen Unternehmen bis hin zu großen Finanzinstituten. Die US-Bank-LockBit-Breaching-Claim ist ein aktuelles Beispiel dafür, wie die Gruppe gezielt den Finanzsektor angreift und Opfern enge Lösegeldfristen setzt, um schnelle Zahlungen zu erzwingen.

Wie die Angriffskette funktioniert

Laut der ProvenData-Analyse folgt LockBit 3.0 einem ziemlich konsistenten Playbook, sobald Affiliates ersten Zugriff erlangen – typischerweise durch Phishing, exponierte Remote Desktop Protocol (RDP)-Zugänge oder ausgenutzte Schwachstellen in internetzugänglicher Software. Von dort bewegt sich die Malware durch Reconnaissance, Privilege Escalation und laterale Bewegung im Netzwerk, bevor sie ihren Verschlüsselungs-Payload einsetzt. Die Abbildung dieser Phasen auf MITRE ATT&CK gibt Verteidigern eine gemeinsame Sprache, um zu identifizieren, wo in der Kill Chain ein Eindringen stattfindet – was enorm wichtig ist, wenn man versucht, einen Angriff zu stoppen, bevor Dateien gesperrt und Daten exfiltriert werden.

Dieser Exfiltration-Schritt verdient besondere Aufmerksamkeit. Moderne Ransomware-Gruppen, einschließlich LockBit, verschlüsseln Dateien heutzutage selten nur noch. Sie stehlen zuerst sensible Daten und drohen damit, sie auf Leak-Sites zu veröffentlichen, wenn das Lösegeld nicht gezahlt wird – eine Taktik, die als Doppelerpressung bekannt ist. Hier werden die Datenschutzimplikationen ernst: Selbst Organisationen mit soliden Backups und ohne Absicht, Lösegeld zu zahlen, können dennoch mit der Offenlegung von Kundendaten, Mitarbeiterdaten oder proprietären Informationen konfrontiert werden. Diese Verschiebung hin zu Datendiebstahl als primärem Druckmittel ist Teil eines breiteren Trends, der in KnowBe4s Forschung zu Ransomware, die sich in Richtung Identitätsdiebstahl verlagert behandelt wird, wo gestohlene persönliche Daten zunehmend den ursprünglichen Bruch als Werkzeug für Betrug überdauern.

Warum LockBit immer wieder zurückkommt

LockBits Beharrlichkeit ist ein Teil dessen, was es wert macht, genau verfolgt zu werden. Trotz internationalen Drucks von Strafverfolgungsbehörden und Bekämpfungsmaßnahmen, die auf seine Infrastruktur abzielen, haben sich die Gruppe und ihre Affiliates weiterentwickelt. Das Auftauchen neuerer Varianten, detailliert in unserer Berichterstattung über LockBit 5.0 und das Leben nach Operation Cronos, zeigt, dass die Störung der Server eines RaaS-Betriebs nicht unbedingt das zugrunde liegende Geschäftsmodell stoppt. Affiliates benennen einfach um, rüsten um und nehmen den Betrieb unter neuen Versionen wieder auf.

Diese Widerstandsfähigkeit spiegelt ein breiteres Muster im gesamten Ransomware-Ökosystem wider. Aktuelle Branchenberichte, einschließlich Black Kites Ransomware-Bericht 2026 mit über 7.551 Opfern weltweit, deuten darauf hin, dass Ransomware nicht länger von einer Handvoll schlagzeilenträchtiger Banden dominiert wird. Stattdessen ist es eine verteilte, franchiseartige Wirtschaft, in der technische Playbooks wie das von LockBit von zahlreichen Gruppen wiederverwendet und angepasst werden.

Was das für Sie bedeutet

Wenn Sie IT oder Sicherheit für eine Organisation verantworten, ist die technische Analyse von LockBit 3.0 eine Erinnerung daran, dass generischer Antivirenschutz nicht ausreicht. Die Angriffskette beruht auf der Ausnutzung häufiger Schwachstellen – exponierter Remote-Zugang, ungepatchte Software, schwache Anmeldedaten – die die meisten Organisationen immer noch nicht vollständig schließen können. Die Abbildung Ihrer eigenen Verteidigung auf die von LockBit verwendeten MITRE ATT&CK-Phasen kann helfen, Lücken zu identifizieren, bevor ein Affiliate sie zuerst findet.

Für alltägliche Nutzer und Verbraucher ist das Risiko indirekter, aber dennoch real. Wenn ein Unternehmen, mit dem Sie Geschäfte machen, von LockBit oder einer ähnlichen Gruppe kompromittiert wird, könnten Ihre persönlichen Daten auf einer Leak-Site landen, unabhängig davon, ob das Unternehmen Lösegeld zahlt. Das ist ein starkes Argument für die Verwendung einzigartiger Passwörter, die Aktivierung der Multi-Faktor-Authentifizierung, wo immer möglich, und die Überwachung Ihrer Konten auf verdächtige Aktivitäten nach jeder Benachrichtigung über einen Datenbruch, die Sie erhalten.

Umsetzbare Erkenntnisse

Organisationen sollten das Patchen von internetzugänglichen Systemen priorisieren, die RDP-Exposition einschränken und offline, getestete Backups aufrechterhalten, die Doppelerpressungstaktiken nicht anfassen können. Sicherheitsteams sollten die IOCs und MITRE ATT&CK-Zuordnungen aus technischen Berichten wie diesem in Erkennungsregeln und Threat-Hunting-Playbooks integrieren. Einzelpersonen sollten jede Benachrichtigung über einen Datenbruch ernst nehmen, Passwörter ändern und auf Phishing-Versuche achten, die oft auf einen Leak folgen. LockBit 3.0s Umfang – über 2.000 Opfer in 95 Ländern – ist ein klares Signal, dass Ransomware eine aktive, sich entwickelnde Bedrohung bleibt, und informiert zu bleiben, wie diese Angriffe tatsächlich funktionieren, ist einer der einfachsten Wege, ihnen einen Schritt voraus zu sein.