Zscaler Blog
Erhalten Sie die neuesten Zscaler Blog-Updates in Ihrem Posteingang
Ransomware-Angreifer nehmen Führungskräfte ins Visier
Wenn ein Ransomware-Angriff Schlagzeilen macht, richtet sich die Aufmerksamkeit in der Regel auf das betroffene Unternehmen, die verschlüsselten Systeme, die gestohlenen Daten und die darauf folgenden Störungen oder Lösegeldforderungen. Über die Mitarbeiter, deren Daten zu Beginn des Angriffs kompromittiert wurden, und darüber, was diese Personen zu wertvollen Zielen macht, wird weniger oder gar nichts bekannt.
Neue Forschungsergebnisse von Zscaler ThreatLabz untersuchen diese frühe Phase eines realen Ransomware-Angriffs. ThreatLabz identifizierte Opfer einer Kampagne, die mit einer Ransomware-Gruppe in Verbindung steht, die dafür bekannt ist, sich Erstzugriff zu verschaffen, große Mengen an Unternehmensdaten zu stehlen und kritische Systeme selektiv zu verschlüsseln. Die Ergebnisse zeigen, wer diese Opfer waren und wie deren Rollen und Autorität einem Angreifer helfen konnten, tiefer in ein Unternehmen einzudringen.
Dies ist Teil der laufenden Ransomware-Forschung von ThreatLabz. Der Zscaler ThreatLabz 2026 Ransomware Report, der in den nächsten zwei Monaten erscheint, wird zusätzliche Daten zu Ransomware-Opfern, aktuellen Ransomware-Trends, Zielen und Taktiken sowie den Risiken enthalten, auf die sich Unternehmen in Zukunft vorbereiten sollten.
Hauptergebnisse auf einen Blick
Innerhalb eines Monats identifizierte ThreatLabz 351 Opfer in 334 Unternehmen, die mit einer einzigen Ransomware-Kampagne in Verbindung standen.
- 62 % der Opfer bekleideten Positionen auf mittlerer Führungsebene oder höher.
- Rund 75 % der Opfer arbeiteten in den Bereichen Rechnungswesen und Finanzen, Vertrieb, operative Tätigkeiten, Personalwesen oder Marketing.
- 44 % der Opfer waren Mitglieder der Generation X; das Durchschnittsalter der Opfer betrug 46 Jahre.
- 50 % arbeiteten für Unternehmen im Industrie- oder Informationstechnologiesektor.
- Bei mehr als einem Dutzend Unternehmen waren mehrere Mitarbeiter kompromittiert.
Die gemeinsamen Nenner: Führungsrolle, Finanzzuständigkeit und Geschäftszugang
Die Ergebnisse deuten darauf hin, dass die Opfer nicht zufällig ausgewählt wurden. Die Mehrheit bekleidete Führungspositionen oder arbeitete in Geschäftsbereichen, die Angreifern einen nützlichen Zugang bieten können, um sich im Netzwerk einzunisten, zusätzliche User und Systeme zu erreichen, vertrauliche Informationen zu stehlen und den Druck durch Datenerpressung und Verschlüsselung zu erhöhen.
Am häufigsten betroffen waren Mitarbeiter in Führungspositionen: 62 %
Fast zwei Drittel der Opfer hatten Positionen als Abteilungsleiter oder höher inne. Sicherheitsbeauftragte definieren privilegierte User häufig als Administratoren und andere User mit erweiterten Zugriffsrechten. Ransomware-Angreifer zielen jedoch auch auf Mitarbeiter mit Geschäftsprivilegien ab – Zugriffsrechte und Befugnisse, die sich aus ihren Rollen und Beziehungen ergeben.
Der Wert eines kompromittierten Kontos von Mitarbeitenden in Führungsrollen liegt in der Breite des mit dieser Position verbundenen Geschäftszugangs. Führungskräfte können Zahlungen genehmigen, Budgets und Lieferanten überwachen, Verträge prüfen, auf vertrauliche Daten zugreifen oder die Arbeit über Geschäftsbereiche hinweg koordinieren.
Die Generation X stellte mit 44 % den größten Anteil der Opfer.
