» Resources » Eye Security Blog »
Written by Eye Security
„Alle Systeme sind ausgefallen. Wir sind ausgesperrt. Wir wissen nicht, wie weit sich der Angriff ausgebreitet hat.”
So klingt der typische Anruf, den unsere Incident Response-Hotline von Unternehmen in Krisensituationen erhält. Meistens sind zu diesem Zeitpunkt bereits kritische Systeme verschlüsselt, der Betrieb steht still und das volle Ausmaß ist noch unklar.
Die harte Realität moderner Ransomware: Der Angriff beginnt oft Wochen vorher, unbemerkt, während Angreifer Ihr Netzwerk erkunden, Berechtigungen ausweiten und auf den richtigen Moment warten. Trotz der besten Bemühungen von IT- und Sicherheitsteams entdecken die meisten Organisationen den Einbruch erst, wenn es bereits zu spät ist.
Bei Eye Security haben wir dutzende Organisationen durch die kritischen ersten Tage begleitet. In diesem Fallbeispiel nehmen wir Sie mit in einen realen Angriff, vom Erstkontakt über die Untersuchung, Lösegeldverhandlungen bis zur vollständigen Wiederherstellung.
Diese Geschichte zeigt die Abläufe hinter den Kulissen einer Ransomware-Ermittlung. Sie offenbart die Anatomie moderner Ransomware-Kampagnen, wie sie operieren, wo Organisationen Schwachstellen zeigen und wie eine gut vorbereitete Reaktion Langzeitschäden abmildern kann.
Laut Cybercrime Magazine werden die Schäden durch Ransomware im Jahr 2025 weltweit 57 Milliarden US-Dollar erreichen. Das entspricht 4,8 Milliarden pro Monat, 1,1 Milliarden pro Woche, 156 Millionen pro Tag, 6,5 Millionen pro Stunde, 109.000 pro Minute und 2.400 pro Sekunde.
Die Global Cost of Ransomware Study des Ponemon Institute, basierend auf einer Umfrage unter 2.547 IT- und Cybersecurity-Experten, zeigt: 88 % der befragten Organisationen wurden im vergangenen Jahr Opfer von Ransomware. Davon mussten 58 % den Betrieb nach einem Angriff durchschnittlich 12 Stunden lang einstellen.
Bei mittelständischen Unternehmen lag die durchschnittliche Lösegeldforderung bei 1,2 Millionen US-Dollar, 55 % zahlten das Lösegeld. 44 % gaben an, nicht ausreichend auf schnelle Erkennung und Reaktion vorbereitet zu sein. Im Jahr 2024 beliefen sich die durchschnittlichen Kosten eines Ransomware-Angriffs auf 5,13 Millionen US-Dollar, ein Anstieg von 574 % in sechs Jahren. Diese Summe umfasst Lösegeldzahlungen, Wiederherstellungskosten sowie Folgekosten durch Reputations- und Vertrauensverluste.
Es war ein ganz normaler Wochentagnachmittag, als die Incident Response (IR) Hotline von Eye Security klingelte. Der IT-Leiter eines europäischen Mittelstandsunternehmens meldete sich. Auftragsbearbeitung gestoppt, Mitarbeitende ausgesperrt, alle kritischen Systeme außer Betrieb. Ein schwerer Ransomware-Angriff hatte das Unternehmen getroffen.
Das Team hatte erste Maßnahmen ergriffen, doch schnell wurde klar: Sie waren dem Angreifer unterlegen. Über die technische Wiederherstellung hinaus brauchte das Unternehmen dringend strategisches Krisenmanagement.
Nach Beginn der Zusammenarbeit wurde schnell klar, dass das Unternehmen von einer Ransomware-Gruppe angegriffen wurde, die für ihre besonders zerstörerischen Attacken bekannt ist. Seit ihrer Entstehung Anfang 2023 hatte die Gruppe weltweit über 700 Vorfälle verursacht und schätzungsweise mehr als 42 Millionen US-Dollar erpresst.
Der Modus Operandi der Gruppe umfasst die Ausnutzung von VPN-Schwachstellen sowie häufig den Einsatz geleakter Zugangsdaten oder Brute-Force-Angriffe, um Sicherheitsmaßnahmen zu umgehen.
Nach dem Eindringen erkundeten sie das Netzwerk, erweiterten ihre Rechte und kartierten die Umgebung systematisch. Bis zur Verschlüsselung hatten die Angreifer bereits:
Für das Unternehmen bedeutete dies eine vollständige Betriebsblockade. Alle Hinweise sprachen für einen gut vorbereiteten und hoch motivierten Gegner.
So entwickelte sich der Angriff ab Tag 1 unserer Unterstützung:
Maßnahmen zur Eindämmung begannen, um infizierte Endpunkte zu isolieren und forensische Beweise zu sichern. Ein Datenwiederherstellungsspezialist wurde hinzugezogen, da lokale Backups vom Angreifer gelöscht worden waren.
Der Fokus lag auf:
Nach Sicherstellung einer verschlüsselten Kommunikationsverbindung machte der Angreifer seine Forderungen geltend. Ein Lösegeldschreiben wurde zugestellt. Zwar gab es keine konkrete Summe, doch das Ausmaß des Angriffs deutete auf eine hohe sechsstellige Forderung hin.
