Warum Ransomware-Banden auf Verschlüsselung verzichten und stattdessen auf Erpressung setzen

Cyberkriminelle ändern ihr Vorgehen. Statt Dateien mit Ransomware zu sperren und Zahlung für einen Entschlüsselungsschlüssel zu verlangen, stehlen immer mehr Angreifer einfach sensible Daten und drohen damit, sie zu veröffentlichen. Diese Verschiebung hin zur Datenerpressung ohne Verschlüsselung verändert, wie Unternehmen über Incident-Response, Backups und Kundendatenschutz nachdenken müssen.

Jahrelang folgte der Standard-Ransomware-Angriff einem vorhersehbaren Muster: In ein Netzwerk eindringen, kritische Dateien verschlüsseln und Zahlung für den Schlüssel zu deren Freischaltung verlangen. Dieses Modell gab Verteidigern eine klare Gegenmaßnahme. Wenn ein Unternehmen zuverlässige Offline-Backups hatte, konnte es seine Systeme wiederherstellen und die Zahlung verweigern. Angreifer haben das bemerkt, und viele passen sich an, indem sie den Verschlüsselungsschritt komplett überspringen.

Was ist Datenerpressung ohne Verschlüsselung?

Datenerpressung ohne Verschlüsselung, manchmal auch als reine Datenerpressung bezeichnet, lässt die Dateisperr-Phase eines traditionellen Ransomware-Angriffs weg. Stattdessen exfiltrieren Angreifer leise sensible Informationen wie Kundendaten, Finanzdaten, Mitarbeiterdateien oder geistiges Eigentum. Sobald sie haben, was sie brauchen, kontaktieren sie das betroffene Unternehmen und drohen damit, die gestohlenen Daten zu veröffentlichen oder zu verkaufen, es sei denn, ein Lösegeld wird gezahlt.

Da keine Dateien verschlüsselt werden, laufen die Systeme normal weiter. Es gibt keine gesperrten Bildschirme, keine Lösegeldforderungen, die auf Mitarbeitercomputern auftauchen, und keine unmittelbare Betriebsunterbrechung. Der Druck entsteht stattdessen vollständig durch die Androhung der Offenlegung: ein Datenleck, das behördliche Strafen, Klagen, Reputationsschäden und den Verlust des Kundenvertrauens auslösen könnte.

Warum Cyberkriminelle die Verschlüsselung aufgeben

Diese Verschiebung ergibt aus Sicht eines Angreifers praktisch Sinn. Ein ganzes Netzwerk zu verschlüsseln erfordert Zeit und technischen Aufwand, und es löst oft Sicherheitswarnungen aus, die Verteidigern die Chance geben, zu reagieren, bevor ernsthafter Schaden entsteht. Das Überspringen der Verschlüsselung ermöglicht es Angreifern, schneller zu handeln und länger unter dem Radar zu bleiben, da die Exfiltration von Daten wie normaler Netzwerkverkehr aussehen kann, wenn sie nicht genau überwacht wird.

Backups haben außerdem die Wirksamkeit verschlüsselungsbasierter Ransomware geschwächt. Viele Organisationen haben in bessere Backup- und Wiederherstellungspraktiken investiert, genau um Lösegeldzahlungen für Entschlüsselungsschlüssel zu vermeiden. Aber Backups tun nichts, um zu verhindern, dass gestohlene Daten veröffentlicht werden. Wenn eine kriminelle Gruppe bereits eine Kopie Ihrer sensiblen Dateien hat, macht die Wiederherstellung Ihrer eigenen Systeme diese Bedrohung nicht verschwinden. Diese Dynamik hat dazu beigetragen, die breitere Erpressungswirtschaft bis weit ins Jahr 2026 am Leben zu halten, selbst während die Verteidigung gegen traditionelle verschlüsselungsbasierte Angriffe besser wird.

Einige der aktivsten Erpressungsgruppen, die in diesem Jahr verfolgt wurden, veranschaulichen den Trend. Die Welle, die mit Qilins rekordverdächtiger Erpressungswelle 2026 verbunden ist, zeigt, wie schnell diese Taktiken skalieren können, sobald eine Gruppe einen profitablen Ansatz findet. Kleine und mittlere Unternehmen sind ebenfalls nicht immun; aktuelle Berichte über steigende Ransomware-Erkennungen bei indischen KMU zeigen, dass kleinere Organisationen, die oft weniger Ressourcen zur Erkennung stillen Datendiebstahls haben, zunehmend im Fadenkreuz stehen.

