Ransomware-Varianten

Seit dem Erscheinen der ersten Bitcoin-basierten Ransomware im Jahr 2013 ist die Anzahl verschiedener Ransomware-Typen explosionsartig angestiegen. Ransomware-Varianten sind ein wirkungsvolles Instrument im Arsenal von Kriminellen und haben auch bei einigen Regierungen an Popularität gewonnen.

Weshalb gibt es also so viele verschiedene Arten von Ransomware, und was können wir dagegen unternehmen?

Silicon Valley für Ransomware-Varianten

Der Ransomware-Markt ähnelt tatsächlich stark dem Markt für legitime Software. Es existieren sogar Risikokapitalgeber für Ransomware, die verschiedene Arten von Erpressungssoftware finanzieren.

Alle Ransomware funktioniert nach denselben Prinzipien: Dem Opfer so viel Schaden wie möglich zuzufügen, um es zur Zahlung zu zwingen. Üblicherweise beinhaltet dies die Verschlüsselung oder den Diebstahl von Daten, um Druck auf die Opfer auszuüben.

Der Hauptunterschied zwischen verschiedenen Ransomware-Typen liegt darin, wie sie die Erkennung umgehen. Die beliebtesten Ransomware-Varianten arbeiten nach einem „Ransomware-as-a-Service“-Modell (RaaS). Dies bedeutet, dass ein professionelles Team von Hackern die Software entwickelt und diese anschließend an andere Hacker vermietet, die die eigentliche Arbeit des Eindringens in Netzwerke übernehmen.

Wie im Silicon Valley konkurrieren RaaS-Entwickler um Finanzierungen von Investoren und bewerben ihre Produkte bei potenziellen Kunden. Beispielsweise versuchen sie zu beweisen, dass ihre Software Dateien schneller verschlüsseln kann als die ihrer Konkurrenten, da die Menge der vor der Erkennung verschlüsselten Daten über Erfolg oder Misserfolg eines Ransomware-Angriffs entscheiden kann.

Ransomware-Entwickler arbeiten kontinuierlich daran, Antivirensoftware und Cybersicherheitsexperten einen Schritt voraus zu sein. Bedauerlicherweise gewinnen die Hacker derzeit das Ransomware-Wettrüsten. Antivirensoftware wird kontinuierlich neu kalibriert, um neue Arten von Ransomware zu erkennen, aber Ransomware-Entwickler ändern ihre Software ständig, um eine Erkennung zu vermeiden.

Arten von Ransomware

Alle Ransomware funktioniert nach demselben Prinzip, nämlich den Opfern eine Art von Schmerz oder Bedrängnis zuzufügen und Geld zu fordern, um dies zu beenden. Viele Ransomware-Varianten lassen sich gleichzeitig mehreren dieser Kategorien zuordnen.

Verschlüsseler

Ein Verschlüsseler wird so viele Ihrer Daten wie möglich verschlüsseln, sodass Ihre Dateien unbrauchbar werden. Dateinamen werden oft durch eine zufällige Folge von Buchstaben und Zahlen ersetzt oder durch denselben Dateinamen mit einer neuen Dateierweiterung. Wenn ein Opfer in der Lage ist, einen Verschlüsselungsangriff frühzeitig zu erkennen, könnten einige Dateien unverschlüsselt bleiben.

Verschlüsselungs-Ransomware ersetzt mitunter jede Datei durch einen Ordner, der die verschlüsselte Datei sowie eine Lösegeldforderung mit Zahlungsanweisungen enthält.

Sperrsoftware

Sperrsoftware sperrt Sie vollständig aus Ihrem System aus. Normalerweise können Sie nur noch auf eine Lösegeldforderung mit Details zur Zahlung des Lösegelds zugreifen. Einige weniger ausgeklügelte Formen von Sperrsoftware verschlüsseln die Dateien möglicherweise nicht, sodass sie noch wiederhergestellt werden können. Diese Varianten zielen eher auf Heimcomputer ab und verbreiten sich über Spam-E-Mails oder Phishing-Links.

Scareware

Scareware versucht, Geld von Opfern zu erpressen, indem sie (meist falsche) Behauptungen aufstellt. Beispielsweise könnte eine Ransomware behaupten, Sie beim Ansehen von Pornografie aufgezeichnet zu haben, und drohen, Videos davon in Ihren sozialen Medien zu veröffentlichen, es sei denn, Sie zahlen. Andere Beispiele beinhalten Hacker, die vorgeben, eine Regierungsbehörde zu sein, die unbezahlte Steuern entdeckt hat, und mit Geldstrafen und Sanktionen drohen, falls nicht gezahlt wird.