Die Opfer waren zwischen 23 und 70 Jahre alt, das Durchschnittsalter betrug 46 Jahre. Der größere Anteil der Opfer der Generation X hat möglicherweise weniger mit dem Alter selbst zu tun, sondern vielmehr damit, wo viele von ihnen in ihrer Karriere stehen. Bei Personen aus der Generation X ist die Wahrscheinlichkeit höher, dass sie etablierte Führungspositionen oder Positionen höherer Ebene innehaben, wie oben beschrieben. Dies verschafft Angreifern Zugang zu wertvollen Systemen, Daten und Entscheidungsbefugnissen.
Die meisten Opfer waren in fünf zentralen Geschäftsbereichen tätig: 75 %
Rund drei Viertel der Opfer arbeiteten in fünf Unternehmensbereichen: Rechnungswesen und Finanzen, Vertrieb, Betrieb, Personalwesen und Marketing.
Mitarbeitende in den Bereichen Rechnungswesen und Finanzen (17,7 %) haben möglicherweise Zugriff auf Rechnungen, Zahlungen, Genehmigungen, Bankdaten und Lieferantenunterlagen. Vertriebsmitarbeitende (17,4 %) arbeiten mit Kundenkonten, Preisen, Verträgen und laufenden Geschäftsverhandlungen. Operative Teams (16,8 %) koordinieren sich häufig über Lieferanten und Geschäftsbereiche hinweg. Kompromittierte User in diesen Rollen können Angreifern Einblick in vertrauliche Daten gewähren, darunter Finanzinformationen, Zahlungssysteme und Verträge, die für das Unternehmen von entscheidender Bedeutung sind.
Die Hälfte der Opfer arbeitete in der Industrie oder im IT-Bereich: 50 %
Die Branchenverteilung der Opfer erstreckt sich über mehrere Sektoren, wobei Industrie und IT 35,5 % bzw. 14,6 % ausmachen.
Für Ransomware-Gruppen können Mitarbeitende in Industrieunternehmen Zugang zu kritischen Systemen bieten, die die Fertigung, den Vertrieb oder die Logistik unterstützen. Im Bereich der Informationstechnologie können kompromittierte Konten geistiges Eigentum und Plattformen, die zur Bereitstellung digitaler Dienste genutzt werden, offenlegen. Eine Störung dieser Systeme kann schnell sowohl operativen als auch finanziellen Druck erzeugen. Die Verschlüsselung einer Produktions-, Logistik- oder Dienstleistungsplattform könnte den Geschäftsbetrieb und die Einnahmen beeinträchtigen, während gestohlene operative oder technische Daten zur Stärkung von Erpressungsforderungen genutzt werden könnten.
Wie sieht ein typisches Ransomware-Opfer aus?
Die folgenden Profile sind Beispiele aus der realen Welt für die in der Studie dargestellten Opfer.
| Regionaler Vertriebsleiter Branche: Industrie Warum für Angreifer von Interesse: Zugriff auf Kundenkonten, Verträge, Preisgestaltung, Umsatzprognosen und Vertriebskommunikation, wodurch wichtige Aufträge und Service- oder Geräteverträge gefährdet und Kundenbeziehungen sowie Umsätze aufs Spiel gesetzt werden. |
| Leiter/in Kreditorenbuchhaltung Branche: Informationstechnologie Warum für Angreifer von Interesse: Zugriff auf Rechnungen, Zahlungsdaten, finanzielle Genehmigungen und Lieferantendatensätze, wodurch Zahlungen an wichtige Lieferanten potenziell gestört und die Bereitstellung von Technologieprodukten und -dienstleistungen im gesamten Unternehmen beeinträchtigt werden könnten. |
| Senior Projektmanager Branche: Konsumgüter Warum für Angreifer von Interesse: Zugriff auf Projektbudgets, Roadmaps und sensible Dateien oder Dokumente, Verzögerung von Produkteinführungen oder Standorteröffnungen, Erhöhung der Projektkosten und das Entgehen wichtiger Umsatzchancen für das Unternehmen. |
| BrancheImmobilienverwaltung : Immobilien. Warum für Angreifer von Interesse: Zugriff auf Mietverträge, Lieferantenrechnungen, Verträge, Kundendaten und Finanzinformationen, wodurch das Risiko von Unterbrechungen der Mieterbetreuung, rechtlichen Risiken und Einnahmeverlusten durch die Immobilie entsteht. |
Diese Mitarbeitende haben zwar keine Administratorrechte, dennoch stellt ihre Kompromittierung ein ernsthaftes Geschäftsrisiko dar. Durch ihren alltäglichen Zugriff können Angreifer Zugriff auf vertrauliche Daten, Finanz- und Betriebsprozesse, Unternehmensanwendungen und interne Kommunikation erhalten.
