Jahrelang war das typische Bild von Ransomware das von verschlüsselten Dateien und einer Lösegeldforderung auf dem Bildschirm. Eine neue Taktik, die PortalGeek beschreibt, ändert dieses Drehbuch: Ransomware ohne Verschlüsselung living off the land legt Unternehmensnetzwerke lahm, ohne eine einzige Datei zu verschlüsseln, und stützt sich dabei auf die eigenen Tools der Organisation. Das Ergebnis bleibt dasselbe – ein Unternehmen steht still –, aber der Weg dorthin ist schwerer zu erkennen.

Dieser Artikel erklärt, wie sie funktioniert, warum sie so schwer zu fassen ist und was sowohl Unternehmen als auch Menschen, die von zu Hause aus arbeiten, überprüfen sollten.

Wie Ransomware ohne Verschlüsselung funktioniert

Den veröffentlichten Informationen zufolge lähmt diese Taktik den Betrieb eines Unternehmensnetzwerks, ohne auf Dateiverschlüsselung zurückzugreifen, worauf viele Abwehrmaßnahmen normalerweise achten. Statt eine sehr sichtbare Schadsoftware einzusetzen, nutzt der Angreifer Werkzeuge, die bereits in der Umgebung vorhanden sind: Verwaltungstools wie PowerShell und Fernzugriffssoftware.

Dieser Ansatz ist als „living off the land" (vom Land leben) bekannt: Der Eindringling verwendet, was bereits installiert ist. Ohne Daten zu verschlüsseln, kann er Dienste unterbrechen, Zugriffe blockieren oder Systeme unbrauchbar machen, und die Auswirkung auf die Geschäftskontinuität ist ebenso gravierend. Für ein Unternehmen ist die Unfähigkeit zu operieren das zentrale Problem – ob seine Dateien verschlüsselt sind oder nicht.

Warum die Nutzung legitimer Tools die Erkennung erschwert

Der Schlüssel liegt darin, dass nichts, was der Angreifer ausführt, auf den ersten Blick seltsam erscheint. PowerShell wird täglich von Systemadministratoren verwendet, und Fernzugriffssoftware ist ein üblicher Bestandteil des technischen Supports. Wenn ein Angreifer mit gültigen Anmeldedaten dieselben Tools startet, kann seine Aktivität mit Routinearbeit verwechselt werden.

Das hat mehrere praktische Konsequenzen:

  • Weniger klassische Signale. Ein Antivirus, der nach bekannten Schaddateien sucht, hat wenig zu blockieren, wenn legitime Programme verwendet werden.
  • Der Fokus verschiebt sich auf die Anmeldedaten. Wenn der Zugriff gültig ist, lautet die Frage nicht mehr „Welche Software ist das?", sondern „Wer verwendet sie und von wo aus?".
  • Verhalten wird wichtiger. Eine ungewöhnliche Nutzung eines Tools zu erkennen (zu einer seltsamen Uhrzeit, von einem unerwarteten Gerät) wird nützlicher als das Erkennen einer bestimmten Datei.

Das ist keine Bedrohung, die sich mit einem einzigen Produkt lösen lässt. Sie erfordert mehrere Schichten: Zugriffskontrolle, Sichtbarkeit und Wiederherstellungsfähigkeit.

Was das für Telearbeit und Heimnetzwerke bedeutet

Ein Unternehmensnetzwerk endet nicht im Büro. Jeder Laptop, der sich von zu Hause aus verbindet, jedes Fernzugriffstool und jedes wiederverwendete Passwort vergrößert die Angriffsfläche, über die ein Angreifer eindringen kann. Wenn die Methode auf der Nutzung legitimer Zugriffe beruht, werden die Anmeldedaten der Remote-Arbeitenden zu einer besonders wertvollen Tür.

In der Praxis beeinflusst die Sicherheit des Heimnetzwerks die des Unternehmens:

  • Ein Router mit Werkseinstellungspasswort oder veralteter Firmware ist ein Schwachpunkt.
  • Ein zwischen persönlichen und geschäftlichen Diensten wiederholtes Passwort erleichtert es, dass eine fremde Datenpanne die Arbeit beeinträchtigt.
  • Ein installiertes und vergessenes Fernzugriffsprogramm oder eines ohne verstärkte Authentifizierung bietet einen direkten Weg zum Gerät.

Der allgemeine Kontext ist ebenfalls wichtig. Wie wir in unserer Analyse über die Zunahme von Ransomware-Opfern in Spanien und Datendiebstahl mit KI berichteten, wächst die Bedrohung weiter und betrifft sowohl Organisationen als auch die Menschen, die mit ihnen verbunden sind.

Praktische Maßnahmen: MFA, minimale Rechte, Monitoring und Backups

Keine dieser Maßnahmen ist neu, aber zusammen reduzieren sie den Handlungsspielraum derjenigen, die legitime Tools missbrauchen wollen, erheblich.

  1. Multifaktor-Authentifizierung (MFA). Aktiviere sie für E-Mail, Unternehmens-VPNs, Remote-Desktop und jedes Verwaltungsportal. Wenn ein Passwort durchsickert, fügt MFA ein wichtiges Hindernis hinzu.
  2. Minimale Rechte. Jedes Konto sollte nur die Berechtigungen haben, die es benötigt. Wenn ein normaler Benutzer PowerShell nicht mit erhöhten Rechten ausführen muss, sollte man es besser einschränken.
  3. Kontrolle der Fernzugriffssoftware. Führe ein Inventar darüber, welche Tools autorisiert sind, und entferne ungenutzte.
  4. Verhaltensmonitoring. Protokolliere und überprüfe die Aktivität von Verwaltungstools und definiere Alarme bei ungewöhnlicher Nutzung.
  5. Isolierte und getestete Backups. Bewahre Kopien getrennt vom Hauptnetzwerk auf und prüfe, ob sie wiederhergestellt werden können. Wenn Systeme und nicht nur Dateien blockiert werden, sollte auch ein dokumentierter Wiederherstellungsplan vorhanden sein.
  6. Hygiene zu Hause. Ändere die Zugangsdaten des Routers, aktualisiere seine Firmware, verwende einzigartige Passwörter mit einem Manager und halte das Betriebssystem aktuell.

Fazit: Überprüfe deine Konfiguration, bevor es ein Angreifer tut

Die Ransomware ohne Verschlüsselung living off the land erinnert daran, dass die Gefahr nicht immer in Form einer verdächtigen Datei kommt. Manchmal kommt sie mit einem gültigen Konto und Tools, die bereits auf deinem Gerät sind. Deshalb besteht die Verteidigung darin, Anmeldedaten zu schützen, Berechtigungen zu begrenzen, das Verhalten zu überwachen und sicherzustellen, dass du dich erholen kannst.

Nimm dir diese Woche ein paar Minuten Zeit, um deine Remote-Arbeitskonfiguration zu überprüfen: Hast du MFA für deine Schlüsselkonten aktiviert? Hast du das Administrationspasswort deines Routers geändert? Sind deine Backups isoliert und hast du sie getestet? Um die Dimension des Problems besser zu verstehen, kannst du unseren Artikel über Ransomware-Trends in Spanien lesen.