Ransomware-as-a-Service (RaaS): Warum der Mittelstand das Ziel Nr. 1 ist
CyberLord Threat Intel Autorenprofil
Stellen Sie sich vor, Cyberkriminalität wäre ein Franchise-Unternehmen wie McDonald's.
Sie müssen kein technisches Genie sein, um eine Filiale zu eröffnen. Sie zahlen einfach eine Gebühr, bekommen die Ausrüstung, das Branding und die Anleitung. Den Gewinn teilen Sie mit der Zentrale.
Genau so funktioniert Ransomware-as-a-Service (RaaS) im Jahr 2025.
Es ist eine hochprofessionelle Industrie mit Support-Hotlines, Marketing-Abteilungen und Gewinnbeteiligungen. Und ihr liebstes Opfer ist nicht mehr der Großkonzern mit Millionen-Budget, sondern der deutsche Mittelstand: Das Ingenieurbüro in Stuttgart, der Handwerker in Hamburg, die Zahnarztpraxis in München.
Warum? Und wie können Sie sich wehren?
Das Geschäftsmodell: Wie RaaS funktioniert
Früher musste ein Hacker alles selbst machen: Den Virus programmieren, ins Netzwerk eindringen, die Verschlüsselung managen und das Geld waschen. Das war mühsam.
Heute gibt es Arbeitsteilung:
1. Die Operatoren (Die Bosse)
Gruppen wie LockBit, BlackCat oder Play. Sie sind die Software-Entwickler. Sie programmieren die extrem leistungsfähige Ransomware, die Server in Minuten verschlüsselt. Sie betreiben auch die "Leak Sites" im Darknet, wo Daten veröffentlicht werden.
2. Die Affiliates (Die Franchisenehmer)
Das sind die "Fußsoldaten". Sie mieten die Software von den Operatoren. Ihre einzige Aufgabe ist es, in Ihr Netzwerk einzubrechen (den Virus zu platzieren). Sie sind oft technisch weniger versiert und kaufen einfach gestohlene Passwörter im Darknet ("Initial Access Broker").
3. Das Geschäft
Wenn ein Angriff erfolgreich ist und das Opfer 100.000 € Lösegeld zahlt:
- Bekommt der Affiliate oft 70-80% (für das Risiko).
- Bekommt der Operator 20-30% (für die Bereitstellung der Software).
Dieses Modell hat die Einstiegshürde dramatisch gesenkt. Jeder Teenager mit krimineller Energie kann heute zum Erpresser werden.
Warum ausgerechnet KMU? (Kleine und mittlere Unternehmen)
Viele Geschäftsführer sagen uns: "Wir sind doch zu klein. Bei uns gibt es nichts zu holen. Die Hacker greifen doch sicher die Allianz oder VW an."
Das ist ein tödlicher Irrtum.
1. Das "Soft Target"-Prinzip
Großkonzerne haben ein Cyber-Defense-Team von 50 Leuten und geben Millionen für Sicherheit aus. Das ist harte Arbeit für Hacker. Ein Mittelständler hat oft nur einen externen "IT-Mann", der einmal die Woche vorbeischaut. Die Firewall ist 5 Jahre alt. Backups liegen unverschlüsselt auf dem Server. Für Hacker ist das "Low Hanging Fruit" (leicht pflückbares Obst).
2. Die Masse macht's
Hacker denken ökonomisch.
- Einen Konzern zu hacken dauert 6 Monate für 5 Millionen Euro Lösegeld (hohes Risiko zu scheitern).
- 100 Mittelständler zu hacken dauert 1 Woche (automatisiert) für je 50.000 Euro Lösegeld.
- Ergebnis: 5 Millionen Euro, aber viel schneller und sicherer.
3. Existenzangst
Ein Konzern kann einen Ausfall von 3 Tagen verkraften. Ein Handwerksbetrieb, dessen Auftragsbücher und Baupläne verschlüsselt sind, geht nach 2 Wochen Pleite. Die Zahlungsbereitschaft im Mittelstand ist aus purer Verzweiflung extrem hoch.
Der Angriffsverlauf: Anatomie eines Hacks
Wie kommen sie rein? Es ist selten "Hollywood-Style".
- Phishing (Der Klassiker): Eine gefälschte Rechnung ("Mahnung") als PDF oder Word-Datei mit Makros. Ein Mitarbeiter klickt drauf.