Diese Varianten beinhalten oft Zeitlimits, um Druck auf das Opfer auszuüben, damit es keine Zeit hat, rational über die Situation nachzudenken.

Leakware

Leakware funktioniert, indem sensible Daten erlangt werden und dann gedroht wird, diese öffentlich zu machen. Leakware zielt tendenziell auf Unternehmen wie Anwaltskanzleien, Arztpraxen und Firmen mit Betriebsgeheimnissen ab. Zahlreiche Betreiber von Leakware unterhalten Webseiten im Darknet, auf denen sie gestohlene Daten veröffentlichen und jedermann zum Download anbieten.

Ransomware as a Service

Ransomware as a Service (RaaS) ist wahrscheinlich die gefährlichste Art von Ransomware, die es gibt. Da die Entwicklung äußerst spezialisiert ist, können hochentwickelte RaaS-Varianten selbst fortschrittliche Abwehrmechanismen durchdringen.

Die millionenschweren Lösegeldzahlungen, von denen Sie in den Nachrichten hören? Es handelte sich dabei höchstwahrscheinlich um RaaS-Varianten. Die meisten gezielten Ransomware-Angriffe werden von spezialisierten Hackerteams durchgeführt, die mit RaaS-Betreibern zusammenarbeiten.

Ransomware-Varianten

Da mit Ransomware enorme Summen verdient werden, befinden sich ständig neue Varianten in der Entwicklung. Gelegentlich ‘ziehen sich’ Banden einfach zurück, wenn sie beträchtliche Summen erbeutet haben oder sich dem Druck der Strafverfolgungsbehörden ausgesetzt sehen.

In anderen Fällen verlassen Ransomware-Entwickler ihre Teams, um sich neuen anzuschließen. Da Antivirensoftware kontinuierlich verbessert wird, ist es für Ransomware-Hacker notwendig, ständig neue Varianten zu entwickeln, die Systeme und Netzwerke unbemerkt infizieren können. Im Allgemeinen funktionieren alle Ransomware-Varianten nach ähnlichen Prinzipien, werden jedoch auf verschiedene Weise optimiert, um die Leistung zu verbessern.

Im Folgenden finden Sie eine Liste einiger der bekanntesten und gefährlichsten Ransomware-Varianten.

Akira Ransomware

Akira ist eine Ransomware-Variante mit doppelter Erpressung, die Mitte 2023 an Bedeutung gewann. Sie zielt sowohl auf Windows- als auch auf Linux-Systeme ab und ist dafür bekannt, sensible Daten vor der Verschlüsselung zu exfiltrieren. Die Gruppe operiert als Ransomware-as-a-Service (RaaS) und wurde bei Angriffen auf verschiedene Sektoren beobachtet, darunter Bildung, Finanzen und Produktion. Opfer berichten häufig, dass sie direkt von der Gruppe per E-Mail kontaktiert wurden.

Black Basta Ransomware

Black Basta ist eine ausgeklügelte RaaS-Operation, die erstmals Anfang 2022 beobachtet wurde. Sie zielt hauptsächlich auf Unternehmen ab und deaktiviert während der Infektion häufig Antiviren-Tools. Die Gruppe ist bekannt dafür, sowohl Verschlüsselung als auch Datendiebstahl einzusetzen und gestohlene Dateien auf ihrer Leak-Site zu hosten. Black Basta erlangt oft ersten Zugang durch kompromittierte Zugangsdaten oder Malware wie Qakbot.

Clop Ransomware

Clop ist eine bekannte Ransomware-Variante, die sich auf groß angelegte Datenlecks spezialisiert hat. Sie nutzt oft Zero-Day-Schwachstellen aus, wie sie in MOVEit Transfer und Accellion FTA gefunden wurden. Die Clop-Bande ist hochgradig organisiert und bevorzugt die Erpressung hochkarätiger Ziele, wobei sie fast immer Techniken der doppelten Erpressung unter Einbeziehung öffentlicher Datenlecks anwendet.

eKing Ransomware

eKing Ransomware ist eine weniger bekannte Variante, die 2023 auftauchte. Sie wird typischerweise über bösartige E-Mail-Anhänge oder unzureichend gesicherte RDP-Zugänge verbreitet. Im Gegensatz zu fortschrittlicheren Stämmen verwendet eKing selten individualisierte Verschlüsselungstechniken und hat kein konsistentes Leakware-Verhalten gezeigt, obwohl ihre Betreiber möglicherweise trotzdem damit drohen, gestohlene Daten zu veröffentlichen.

