Ransomware-Banden lassen die Chefetage aus

Jahrelang konzentrierte sich das Sicherheitsbewusstseins-Training darauf, den CEO, CFO und andere Führungskräfte der C-Suite vor gezielten Angriffen zu schützen. Neue Forschungsergebnisse deuten darauf hin, dass Ransomware-Akteure weitergezogen sind. Laut Daten des ThreatLabz-Forschungsteams von Zscaler nehmen Angreifer zunehmend IT- und Business-Manager der mittleren Ebene ins Visier, mit einem Durchschnittsalter der Opfer von 46 Jahren, anstatt ihre Bemühungen auf Top-Führungskräfte zu konzentrieren.

Die Erkenntnisse stammen aus der Analyse einer einzelnen Ransomware-Kampagne, die 351 Opfer untersuchte. Von dieser Gruppe hatten 62 % Positionen auf Managementebene oder höher inne, insbesondere Rollen mit Entscheidungsbefugnis über Zahlungen und Finanzentscheidungen. Dieses Detail ist von Bedeutung. Ransomware funktioniert als Geschäftsmodell nur, wenn jemand mit der Befugnis zur Zahlungsfreigabe genug Druck verspürt, dies auch zu tun. Die Angreifer sind offenbar zu dem Schluss gekommen, dass ein Manager der mittleren Ebene, der über Budgetfreigaben, Lieferantenverträge oder die IT-Infrastruktur entscheidet, oft einen schnelleren Weg zu einer Lösegeldzahlung darstellt als der Versuch, einen CEO zu erreichen, der möglicherweise mehrere Ebenen von den täglichen Zahlungsentscheidungen entfernt ist.

Warum IT-Manager das perfekte Ziel abgeben

Die Verlagerung hin zu Managern der mittleren Ebene spiegelt eine Veränderung in der Planung der Angriffe wider. Anstatt generische Phishing-E-Mails zu versenden und zu hoffen, dass etwas hängenbleibt, deuten die Daten von ThreatLabz darauf hin, dass diese Kampagnen die vorherige Abbildung der Organisationsstruktur beinhalten. Die Angreifer identifizieren, wer an welcher Stelle im Organigramm sitzt, wer Zahlungsbefugnis hat und wer über genügend technischen Zugriff verfügt, um im Falle einer Kompromittierung echten Schaden anzurichten. Diese Informationssammlung ermöglicht es ihnen, personalisierte Social-Engineering-Ansätze zu entwickeln, die auf einen ganz bestimmten Mitarbeitertyp abzielen: jemand, der einflussreich genug ist, um von Bedeutung zu sein, aber nicht so hochrangig, dass er von mehreren Assistentenebenen und Sicherheitsprotokollen umgeben ist.

Dieser Ansatz deckt sich mit einem breiteren Trend, über den in einer verwandten Ransomware-Kampagne, die in zwei Dritteln der Fälle Manager ins Visier nimmt berichtet wurde und die ebenfalls feststellte, dass in einem separaten Vorfall Führungskräfte (Manager) und nicht die Chefetage den Großteil der Opfer ausmachten. Zusammengenommen deuten diese Berichte eher auf eine bewusste Strategie als auf einen Zufall hin. IT-Manager und Abteilungsleiter verfügen oft genau über die Mischung aus Zugriff und Befugnissen, die Ransomware-Betreiber sich wünschen: administrative Anmeldeinformationen, Kenntnisse über Backup-Systeme und die Möglichkeit, eine Zahlung freizugeben, ohne die Zustimmung des gesamten Führungsteams einholen zu müssen.

