Ransomwares neueste Waffe ist keine Malware, sondern KI

Ransomware war schon immer ein Wettrüsten zwischen Angreifern, die neue Wege finden, um Zahlungen zu erzwingen, und Verteidigern, die jeden Erpressungsweg unterbinden wollen. Jahrelang folgte dieses Rennen einem vorhersehbaren Muster: Dateien verschlüsseln, Lösegeld für den Entschlüsselungsschlüssel fordern. Als Opfer besser darin wurden, Daten aus Backups wiederherzustellen, wechselten die Angreifer zur doppelten Erpressung und drohten damit, gestohlene Daten öffentlich zu machen, wenn sie nicht bezahlt würden. Nun, so aktuelle Berichte, treten Ransomware-Betreiber in eine neue Phase ein, in der künstliche Intelligenz nicht zum Eindringen in Netzwerke genutzt wird, sondern um den psychologischen und rechtlichen Druck auf die Opfer viel überzeugender zu gestalten.

Die Veränderung ist subtil, aber bedeutsam. Kriminelle Gruppen nutzen Berichten zufolge KI-Tools, um ausgefeilte, juristisch gestaltete Unterlagen zu generieren, die ihren Lösegeldforderungen beiliegen – Material, das wie eine formelle rechtliche Analyse der gestohlenen Daten, der regulatorischen Gefährdung eines Unternehmens oder der möglichen Haftung im Zusammenhang mit einem Datenleck aussieht. Statt einer primitiven Drohung in gebrochenem Englisch erhalten Betroffene nun möglicherweise etwas, das wie aus einer Anwaltskanzlei klingt, obwohl nie ein Anwalt beteiligt war.

Von Verschlüsselung zu gezielter Einschüchterung

Bemerkenswert an dieser Entwicklung ist, dass KI nicht eingesetzt wird, um den ursprünglichen Hack zu verfeinern. Sie kommt nach dem Einbruch zum Einsatz, um aus den bereits gestohlenen Daten noch mehr herauszupressen. Anstatt einfach mit einem „Alles leaken“ zu drohen, kann KI kriminellen Gruppen helfen, riesige Mengen gestohlener Dateien zu durchforsten, die sensibelsten oder schädlichsten Dokumente zu identifizieren und die Erpressungsbotschaft auf die konkreten regulatorischen und reputationsbezogenen Risiken zuzuschneiden, denen die betroffene Organisation tatsächlich gegenübersteht.

Das ist entscheidend, weil es die Kalkulation der Opfer verändert, die darüber entscheiden müssen, ob sie zahlen. Eine allgemeine Drohung lässt sich leichter beiseitewischen oder herunterspielen. Ein Dokument, das in überzeugender Juristensprache darlegt, wie genau ein Datenleck zu Geldbußen, Klagen oder Compliance-Verstößen führen könnte, ist schwerer zu ignorieren – selbst wenn ein Großteil des Inhalts im Grunde nur KI-generiertes Theater ist, das autoritärer wirken soll, als es ist.

Dies fügt sich in ein breiteres Muster ein, auf das Sicherheitsforscher schon seit einiger Zeit hinweisen. Wie im CrowdStrike‘s 2026 Threat Hunting Report dargelegt, haben KI-gestützte Angriffe drastisch zugenommen, wobei KI von Bedrohungsakteuren zunehmend als operatives Werkzeug und nicht mehr als Neuheit betrachtet wird. Dass Ransomware-Gruppen KI für Drucktaktiken nach einem Einbruch einsetzen, ist nur der jüngste Ausdruck dieses Trends – Kriminelle nutzen dieselben generativen Werkzeuge, die allen anderen zur Verfügung stehen, nur mit dem Ziel der Manipulation statt der Produktivität.