- RDP (Remote Desktop): Viele Firmen nutzen Fernzugriff für Homeoffice. Wenn das Passwort schwach ist ("Firma2025!") oder keine 2-Faktor-Authentifizierung (MFA) aktiv ist, scannen Hacker das Internet danach und brechen ein.
- Ungepatchte Software: Eine Sicherheitslücke in der VPN-Box oder dem Exchange-Server, für die es seit 2 Monaten ein Update gibt, das aber niemand eingespielt hat.
Nach dem Einbruch: Sie verschlüsseln nicht sofort. Sie schauen sich um. Wochenlang.
- Sie suchen Ihre Backups und löschen sie.
- Sie stehlen Kundendaten für die Erpressung (Exfiltration).
- Dann, meist an einem Freitagabend oder Feiertag (wenn niemand in die Logs schaut), drücken sie den Knopf.
Schutzstrategie: Das 3-2-1 Backup reicht nicht mehr
Früher sagte man: Hab ein Backup, dann bist du sicher. Heute greifen Hacker die Backups gezielt an.
1. Immutable Backups (Unveränderbar)
Sie brauchen ein Backup, das physikalisch nicht überschrieben werden kann.
- Altmodisch aber gut: Bänder (Tapes), die im Safe liegen.
- Modern: Cloud-Speicher mit "Object Lock" (WORM - Write Once Read Many). Selbst wenn Sie als Admin eingeloggt sind, können Sie diese Daten für z.B. 30 Tage nicht löschen.
2. Netzwerk-Segmentierung
Trennen Sie Produktion, Büro und Gast-WLAN. Wenn der PC der Empfangsdame infiziert ist, darf der Virus nicht bis zur Produktionssteuerung in der Halle kommen.
3. MFA Überall (Multi-Faktor-Authentifizierung)
Jeder Zugang von außen (VPN, RDP, E-Mail) muss mit einem zweiten Faktor (Handy-App) gesichert sein. Das stoppt 99% der Angriffe über gestohlene Passwörter.
4. EDR statt Antivirus
Der klassische (kostenlose) Virenscanner erkennt nur bekannte Viren. EDR (Endpoint Detection & Response) erkennt Verhalten.
- "Warum versucht Word gerade, die PowerShell zu öffnen und Daten nach Russland zu senden?" -> Blockieren.
Die Ökonomie im Detail: Wer verdient was an einem Angriff?
Franchise klingt einfach. Wer hinter die Kulissen schaut, findet eine Wertschöpfungskette mit mindestens fünf Rollen – und jede kassiert ihren Anteil ab.
Die Rollen in der Wertschöpfungskette
- Entwickler (Operator): Baut die Verschlüsselungssoftware, die Leak-Website und das Partner-Dashboard. Manche Gruppen beschäftigen sogar interne Qualitätssicherung: Testing auf virtuellen Maschinen, damit die Malware nicht auffällt.
- Initial Access Broker: Verkauft fertige Einstiege. In seinen Foren stehen Angebote wie "VPN-Zugang, Metallverarbeitung, 240 Mitarbeiter, MFA deaktiviert" – gepaart mit Preisvorstellungen. Solche Beträge sind bewusst als grobe Schätzungen zu verstehen: je nach Branche, Unternehmensgröße und vorhandenen Rechten schon mal im niedrigen vierstelligen Eurobereich und darüber. Wir beobachten diese Marktpreise und dokumentieren sie im Dark Web Preisindex 2026.
- Affiliate: Kauft oder mietet den Einstieg, spielt die Ransomware aus und verhandelt. Je nach Programm zahlt er eine feste Monatsgebühr (Abo-Modell), tritt einen prozentualen Anteil ab oder beides kombiniert. Beliebte Affiliates erhalten Bonuszahlungen oder Rabatte.
- Geldwäsche-Dienst: Tauscht die Kryptowährung gegen saubere Wallets oder Bargeld. Spezialisierte Dienste nehmen dafür eine Kommission und nutzen Mixer sowie unzählige Umleitungen über Börsenkonten.
Erpresserbriefe vom Fließband
Die Erpressernachricht, die auf Ihren Servern landet, ist mitnichten handgeschrieben. RaaS-Portale bieten Generatoren mit grafischer Oberfläche: Der Affiliate wählt Logo, Frist, Betrag und Kontaktkanal aus, klickt auf "Erstellen" – fertig ist das PDF mit Bedrohungsszenario. Deshalb klingen viele Erpresserschreiben verdächtig ähnlich. Unsere Datenbank veröffentlichter Erpresserbriefe hilft, die Herkunft einer Nachricht über Muster und Charakteristika zu bestimmen.
