Artikel vom 6. Februar 2026
Ransomware-as-a-Service: So funktioniert die Schattenwirtschaft
Das RaaS-Geschäftsmodell erklärt #
Drei Rollen: Entwickler, Affiliates, Broker #
Entwickler schreiben die Ransomware-Software. Sie kümmern sich um Verschlüsselung, C2-Kommunikation (Command & Control) und Dekryptions-Dienstleistungen. Das ist hochspezialisierte Arbeit.
Affiliates (auch: Anfänger oder Geschäftspartner) sind die Angreifer. Sie kaufen oder mieten die Ransomware und führen die eigentlichen Operationen durch — Initial Access Broker (IAB) penetrieren Netzwerke über Phishing, RDP-Exploits oder Schwachstellen. Die Affiliates zahlen die Ransomware nicht auf einmal; stattdessen läuft ein Provisionsmodell:
Broker (optional, aber häufig) fungieren als Vermittler. Sie bieten bereits Zugriff auf kompromittierte Netzwerke an. Ein Affiliate kauft sich quasi ein “Einstiegsloch” und startet den Angriff von dort.
Das Provisionsmodell #
Ein Affiliate zahlt keine feste Lizenz für Ransomware. Stattdessen erhalten die Entwickler einen Anteil am Lösegeld:
- Typisch 70 – 80% des Lösegelds gehen an die Affiliate (derjenige, der den Angriff durchgeführt hat).
- 20 – 30% gehen an den Entwickler (Betreiber der -Plattform).
- Zahlungen erfolgen in Bitcoin oder Monero, anonym und nicht nachverfolgbar.
Beispiel: Ein Affiliate erpresst ein Unternehmen für 500.000 EUR. Der Affiliate behält ca. 350.000 – 400.000 EUR und zahlt 100.000 – 150.000 EUR an den Entwickler. Das Modell belohnt Skalierung — je mehr Angriffe, desto mehr Gewinn für beide Seiten.
Der Service-Charakter #
-Betreiber bieten tatsächlich Kundenservice:
- Dekryptions-Tools: Wenn das Lösegeld gezahlt wird, stellen die Entwickler ein Dekryptions-Tool bereit (das häufig buggy ist, aber funktioniert).
- Leak-Seiten: Viele -Gruppen betreiben Dark-Web-Seiten, auf denen gestohlene Daten zur Verhandlung oder zum Verkauf stehen. Das ist eine Druckausübung auf Unternehmen, die nicht zahlen möchten.
- Support-Forum: Es gibt inoffizielle Foren, auf denen Affiliates Probleme melden und Entwickler Support bieten.
- Versionsupgrades: Bekannte Gruppen veröffentlichen regelmäßig neue Versionen ihrer Ransomware mit Verbesserungen (z. B. bessere Netzwerk-Verbreitung, Umgehung neuer E-Tools).
Bekannte RaaS-Gruppen und ihre Merkmale #
LockBit #
Die wahrscheinlich größte aktive -Familie (Varianten: LockBit 2.0, LockBit 3.0). LockBit betreibt aggressiv Double-Extortion-Leaks und hat ein großes Affiliate-Netzwerk. Durchschnittliche Forderung: Hundertausende bis Millionen EUR.
Merkmale: Schnelle Verschlüsselung, professionelle Leak-Seite, hohe öffentliche Sichtbarkeit (bewusste PR-Taktik).
BlackCat / ALPHV #
Eine neuere, aggressivere Gruppe, die 2021 auftauchte. BlackCat nutzt Rust (statt C++ oder C) für ihre Malware, was fortgeschrittener ist. Sie bieten eine umfangreiche -Plattform mit festen monatlichen Gebühren für Top-Affiliates.
Merkmale: Professionelle Branding, Leak-Seite auf ToR und Clearnet, Double Extortion, Fokus auf große Unternehmen und Kritische Infrastruktur.
Cl0p (Clop) #
Bekannt für Schwachstellen in File-Transfer-Anwendungen (z. B. Progress Software’s MOVEit). Cl0p operiert nicht als klassisches , sondern eher als spezialisierte Gruppe, die ihre Exploits direkt verkauft oder lizenziert.
Merkmale: Exploit-basiert, Fokus auf Supply-Chain-Angriffe, sehr selektiv in ihren Zielen.
Alphonso / Alphakeyboard (und andere) #
Eine Vielzahl kleinerer -Familien existieren. Manche sind Ableger etablierter Gruppen, andere sind ganz neue Einsteiger.
Warum RaaS Angriffe skalierbar macht #
Geringere Einstiegsbarrieren #
Jeder mit Geld (nicht nur technische Fähigkeiten) kann einen Ransomware-Angriff durchführen. Ein Initial Access Broker verkauft Netzwerk-Zugriff für 1.000 – 50.000 EUR. Ein Affiliate muss dann “nur noch” den Angriff durchführen — die Infrastruktur, Malware und Dekryption sind bereits vorhanden.
Globale Ressourcenpools #
Affiliates rekrutieren sich weltweit. Ein Angreifer in Osteuropa kann Netzwerke in Deutschland oder den USA ins Visier nehmen. Das Geschäftsmodell funktioniert länderübergreifend.
Standardisierung #
Mit jeder neuen Version wird die Ransomware besser, schneller, schwerer zu erkennen. Die Entwickler-Teams verbessern kontinuierlich ihre Techniken. Das ist dasselbe wie legitime Softwareentwicklung — nur für illegale Zwecke.
Profit-Motivation #
Mit Provisionsmodellen verdienen beide Seiten viel Geld schnell. Ein einzelner großer Angriff kann Millionen einbringen. Das finanziert weitere Entwicklung und Marketing der -Plattform.
Auswirkungen auf Ihre Verteidigungsstrategie #
bedeutet, dass Sie nicht nur gegen eine Malware kämpfen, sondern gegen ein organisiertes, finanziertes Ökosystem. Das erfordert:
- Prävention reicht nicht. Die Gefahr ist zu professionalisiert und zu gut finanziert.
- Wiederherstellbarkeit ist zentral. Mit automatisierten, getesteten, offline Backups können Sie sich innerhalb von Stunden erholen — unabhängig vom Angreifer.
- Incident Response ist notwendig. Wenn Sie getroffen werden, brauchen Sie ein Team, das schnell handeln kann.
- Recovery-Tests regelmäßig. Ein Backup ist sinnlos, wenn Sie nicht wissen, ob es funktioniert.
Häufige Fragen #
Sollte man Lösegeld zahlen? Rechtlich: teilweise verboten (Sanktionsgesetze können das verbieten). Praktisch: zahlen bedeutet, dass Sie den Angreifer finanzieren und zukünftige Angriffe begünstigen. Mit funktionierenden Backups sollte Zahlung nicht notwendig sein.
Können Sicherheitslösungen -Malware stoppen? Modern -Malware ist oft polymorphisch (ändert ihre Signatur) und nutzt Exploits, bevor Patches verfügbar sind. E-Tools helfen, aber sind nicht 100% wirksam. Prävention + Detektion + Recovery ist der Schlüssel.
Ist mein Unternehmen zu klein für -Angriffe? Nein. Viele kleinere Unternehmen sind Ziele, weil sie schwächer verteidigt sind. Ein durchschnittlicher Angriff auf ein KMU kann 10.000 – 500.000 EUR Schaden anrichten — genug für Affiliates.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.