Ransomware zielt jetzt auf mehrere Mitarbeiter ab, nicht nur auf die IT

Ein neues Muster bei Ransomware: Ausbreitung in der gesamten Belegschaft

Ransomware-Gruppen haben sich lange auf ein vertrautes Drehbuch verlassen: einen privilegierten IT-Administrator finden, dessen Anmeldedaten stehlen und diesen Zugang nutzen, um sich unentdeckt durch ein Netzwerk zu bewegen. Doch neue Berichte zeigen, dass sich dieses Muster ändert. Angreifer kompromittieren nun mehrere Mitarbeiter innerhalb derselben Organisation, oft Personen ohne jegliche spezielle technische Berechtigungen, als Teil einer einzigen koordinierten Infiltration.

Dies ist von Bedeutung, weil es einen grundlegenden Wandel darin widerspiegelt, wie Ransomware-Akteure über Zugang denken. Anstatt nach einem goldenen Satz von Admin-Zugangsdaten zu jagen, werfen sie ein breiteres Netz über Abteilungen, Rollen und Geschäftsfunktionen aus. Das Ziel ist dasselbe – Systeme zu sperren und ein Lösegeld zu erpressen –, aber die Einstiegspunkte vervielfachen sich. Den Berichten zufolge machten Industrieunternehmen mit 35,5 % den größten Anteil der Opfer aus, gefolgt von Informationstechnologie-Unternehmen mit 14,6 %, was darauf hindeutet, dass Sektoren mit komplexer Betriebstechnologie und vielschichtigen Personalstrukturen besonders attraktive Ziele darstellen.

Warum normale Mitarbeiter jetzt Hauptziele sind

Jahrelang konzentrierten Sicherheitsteams den Großteil ihrer Abwehrenergie auf den Schutz privilegierter Konten: Systemadministratoren, Datenbankmanager, Netzwerkingenieure. Das ergab Sinn, als Ransomware-Gruppen tiefgreifenden technischen Zugang benötigten, um kritische Infrastrukturen zu verschlüsseln. Aber die Angreifer haben sich angepasst. Viele Ransomware-Operationen verstehen jetzt, dass die kritischen Geschäftsprozesse eines Unternehmens – Gehaltsabrechnung, Beschaffung, Kundendaten, Logistikkoordination – über normale Mitarbeiterkonten laufen, die oft weniger überwacht und weniger geschützt sind als IT-Zugangsdaten.

Durch die gleichzeitige Kompromittierung mehrerer Mitarbeiter erhalten Angreifer Redundanz. Wird ein kompromittiertes Konto entdeckt und gesperrt, bleiben andere aktiv, was den Eindringlingen mehrere Rückfalloptionen bietet. Dieser Ansatz erleichtert auch die laterale Bewegung, da Mitarbeiter verschiedener Abteilungen oft Zugang zu überlappenden Systemen, gemeinsamen Laufwerken und Kommunikationstools haben, die nie für diese Art von mehrschichtigen Angriffen konzipiert wurden. Wie in Ransomware-Gruppen nehmen jetzt Manager ins Visier, nicht nur die IT ausgeführt, ist diese Erweiterung der Ziele Teil eines breiteren Trends, bei dem Angreifer gezielt Personen mit Entscheidungsbefugnis oder Prozessverantwortung verfolgen, nicht nur technische Schlüssel zum Netzwerk.

Auswirkungen auf die Privatsphäre von Mitarbeitern und Kunden

Die Folgen dieser Verschiebung für die Privatsphäre sind erheblich. Wenn Ransomware-Gruppen mehrere Mitarbeiterkonten anstelle eines einzelnen Administrators kompromittieren, erhalten sie typischerweise Zugang zu einem viel breiteren Spektrum an persönlichen und betrieblichen Daten: Personalakten, interne Kommunikation, Kundendateien und Finanzdokumente, die über verschiedene Abteilungen verstreut sind. Diese erweiterte Reichweite erhöht die Wahrscheinlichkeit, dass sensible personenbezogene Daten offengelegt oder veröffentlicht werden, falls kein Lösegeld gezahlt wird.

Jüngste Erpressungsfälle veranschaulichen, wie weitreichend diese Folgen sein können. Beim Stadler Rail Datenleck forderten Angreifer, die mit einer Datenaustauschplattform verbunden sind, ein millionenschweres Lösegeld, nachdem sie sich Zugang im Zusammenhang mit dem Betrieb des Unternehmens verschafft hatten. Ähnlich zeigt Qilin Ransomware-Bande bekennt sich zu Angriff auf Brasiliens Cpcg im Juli 2026, wie Ransomware-Gruppen weiterhin Organisationen in verschiedenen Regionen und Branchen ins Visier nehmen und kompromittierte Zugänge nutzen, um Opfer zur Zahlung zu drängen. Diese Fälle unterstreichen ein durchgängiges Thema: Je mehr Konten und Systeme die Angreifer berühren können, desto mehr Druckmittel haben sie und desto mehr persönliche Daten sind gefährdet.

Was das für Sie bedeutet

Wenn Sie in einem Unternehmen arbeiten, das mit sensiblen Daten umgeht – seien es Kundendaten, Finanzdetails oder interne Kommunikation –, sollte dieser Trend Ihr Denken über die Sicherheit Ihres eigenen Kontos verändern. Sie müssen kein Systemadministrator sein, um ein Ziel zu sein. Ransomware-Akteure interessieren sich zunehmend für jeden, dessen Konto einen Zugang zu geschäftskritischen Prozessen bieten kann.

Für Verbraucher und Kunden betroffener Unternehmen ist die Erkenntnis ebenso wichtig. Ein Sicherheitsvorfall, der mit mehreren kompromittierten Mitarbeiterkonten beginnt, führt oft zu einer breiteren Offenlegung personenbezogener Daten als ein einzelner Eindringpunkt. Das bedeutet, dass die Überwachung auf Anzeichen einer Datenoffenlegung, das Ändern von Passwörtern für betroffene Dienste und anhaltende Vorsicht vor nachfolgenden Phishing-Versuchen, die oft auf solche Vorfälle folgen, wichtiger denn je sind.

Praktische Schritte für die Zukunft

Sowohl Organisationen als auch Einzelpersonen können dazu beitragen, die Gefährdung durch diese Art von Angriffen zu verringern. Mitarbeiter sollten einzigartige, starke Passwörter für Arbeitskonten verwenden und Multi-Faktor-Authentifizierung aktivieren, wo immer sie angeboten wird, selbst für Konten, die nicht „wichtig“ erscheinen. Unternehmen sollten dieselbe Prüfung, die auf IT-Administratorkonten angewendet wird, auf breitere Mitarbeiterkreise ausweiten, da Angreifer keine klare Grenze mehr zwischen privilegiertem und nicht-privilegiertem Zugang ziehen.

Ransomware-Gruppen haben gezeigt, dass sie bereit sind, ihre Targeting-Strategie anzupassen, um Lücken in der Risikowahrnehmung von Organisationen auszunutzen. Da mehrere Mitarbeiterkonten zu gangbaren Einstiegspunkten werden, verteilt sich die Verantwortung für die Verteidigung entsprechend – von IT-Abteilungen auf jede Person, die über Anmeldedaten verfügt. Wachsamkeit gegenüber ungewöhnlichen Kontoaktivitäten, das umgehende Melden verdächtiger E-Mails und die Unterstützung unternehmensweiter Sicherheitsschulungen sind einfache, aber effektive Wege, um die Lücke zu schließen, die diese Angreifer ausnutzen.