FOG Ransomware

FOG ist eine aufstrebende Ransomware-Familie, die aggressive Verschlüsselungstaktiken und maßgeschneiderte Lösegeldforderungen einsetzt. Sie zielt typischerweise auf kleine bis mittelständische Unternehmen ab, oft durch Phishing-Kampagnen oder RDP-Schwachstellen. Obwohl es sich primär um eine Locker-Ransomware handelt, haben jüngste FOG-Proben Anzeichen von Datenexfiltration zu Erpressungszwecken gezeigt.

Inc Ransomware

Inc ist eine sich entwickelnde Ransomware-Variante, die Ende 2023 erstmals sichtbar wurde. Sie verbreitet sich über RDP-Kompromittierungen und Software-Schwachstellen. Die Gruppe hinter Inc benennt verschlüsselte Dateien oft mit der .inc Erweiterung um und nutzt ein Darknet-Portal, um gestohlene Daten zu leaken. Die Lösegeldforderungen betonen Geschwindigkeit und warnen die Opfer vor einer raschen öffentlichen Exposition.

Lockbit Ransomware

Lockbit ist eine der aktivsten und am weitesten verbreiteten RaaS-Varianten weltweit. Die Gruppe setzt auf Datendiebstahl, schnelle Verschlüsselung und Taktiken mit hohem Druck, einschließlich Countdown-Timer und Leak-Drohungen. Bemerkenswert ist, dass Lockbit ‘Bug-Bounty’-Programme betreibt und sogar Insider dafür bezahlt, Ransomware in ihren eigenen Unternehmen zu installieren, gegen einen Anteil am Lösegeld.

MAKOP Ransomware

MAKOP Ransomware ist eine persistente Variante, die vorwiegend KMUs über exponierte RDP-Dienste angreift. Sie verschlüsselt Dateien mit einzigartigen Erweiterungen und platziert eine Lösegeldforderung in jedem betroffenen Ordner. Obwohl die Bande oft behauptet, Daten zu exfiltrieren, gibt es wenig Beweise dafür, dass dies konsistent der Fall ist. Die Taktiken der Gruppe konzentrieren sich eher auf Störung als auf Öffentlichkeitswirksamkeit.

Ransomhub Ransomware

Ransomhub ist eine umbenannte oder abgespaltene Operation, die nach dem Verschwinden mehrerer großer Ransomware-Gruppen auftauchte. Sie folgt einem typischen Modell der doppelten Erpressung und hostet Opferdaten auf einer dedizierten Leak-Site. Die Angriffe sind oft opportunistisch und nutzen Exploits in öffentlich zugänglichen Diensten oder Drittsoftware aus.

BianLian Ransomware

Ursprünglich eine Ransomware-Variante, hat sich BianLian zu einer Gruppe für Datenerpressung entwickelt, die oft gänzlich auf die Dateiverschlüsselung verzichtet und sich ausschließlich auf Datendiebstahl und öffentliche Bloßstellung konzentriert. Frühe Varianten verwendeten Go-basierte Ransomware-Payloads. Jetzt verlässt sich die Gruppe stark auf die Exfiltration sensibler Informationen und übt Druck durch Leak-Drohungen und mediale Exposition aus.

GlobeImposter 2.0 Ransomware

GlobeImposter 2.0 ist eine Weiterentwicklung der ursprünglichen GlobeImposter-Variante, die dafür bekannt ist, andere Ransomware-Stämme zu imitieren. Sie verbreitet sich häufig über illegale Software-Downloads oder bösartige Skripte. Diese Variante verschlüsselt Dateien mit verschiedenen Erweiterungen und verwendet mehrere Täuschungs-Erpressernachrichten, um die Opfer zu verwirren. Sie ist besonders häufig in Cyberkriminalitätskampagnen mit geringem Budget anzutreffen.

