Warum Angreifer die Organisationshierarchie hinaufklettern, um Manager ins Visier zu nehmen

Jahrelang konzentrierte sich die Berichterstattung zu Ransomware auf die Nachwirkungen: welche Systeme verschlüsselt waren, wie viele Daten gestohlen wurden und wie hoch die Lösegeldforderung ausfiel. Neue Threat-Intelligence-Berichte von Brett Stone-Gross, Senior Director of Threat Intelligence, deuten auf eine Verschiebung hin, die bereits früher in der Angriffskette stattfindet: Ransomware-Akteure nehmen zunehmend direkt Manager ins Visier, anstatt sie nur als beiläufige Opfer eines umfassenderen Einbruchs zu betrachten.

Das ist bedeutsam, weil Manager in den meisten Unternehmen eine einzigartige Position einnehmen. Sie haben in der Regel weitreichendere Systemzugriffe als Mitarbeiter an der Front, unterliegen aber weniger strengen Sicherheitsüberwachungen als IT-Administratoren oder Führungskräfte, die oft als hochwertige Ziele gekennzeichnet sind. Diese Kombination – bedeutsamer Zugriff bei vergleichsweise geringerer Kontrolle – macht Manager zu einem effizienten Einstiegspunkt für Angreifer, die sich rasch von der initialen Kompromittierung zur maximalen Druckausübung bewegen wollen.

Wenn Ransomware-Angreifer auf Manager zielen, geht es nicht nur um den Diebstahl von Zugangsdaten. Es geht darum, die Personen zu identifizieren, die Zahlungen genehmigen, Systemänderungen autorisieren oder unter Druck schnelle Entscheidungen treffen können, und sie direkt ins Fadenkreuz zu nehmen.

Wie der Zugriff und die Befugnisse von Managern die Erpressung beschleunigen

Der Grund, warum diese Verschiebung so wichtig ist, liegt in Geschwindigkeit und Druck. Wenn Angreifer das Konto eines Managers kompromittieren, erhalten sie oft Zugriff auf vertrauliche Dateien, interne Kommunikation und Systeme, die mit dem Team oder der Abteilung dieser Person verknüpft sind. Dieser Zugriff kann genutzt werden, um einen Angriff schneller eskalieren zu lassen, als wenn die Angreifer sich von einem niedrigeren Mitarbeiterkonto aus hocharbeiten müssten.

Manager sind zudem häufig die Personen, an die sich Organisationen wenden, wenn ein Ransomware-Vorfall entdeckt wird. Hat ein Angreifer bereits die Zugangsdaten oder das Postfach genau dieser Person kompromittiert, kann er Einblicke in interne Reaktionsdiskussionen erhalten und sich so einen Vorteil bei den Erpressungsverhandlungen verschaffen. Dies ist Teil eines breiteren Musters, bei dem Ransomware-Gruppen technische Ausnutzung mit Social Engineering kombinieren, das auf die Personen zielt, die am ehesten schnelle, folgenreiche Entscheidungen treffen.

Dieser Ansatz spiegelt Trends wider, die auch andernorts in der Bedrohungslandschaft zu beobachten sind. Die Berichterstattung zur Qilin-Ransomware, die eine PAN-OS-Bypass-Schwachstelle ausnutzt, zeigte, wie Angreifer eine technische Schwachstelle – in diesem Fall einen Authentifizierungsumgehung in Palo-Alto-Networks-Firewalls, verfolgt als CVE-2026-0257 – mit Folgetaktiken kombinieren, die darauf abzielen, jene Personen im Unternehmen unter Druck zu setzen, die auf den Einbruch reagieren können. Das Ins-Visier-Nehmen von Managern folgt derselben Logik: Finde den schnellsten Weg zu einem Entscheidungsträger und übe dann Druck aus.

Abwehrmaßnahmen für Mitarbeiter und Organisationen, um die Angriffsfläche zu reduzieren

Die gute Nachricht ist, dass dieser Trend kein grundlegend neues Sicherheitskonzept erfordert – er unterstreicht vielmehr den Wert von Praktiken, von denen viele Unternehmen bereits wissen, dass sie sie priorisieren sollten, was aber für das mittlere Management manchmal vernachlässigt wird.