Warum dies die Risiken für den Datenschutz verschärft

Die Auswirkungen auf die Privatsphäre gehen über die unmittelbar betroffene Organisation hinaus. Wenn Ransomware-Gruppen KI einsetzen, um gestohlene Daten effizienter zu analysieren, werden sie faktisch besser darin, zu erkennen, welche Informationen am sensibelsten und damit als Druckmittel am wertvollsten sind. Das kann bedeuten, dass persönliche Aufzeichnungen, Finanzdaten, Gesundheitsinformationen oder interne Kommunikation gezielt gekennzeichnet und hervorgehoben werden, gerade weil sie im Falle einer Veröffentlichung den größten Schaden anrichten.

Für Mitarbeiter, Kunden oder Patienten, deren Daten in den Systemen eines betroffenen Unternehmens liegen, bedeutet das, dass die Gefahr einer Veröffentlichung nicht mehr nur darin besteht, ob ein Leck passiert. Es geht darum, dass Angreifer immer präziser auswählen, was sie wann preisgeben, um den Druck auf die Organisation zu maximieren und gleichzeitig den realen Schaden für die Personen zu vergrößern, deren Daten ins Kreuzfeuer geraten.

Der Einsatz KI-generierter, juristisch klingender Dokumente bringt zudem eine Täuschungsebene ins Spiel, die die Reaktion auf einen Vorfall erschweren kann. Sicherheits- und Rechtsteams, die auf einen Einbruch reagieren, müssen nun schnell einschätzen, ob das einer Lösegeldforderung beigefügte Material tatsächliche rechtliche Risiken widerspiegelt oder lediglich KI-konstruierte Einschüchterung ist. Diese Unterscheidung kostet Zeit – und genau diese Zeit versuchen Ransomware-Gruppen ihren Opfern zu nehmen.

Was das für Sie bedeutet

Wenn Sie eine Privatperson sind, ist das direkte Risiko aus diesem Trend indirekt, aber real: Organisationen, die Ihre Daten speichern, stehen unter raffinierterem Druck, entweder schnell zu zahlen oder ein gezielteres, schädlicheres Leck zu riskieren. Gehören Sie einer Organisation an, die zum Ziel von Ransomware werden könnte, dann lautet die Botschaft: Notfallpläne müssen KI-gestützte Erpressungstaktiken berücksichtigen, nicht nur die technische Wiederherstellung. Jedes Erpressungsdokument ohne Prüfung für glaubwürdig zu halten oder als leeres Gerede abzutun – beides sind riskante Annahmen.

  • Gehen Sie davon aus, dass jede Mitteilung über einen Datenvorfall oder jede Lösegeldforderung, die eine „rechtliche Analyse“ enthält, von einem tatsächlichen Anwalt unabhängig geprüft werden muss, bevor sie Ihre Entscheidungsfindung beeinflusst.
  • Drängen Sie Organisationen, auf die Sie angewiesen sind, dokumentierte Notfallpläne zu haben, die ausdrücklich auf KI-generierte Drucktaktiken eingehen, nicht nur auf Verschlüsselung und Datenabfluss.
  • Wenn Sie eine Benachrichtigung über einen Sicherheitsvorfall erhalten, konzentrieren Sie sich auf konkrete Schutzmaßnahmen wie Kreditüberwachung oder Passwortänderungen, statt auf den Tonfall oder die Dringlichkeit einer durchgesickerten Kommunikation zu reagieren.
  • Bleiben Sie skeptisch gegenüber offiziell aussehenden Dokumenten im Zusammenhang mit einem Vorfall, bis sie über verifizierte Kanäle bestätigt wurden.

Dass Ransomware-Gruppen auf KI setzen, um den Druck auf Opfer zu erhöhen, erinnert uns daran, dass die Technologie, die seriöse Branchen umgestaltet, ebenso für Kriminelle verfügbar ist, die nach neuen Wegen suchen, Angst und Dringlichkeit zu manipulieren. Die Werkzeuge der Angreifer mögen sich weiterentwickeln, aber die Grundlagen guter Incident Response – Überprüfung und besonnenes Entscheiden – bleiben die beste Verteidigung.