Phobos Ransomware

Phobos Ransomware zielt hauptsächlich auf kleine Unternehmen und Privatpersonen ab, in der Regel über exponierte RDP-Dienste. Es existieren zahlreiche aktive Varianten, die oft von verschiedenen Betreibern mit unterschiedlichem Fähigkeitsniveau eingesetzt werden. Phobos verfügt selten über Funktionen zum Datendiebstahl und konzentriert sich stattdessen auf die Dateiverschlüsselung und die Ausübung von Druck auf die Opfer mittels personalisierter Erpressernachrichten.

Play Ransomware

Play ist eine RaaS-Variante, die für ihre minimalistischen Erpressernachrichten bekannt ist, die in der Regel nur mit dem Wort “PLAY” gekennzeichnet sind. Sie erlangte 2022 Bekanntheit und zielt häufig auf Regierungs- und Infrastruktursektoren ab. Die Gruppe wendet doppelte Erpressung an und nutzt oft bekannte Schwachstellen in Fortinet- und Exchange-Servern aus. Play zeichnet sich auch durch seinen schnellen Verschlüsselungsprozess aus.

Safepay-Ransomware

Safepay ist eine geschlossene Double-Extortion-Operation, die Ende 2024 aufkam und ohne Affiliate-Programm arbeitet: Dasselbe Team übernimmt das Eindringen in die Systeme, die Durchführung des Angriffs und die Lösegeldverhandlungen. Der Zugang erfolgt typischerweise über VPN-Gateways unter Verwendung gültiger Zugangsdaten sowie über öffentlich erreichbare RDP-Dienste; die Verschlüsselung der gesamten Umgebung kann innerhalb von etwa 24 Stunden erfolgen. Die Schadsoftware liegt als Windows-DLL vor und wird über regsvr32 oder rundll32 gestartet. Sie hängt die Erweiterung .safepay an die Dateinamen an und verschlüsselt auch VMware-ESXi-Hosts.

Panzer-Ransomware

Panzer ist eine Ransomware-Gruppe, deren Leak-Seite im August 2026 erschien und bereits im ersten Monat Opfer aus Technologie, Fertigung und öffentlicher Verwaltung in Europa, Asien und Südamerika auflistete. Ihre Verschlüsselungsprogramme werden für Windows, Linux und VMware ESXi angeboten; die ESXi-Version kann viele virtuelle Maschinen in einem Schritt sperren. Vor der Verschlüsselung entwendete Daten veröffentlicht die Gruppe auszugsweise unter Countdown-Anzeigen, um den Druck zu erhöhen.

Settra-Ransomware

Settra ist eine finanziell motivierte Double-Extortion-Gruppe, die im Juni 2026 erstmals öffentlich beobachtet wurde. Sie fällt dadurch auf, dass sie zu jedem Opfer, das sie nach eigenen Angaben angegriffen hat, ausführliche Berichte im Reportagestil statt knapper Einträge auf einer Leak-Seite veröffentlicht. Bei dokumentierten Angriffen nutzte die Gruppe zunächst kompromittierte VPN-Zugangsdaten und gültige Konten. Anschließend setzte sie das RMM-Werkzeug MeshAgent ein, um den Zugriff aufrechtzuerhalten, und nutzte verbreitete Werkzeuge wie NetExec, ProcDump und Mimikatz. Auf Windows-Systemen wurde dokumentiert, dass verschlüsselte Dateien die Erweiterung .locked oder .locked_wip erhielten. Dabei wurden die Ereignisprotokolle gelöscht und die Windows-Wiederherstellungsumgebung deaktiviert.

Auditteam-Ransomware

Auditteam ist eine Erpressergruppe, die ihre Erpresserbotschaft im Stil eines Sicherheitsaudits gestaltet: Sie richtet sich an die Geschäftsführung und bezeichnet die Zahlung als „Audit & Consulting fee“ – im Gegenzug für die Löschung entwendeter Daten und einen Schwachstellenbericht. Die Gruppe trat Ende Mai 2026 auf und veröffentlicht auf einer einzigen Tor-Leak-Seite knappe Einträge zu ihren Opfern. Diese enthalten weder Lösegeldbeträge noch Belege. Die genannten Opfer stammen aus Russland, der Ukraine und Indien und sind in den Bereichen Technologie, Transport und Bildung tätig. Einige Einträge tragen die Markierung „Paid Victim“.