Verhandlungs-Bots statt Handschlag
Auch das Gespräch mit den Erpressern läuft zunehmend automatisiert: Chat-Bots auf den Verhandlungsportalen beantworten Standardfragen, erklären Zahlungswege in drei Sprachen und setzen Countdown-Timer. Ein Mensch schaltet sich meist erst zu, wenn es um konkrete Summen geht. Für Opfer bedeutet das: Kein Mitleid, keine Ausnahmen – nur ein Skript mit Verkaufspsychologie.
Triple Extortion: Der Druck eskaliert weiter
Doppelte Erpressung (Verschlüsseln plus Datendiebstahl) ist heute der Standard. Bei manchen Programmen kommt eine dritte Stufe hinzu:
- DDoS: Die Website oder Infrastruktur des Opfers wird zusätzlich mit Anfragen überflutet, bis die Zahlung erfolgt.
- Shaming: Auf der Leak-Site werden das Unternehmen namentlich dargestellt, interne Dokumente ausgestellt und Fristen öffentlich heruntergezählt – die Druckwelle trifft dann Ihren Ruf, nicht nur Ihre IT.
- Kundenkontakt: Geschäftspartner und Kunden des Opfers erhalten Mails à la „Ihr Lieferant wurde gehackt“. Damit wird der gesellschaftliche Druck aufgebaut, den ein Mittelständler allein schwer abfedern kann.
Der deutsche Mittelstand: Die Struktur selbst ist das Angriffsziel
Bei KMU geht es selten um eine einzelne Fehlentscheidung. Es sind strukturelle Merkmale des klassischen deutschen Betriebs, die Angriffe so verlockend machen:
Wenn Produktion und Büro ein Netz teilen
In vielen Betrieben laufen Maschinensteuerung (OT), Zeiterfassung, Büro-PCs und Gast-WLAN über dasselbe flache Netz. Ein einziger gehackter Büro-PC genügt, und die Verschlüsselung wandert in Windeseile bis in die Maschinensteuerung. Hätte die Werkzeugmaschine eine eigene Netzwerkumgebung, bliebe der Schaden begrenzbar.
Dauerhafte Fernwartungszugänge
Maschinenhersteller und Dienstleister wollen ihre Anlagen aus der Ferne aktualisieren. Resultat: bestehende VPN-Tunnel und Fernwartungsportale, die rund um die Uhr offen stehen – oft mit Passwörtern, die seit Jahren unverändert sind. Affiliates nutzen genau diese Routen, weil sie aus Sicht der Monitoring-Werkzeuge wie vertrauter Datenverkehr aussehen.
Kein Incident-Response-Retainer, keine Rettungsleine
Großkonzerne halten externe Incident-Response-Retainer vor: einen vorab vereinbarten Vertrag, in dem ein Spezialistenteam im Ernstfall innerhalb weniger Stunden reagiert. Mittelständler halten das für Luxus – bis der Ernstfall eintritt und jede Stillstand-Stunde Auftragsverlust bedeutet. Ohne vorab geklärten Notfallplan verlieren Sie in den ersten 48 Stunden wertvolle Zeit für Organisationschaos statt für Wiederherstellung.
Die 72-Stunden-Frist aus der DSGVO
Artikel 33 DSGVO verlangt: Bei einer Verletzung des Schutzes personenbezogener Daten erfolgt die Meldung an die zuständige Aufsichtsbehörde "unverzüglich", längstens innerhalb von 72 Stunden. Das ist abends um 18 Uhr, wenn der Server verschlüsselt ist und Ihre E-Mail nicht mehr funktioniert, eine echte Herausforderung – besonders ohne Protokolle und ohne klare Ansprechpartner. Ein Notfallplan mit ausgedruckten Behördenkontakten ist hier keine Bürokratie, sondern Mindestvorsorge.
Zertifizierung als Vertrauenssignal
Mit dem IT-Grundschutz des BSI, dem BSI IT-Siegel oder einer ISO-27001-Zertifizierung verbessern Sie zwei Dinge gleichzeitig: Ihre Absicherung und Ihre Marktposition – immer mehr Ausschreibungen verlangen Nachweise genau dieser Art. Zertifizierung garantiert keinen Schutz vor Angriffen, aber sie erzwingt die Struktur, die Affiliates abschreckt: aktualisierte Systeme, beschriebene Prozesse, dokumentierte Verantwortlichkeiten.