Für Organisationen bedeutet das, starke Authentifizierungsanforderungen, Phishing-resistente Multi-Faktor-Authentifizierung und Zugriffsüberwachung auf Managerkonten auszuweiten – und nicht nur auf IT-Administratoren und die C-Suite. Rollenbasierte Zugriffskontrollen sollten regelmäßig überprüft werden, damit Manager nur die Systemberechtigungen behalten, die sie tatsächlich für ihre aktuellen Aufgaben benötigen. Incident-Response-Pläne sollten zudem die Möglichkeit berücksichtigen, dass ein Managerkonto – nicht nur ein Server oder Endgerät – der initiale Kompromittierungspunkt sein könnte.

Für einzelne Manager gelten die Grundlagen nach wie vor am meisten: einzigartige, starke Passwörter verwenden, Multi-Faktor-Authentifizierung überall dort aktivieren, wo sie angeboten wird, bei unerwarteten Anfragen, die Zugangsdaten oder Genehmigungen betreffen, vorsichtig sein und verdächtige Aktivitäten sofort melden, anstatt abzuwarten, ob sie sich von selbst erledigen. Die Trennung von privater und beruflicher Gerätenutzung sowie die Verwendung eines VPN beim Fernzugriff auf Unternehmenssysteme können ebenfalls die Wahrscheinlichkeit verringern, dass ein Angreifer über eine ungesicherte Verbindung einen einfachen Zugang erhält.

Organisationen, die ein umfassenderes Bild davon erhalten möchten, wie sich diese Angriffe in der Praxis entfalten, können aktuelle Berichte zu KI-gesteuerten Ransomware-Tests heranziehen, die zeigen, wie automatisierte Werkzeuge eingesetzt werden, um Angriffe zu beschleunigen, sobald ein initialer Zugriff erlangt wurde – ein weiterer Grund, warum frühzeitige Verteidigungsmaßnahmen rund um Managerkonten eine überdurchschnittliche Bedeutung haben.

Was dieser Trend für Verbraucher und Angestellte bedeutet

Auch wenn Sie nicht im Management tätig sind, könnte Sie das dennoch betreffen. Jeder Mitarbeiter, dessen persönliche Informationen, Personalakten oder Finanzdaten in Systemen gespeichert sind, auf die ein Manager zugreifen kann, ist potenziell gefährdet, wenn die Zugangsdaten dieses Managers kompromittiert werden. Ransomware-Angriffe auf Manager können zu denselben Ergebnissen führen wie jeder andere Datenschutzvorfall: preisgegebene persönliche Daten, unterbrochene Dienste oder verzögerte Betriebsabläufe, während ein Unternehmen die Reaktion durcharbeitet.

Für Verbraucher unterstreicht dies eine allgemeingültigere Lektion, die bei Ransomware- und Erpressungstrends immer wieder auftaucht: Angreifer folgen dem Weg des geringsten Widerstands zu den Personen mit dem nützlichsten Zugriff, wohin dieser Weg auch führen mag. Aktuelle Zusammenfassungen zu Ransomware- und Erpressungsvorfällen in verschiedenen Branchen und zu anhaltenden Ausnutzungstrends im Zusammenhang mit Unternehmenssoftware-Schwachstellen zeigen, dass dies kein isoliertes Muster ist, sondern ein wiederkehrendes Thema darin, wie moderne Ransomware-Kampagnen aufgebaut sind.

Umsetzbare Erkenntnisse

Die gezielte Ausrichtung von Ransomware auf Manager spiegelt eine übergeordnete Entwicklung wider, wie Angreifer ihre Ziele auswählen: nicht nur nach Systemschwachstelle, sondern auch danach, wer unter Druck die Autorität für schnelle Entscheidungen hat. Organisationen, die starke Sicherheitspraktiken auf Managerkonten ausweiten – und nicht nur auf IT- und Führungskräfte –, verschließen einen der effizienteren Wege, auf die Angreifer derzeit setzen.

Wenn Sie Manager sind, behandeln Sie Ihre Zugangsdaten mit derselben Vorsicht, die Systemadministratoren empfohlen wird: Nutzen Sie Multi-Faktor-Authentifizierung, vermeiden Sie die Wiederverwendung von Passwörtern und melden Sie ungewöhnliche Vorfälle sofort. Wenn Sie ein Mitarbeiter sind, der sich fragt, wie Ihre Daten betroffen sein könnten, fragen Sie Ihr Unternehmen, wie der Zugriff von Managern überwacht und gesichert wird. Da sich die Ransomware-Taktiken ständig weiterentwickeln, bleibt es eine der wirksamsten Methoden, das Risiko für sich selbst und Ihr Unternehmen zu reduzieren, indem man informiert bleibt, wie diese Angriffe tatsächlich ablaufen, und grundlegende Vorsichtsmaßnahmen ernst nimmt.