Was Panzer-Ransomware ist und wie doppelte Erpressung funktioniert

Eine neue Ransomware-as-a-Service-(RaaS-)Operation namens Panzer tauchte im August 2026 auf und agierte schnell. In nur den ersten Wochen ihrer Aktivität beanspruchte die Gruppe 16 Opfer – Teil eines Monats, der laut Forschern mit 997 branchenweit verfolgten Ransomware-Angriffen einen Rekord aufstellte.

Panzer folgt dem Playbook der doppelten Erpressung, das die Ransomware-Landschaft seit etwa 2020 dominiert. Statt lediglich die Dateien eines Opfers zu verschlüsseln und für einen Entschlüsselungsschlüssel Zahlung zu verlangen, stehlen die Betreiber von Panzer zunächst sensible Daten aus dem Netzwerk des Ziels. Erst nachdem die Daten exfiltriert wurden, setzen sie die Verschlüsselungsnutzlast ein. Dadurch haben Angreifer zwei separate Hebel: Opfer, die aus Backups wiederherstellen und die Zahlung verweigern, sind weiterhin mit der Drohung konfrontiert, dass ihre gestohlenen Daten veröffentlicht werden, und Opfer, die zahlen, haben keine Garantie, dass die Daten nicht trotzdem durchsickern. Dies ist der Hauptgrund, warum der Schutz vor doppelter Erpressung durch Panzer-Ransomware mehr erfordert als Antivirus-Software oder ein Versprechen des Angreifers; er erfordert, die anfängliche Kompromittierung und den Datendiebstahl von vornherein zu verhindern.

Erste Berichte über die Aktivitäten von Panzer haben die Gruppe bereits mit konkreten Opfern in Verbindung gebracht. Wie in unserer früheren Berichterstattung über Panzer-Ransomware, die italienische KMU trifft ausführlich dargestellt, ließ die Gruppe nach ihrem Start wenig Zeit verstreichen, bevor sie Unternehmen in Italien kompromittierte, was auf eine schnell agierende Affiliate-Struktur hindeutet, die bereit ist, Unternehmen unterschiedlicher Größe ins Visier zu nehmen.

Warum August 2026 zu einem Rekordmonat für Ransomware-Angriffe wurde

Das Ausmaß der Aktivitäten im August – 997 im gesamten Ransomware-Ökosystem verfolgte Angriffe – unterstreicht, dass Panzer nicht isoliert operiert. Es ist eine von vielen aktiven RaaS-Gruppen, die um Opfer und Affiliates in einem Marktplatz konkurrieren, der Jahr für Jahr weiter gewachsen ist. Dass neue Stämme Mitte des Jahres starten und schnell zweistellige Opferzahlen erreichen, wie es bei Panzer der Fall war, ist mittlerweile ein vertrautes Muster und keine Anomalie mehr.

Dieses Volumen ist für jeden relevant, der sein eigenes Risiko einschätzt. Ein Rekordmonat bedeutet eine Rekordzahl an Gelegenheiten für Angreifer, exponierte Remote-Zugangspunkte, ungepatchte Systeme oder Mitarbeiter zu finden, die auf den falschen Link klicken. Er bedeutet auch, dass Verteidiger gleichzeitig mit mehr unterschiedlichen Bedrohungsakteuren zu tun haben, jeder mit etwas anderen Werkzeugen und Techniken.

Wer gefährdet ist: KMU und das RaaS-Ökosystem hinter Panzer

Panzer operiert nach einem RaaS-Modell, das heißt, die Kerngruppe entwickelt die Malware und die Leak-Infrastruktur, während Affiliates die eigentlichen Eindringlinge ausführen und dafür einen Anteil an einem etwaigen Lösegeld erhalten. Diese Struktur senkt die Eintrittsbarriere für weniger technisch versierte Angreifer und erklärt, wie eine neu gestartete Operation so schnell 16 Opfer anhäufen kann.