Tabletop-Übung: Ihr Notfallplan am Konferenztisch
Eine solche Übung braucht weder teure Werkzeuge noch Ausfallzeiten. Dauer: 60 bis 90 Minuten, Teilnehmer: Geschäftsführung, IT-Verantwortlicher, ggf. Rechtsberatung. Das Szenario: "Es ist Freitag, 17:30 Uhr. Auf den Dateiservern und im ERP erscheint eine Verschlüsselungsmeldung."
Arbeiten Sie diese Fragen systematisch ab:
- Entscheidung: Wer leitet die Reaktion, wer vertritt ihn, wenn er im Urlaub ist? Gibt es eine Telefonliste auf Papier?
- Eindämmung: Wie trennen Sie betroffene Systeme vom Netz – manuell am Switch, per Fernzugriff? Wer hat die nötigen Rechte, und ist dieser Zugang unabhängig vom verschlüsselten Netz?
- Backups: Wann lief der letzte echte Wiederherstellungstest? Wie lange dauert ein vollständiges Restore realistisch – und wie viele Tage an Daten verlieren Sie maximal (Recovery Time bzw. Recovery Point)?
- Recht und Meldung: Wer meldet an die Aufsichtsbehörde (Art. 33 DSGVO), wer informiert Kriminalpolizei, Anwalt und ggf. die Cyber-Versicherung – in welcher Reihenfolge?
- Kommunikation: Was sagen Sie Kunden, Lieferanten und Mitarbeitern, sobald die Leak-Site Ihren Namen zeigt? Vorab formulierte Textbausteine verhindern Panikmails.
- Ersatzbetrieb: Welche Arbeitsmittel (Zweit-PC, Webmail-Konto, Cloud-Dokumente) bleiben Ihnen als Übergangslösung, während der Hauptbetrieb steht?
Notieren Sie jede Lücke, die dabei auftaucht – das ist der eigentliche Output. Wiederholen Sie die Übung spätestens halbjährlich oder nach wesentlichen Veränderungen in Personal und Systemlandschaft. Eine Übung verhindert keinen Angriff, aber sie verhindert Chaos, und genau das Chaos verlängert jeden Ausfall.
Commodity oder Zero-Day: Ein Unterschied mit Konsequenzen
Nicht jeder Angriff beginnt mit einem Technik-Kunststück. Der überwiegende Teil der Ransomware-Fälle in KMU nutzt Alltagslücken: ungepatchte VPN-Geräte, schwache Fernwartungskonten, gestohlene Passwörter von Access Brokern. Solche "Commodity"-Bedrohungen sind billig, weil die Werkzeuge massenhaft verfügbar sind – deswegen richten sie sich eben auch gegen Sie.
Zero-Days (Lücken, für die es noch keinen Patch gibt) sind dagegen teuer und werden meist über Broker an gut finanzierte Gruppen oder Staaten vermittelt. Gegen eine Zahnarztpraxis pendelt selten eine Zero-Day-Kette. Das bedeutet für Sie eine doppelte Botschaft: Die Verteidigung gegen den Großteil der RaaS-Angriffe heißt Patch-Management, MFA und regelmäßig wiederhergestellte Backups – nicht exotische Spezialwerkzeuge. Und welche Warnsignale darauf hinweisen, dass Ihr Netz bereits von jemandem ausspioniert wird, listen wir in den Top 10 Zeichen einer kompromittierten Firma auf.
Fazit
Ransomware-as-a-Service hat die Spielregeln verändert. Cyber-Angriffe sind kein "Naturereignis", das nur Pechvögel trifft. Sie sind ein industrialisiertes Geschäftsmodell, das ständig nach ungeschützten Zielen scannt.
Das Ziel sind nicht Ihre Daten. Das Ziel ist Ihr Geldbeutel.
Machen Sie es den Hackern nicht so leicht. Sorgen Sie dafür, dass Ihr Unternehmen für die Affiliates zu "anstrengend" ist, sodass sie zum nächsten (leichteren) Ziel weiterziehen.
Checkliste anfordern: Ist meine Firma sicher vor RaaS?
Überblick
Wichtige Entscheidungen, Risiken und Umsetzungsmaßnahmen zu diesem Thema.