Rhysida-Ransomware

Rhysida betreibt ein Ransomware-as-a-Service-Modell und wurde erstmals im Mai 2023 beobachtet: Die Gruppe verleiht Werkzeuge und Infrastruktur an Affiliates und teilt das Lösegeld mit ihnen. In ihren Erpresserbotschaften gibt sich die Gruppe als „Cybersecurity-Team“ aus; entwendete Daten erscheinen auf einer Tor-Leak-Seite oder werden dort versteigert. Varianten existieren für Windows, PowerShell und Linux/ESXi; nach der abschnittsweisen Verschlüsselung ergänzen sie die Dateinamen um die Erweiterung .rhysida. US-Behörden beschreiben die Opfer als Gelegenheitsziele, vor allem aus den Bereichen Bildung, Gesundheitswesen und Verwaltung.

Krybit-Ransomware

Krybit ist eine Ransomware-Gruppe, die seit Ende März 2026 aktiv ist und vor allem kleine und mittelständische Unternehmen angreift; dokumentierte Lösegeldforderungen lagen bei etwa 40.000 bis 100.000 US-Dollar. Die Angreifer dringen meist über gültige Konten und RDP ein, löschen Volumeschattenkopien und verschlüsseln Windows-, Linux-, VMware-ESXi- und NAS-Systeme mit der Dateiendung .KRYBIT. Entwendete Daten droht die Gruppe auf einer Tor-Leak-Seite zu veröffentlichen.

Qilin-Ransomware

Qilin ist eine russischsprachige Gruppe, die ein Ransomware-as-a-Service-Modell betreibt und seit etwa Juli 2022 – zunächst unter dem Namen Agenda – aktiv ist; ihre Affiliates behalten rund 80–85 % jedes Lösegelds. Ein Kernteam pflegt die Schadsoftware, die Leak-Seite und das Verhandlungsportal, während ein Baukasten den Affiliates erlaubt, Verschlüsselungsprogramme für Windows-, Linux- und VMware-ESXi-Systeme anzupassen. Für den Erstzugriff nutzen die Angreifer häufig gültige Zugangsdaten für VPN-Portale ohne Multi-Faktor-Authentifizierung (MFA); Daten werden vor der Verschlüsselung für die doppelte Erpressung entwendet.

The-Gentlemen-Ransomware

The Gentlemen ist eine seit Mitte 2025 aktive Double-Extortion-Operation mit Hunderten Opfern weltweit und Schwerpunkten in Südostasien, Südamerika und Westeuropa. Die Affiliates verschaffen sich Zugang über exponierte VPN-Gateways, Edge-Geräte und bei Access-Brokern gekaufte Zugangsdaten, legen Backup-Software wie Veeam und Backup Exec lahm und setzen anschließend in Go und C geschriebene Verschlüsselungsprogramme für Windows, Linux und VMware ESXi ein. Verweigert ein Unternehmen die Zahlung, veröffentlicht die Gruppe die entwendeten Daten auf einer Tor-Leak-Seite.

N0n-Ransomware

N0n ist eine Datenerpressungsgruppe, die im September 2026 erstmals in Erscheinung trat und bereits im ersten Monat Organisationen aus neun Ländern benannte – überwiegend aus den Bereichen Finanzdienstleistungen, Handel und E-Commerce sowie Bildung. In ihren Einträgen behauptet die Gruppe, interne Netzwerkpläne, KYC-Investorenregister und Rechnungsarchive gestohlen zu haben. Sie setzt kurze Fristen mit exakten UTC-Zeitstempeln und droht damit, die Daten schrittweise auf einer Tor-Leak-Seite zu veröffentlichen. Einige Beiträge verweisen zusätzlich auf drohende aufsichtsrechtliche Folgen. Die Angaben in mehreren Beiträgen gelten als unbestätigt oder erfunden.

Dragonforce-Ransomware

Die Gruppe hinter der DragonForce-Ransomware betreibt ein Ransomware-as-a-Service-Modell; die mit der Gruppe zusammenarbeitenden Angreifer („Affiliates“) griffen Dienstleistungs-, Fertigungs- und Technologieunternehmen an, besonders häufig in den USA, in Deutschland und Australien. Als Einstiegswege dienten Phishing, offen erreichbare Remote-Desktop-Server und die Ausnutzung ungepatchter SimpleHelp-Fernwartungssoftware. Teilweise erstreckten sich die Angriffe auch auf Kunden betroffener Managed-Service-Provider. Die Verschlüsselungskomponenten beruhen auf geleaktem Code von LockBit 3.0 und Conti und zielen auf Windows- und VMware-ESXi-Systeme. Die Angreifer drohen damit, entwendete Daten auf einer Tor-Leak-Seite zu veröffentlichen.

