Ransomware erkennen, bevor die Verschlüsselung beginnt

Die Realität von Ransomware im Jahr 2026: Die Verschlüsselung ist der letzte Schritt, nicht der erste. Wenn Ihre Dateien verschlüsselt werden, haben Sie die Schlacht bereits verloren. Der Angreifer war tagelang, manchmal wochenlang in Ihrem Netzwerk. Das Erkennungsfenster existiert, aber es erfordert zu wissen, wonach man suchen muss.

Die Ransomware Kill Chain in 7 Schritten

Eine moderne Ransomware-Operation ist nicht nur eine bösartige Programmdatei. Es ist ein mehrstufiger Vorgang:

• 1. Erstzugang: Spear-Phishing, Ausnutzung einer exponierten Schwachstelle (VPN, RDP, Webanwendung) oder gestohlene Zugangsdaten von einem Infostealer-Marktplatz

• 2. Ausführung und Persistenz: Bereitstellung eines Implantats (Cobalt Strike, Sliver, Brute Ratel), Erstellung geplanter Aufgaben, Registry-Änderungen

• 3. Rechteeskalation: Ausnutzung von AD-Fehlkonfigurationen, Kerberoasting, Ausnutzung lokaler Schwachstellen (PrintNightmare etc.)

• 4. Interne Aufklärung: BloodHound/SharpHound zum Mapping von Active Directory, Scanning von Netzwerkfreigaben, Identifizierung kritischer Systeme

• 5. Lateralbewegung: PsExec, WMI, RDP, Pass-the-Hash, Pass-the-Ticket. Der Angreifer bewegt sich zu Dateiservern, Domänencontrollern, Backup-Systemen.

• 6. Exfiltration: Vor der Verschlüsselung exfiltrieren moderne Gruppen (LockBit, BlackCat/ALPHV, Royal) Daten für die doppelte Erpressung. Häufig über rclone, MEGASync oder DNS-Tunneling.

• 7. Verschlüsselung und Erpressung: Ransomware-Bereitstellung via GPO, PsExec oder ein Deployment-Skript. An diesem Punkt ist es vorbei.

Die gute Nachricht: Die Schritte 2 bis 6 erzeugen erkennbare Signale. Das Erkennungsfenster beträgt durchschnittlich 5 bis 21 Tage.

Die 8 Frühwarnzeichen

Dies sind die Signale, die Ihr Monitoring erfassen muss, und die klassische SIEM-Regeln oft verpassen:

• Anomale Prozessausführung: Base64-kodierte PowerShell, cmd.exe gestartet durch einen Word/Excel-Prozess, wmic.exe mit verdächtigen Argumenten. Die Erkennung über Eltern-Kind-Prozessbeziehungen ist entscheidend.

• Massive LDAP-Abfragen: Ein Standard-Benutzerkonto, das das gesamte AD in 30 Sekunden abfragt, das ist BloodHound. Charakteristisches Muster: LDAP-Abfragevolumen 100x über der Baseline.

• Erkennbare Lateralbewegung: SMB/RDP-Verbindungen zwischen Maschinen, die normalerweise nie kommunizieren. Hier ist die Verhaltens-Baseline entscheidend.

• DNS-Exfiltration: DNS-Abfragen an ungewöhnliche Domains, abnormal hohes DNS-Volumen, große TXT-Abfragen. DNS-Tunnel werden von 23 % der Ransomware-Gruppen verwendet (Palo Alto Unit 42, 2024).

• Anomale Verschlüsselung: Plötzliche Zunahme von Lese-/Schreiboperationen auf Netzwerkfreigaben, massenhafte Änderung von Dateierweiterungen, explodierende Dateientropie.

• Backup-Zerstörung: Löschung von Shadow Copies (vssadmin delete shadows), Beendigung von Backup-Diensten, Änderung von Aufbewahrungsrichtlinien.

• Deaktivierung von Sicherheitstools: EDR/Antivirus-Abschaltung, Änderung von Sicherheits-GPOs, Deaktivierung von Windows Defender über PowerShell.

• Ungewöhnliche Datentransfers: Massive Uploads zu nicht autorisierten Cloud-Diensten (MEGA, Dropbox), abnormaler nächtlicher ausgehender Datenverkehr, rclone-Nutzung.

ML-basierte Verhaltenserkennung

Statische Regeln (Signaturen, bekannte IoCs) erkennen die Bedrohungen von gestern. ML-basierte Verhaltenserkennung identifiziert Abweichungen vom Normalzustand, unabhängig von der verwendeten Technik.