Kleine und mittlere Unternehmen sind ein natürliches Ziel für dieses Modell. Sie verfügen oft über wertvolle Kunden- oder Betriebsdaten, haben aber in der Regel kleinere Sicherheitsteams und Budgets als große Unternehmen, wodurch sie eher Lücken bei der Überwachung, beim Patchen oder bei den Remote-Zugangskontrollen aufweisen. Die bereits mit Panzer in Verbindung gebrachten italienischen KMU-Opfer passen zu diesem Profil, und es ist vernünftig anzunehmen, dass die Affiliates der Gruppe weiterhin ähnlich große Organisationen in anderen Regionen ins Visier nehmen werden, während die RaaS-Operation skaliert.

Praktische Abwehrmaßnahmen: Backups, Netzwerksegmentierung und sicherer Remote-Zugang

Da doppelte Erpressung Datendiebstahl mit Verschlüsselung kombiniert, reicht eine einzelne Verteidigungsschicht nicht aus. Ein wirksamer Schutz vor doppelter Erpressung durch Panzer-Ransomware beruht auf einigen praktischen, erreichbaren Schritten:

  • Offline-, getestete Backups unterhalten. Backups, die vom Hauptnetzwerk isoliert und regelmäßig auf Wiederherstellung getestet werden, vereiteln die Verschlüsselungshälfte des Angriffs, auch wenn sie ein Datenleck nicht rückgängig machen können.
  • Das Netzwerk segmentieren. Die Aufteilung von Systemen in separate Zonen begrenzt, wie weit ein Angreifer nach einer anfänglichen Kompromittierung vordringen kann, wodurch die Menge der zum Diebstahl verfügbaren Daten und die Anzahl der in einem Vorfall verschlüsselbaren Systeme reduziert wird.
  • Remote-Zugang absichern. Viele Ransomware-Eindringlinge beginnen über exponierte oder schlecht gesicherte Remote-Zugangswerkzeuge. Die Verwendung eines VPN mit starker Authentifizierung, statt Remote-Desktop- oder Administrationsports direkt dem Internet auszusetzen, schließt einen der häufigsten Einstiegspunkte, die Affiliates nutzen.
  • Auf ungewöhnliche ausgehende Datenübertragungen achten. Da doppelte Erpressung davon abhängt, Daten vor Beginn der Verschlüsselung zu exfiltrieren, kann das frühzeitige Erkennen großer oder ungewöhnlicher ausgehender Übertragungen einen Angriff stoppen, bevor der zweite Erpressungshebel überhaupt zum Einsatz kommt.

Was das für Sie bedeutet

Wenn Sie die IT-Umgebung eines KMU betreiben oder unterstützen, ist Panzers rascher Aufstieg eine Erinnerung daran, dass Ransomware-Abwehr im Jahr 2026 davon ausgehen muss, dass Angreifer Daten nach draußen bringen werden, und nicht nur versuchen darf, sie am Verschlüsseln von Dateien zu hindern. Zu überprüfen, wer Remote-Zugang zu Ihrem Netzwerk hat, wie dieser Zugang gesichert ist und ob Ihre Systeme ordnungsgemäß segmentiert sind, ist ein vernünftiger erster Schritt diese Woche – kein Projekt für irgendwann.

Abschließende Gedanken

Panzers Aufstieg auf 16 Opfer in einem rekordverdächtigen August mit 997 Angriffen ist eine Momentaufnahme eines aktiven und expandierenden Ransomware-Ökosystems, kein isoliertes Ereignis. Doppelte Erpressung bleibt das dominierende Modell, weil es funktioniert und Opfer aus zwei Richtungen gleichzeitig unter Druck setzt. Die gute Nachricht ist, dass die Grundlagen des Schutzes vor doppelter Erpressung durch Panzer-Ransomware – solide Backups, Netzwerksegmentierung und sicherer Remote-Zugang – für Organisationen jeder Größe erreichbar sind. Diese Abwehrmaßnahmen jetzt zu bilanzieren ist weit weniger kostspielig, als nachträglich auf eine Sicherheitsverletzung zu reagieren.