Die Ransomware-Erpresserbrief Datenbank 2026: Wer hat mich gehackt?
CyberLord Threat Intel Autorenprofil
Der Albtraum beginnt meist an einem Montagmorgen. Mitarbeiter rufen an: "Ich kann meine Dateien nicht öffnen." Auf dem Server finden Sie Dateien mit seltsamen Endungen wie .locked, .enc oder zufälligen Zeichenfolgen.
Und in jedem Ordner liegt eine Textdatei: README.txt, RESTORE_FILES.txt oder HOW_TO_RECOVER.html.
Dies ist die Ransom Note (Der Erpresserbrief).
Für IT-Forensiker ist dieses Dokument der wichtigste erste Hinweis. Es verrät uns nicht nur, wie wir zahlen sollen, sondern wen wir vor uns haben. Die Sprache, das Design und die Kontaktmethoden sind wie ein Fingerabdruck der Tätergruppe.
In dieser Datenbank analysieren wir die Erpresserbriefe der aktivsten Gruppen, die 2025 und 2026 den deutschsprachigen Raum angreifen.
1. LockBit 4.0 / 5.0 (Der Marktführer)
Status: Hocheffizient, "professionell", kundenorientiert.
Dateiendung: .lockbit, .lb, zufällig generiert.
Dateiname: RESTORE-MY-FILES.txt
Inhalt & Stil: LockBit gibt sich als seriöses Unternehmen. Der Ton ist geschäftsmäßig, fast höflich. Sie bieten oft eine "kostenlose Test-Entschlüsselung" von 1 Datei an, um Vertrauen zu wecken.
"Ihre Daten wurden gestohlen und verschlüsselt. Aber keine Sorge, wir können sie zurückgeben. Behandeln Sie uns wie Berater, die Sie für einen Sicherheitstest bezahlen..."
Besonderheit: Ihre Erpresserbriefe enthalten oft direkte Links zu einer hochentwickelten Tor-Webseite mit einem Live-Chat-Support, der 24/7 besetzt ist. Sie drohen extrem schnell mit der Veröffentlichung von Daten auf ihrem "Blog".
2. ALPHV / BlackCat
Status: Aggressiv, technisch versiert (Rust-basiert).
Dateiendung: Oft zufällig (7-10 Zeichen).
Dateiname: RECOVER-[RANDOM]-FILES.txt oder Hintergrundbildänderung.
Inhalt & Stil: BlackCat ist aggressiver. Sie listen oft direkt im Brief Beispiele der gestohlenen Daten auf ("Wir haben Ihre Finanzbuchhaltung, HR-Daten...").
"Wenn Sie uns ignorieren oder die Polizei rufen, werden wir Ihre Kunden kontaktieren und ihnen sagen, dass ihre Daten gestohlen wurden."
Besonderheit: Sie nutzen oft eine dedizierte Webseite pro Opfer, die nur mit einem "Access Key" aus der Note erreichbar ist.
3. Akira
Status: Ziel auf Mittelstand (VPN Schwachstellen).
Dateiendung: .akira
Dateiname: akira_readme.txt
Inhalt & Stil: Akira nutzt ein Retro-Design (80er Jahre Terminal-Optik) auf ihrer Leak-Seite. Ihr Erpresserbrief ist kurz und direkt.
"Verhandeln Sie mit uns. Wir sind an Geschäft interessiert, nicht an Zerstörung."
Besonderheit: Sie nutzen oft veraltete Cisco VPN-Zugänge, um einzudringen. Wenn Sie Akira-Briefe sehen, prüfen Sie sofort Ihre VPN-Logs.
4. Phobos / Dharma (Der "Billig"-Sektor)
Status: Geringere Lösegelder, oft Angriffe auf Einzelserver via RDP.
Dateiendung: .id[ID].[email].phobos
Dateiname: info.txt, info.hta
Inhalt & Stil: Weniger professionell. Sie fordern oft Kontakt per E-Mail (z.B. ProtonMail oder Tutanota) statt über eine Tor-Seite.
"Schreiben Sie an hacker123@proton.me um den Preis zu erfahren."
Achtung: Da sie E-Mail nutzen, werden diese Adressen oft schnell von den Providern gesperrt, was die Kontaktaufnahme unmöglich macht. Die Gefahr des Datenverlusts ist hier höher.
Was tun, wenn Sie eine Note finden?
1. Nicht löschen!
Die Ransom Note enthält oft einzigartige Identifikatoren (IDs) oder Schlüssel, die für eine Entschlüsselung zwingend notwendig sind, falls Sie zahlen müssen oder falls ein kostenloses Tool (Decryptor) gefunden wird.
2. ID Ransomware nutzen
Es gibt eine exzellente Webseite namens "ID Ransomware" (gehostet von MalwareHunterTeam). Sie können dort die Note und eine verschlüsselte Beispieldatei hochladen. Das System sagt Ihnen, welche Malware es ist und ob es einen kostenlosen Entschlüsselungsschlüssel gibt.
3. Keine Kommunikation ohne Profis
Versuchen Sie nicht, selbst mit den Hackern zu chatten.
- Alles, was Sie sagen, wird gegen Sie verwendet ("Wir machen 10 Mio Umsatz").
- Klicken Sie nicht auf die Links im Tor-Browser auf Ihrem Firmen-PC (Gefahr weiterer Infektion).
