Ein ungeschützter Endpunkt wurde zur Schwachstelle

Ein neu dokumentierter Interlock-Ransomware-Vorfall, über den Sophos berichtet, veranschaulicht ein Problem, auf das Sicherheitsteams seit Monaten hinweisen: Ein einziger ungeschützter Endpunkt kann Angreifern die nötige Zeit verschaffen, um Anmeldedaten zu stehlen und sich im Netzwerk festzusetzen, bevor es jemand bemerkt. Laut Sophos konnte sich der Vorfall entfalten, weil ein Gerät ohne Endpunktschutz es der Interlock-Gruppe ermöglichte, ohne die Art von Alarmen zu agieren, die normalerweise verdächtiges Verhalten auf einer überwachten Maschine kennzeichnen würden.

Diese Lücke war entscheidend. Ohne Sicherheitssoftware, die den Endpunkt überwachte, konnten die Angreifer langsam und gezielt vorgehen, Anmeldedaten sammeln und Mechanismen einrichten, um den Netzwerkzugriff lange nach der ersten Kompromittierung aufrechtzuerhalten. Es ist eine Erinnerung daran, dass Ransomware-Betreiber sich immer weniger darauf verlassen, Verteidigungen zu durchbrechen, sondern vielmehr still und heimlich die Schlüssel sammeln, mit denen sie durch die Vordertür spazieren können.

Warum gestohlene Anmeldedaten der eigentliche Gewinn sind

Der Interlock-Fall passt zu einem Muster, das Sophos seit einiger Zeit dokumentiert. Frühere Sophos-Untersuchungen ergaben, dass 79 % der Ransomware-Angriffe mit gestohlenen Anmeldedaten beginnen, eine Zahl, die unterstreicht, wie zentral Identitätsdiebstahl für moderne Ransomware-Operationen geworden ist. Weitere Sophos-Berichte gehen noch weiter und identifizieren kompromittierte Anmeldedaten als häufigsten Einstiegspunkt für Ransomware, womit sie Software-Schwachstellen als bevorzugte Methode der Angreifer überholt haben.

Der Interlock-Vorfall zeigt, warum dieser Wechsel aus Sicht des Angreifers sinnvoll ist. Das Ausnutzen einer Software-Schwachstelle erfordert oft präzises Timing und kann Erkennungssysteme auslösen, die darauf ausgelegt sind, ungewöhnliche Ausnutzungsversuche zu erfassen. Das Stehlen gültiger Anmeldedaten und deren Verwendung für die Anmeldung kann dagegen wie normale Benutzeraktivität aussehen, besonders auf einem Endpunkt ohne Schutzsoftware, die die Anomalie melden könnte. Einmal im Netzwerk, müssen Angreifer sich nicht gewaltsam durchkämpfen; sie können sich mit Konten bewegen, die bereits legitimen Zugriff haben.

Dies deckt sich auch mit breiteren identitätsbezogenen Ergebnissen. Ein aktueller Sophos-Bericht zeigt, dass 71 % der Unternehmen weltweit 2025 mindestens einen identitätsbezogenen Verstoß erlitten haben, was bestätigt, dass der Diebstahl von Anmeldedaten keine Nischentechnik für hochspezialisierte Akteure ist. Er ist zur Standard-Einstiegsstrategie für eine Vielzahl von Ransomware-Gruppen geworden, einschließlich Interlock.

Persistenz ist die zweite Hälfte des Problems

Gestohlene Anmeldedaten nützen einem Angreifer nur, wenn er sie weiterhin verwenden oder durch einen anderen Zugang ersetzen kann, sobald das ursprüngliche Konto gesperrt wird. Dies ist der zweite Aspekt, den Sophos in diesem Vorfall hervorhebt: Der ungeschützte Endpunkt gab Interlock genügend ungestörte Zeit, um Persistenzmechanismen zu etablieren – im Wesentlichen eine Hintertür, die ihnen die Rückkehr ermöglicht, selbst wenn die gestohlenen Anmeldedaten schließlich entdeckt und widerrufen werden.

