Ransomware-Gruppen erreichen Rekordwert von 93, während die Zahl der Opfer stabil bleibt

Eine Rekordzahl an Ransomware-Gruppen, aber die Opferzahlen steigen nicht

Die Ransomware-Aktivität erreichte in diesem Quartal einen neuen Meilenstein – nicht weil die Angriffe nachgelassen haben, sondern weil das Feld der Angreifer überfüllter wurde. Auf Daten-Leak-Seiten wurden während des Zeitraums 93 aktive Ransomware-Gruppen verfolgt, ein Rekordhoch, laut neuen Zahlen, die von ITBrief berichtet wurden. Doch trotz dieses Anstiegs an Betreibern blieb die Gesamtzahl der Opfer im Vergleich zum vorherigen Quartal weitgehend stabil.

Das klingt auf den ersten Blick wie eine gute Nachricht. Ist es aber nicht, zumindest nicht so, wie es scheint. Auf Daten-Leak-Seiten wurden für das Quartal 2.139 Ransomware-Opfer verzeichnet – im Wesentlichen unverändert gegenüber den vorangegangenen drei Monaten, aber immer noch 33 % höher als im gleichen Zeitraum des Vorjahres. Mit anderen Worten: Das Ransomware-Ökosystem hat sich nicht abgekühlt. Es hat sich lediglich auf mehr Gruppen verteilt, die jeweils einen kleineren Anteil eines weiterhin wachsenden Kuchens für sich beanspruchen.

Warum mehr Gruppen nicht weniger Risiko bedeutet

Die Rekordzahl aktiver Ransomware-Operationen deutet auf eine bedeutende Veränderung in der Struktur des kriminellen Ökosystems hin. Jahrelang kontrollierte eine Handvoll dominanter Ransomware-Marken den Großteil des Angriffsvolumens. Wenn Strafverfolgungsbehörden eine dieser großen Operationen zerschlugen, sanken die Opferzahlen oft spürbar, bevor sie wieder anstiegen.

Dieses Muster scheint sich aufzulösen. Mit 93 Gruppen, die nun um Ziele konkurrieren, sieht die Ransomware-Wirtschaft weniger wie eine kleine Zahl krimineller Monopole aus und mehr wie ein fragmentierter Marktplatz. Kleinere, neuere oder umbenannte Gruppen können das Angriffsvolumen absorbieren, das größere Operationen früher allein erzeugten. Das macht die Gesamtbedrohung widerstandsfähiger. Die Zerschlagung einer oder zweier prominenter Gruppen macht nun keinen nennenswerten Eindruck mehr auf die gesamte Angriffsaktivität, weil Dutzende andere bereit sind, die Lücke zu füllen.

Diese Fragmentierung hat auch praktische Konsequenzen für Verteidiger und datenschutzbewusste Organisationen gleichermaßen. Mehr Gruppen bedeuten mehr Variation bei Taktiken, Werkzeugen und Lösegeld-Verhandlungsverhalten, was es schwieriger macht, ein einheitliches Verteidigungshandbuch zu erstellen. Einige Gruppen verlassen sich auf altbekanntes Phishing und Remote-Access-Ausnutzung, während andere schnell handeln, um neu offengelegte Schwachstellen in Unternehmenssoftware auszunutzen. Ein aktuelles Beispiel ist Storm-1175s Ausnutzung einer N-central-Schwachstelle zur Bereitstellung von StormEncryptor, das zeigt, wie schnell eine einzelne ungepatchte Schwachstelle in weit verbreiteter IT-Verwaltungssoftware zum Einstiegspunkt für einen ausgewachsenen Ransomware-Vorfall werden kann.

Die Datenschutz-Folgen einer stabilen, aber anhaltenden Angriffsrate

Wenn die Opferzahlen bei Ransomware stabil bleiben, ist man versucht, dies als Stabilisierung zu lesen. Aber stabile Zahlen, die auf einem Anstieg von 33 % im Jahresvergleich und einer Rekordzahl aktiver Gruppen basieren, erzählen eine andere Geschichte: Die Risikobaseline ist einfach höher gestiegen und dort verharrt.

