Ransomware-Banden zielen jetzt auf IT-Manager, nicht auf CEOs

Warum IT-Manager jetzt die oberste Ransomware-Zielscheibe sind

Jahrelang ging man in Sicherheitskreisen davon aus, dass Ransomware-Crews direkt auf die Spitze des Organigramms zielen: den CEO, den CFO, wer auch immer die Schlüssel zur größten Auszahlungsentscheidung in der Hand hielt. Neue Threat-Intelligence stellt diese Annahme auf den Kopf. Statt Führungskräften nachzujagen, zielen Ransomware-Banden zunehmend auf den etwa 40-jährigen IT-Manager ab, der tatsächlich administrativen Zugriff besitzt, das Netzwerklayout versteht und oft praktisch mehr Einfluss darauf hat, ob ein Lösegeld gezahlt wird, als die Person, die die Schecks unterschreibt.

Das ist bedeutsam, weil es etwas darüber verrät, wie Angreifer denken. Sie jagen nicht unbedingt nach dem höchsten Titel. Sie jagen die Person, die an der Schnittstelle von Zugriff und Autorität sitzt – jemanden, der technisch versiert genug ist, um tiefgreifende Systemprivilegien zu haben, aber so tief ins Geschäft eingebettet ist, dass er in einer Krise konsultiert wird. In vielen kleinen und mittelgroßen Unternehmen ist diese Person der IT-Manager, nicht der CEO.

Wie Angreifer sich durch Geschäftsbereiche bewegen, um sie zu finden

Die Untersuchung deutet auf ein gezieltes, methodisches Vorgehen hin. Anstatt direkt zu einem einzelnen hochwertigen Ziel zu springen, arbeiten sich Angreifer offenbar durch verschiedene Geschäftsbereiche einer Opferorganisation vor. Sie sondieren nacheinander Personalwesen, Finanzen, Betrieb und IT und suchen nach der Kombination aus wertvollen Daten und Personen, die eine Lösegeldzahlung beeinflussen können.

Dieses bereichsweise Vorgehen erhöht die Erfolgschancen auf zweierlei Weise. Erstens weitet es das Netz aus: Wenn der Angreifer über eine Abteilung keinen nützlichen Zugriff erlangt, versucht er es bei einer anderen. Zweitens hilft es ihnen, herauszufinden, wer in der Organisation wirklich zählt, wenn etwas schiefgeht. Ein IT-Manager, der Backupsysteme, Admin-Zugangsdaten und Netzwerksegmentierung kontrolliert, ist oft weitaus wertvoller zu kompromittieren als ein CEO, der möglicherweise nicht einmal weiß, wo die kritischen Daten liegen.

Für Organisationen, die bereits eine Weiterentwicklung von Social-Engineering-Methoden beobachten, passt dies zu einem breiteren Muster. Banden haben zudem mit psychologischen Drucktaktiken experimentiert, die weit über technische Eindringversuche hinausgehen – darunter gefälschte, juristisch klingende Dokumente, die zusammen mit den Lösegeldforderungen abgelegt werden, um die Opfer in die Enge zu treiben. Eine Taktik, die in Ransomware-Banden fügen gefälschte KI-Rechtsdrohungen in Lösegeldforderungen ein behandelt wird. Die Zielverschiebung hin zu IT-Managern und der Einsatz konstruierter Rechtsdrohungen deuten beide auf dieselbe grundlegende Strategie hin: Angreifer optimieren auf denjenigen, der am schnellsten unter Druck gesetzt werden kann, nicht nur auf den mit dem größten Titel.

Was dieser Wandel über das moderne Erpressungshandbuch aussagt

Der breitere Bericht ordnet dies in ein Ransomware-Ökosystem ein, das sich zunehmend auf Erpressung statt auf reine verschlüsselungsbasierte Störung konzentriert. Diese Unterscheidung ist bedeutsam. Wenn das Ziel von der Sperrung von Systemen auf die Androhung von Datenveröffentlichung und Reputationsschäden übergeht, ändert sich auch die Rechnung, wen man ins Visier nimmt. Angreifer müssen nicht den CEO unter Druck setzen; sie brauchen jemanden mit genügend operativer Autorität, um die Bedrohung intern zu eskalieren, und genügend technischem Zugriff, um zu bestätigen, dass die Behauptungen der Angreifer real sind.