Dieser zweistufige Prozess – Anmeldedatendiebstahl gefolgt von Persistenz – unterscheidet einen eingedämmten Vorfall von einem langwierigen. Eine Organisation, die den Missbrauch von Anmeldedaten schnell erkennt, kann den Zugriff oft unterbrechen, bevor ernsthafte Schäden entstehen. Wenn jedoch auf dem betroffenen Gerät keine Überwachung stattfindet, können Angreifer beide Schritte abschließen, bevor die Verteidiger überhaupt merken, dass etwas nicht stimmt. Andere Vorfälle außerhalb des Ransomware-Bereichs folgen einem ähnlichen Muster: Ein einziger kompromittierter Computer bei Plaza Home Mortgage reichte aus, um eine Datenschutzverletzungsuntersuchung auszulösen, die Sozialversicherungsnummern von Kunden betraf, und zeigt, wie eine einzige Schwachstelle in einer ansonsten sicheren Umgebung alles sein kann, was es braucht.

Was das für Sie bedeutet

Für normale Nutzer und kleine Organisationen gleichermaßen ist die Lehre aus dem Interlock-Vorfall nicht abstrakt. Endpunktschutz ist nicht nur ein Punkt auf der Unternehmens-Checkliste; es ist die Schicht, die eine potenziell mehrwöchige Kompromittierung in eine Erkennung am selben Tag verwandelt. Wenn Sie Geräte verwalten, sei es persönliche Laptops oder ein kleines Büronetzwerk, ist ein ungeschützter Rechner, der mit gemeinsam genutzten Ressourcen verbunden ist, eine Gefahr für alle in diesem Netzwerk, nicht nur für seinen Besitzer.

Die Anmeldehygiene ist ebenso wichtig. Die Wiederverwendung von Passwörtern über verschiedene Konten, das Überspringen der Multi-Faktor-Authentifizierung oder das Aktivlassen alter Konten, wenn jemand eine Organisation verlässt, geben Angreifern mehr Gelegenheiten, mit gestohlenen Anmeldedaten einzudringen, anstatt Softwarefehler auszunutzen. Dieser Trend ist auch nicht auf Interlock beschränkt; er spiegelt sich in breiteren Vorfällen wider, die kürzlich Schlagzeilen machten, darunter die Mischung aus russischer Zimbra-Spionage und Erpressungsfällen bei Stadler Rail, die die Aufmerksamkeit darauf gelenkt haben, wie vielfältig und hartnäckig diese auf Anmeldedaten ausgerichteten Angriffe geworden sind.

Sinnvolle praktische Schritte

Stellen Sie sicher, dass jedes Gerät, das mit sensiblen Systemen verbunden ist, einschließlich persönlicher Computer, die für Remote-Arbeit genutzt werden, über einen aktiven Endpunktschutz verfügt. Erzwingen Sie Multi-Faktor-Authentifizierung überall dort, wo sie unterstützt wird, da sie den Wert eines gestohlenen Passworts mindert. Überprüfen Sie Konten regelmäßig auf ungenutzte oder verwaiste Anmeldedaten und achten Sie auf ungewöhnliche Anmeldemuster, anstatt anzunehmen, dass ein gültiger Benutzername und ein Passwort einen legitimen Benutzer bedeuten.

Der Interlock-Vorfall ist gerade deshalb ein nützliches Fallbeispiel, weil er nicht exotisch ist. Er erforderte weder einen neuartigen Exploit noch eine fortschrittliche Zero-Day-Lücke. Er erforderte lediglich einen ungeschützten Endpunkt und genügend Zeit, um scheinbar normale Anmeldedaten zu stehlen. Diese Lücke zu schließen, ist für die meisten Organisationen durchaus machbar, und es bleibt eine der wirksamsten Verteidigungsmaßnahmen gegen Ransomware-Gruppen, die klar entschieden haben, dass Anmeldedaten und nicht Code der einfachste Weg hinein sind.