Jeder Ransomware-Vorfall beinhaltet eine Datenexpositionskomponente, die über gesperrte Dateien hinausgeht. Die meisten modernen Ransomware-Operationen kombinieren Verschlüsselung mit Datendiebstahl und veröffentlichen gestohlene Datensätze auf Leak-Seiten, wenn Opfer sich weigern zu zahlen. Das bedeutet, dass persönliche Informationen, Finanzunterlagen, Gesundheitsdaten und interne Kommunikation zunehmend Gefahr laufen, öffentlich exponiert zu werden – nicht nur durch Betriebsausfallzeiten. Mit mehr Gruppen, die unabhängige Leak-Seiten und Verhandlungsinfrastrukturen betreiben, wird es für Opfer und Forscher gleichermaßen schwieriger, nachzuvollziehen, wo kompromittierte Daten letztlich landen.

Für Verbraucher ist diese Fragmentierung relevant, weil sie die Wege vervielfacht, über die ihre persönlichen Daten exponiert werden können. Ein Vorfall bei einem Gesundheitsdienstleister, einem Schulbezirk oder einem Dienstleister kleiner Unternehmen kann genauso leicht in einem öffentlichen Daten-Dump enden wie ein Vorfall bei einem großen Unternehmen. Die Rekordzahl aktiver Gruppen deutet darauf hin, dass Angreifer zunehmend bereit sind, kleinere oder mittelgroße Organisationen ins Visier zu nehmen, die möglicherweise schwächere Sicherheitsbudgets haben, aber dennoch sensible personenbezogene Daten speichern.

Was das für Sie bedeutet

Wenn Sie eine Einzelperson sind, hat sich das praktische Risiko nicht dramatisch verändert, aber die Wahrscheinlichkeit, dass eine Organisation, die Ihre Daten speichert, von Ransomware getroffen wird, ist leise gestiegen. Wenn Sie ein Unternehmen führen, insbesondere ein kleines oder mittleres, bedeutet die Rekordzahl aktiver Gruppen, dass Sie nicht mehr davon ausgehen können, zu klein für ein Ziel zu sein. Angreifer diversifizieren sich, und diese Diversifizierung füllt die Lücken, die kleinere Organisationen früher vor ernsthaften Ransomware-Gruppen schützten.

Die wichtigste Erkenntnis ist, dass die Ransomware-Bedrohung nicht mehr von einer Handvoll berüchtigter Gruppennamen definiert wird. Es ist ein breites, fragmentiertes Ökosystem, in dem Dutzende Betreiber aktiv nach verwundbaren Einstiegspunkten jagen – von ungepatchter Software bis hin zu exponierten Remote-Access-Tools.

Umsetzbare Empfehlungen

• Behandeln Sie das Patchen von Anbieter- und Drittanbieter-Software als Priorität, nicht als Nebensache. Schwachstellen in weit verbreiteten IT-Tools bleiben ein häufiger Einstiegspunkt für Ransomware-Gruppen.
• Gehen Sie davon aus, dass jede Organisation, die Ihre persönlichen Daten speichert, unabhängig von ihrer Größe, ein Ziel sein könnte. Überwachen Sie Benachrichtigungen über Datenschutzverletzungen und erwägen Sie Kredit- oder Identitätsüberwachung, wenn Sie über einen Vorfall informiert werden.
• Unternehmen sollten offline getestete Backups und einen Incident-Response-Plan unterhalten, der Datendiebstahl und Leak-Seiten-Exposition berücksichtigt, nicht nur Systemverschlüsselung.
• Bleiben Sie über spezifische Ransomware-Kampagnen und ausgenutzte Schwachstellen informiert, die die Software betreffen, auf die Ihre Organisation angewiesen ist, da neue Gruppen diese Taktiken schneller als je zuvor übernehmen.

Die Rekordzahl aktiver Ransomware-Gruppen in diesem Quartal ist ein Signal, dass die Bedrohungslandschaft immer verteilter und schwerer durch einzelne Zerschlagungen zu stören ist. Stabile Opferzahlen bedeuten kein stabiles Risiko. Sie bedeuten, dass der Druck einfach neue Wege gefunden hat, sich auszubreiten.