Parallel entwickelte unser Team eine Reaktionsstrategie mit mehreren Szenarien, darunter:
Aufgrund der Datenschutz-Grundverordnung (DSGVO) musste das Unternehmen innerhalb von 72 Stunden den Vorfall der Aufsichtsbehörde melden. Die Exfiltration personenbezogener und potenziell sensibler Daten löste Meldepflichten aus.
Unsere Rechtsberater arbeiteten mit der Unternehmensjuristerei zusammen, um:
Parallel wurden verschlüsselte Laufwerke physisch an ein Datenwiederherstellungslabor geschickt, um Entschlüsselungs- oder Rettungsmöglichkeiten zu prüfen.
Die Analyse ergab den genauen Einstiegspunkt: eine verwundbare VPN-Lösung. Log-Dateien zeigten, dass der Angreifer mindestens 26 Tage unbemerkt Zugang hatte, bevor die Ransomware ausgerollt wurde. Die lange Verweildauer ermöglichte eine gezielte, gut vorbereitete Attacke.
Nach mehreren Tagen gelang der erste große Erfolg: Ein Teilbackup eines kritischen Anwendungservers, das extern gespeichert war, konnte wiederhergestellt werden. Dies ermöglichte den Neustart der wichtigsten Geschäftssysteme.
Dieser Durchbruch veränderte die Lage entscheidend.
Mit dem Fortschritt der Wiederherstellung informierte die Führungsebene die Mitarbeitenden offiziell. Mit vorab abgestimmten Botschaften wurde versucht, Transparenz und Beruhigung zu schaffen, ohne Panik oder zu frühe Medienberichterstattung.
Zwei Wochen nach dem Vorfall wurden Online-Services schrittweise wieder hochgefahren, Netzwerkzugänge wiederhergestellt und Systeme gesichert.
Der Angreifer forderte offiziell 900.000 USD in Bitcoin für den Entschlüsselungscode und die „Garantie”, die gestohlenen Daten nicht zu veröffentlichen oder zu verkaufen.
Eine kritische Entscheidung stand an.
Vom 26. bis 42. Tag intensivierten sich die Verhandlungen. Lösegeldzahlungen werden selten empfohlen, doch Organisationen müssen folgende Faktoren bewerten:
Am Tag 41 kehrte das Unternehmen fast zum Normalbetrieb zurück – ohne den Entschlüsselungscode. Schließlich wurde am Tag 56 eine reduzierte Zahlung von 270.000 USD in Bitcoin geleistet: nicht für Entschlüsselung, sondern in der Hoffnung, die Veröffentlichung sensibler Daten zu verhindern.
Dieser Fall zeigt nicht nur die Komplexität von Ransomware-Angriffen, sondern auch häufige strategische und technische Fehler davor. Wichtige Learnings für Cybersecurity-Profis:
Die ausgenutzte Schwachstelle war bekannt. Patching und Schwachstellenmanagement müssen oberste Priorität haben.
Der Angreifer löschte Backups problemlos. Mit Immutable- oder Air-Gapped-Backups wäre die Wiederherstellung schneller und weniger lohnbasiert gewesen.
Wochenlange unerkannte Zugriffe sind fatal. 24/7 Detection und Response sind essenziell.
Die Versicherung deckte IR-Kosten, Rechtsberatung und einen Teil der Lösegeldzahlung ab.
Zero-Trust ist keine Theorie mehr. Jeder externe Dienst ist ein potentieller Einstiegspunkt.
Eye Security bietet Enterprise-Cybersecurity, zugeschnitten auf Risiken und Budgets mittelständischer Unternehmen:
Wenn Ransomware zuschlägt, brauchen Sie ein erprobtes Team, das sofort handelt. Erfahren Sie mehr über unsere Incident Response.
Wenn Sie einen Vorfall vermuten, kontaktieren Sie sofort unsere Incident Response Hotline:
Notfall-IR Deutschland: +49 203 6688 1900
Bedrohungen und Schwachstellen
Cyberangriffe werden nicht nur häufiger, sondern auch schneller, leiser und schwerer erkennbar. Genau das war die zentrale Botschaft unseres jüngsten Trend-Report-Webinars für die DACH-Region. Im Mittelpunkt stehen Erkenntnisse aus 630 untersuchten Sicherheitsvorfällen aus Deutschland, den Benelux-Ländern und dem operativen Alltag unseres Security Operations Centers.
Eye Security analysierte zwischen Januar 2023 und November 2025 insgesamt 630 anonymisierte Cybersicherheitsvorfälle in ganz Europa. Die Analyse liefert Einblicke in Erkennung, Verweildauer, Ursachen sowie die operativen Auswirkungen von Sicherheitsvorfällen. Die Auswertung zeigt, wie Bedrohungsakteure Vertrauen, Zeit und Technologie gezielt ausnutzen und wie Managed Detection and Response (MDR) den Verlauf sowie das Ergebnis maßgeblich beeinflusst.
Eye Research hat gezeigt, dass ein AI-Canvas legitime Inhalte imitieren kann, zum Beispiel eine HR Umfrage oder eine interne Login-Seite. Werden diese Canvases Inhalte per E-Mail oder über Messaging Plattformen verbreitet, wirken sie vertrauenswürdig, da sie mit bekannten KI-Diensten verbunden sind. Weitere Details finden Sie im vollständigen technischen Bericht.