Wallstreet-Ransomware

Die Datenerpressergruppe hinter der Wallstreet-Ransomware hat vor allem kleine und mittlere Organisationen aus dem Gesundheitswesen, der Fertigung und dem Bildungsbereich in den USA aufgelistet. Vereinzelt finden sich auch Einträge zu Organisationen in Ecuador, Indien und Iran. Die Gruppe behauptet, Dokumente, Datenbanken und E-Mails entwendet zu haben, und setzt Betroffene über eine Tor-Leak-Seite mit Countdown bis zur Veröffentlichung unter Druck; in mindestens einem Fall im August 2026 veröffentlichte sie einen durchsuchbaren Dateidump. Bis Juli 2026 hatten Forschende weder ein Verschlüsselungsprogramm noch Angaben zum Format der Erpressernachricht veröffentlicht.

Zawoo-Ransomware

Die Gruppe hinter der Zawoo-Ransomware führt ihre Angriffe manuell durch und setzt auf doppelte Erpressung. Sie hat kleine und mittlere Unternehmen im deutschsprachigen Raum aufgelistet, darunter Ingenieurbüros, Hersteller von Industriesoftware und Bauunternehmen. In einem Fall meldeten sich die Angreifer über ein VPN mit gültigen Zugangsdaten eines privilegierten Kontos ohne Multi-Faktor-Authentifizierung an, schwächten mit dem Werkzeug HRSword den Endpunktschutz und sammelten Daten bereits Tage vor der Verschlüsselung in aufgeteilten Archiven. Verschlüsselte Dateien erhalten einen 16-stelligen hexadezimalen Namen; entwendete Daten erscheinen auf einer Tor-Leak-Seite.

Threeam-Ransomware

Die Threeam-Ransomware (3AM) wird von Menschen gesteuert. Die Gruppe hinter der Ransomware setzt auf doppelte Erpressung und betreibt eine Leak-Seite im Tor-Netzwerk. Ransomware.live zählte zum 28. September 2026 99 der Gruppe zugeschriebene Opfer, vor allem aus der Fertigung, dem Dienstleistungsbereich und dem Gesundheitswesen sowie aus den USA, Großbritannien und Deutschland. Den Erstzugriff verschaffen sich die Angreifer über E-Mail-Fluten und anschließende Anrufe, bei denen sie sich als IT-Support ausgeben. Die in Rust geschriebene Windows-Verschlüsselungskomponente beendet Backup- und Sicherheitsdienste, löscht Volume Shadow Copies und ergänzt Dateinamen um die Endung .threeamtime. Die Angreifer entwenden vorab Daten und drohen mit deren Veröffentlichung.

M3rx-Ransomware

Die M3rx-Ransomware ist eine Ransomware-Operation mit doppelter Erpressung, die vor allem kleine und mittlere Organisationen aus den Bereichen IT, Managed Services und Fertigung angreift. Zu den von der Gruppe genannten Opfern zählen Unternehmen in den USA, Großbritannien und Deutschland. Die in Go geschriebene Windows-Verschlüsselungskomponente löscht Volume Shadow Copies, hängt eine zufällige achtstellige Dateierweiterung an und hinterlegt eine Erpresserbotschaft namens RECOVERY_NOTES.TXT. Zahlen Betroffene nicht, veröffentlichen die Angreifer entwendete Daten auf einer Tor-Leak-Seite; gefordert wird Bitcoin.

Lamashtu-Ransomware

Lamashtu ist eine auf Datendiebstahl spezialisierte Erpressergruppe, die im April 2026 auftauchte und Opfer in Europa, Südostasien und Amerika auflistet – überwiegend aus den Branchen Fertigung, Unternehmensdienstleistungen und Lebensmittelproduktion, darunter deutsche und österreichische Firmen. Entwendete Dateien erscheinen auf einer eigens eingerichteten Tor-Leak-Seite mit Countdown, Einzelberichten zum jeweiligen Vorfall und Datenproben als Beleg für den Diebstahl; in den Einträgen droht die Gruppe mit der vollständigen Veröffentlichung der entwendeten Dateien, sofern sich kein Vertreter des betroffenen Unternehmens per E-Mail meldet. Ransomware.live stufte 2026 eine Dateiverschlüsselung durch die Gruppe als unbestätigt ein und ordnete die Aktivitäten von Lamashtu als reine Erpressung durch Datendiebstahl ein.