Stärkung der Ransomware-Abwehr für Angestellte in leitenden Positionen
Für Führungspositionen sind Schutzmaßnahmen erforderlich, die darauf abzielen, wie Angreifer an Mitarbeitende herangehen und worauf sie nach der Kompromittierung eines Kontos Zugriff erhalten können. Da KI Aufklärung, Personalisierung und Identitätsdiebstahl schneller und überzeugender macht, können Ransomware-Akteure diese Mitarbeitenden mit weniger offensichtlichen Warnzeichen ins Visier nehmen. Entsprechend sollten Sicherheitsbeauftragte folgende Prioritäten setzen:
- Externe Kommunikation über Produktivitätsplattformen einschränken. Nachrichten und Anrufe von externen Nutzern auf Plattformen wie Microsoft Teams und Slack blockieren.
- Mitarbeiter durch entsprechende Schulungen für Identitätsdiebstahl sensibilisieren. User schulen, ungewöhnliche Anfragen von angeblichen IT-Mitarbeitern über vertrauenswürdige interne Kommunikationskanäle und Firmenverzeichnisinformationen zu überprüfen, bevor sie Maßnahmen ergreifen.
- Inline-Sicherheitsmechanismen implementieren. KI-gestützte Lösungen zur Bedrohungserkennung einsetzen, um schädliche Inhalte, verdächtiges Verhalten und Angriffsaktivitäten zu identifizieren, bevor sie sich ausbreiten können.
- Alle Aktivitäten kontinuierlich auf Anzeichen einer Gefährdung überwachen. Auf ungewöhnliches Verhalten bei Usern, Geräten, Anwendungen, Datenübertragungen und Fernzugriffstools achten. Bei dieser Kampagne gab es mehr als ein Dutzend Unternehmen mit mehreren Opfern, was die Notwendigkeit unterstreicht, über das erste betroffene Konto hinaus zu überwachen und zu ermitteln.
- Minimale Zugriffsrechte durchsetzen. Beschränken Sie den Zugriff jedes Mitarbeiters auf die für seine Tätigkeit erforderlichen Anwendungen, Systeme und Daten, um zu verringern, was Angreifer über ein kompromittiertes Konto erreichen können.
- Zero-Trust-Architektur implementieren, um Angriffe einzudämmen. Um zu verhindern, dass Angreifer sich nach dem Erstzugriff lateral ausbreiten und weitere Systeme erreichen, segmentieren Sie den Zugriff.
Weitere Ransomware-Forschungsergebnisse folgen demnächst
Das Verständnis dafür, welche Mitarbeiter von Ransomware-Gruppen ins Visier genommen werden, liefert wichtige Erkenntnisse darüber, wo der Geschäftszugriff ein Risiko darstellt. Außerdem wird deutlich, wo stärkere Schutzmaßnahmen erforderlich sind, um zu verhindern, dass ein kompromittiertes Konto zu Datendiebstahl, Verschlüsselung oder größeren Störungen führt.
Die Zusammenfassung bietet einen schnellen Überblick über die Ergebnisse dieser Studie.
Folgen Sie ThreatLabz auf X und unserem Blog für Sicherheitsforschung, damit Sie immer über aktuelle Bedrohungen, Kampagnenanalysen und Sicherheitseinblicke informiert sind.
Im Ransomware-Report von ThreatLabz für 2026 erhalten Sie demnächst weitere Informationen über die Opfer dieser Kampagne, über detaillierte Untersuchungen zu Ransomware-Aktivitäten im vergangenen Jahr, die dahinter steckenden Gruppen, neue Trends bei Datendiebstahl und Erpressung und weitere Themen.
FAQs
Ransomware ist eine Art von Malware, die Dateien verschlüsselt und Angreifern damit ein Druckmittel an die Hand gibt, um Zahlungen – häufig in Kryptowährung – zu erpressen. Allerdings wird nicht bei allen Angriffen von Ransomware-Gruppen Malware zur Dateiverschlüsselung eingesetzt. Viele Angreifer stehlen zudem große Mengen vertraulicher Daten aus Unternehmen, um die Opfer zusätzlich unter Druck zu setzen, ein Lösegeld zu zahlen. Bei manchen Angriffen findet überhaupt keine Dateiverschlüsselung statt, sondern die gestohlenen Dateien allein werden zur Erpressung genutzt.