ThreatClaw erstellt eine Verhaltens-Baseline in 14 Tagen. Für jeden Host, Benutzer und Dienst lernt der Agent:

• Die normalerweise ausgeführten Prozesse und ihre Eltern-Kind-Bäume

• Typische Netzwerk-Traffic-Volumina und -Muster

• Aktivitätszeiten und Authentifizierungsmuster

• Dateizugriff-Volumina und Operationstypen

• DNS-Muster (aufgelöste Domains, Häufigkeit, Volumen)

Wenn ein Angreifer mit der AD-Aufklärung beginnt, durchbricht das LDAP-Abfragevolumen die Baseline des kompromittierten Benutzers. Bei Lateralbewegung erscheinen Verbindungen zwischen Maschinen, die nie kommuniziert haben. Der Agent erkennt diese Anomalien ohne eine spezifische Signatur.

Von der Erkennung zur Reaktion: Der Zeitfaktor

Erkennung allein reicht nicht. Sie müssen im Zeitfenster zwischen Erkennung und Verschlüsselung handeln. Je nach ThreatClaw-Modus:

• Sentinel: Sofortiger Alarm mit vollständigem Kontext (Prozesse, IOCs, Zeitverlauf, Kritikalität). Der CISO entscheidet.

• Hybrid: Vorschlag zur Endpunkt-Isolation + Kontosperrung. Sie genehmigen mit einem Klick über Slack/Teams/SMS.

• Autonom: Sofortige Isolation, Kontosperrung, forensischer Snapshot, Teambenachrichtigung. Alles in 90 Sekunden.

Der Unterschied zwischen "wir haben Ransomware erkannt" und "wir haben Ransomware gestoppt" entscheidet sich in diesen 90 Sekunden.

Wesentliche präventive Schutzmaßnahmen

Erkennung ist Ihre letzte Verteidigungslinie. Präventive Schutzmaßnahmen reduzieren die Angriffsfläche:

• Rigoroses Patch-Management: Von Ransomware ausgenutzte Schwachstellen sind selten Zero-Days. Es sind bekannte, ungepatchte CVEs. Priorisieren Sie nach EPSS-Score, nicht nur nach CVSS.

• Netzwerksegmentierung: Backup-Server sollten nicht von Benutzer-Workstations erreichbar sein. Lateralbewegung muss durch Netzwerkgrenzen gebremst werden.

• MFA überall: RDP, VPN, Admin-Konsole, E-Mail. Gestohlene Zugangsdaten sollten nicht ausreichen.

• Isolierte Backups: 3-2-1-1-Regel, 3 Kopien, 2 Medientypen, 1 extern, 1 offline/unveränderlich. Testen Sie die Wiederherstellung vierteljährlich.

• Prinzip der geringsten Privilegien: Admin-Konten surfen nicht im Web. Dienstkonten haben minimale Rechte. Ein regelmäßiges Audit erkennt Abweichungen.

FAQ

Wie lange dauert es von der Erstinfektion bis zur Verschlüsselung?

Die mediane Verweildauer vor der Ransomware-Bereitstellung beträgt laut Mandiant 2024 5 bis 12 Tage. Einige Gruppen (LockBit) können schneller sein (48-72 Stunden), andere nehmen sich Wochen, um die Exfiltration zu maximieren. Dieses Fenster ist Ihre Erkennungschance.

Reicht Antivirus/EDR nicht gegen Ransomware?

EDR ist notwendig, aber nicht ausreichend. Moderne Ransomware-Gruppen verwenden ausgefeilte Umgehungstechniken: BYOVD (Bring Your Own Vulnerable Driver), EDR-Deaktivierung, LOLBins. Verhaltensbasierte Erkennung auf Netzwerk- und Identitätsebene ergänzt den Endpunkt-EDR. Der mehrschichtige Ansatz funktioniert.

Wie kann ich meine Ransomware-Erkennungsfähigkeit testen?

Nutzen Sie Simulationsframeworks: Atomic Red Team (Open Source) zum Nachspielen einzelner MITRE ATT&CK-Techniken, oder einen gezielten "Ransomware-Simulations"-Pentest, der die gesamte Kill Chain reproduziert. Mehr über Pentests erfahren. ThreatClaw kann die Ergebnisse analysieren und blinde Flecken identifizieren.

Soll man das Lösegeld zahlen?

ANSSI, FBI und die meisten Behörden raten dringend von der Zahlung ab. Statistiken zeigen, dass 80 % der Organisationen, die zahlen, erneut angegriffen werden (Cybereason 2024). Die Zahlung finanziert die organisierte Kriminalität und garantiert nicht die Datenwiederherstellung. Investieren Sie stattdessen in Prävention, Erkennung und zuverlässige Backups.