Byod-Ransomware

Die Byod-Ransomware-Gruppe ist auf Datenerpressung spezialisiert und hat Opfer aus den Branchen Telekommunikation, Unternehmensdienstleistungen und Industriehandel in den USA, Kanada und Malaysia aufgelistet. Dokumentiert ist Datendiebstahl statt Dateiverschlüsselung: In einem Fall kompromittierte die Gruppe ein Mitarbeitergerät bei einem externen Telekommunikationspartner, griff von dort aus auf öffentlich erreichbare Subdomains zu und veröffentlichte den entwendeten Kundendatensatz vollständig. Die Einträge auf der Leak-Seite nennen Cloud-Zugangsschlüssel, Finanzunterlagen und Kundendaten und fordern eine Kontaktaufnahme, ohne eine Summe zu beziffern.

Nightspire-Ransomware

Hinter der Nightspire-Ransomware steht eine erstmals im Februar 2025 beobachtete Double-Extortion-Gruppe mit mehreren Hundert Opfern in Dutzenden Ländern. Die Opfer stammen überwiegend aus den Branchen Fertigung, Technologie und Unternehmensdienstleistungen. Laut S-RM hatten 73 % der frühen Opfer weniger als 1.000 Beschäftigte. Der Zugang erfolgt meist über die Fortinet-Schwachstelle CVE-2024-55591 oder RDP-Zugangsdaten. Die in Go geschriebene Verschlüsselungskomponente hängt die Endung .nspire an Dateinamen an und sperrt OneDrive-Dateien, ohne sie umzubenennen. Die Fristen bis zur Veröffentlichung auf der Leak-Seite betragen teils nur 48 Stunden. Ein Löschen der Volume Shadow Copies wurde nicht beobachtet.

Interlock-Ransomware

Interlock ist eine Double-Extortion-Ransomware-Operation, die erstmals im September 2024 beobachtet wurde und Organisationen in Nordamerika und Europa angreift. Zu den am häufigsten betroffenen Organisationen zählen Bildungseinrichtungen, Fertigungsunternehmen und Einrichtungen des Gesundheitswesens. Der Zugang erfolgt über Drive-by-Downloads von kompromittierten legitimen Websites und gefälschte CAPTCHA-Abfragen, die Nutzer zum Einfügen eines bösartigen PowerShell-Befehls verleiten. Die Verschlüsselungskomponenten für Windows, Linux und FreeBSD kommen auch bei Angriffen auf virtuelle Maschinen zum Einsatz; entwendete Daten erscheinen bei Zahlungsverweigerung auf einer Tor-Leak-Seite.

Umbra-Ransomware

Umbra ist eine ausschließlich auf Windows ausgerichtete Ransomware-Variante, deren Betreiber kleine und mittlere Organisationen aus den Bereichen Technologie, Bildung und Fertigung in Afrika, Südasien und Amerika auf ihrer Leak-Seite aufgeführt haben. Die in Rust geschriebene Schadsoftware verschlüsselt Dateien mit ChaCha20-Poly1305-Schlüsseln, die per RSA-2048 geschützt werden, hängt die Endung .umbra an und ersetzt das Desktop-Hintergrundbild. Betroffene werden auf ein Tor-Portal verwiesen und mit der Veröffentlichung entwendeter Daten bedroht; die Einträge auf der Leak-Seite enthalten jedoch häufig weder Lösegeldsummen noch Belege.

Majinahanashi-Ransomware

Majinahanashi ist eine Double-Extortion-Ransomware-Operation, die seit Mitte 2026 vor allem mittelständische Unternehmen aus der Schweiz, Italien und Deutschland auf ihrer Tor-Leak-Seite auflistet, daneben auch angebliche Opfer in Asien und Lateinamerika. Die Windows-Verschlüsselungskomponente sichert die je Datei erzeugten AES-256-Schlüssel mit einem eingebetteten RSA-Schlüssel, hängt die Endung .majin an und löscht Schattenkopien, bevor sie eine README.txt hinterlegt. Die Gruppe veröffentlicht entwendete Dateien schrittweise, zeigt Countdowns bis zum Ablauf der Fristen an und stellt Beispieldateien als Beleg bereit.