Diese Entwicklung passt zu einem breiteren Trend, der bereits in der Ransomware-Landschaft dokumentiert ist: ein stärker fragmentiertes, wettbewerbsintensiveres Feld von Banden, die jeweils ihr eigenes Playbook verfeinern, um sich abzuheben und schneller Abschlüsse zu erzielen, wie in Ransomware 2026: Mehr Banden, mehr Opfer, keine Verlangsamung detailliert beschrieben. Da immer mehr Gruppen um Opfer und Lösegeldzahlungen konkurrieren, wird Effizienz zum Wettbewerbsvorteil, und die Person ins Visier zu nehmen, die am ehesten tatsächlich eine Entscheidung trifft, ist schlicht effizienter, als einen Titel zu jagen.

Praktische Schritte zum Schutz privilegierter Konten und interner Zugänge

Für kleine und mittlere Unternehmen ohne eigene Sicherheits-Operations-Teams ist dieser Wandel ein nützlicher Weckruf. Es reicht nicht mehr, das Postfach des CEO zu schützen. Unternehmen müssen darüber nachdenken, wer in jeder Abteilung über privilegierten Zugriff verfügt, nicht nur in der Führungsetage.

Einige praktische Schritte, die sich lohnen:

• Überprüfen, wer tatsächlich Administratorzugriff hat. IT-Manager, Systemadministratoren und alle mit Zugangsdaten für Backups oder Netzwerkkonfiguration sollten als hochwertige Ziele behandelt werden – mit Multi-Faktor-Authentifizierung und, wo möglich, Hardware-Sicherheitsschlüsseln.
• Zugriff nach Funktion segmentieren. Die Begrenzung dessen, worauf ein einzelnes Konto zugreifen kann, verringert den Nutzen für Angreifer, die eine Abteilung kompromittiert haben.
• Aggressiv patchen und auf Ausnutzung überwachen. Ungepatchte Systeme bleiben ein häufiger Einstiegspunkt, und das Ausmaß der jüngsten Schwachstellenmeldungen, einschließlich Microsoft schließt Rekordzahl von 570 Sicherheitslücken, 2 Zero-Days ausgenutzt, zeigt, wie viel Angriffsfläche Unternehmen jederzeit verwalten müssen.
• Mitarbeiter der mittleren Ebene schulen, nicht nur Führungskräfte. Phishing-Simulationen und Sensibilisierungstraining sollten weit über das Führungsteam hinausgehen.

Was das für Sie bedeutet

Wenn Sie in der IT, in der Systemadministration oder in einer Rolle mit erweiterten Zugriffsrechten arbeiten, sollten Sie sich bewusst sein, dass Sie möglicherweise ein attraktiveres Ziel sind als Ihr CEO. Ransomware-Banden zielen auf IT-Manager ab, weil sie den schnellsten Weg zu Daten und Entscheidungseinfluss bieten. Das bedeutet, dass Ihre Zugangsdaten, Ihr E-Mail-Konto und Ihre Zugriffskontrollen dasselbe Schutzniveau verdienen, das normalerweise Führungskräften vorbehalten ist.

Umsetzbare Handlungsempfehlungen

• Behandeln Sie IT-Manager und Systemadministratoren als hochwertige Ziele, die starke MFA und Zugangskontrollen erfordern.
• Überprüfen und beschränken Sie privilegierte Zugriffe abteilungsübergreifend, nicht nur auf Führungsebene.
• Halten Sie Systeme gepatcht und überwachen Sie auf Anzeichen von lateraler Bewegung zwischen Geschäftsbereichen.
• Erweitern Sie das Sicherheitsbewusstseinstraining auf technisches Personal der mittleren Ebene, nicht nur auf die Führungsspitze.
• Bleiben Sie informiert, wie sich das Ransomware-Ökosystem entwickelt, da die Taktiken der Angreifer sich weiter hin zu erpressungsorientiertem Druck statt reiner Verschlüsselung verlagern.