Was ist PromptLock und wie nutzt es KI-generierten Code

Eine neue Ransomware-Variante namens PromptLock ist die erste bekannte Schadsoftware, die auf die Ausgabe großer Sprachmodelle zurückgreift, um ihren eigenen Angriffscode zu generieren. Anstatt mit festen, vorgefertigten Skripten ausgeliefert zu werden, verwendet PromptLock KI-generierten Lua-Code für Dateisuche, Datenexfiltration und Verschlüsselung – die Kernphasen eines Ransomware-Angriffs.

Lua ist eine leichtgewichtige Skriptsprache, die häufig in Spielen und eingebetteten Systemen eingesetzt wird, weil sie schnell, portabel und plattformübergreifend einfach ausführbar ist. Indem sie Lua-Skripte spontan von einem LLM generieren lassen, können die Betreiber von PromptLock funktionsfähigen Angriffscode produzieren, ohne jede Variante selbst von Hand programmieren zu müssen. Das ist eine deutliche Abkehr davon, wie Ransomware traditionell aufgebaut wurde, und genau deshalb sehen Sicherheitsforscher in PromptLock ein Signal dafür, wohin sich die Bedrohungslandschaft entwickelt – und nicht nur einen weiteren Einzelfall.

Warum KI-geschriebene Malware für Antiviren-Tools schwerer zu erkennen ist

Die meisten Antiviren- und Endpoint-Detection-Tools stützen sich nach wie vor stark auf signaturbasierte Erkennung: Sie suchen nach bekannten Mustern, Hashes oder Codestrukturen, die mit bereits katalogisierter Malware übereinstimmen. Dieser Ansatz funktioniert gut bei statischem, wiederverwendetem Code. Er stößt jedoch an Grenzen, wenn der Code bei jeder Generierung anders aussieht.

Wenn ein LLM die Lua-Skripte erzeugt, die Dateisuche, Exfiltration und Verschlüsselung steuern, kann jede generierte Instanz in Struktur und Syntax leicht abweichen und dennoch denselben schädlichen Zweck erfüllen. Diese Variabilität untergräbt die Signaturabgleiche und macht die Verhaltensanalyse wichtiger – und schwieriger –, da Verteidiger die Absicht hinter dem Code erkennen müssen und nicht den Code selbst. Das ist die zentrale Herausforderung bei der Erkennung KI-generierter Ransomware: Die bösartige Logik ist konsistent, ihr Ausdruck aber nicht.

Wie dies die Bedrohungslandschaft für Ransomware verändert

PromptLocks Vorgehen ist über die einzelne Kampagne hinaus bedeutsam. Wenn KI-generierter Code zum Standardwerkzeug für die Erstellung von Ransomware-Komponenten wird, senkt das die technische Hürde für die Entwicklung neuer Varianten und beschleunigt das Tempo, in dem Angreifer iterieren können. Ein Ransomware-Betreiber benötigt keine tiefgehenden Skripting-Kenntnisse mehr, um funktionierende Routinen für Dateisuche oder Verschlüsselung zu erstellen. Er braucht Zugang zu einem LLM und die Fähigkeit, dessen Ausgabe auf bösartige Zwecke zu lenken.

Diese Entwicklung trifft Einzelpersonen und Organisationen unterschiedlich, doch beide stehen vor demselben Problem: Erkennungswerkzeuge, die auf statischen Signaturen aufbauen, sind weniger zuverlässig, wenn der zugrunde liegende Codegenerierungsprozess dynamisch ist. Für Unternehmen bedeutet das, dass Ransomware-Kampagnen, die bereits realen Schaden anrichten – wie der Vorfall, über den in Deutsche-Bank-Ransomware-Behauptung erschüttert die Cyberwoche Juli 2026 berichtet wurde – häufiger auftreten oder schwerer zuzuordnen sein könnten, wenn Angreifer KI-Werkzeuge zur Beschleunigung der Entwicklung einsetzen. Für Privatanwender heißt es, dass die Ransomware, die schließlich ein Heimnetzwerk oder ein persönliches Gerät erreicht, möglicherweise keiner vorher bekannten Signatur mehr entspricht.