Silent Ransom Group-Ransomware

Silent Ransom Group ist eine auf Datendiebstahl spezialisierte Erpressergruppe, die seit dem Frühjahr 2023 vor allem US-amerikanische Anwaltskanzleien angreift, daneben Versicherungen, Finanzdienstleister und Einrichtungen des Gesundheitswesens. Die Angreifer geben sich per E-Mail, Telefon oder sogar persönlich vor Ort als Mitarbeitende des internen IT-Helpdesks aus. Anschließend nutzen sie legitime Fernwartungswerkzeuge wie AnyDesk für den Zugriff und kopieren Dateien mit WinSCP oder Rclone. Dateien werden nicht verschlüsselt. Die Angreifer übermitteln ihre Forderungen per E-Mail, setzen eine Frist von drei Tagen und drohen damit, Mitarbeitende und Kunden direkt zu kontaktieren.

Hyflock-Ransomware

Die Gruppe hinter der Hyflock-Ransomware betreibt ein Ransomware-as-a-Service-Modell mit doppelter Erpressung. Auf der Leak-Seite erscheinen Organisationen aus Asien, Lateinamerika und dem Nahen Osten, darunter Fertigungsunternehmen, Einrichtungen des Gesundheitswesens und Finanzdienstleister. Die mit der Gruppe zusammenarbeitenden Angreifer („Affiliates“) erwerben Netzwerkzugänge über das Panel der Gruppe und setzen eine in Rust geschriebene Verschlüsselungskomponente ein, die sich über Gruppenrichtlinien in Windows-Domänen verbreitet, Schattenkopien löscht und Netzlaufwerke verschlüsselt. Entwendete Daten werten die Angreifer aus, um die Höhe der Lösegeldforderung festzulegen; bleibt eine Kontaktaufnahme aus, drohen sie mit der Veröffentlichung der Daten.

Orova-Ransomware

Orova ist eine Ransomware-Gruppe, die auf doppelte Erpressung setzt. Als Opfer ihrer Angriffe nennt sie vor allem kleine und mittlere Organisationen in den USA, Hongkong und Taiwan. Betroffen sind unter anderem das Gesundheitswesen, die Fertigung und die Finanzdienstleistungsbranche. Berichten zufolge erfolgt der Zugriff über gültige Zugangsdaten. Die Verschlüsselungskomponente für Linux und VMware ESXi kann laufende virtuelle Maschinen zwangsweise beenden, nutzt Curve25519 und ChaCha20 und ergänzt die Dateinamen um die Endung .orova. Zahlen Betroffene nicht, veröffentlicht die Gruppe entwendete Daten auf einer Tor-Leak-Seite.

Helix-Ransomware

Helix ist eine Erpressergruppe, die keine Dateien verschlüsselt. Sie wurde im Juli 2026 öffentlich identifiziert und hat nordamerikanische Organisationen aus der Transport-, Finanzdienstleistungs- und Versicherungsbranche als Opfer aufgeführt. Die Angreifer rufen Mitarbeitende an und geben sich als Vorgesetzte oder Mitarbeitende des IT-Helpdesks aus. Dabei nutzen sie Device-Code-Phishing und leiten die Angerufenen Schritt für Schritt an, um eine Microsoft-365-Sitzung zu übernehmen. Anschließend registrieren sie eine eigene MFA-Methode und laden SharePoint-, OneDrive- und Exchange-Inhalte massenhaft herunter. Die Angreifer üben Druck aus, indem sie interne Teams-Nachrichten versenden und Daten zeitlich gestaffelt auf einer Tor-Leak-Seite veröffentlichen.

Dem Spiel voraus sein

Angesichts der ständig auftretenden neuen Varianten kann es entmutigend sein, auf dem Laufenden zu bleiben. Bildung ist der Schlüssel zur Bekämpfung von Ransomware, daher ist es wichtig, dass jede Organisation jemanden hat, der dafür verantwortlich ist, sich über neue Phishing-Techniken und Angriffsvektoren auf dem Laufenden zu halten und das Bewusstsein zu schärfen