Führungskräfte und andere User aus Fachabteilungen können attraktive Zielscheiben für Ransomware-Angriffe sein, da sie häufig Positionen mit erweiterten Berechtigungen innehaben oder in geschäftskritischen Funktionen tätig sind. Ihre Konten können Zugriff auf vertrauliche Daten, Finanzinformationen, Kunden- oder Mitarbeiterdaten, Unternehmensanwendungen und Betriebssysteme gewähren. Der vertrauenswürdige Status dieser Angestellten macht sie zudem anfällig für Identitätsdiebstähle, mit denen Angreifer zusätzlichen Zugriff erlangen, um den Datendiebstahl auszuweiten und Ransomware zu verbreiten.
Ransomware-Kampagnen richten ihr Augenmerk zunehmend auf Angestellte in den Bereichen Buchhaltung und Finanzen, Vertrieb, operative Abläufe, Personalwesen und weiteren geschäftskritischen Funktionen. Jeder dieser Bereiche bietet Zugriff auf wertvolle Daten: die Finanzabteilung auf Zahlungen und Rechnungen, der Vertrieb auf Kunden- und Preisgestaltungsdaten, der operative Bereich auf geschäftskritische Dateien und Abläufe und das Personalwesen auf Mitarbeiterdaten. Durch gezielte Angriffe auf mehrere Abteilungen können Angreifer zudem Zugang zu weiteren Bereichen des Unternehmens erlangen.
Ein typisches Warnzeichen für einen Ransomware-Angriff ist eine ungewöhnlich hohe Anzahl von Spam-E-Mails, gefolgt von Nachrichten über Microsoft Teams von einem Angreifer, der sich als IT-Mitarbeiter des Unternehmens ausgibt und das Problem angeblich beheben will. Mitarbeiter sollten sich auch vor Angriffen vom Typ „ClickFix“ in Acht nehmen, bei denen das Opfer dazu verleitet wird, schädliche Befehle in die Windows-Ausführungszeile zu kopieren und einzufügen. Diese Köder werden ausgelöst, wenn ein Opfer auf schädliche oder kompromittierte Websites zugreift, deren Themen stark variieren – von Captchas über fehlende Plugins bis hin zu Systemfehlern.
Eine Zero-Trust-Architektur trägt dazu bei, Ransomware einzudämmen, indem sie den Zugriff zwischen Usern, Geräten, Anwendungen und Workloads einschränkt. Sie vermittelt Direktzugriff mit minimalen Berechtigungen auf ausdrücklich autorisierte Anwendungen, ohne dass User jemals Zugang zum Netzwerk erhalten. Angreifer, die erfolgreich ein Konto oder ein Gerät kompromittieren, haben weniger Möglichkeiten, sich lateral zu bewegen, weitere Systeme zu erreichen und die Auswirkungen des Angriffs auszuweiten.
War dieser Beitrag nützlich?
Haftungsausschluss: Dieser Blog-Beitrag wurde von Zscaler ausschließlich zu Informationszwecken erstellt und wird ohne jegliche Garantie für Richtigkeit, Vollständigkeit oder Zuverlässigkeit zur Verfügung gestellt. Zscaler übernimmt keine Verantwortung für etwaige Fehler oder Auslassungen oder für Handlungen, die auf der Grundlage der bereitgestellten Informationen vorgenommen werden. Alle in diesem Blog-Beitrag verlinkten Websites oder Ressourcen Dritter werden nur zu Ihrer Information zur Verfügung gestellt, und Zscaler ist nicht für deren Inhalte oder Datenschutzmaßnahmen verantwortlich. Alle Inhalte können ohne vorherige Ankündigung geändert werden. Mit dem Zugriff auf diesen Blog-Beitrag erklären Sie sich mit diesen Bedingungen einverstanden und nehmen zur Kenntnis, dass es in Ihrer Verantwortung liegt, die Informationen zu überprüfen und in einer Ihren Bedürfnissen angemessenen Weise zu nutzen.
Erhalten Sie die neuesten Zscaler Blog-Updates in Ihrem Posteingang
Mit dem Absenden des Formulars stimmen Sie unserer Datenschutzrichtlinie zu.