Der Datenschutz-Aspekt, der in den meisten Berichten fehlt

Was diese Verschiebung aus Datenschutzsicht bemerkenswert macht, ist, wie sehr die Zielerfassung von öffentlich zugänglichen Informationen abhängt. Um ein genaues Organigramm zu erstellen, Stellenbezeichnungen zu identifizieren und herauszufinden, wer Zahlungen kontrolliert, müssen Angreifer in der Regel Daten aus beruflichen Netzwerken, Unternehmensverzeichnissen, Pressemitteilungen und manchmal von Datenbrokern beziehen. Je detaillierter das öffentliche Profil eines Mitarbeiters ist, desto leichter kann ein Angreifer einen überzeugenden Vorwand konstruieren.

Hier überschneidet sich Ransomware auch mit dem wachsenden Markt für gestohlenen Unternehmenszugang. Ein Teil derselben organisatorischen Informationen, die für die Planung einer gezielten Phishing-Nachricht verwendet werden, kann aus kompromittierten Zugangsdaten oder auf kriminellen Foren angebotenem Zugang stammen – eine Dynamik, die in einem Bericht über einen russischen Hacker, der gestohlenen Unternehmenszugang verkaufte und gleichzeitig die Ukraine ausspionierte untersucht wird. Sobald ein Angreifer einen Fuß in der Tür oder ein detailliertes Mitarbeiterprofil hat, wird die Anpassung eines Ransomware-Köders an einen bestimmten Manager weitaus einfacher als in Zeiten massenhafter Phishing-Kampagnen.

Was das für Sie bedeutet

Wenn Sie im IT-Management, in der Betriebsleitung oder in einer Funktion mit Zahlungs- oder Systemzugriffsbefugnissen arbeiten, deutet diese Forschung darauf hin, dass Sie möglicherweise ein attraktiveres Ziel sind, als Sie bisher angenommen haben. Einige praktische Schritte können Ihre Angriffsfläche verringern:

  • Überprüfen Sie, was Ihr Arbeitgeber, Ihr LinkedIn-Profil oder Ihre berufliche Biografie über Ihre spezifischen Verantwortlichkeiten und Zugriffsrechte preisgeben.
  • Behandeln Sie unerwartete Nachrichten, die sich auf Ihre Aufgaben, Ihre Budgetbefugnis oder interne Systeme beziehen, mit besonderer Vorsicht, auch wenn sie scheinbar von einem bekannten Kontakt oder Anbieter stammen.
  • Bestätigen Sie Zahlungs- oder Systemänderungsanforderungen, bevor Sie handeln, über einen separaten, verifizierten Kommunikationskanal, unabhängig davon, wie dringend die Nachricht erscheint.
  • Setzen Sie sich für unternehmensweite Backup- und Incident-Response-Planung ein, anstatt davon auszugehen, dass Angreifer immer auf die Chefetage abzielen. Das Multi-Extortion-Ransomware-Playbook, das 2026 inzwischen gängig ist, bedeutet, dass Backups allein kein garantierter Rettungsanker mehr sind.

Das Fazit

Ransomware-Betreiber verfeinern ihre Zielerfassung auf die gleiche Weise wie legitime Marketingfachleute: indem sie identifizieren, wer tatsächlich Entscheidungsbefugnis hat, und diese Personen direkt ansprechen. Die Ergebnisse von Zscaler ThreatLabz machen deutlich, dass IT- und Business-Manager der mittleren Ebene – und nicht nur Führungskräfte – jetzt direkt im Fadenkreuz stehen. Kleinere Organisationen ohne eigene Sicherheitsteams sind hier besonders gefährdet, weshalb Ressourcen wie der 2026 Ransomware-Leitfaden für kleine und mittelständische Unternehmen unabhängig von Unternehmensgröße und Standort einen Blick wert sind.

Die Kernbotschaft lautet nicht, in Panik zu geraten, sondern zu erkennen, dass Berufsbezeichnung und Zugriffsebene heute als eine Art Zielprofil fungieren. Die Verringerung des öffentlichen Fußabdrucks, die Überprüfung ungewöhnlicher Anfragen und der Einsatz für eine stärkere organisatorische Reaktionsplanung sind praktische, umsetzbare Schritte, mit denen jeder Manager heute beginnen kann.