Die Datenschutzrisiken für Unternehmen und Kunden

Reine Datenerpressung erhöht die Einsätze für den Datenschutz auf eine Weise, die reine Verschlüsselungsangriffe nicht taten. Wenn Dateien verschlüsselt sind, ist der primäre Schaden operativ: Systeme fallen aus und die Arbeit stoppt bis zur Wiederherstellung. Wenn Daten gestohlen und mit Offenlegung bedroht werden, verlagert sich der Schaden auf die Menschen, deren Informationen sich in diesen Daten befinden. Kunden, Patienten, Mitarbeiter und Partner sind alle dem Risiko ausgesetzt, dass ihre persönlichen Daten online veröffentlicht oder an andere Kriminelle verkauft werden, unabhängig davon, ob das ursprünglich betroffene Unternehmen das Lösegeld zahlt.

Dies verkompliziert auch die Ethik und Legalität von Zahlungen. Selbst wenn ein Unternehmen zahlt, um ein Leck zu verhindern, gibt es keine Garantie, dass der Angreifer die gestohlenen Daten löscht, anstatt sie anderweitig zu verkaufen. Diese Unsicherheit macht proaktiven Datenschutz – statt reaktiver Zahlungen – zur zuverlässigeren Strategie.

Was das für Sie bedeutet

Wenn Sie ein Unternehmen führen oder IT-Systeme verwalten, bedeutet der Aufstieg der Datenerpressung ohne Verschlüsselung, dass Backups allein nicht mehr ausreichen, um Sie zu schützen. Sie müssen sich genauso darauf konzentrieren, zu verhindern, dass Daten überhaupt Ihr Netzwerk verlassen, wie darauf, sie danach wiederherstellen zu können. Das bedeutet, Zugriffskontrollen zu verschärfen, ungewöhnliche Datenübertragungen zu überwachen, sensible Daten im Ruhezustand und während der Übertragung zu verschlüsseln und zu begrenzen, wie viele persönliche oder finanzielle Informationen Sie überhaupt sammeln und speichern.

Für Einzelpersonen ist dieser Trend eine Erinnerung daran, dass die Sicherheitslage eines Unternehmens direkt Ihre persönlichen Daten betrifft, selbst wenn Sie nie mit dessen Systemen interagieren. Ihre Informationen könnten auf Servern eines Gesundheitsdienstleisters, Einzelhändlers oder Arbeitgebers liegen, der zum Ziel wird.

Wenn Ihre Organisation Opfer einer solchen Attacke wird, ist ein klarer Reaktionsplan wichtig. Ein praktischer Leitfaden zur Reaktion auf Ransomware und Erpressung kann Ihnen helfen, die ersten Schritte zu verstehen – von der Eindämmung des Vorfalls bis zur Benachrichtigung betroffener Parteien – statt unter Druck hektisch zu reagieren.

Praktische Handlungsempfehlungen

• Behandeln Sie Datenverlustprävention so ernst wie Backup und Wiederherstellung; die Verschlüsselung gestohlener Dateien ist nicht länger die Hauptbedrohung.
• Überwachen Sie ausgehenden Netzwerkverkehr auf ungewöhnliches Volumen oder Ziele, die auf Datenextraktion hindeuten könnten.
• Begrenzen Sie Datenaufbewahrung und Zugriffsrechte, sodass ein einzelnes kompromittiertes Konto nicht Ihren gesamten Datensatz offenlegen kann.
• Halten Sie einen Incident-Response-Plan bereit, bevor ein Angriff passiert, nicht danach.
• Bleiben Sie darüber informiert, wie Erpressungsgruppen operieren, da sich Taktiken weiterentwickeln, während Verteidigungen besser werden.

Datenerpressung ohne Verschlüsselung wird wahrscheinlich eine bevorzugte Taktik für Cyberkriminelle bleiben, solange sie sich als effektiv und profitabel erweist. Unternehmen, die ihre Verteidigung entsprechend anpassen und sich auf Prävention und Vorbereitung konzentrieren, statt sich nur auf Backups zu verlassen, werden weit besser positioniert sein, um sowohl ihre Betriebsabläufe als auch die Privatsphäre der Menschen zu schützen, die ihnen ihre Daten anvertrauen.