Praktische Abwehr: Backups, Segmentierung und die Rolle von VPNs

Die gute Nachricht ist, dass sich die Grundpfeiler der Ransomware-Abwehr nicht ändern, nur weil sich die Methode der Codegenerierung geändert hat. Was sich ändert, ist das Gewicht, das diesen Grundpfeilern jetzt zukommt, denn die signaturbasierte Erkennung allein reicht nicht mehr aus.

Backups bleiben die wichtigste Verteidigungsmaßnahme. Regelmäßige, getestete, offline oder unveränderlich gespeicherte Backups sorgen dafür, dass Sie Dateien auch dann wiederherstellen können, wenn Ransomware sie erfolgreich verschlüsselt – ohne Lösegeld zu zahlen. Zur Backup-Hygiene gehört, dass Sie überprüfen, ob Wiederherstellungen tatsächlich funktionieren, und nicht nur, ob Backups erstellt werden.

Netzwerksegmentierung begrenzt den Explosionsradius. Ob im Heimnetz oder in einer Unternehmensumgebung: Die Trennung kritischer Systeme und sensibler Daten von Allzweckgeräten verringert, wie weit sich eine Ransomware-Infektion ausbreiten kann, sobald sie erst einmal Fuß gefasst hat.

VPNs spielen eine unterstützende Rolle in einer mehrschichtigen Strategie. Ein VPN verhindert nicht, dass Ransomware auf einem bereits infizierten Gerät ausgeführt wird, aber es reduziert die Angriffsfläche, indem es den Datenverkehr zwischen Ihrem Gerät und dem Netzwerk verschlüsselt – das ist wichtig, wenn Sie sich über öffentliches oder ungesichertes WLAN verbinden, wo die Erstinfektion häufig beginnt. Zusammen mit Endpoint Protection, gepatchter Software und einem vorsichtigen Umgang mit E-Mail-Anhängen und Links ist ein VPN eine von mehreren Schutzschichten, keine eigenständige Lösung.

Was das für Sie bedeutet

Wenn Sie Privatanwender sind, lautet die praktische Erkenntnis: Kein Sicherheitstool ist ein Allheilmittel, und das gilt umso mehr, seit die Erkennung KI-generierter Ransomware es mit Code zu tun hat, der nach nichts aussieht, was man je gesehen hat. Halten Sie Ihre Backups aktuell, seien Sie skeptisch bei unerwarteten Anhängen und Links und nutzen Sie ein VPN als Teil eines umfassenderen Verhaltensmusters – nicht als Ersatz dafür.

Wenn Sie die IT eines Unternehmens verwalten, ist jetzt ein guter Zeitpunkt, um zu prüfen, wie stark Ihr Erkennungs-Stack auf Signaturabgleichen statt auf Verhaltensanalysen beruht, und um zu bestätigen, dass Backup- und Wiederherstellungsverfahren tatsächlich kürzlich getestet wurden und nicht nur eingerichtet und dann vergessen.

Praktische Handlungsempfehlungen

  • Pflegen Sie offline oder unveränderlich gespeicherte Backups und testen Sie Wiederherstellungen regelmäßig, denn KI-generierte Ransomware kann die signaturbasierte Erkennung umgehen, ein sauberes Backup jedoch nicht.
  • Setzen Sie Netzwerksegmentierung ein, um zu begrenzen, wie weit sich eine Infektion ausbreiten kann, falls sie doch durchkommt.
  • Betrachten Sie den Einsatz eines VPN als eine von mehreren Schutzschichten – besonders in öffentlichen oder ungesicherten Netzwerken –, nicht als vollständige Lösung gegen Ransomware.
  • Bleiben Sie über Ransomware-Vorfälle informiert, die große Organisationen betreffen, denn sie offenbaren oft die Taktiken und Konsequenzen, die schließlich auch kleinere Ziele und einzelne Nutzer treffen.
  • Halten Sie Endpoint Protection und Betriebssysteme aktuell, denn KI-generierter Code benötigt nach wie vor eine Schwachstelle oder eine Benutzeraktion, um sich erstmaligen Zugang zu verschaffen.