Wie Analysten den Erpresserbrief einer Familie zuordnen
Die vier Profile oben sind eine Groborientierung. Im echten Vorfall braucht eine Bestimmung mehr als die Endung: Analysten bestätigen eine Zuordnung nie über ein einzelnes Merkmal, sondern über mehrere voneinander unabhängige Indizien.
Dateiendungen als erster Anhaltspunkt
Die Kombination aus Dateiendung, Notizdateiname und Verschlüsselungsverhalten liefert die erste Hypothese:
- Endungen wie
.akirazusammen mitakira_readme.txtin jedem betroffenen Ordner deuten auf Akira. .lockbit,.lboder zufällige Zeichenfolgen zusammen mitRESTORE-MY-FILES.txtpassen zum LockBit-Umfeld.- Verschachtelte Muster wie
.id[Nummer].[E-Mail-Adresse].phobos(siehe Profil 4) zeigen eine Familie aus dem Phobos-/Dharma-Sektor.
Wichtig: Eine Endung ist ein Hinweis, nie ein Beweis. Familien rotieren ihre Muster häufig — nach Umbenennungen, Code-Forks oder Umgehungstaktiken tauchen plötzlich andere Suffixe auf, teils wechselnd pro Version. Betrüger kopieren zudem Notizen großer Familien, um Opfer zu täuschen; Fake-Varianten kursieren frei verfügbar. Betrachten Sie das Muster daher als Startpunkt der Analyse, nicht als deren Ergebnis.
Fingerabdrücke im Notiztext
Präziser als jede Endung ist der Text selbst. Was Analysten konkret abgleichen:
- Tor-Adressen: Struktur und Format der Onion-URLs — viele Gruppen nutzen feste Domains, personalisierte Subdomains oder Access-Keys mit charakteristischem Aufbau.
- Krypto-Details: Wie viele Wallet-Adressen erscheinen, ob eine feste oder eine pro Opfer erzeugte Adresse, welche Währungen akzeptiert werden.
- Kontaktkanal: E-Mail-Domain, Instant-Messenger-IDs oder andere Kontaktwege — und ob die gleiche Adresse bereits in älteren Angriffswellen auftaucht.
- Leak-Site-Sprache: Nennungen der eigenen Veröffentlichungsseite, Countdown-Floskeln, victim-shaming-Bausteine, Drohungen, Kunden oder Medien zu informieren.
- Technische Fußspuren: Kodierung der Datei (UTF-8/UTF-16), Zeilenumbruch-Stil, Metadaten — und der Datei-Hash der Notiz selbst, den Analysten in Archiven webweit abgleichen.
Hinter diesen Bausteinen stehen die wiedererkennbaren Arbeitsmuster einer Gruppe. Wer tiefer einsteigen will, findet in Was sind TTPs in der Cybersicherheit? die passenden Grundlagen.
Öffentliche Datenbanken und Notiz-Archive
Als dritter Schritt kommt der Abgleich mit öffentlichen Quellen:
- ID Ransomware (oben vorgestellt) benennt die Schadsoftware-Familie. Idealerweise laden Sie die Notiz plus eine typische verschlüsselte Datei hoch — das Verschlüsselungsverhalten der Probe ist verlässlicher als die Notiz allein.
- NoMoreRansom.org (Crypto Sheriff) ist eine Initiative von Behörden und Sicherheitsunternehmen. Dort lässt sich abfragen, ob für die identifizierte Familie ein kostenloses Entschlüsselungstool dokumentiert ist.
- MalwareBazaar (abuse.ch) sammelt Samples von Erpresserbriefen und verschlüsselten Dateien und erlaubt den Nachschlag über Tags und Hashes — ein Archiv, um Textbausteine älterer Wellen derselben Familie zu vergleichen.
- Leak-Seiten prüfen: Erwähnt die Note eine Veröffentlichungsseite, prüft Ihr IR-Partner, ob Ihr Unternehmen dort gelistet ist — nicht Sie selbst, und niemals durch Öffnen der Tor-Links aus dem Brief auf Arbeitsgeräten.
Verstehen Sie diese Tools richtig: Sie identifizieren die Schadsoftware. Sie bewerten nicht, ob die Forderung seriös ist, ob Daten tatsächlich abgeflossen sind oder ob eine Verhandlung sinnvoll wäre. Das bleibt Aufgabe der Forensik und des Krisenteams.
Playbook: Die ersten 4 Stunden nach der Identifikation
Sobald die Familie bekannt ist, zählt die Reihenfolge. Drei klassische Fehler zerstören Beweise gründlicher als der Angriff selbst: Rechner ausgeschaltet, neu gestartet, Notiz gelöscht.
1. Isolieren statt ausschalten
Trennen Sie den betroffenen Host vom Netzwerk (Ethernet ziehen, WLAN deaktivieren, VPN beenden), lassen Sie die Maschine aber laufen. Ein Herunterfahren wirft die Speicherspuren weg, die Sie im nächsten Schritt brauchen.
2. Speicher- und Festplattenabbild vor jedem Neustart
Erstellen Sie zuerst ein RAM-Abbild, danach ein vollständiges Datenträgerabbild. Im Speicher liegen kurzlebige Bestandteile: der aktive Verschlüsselungsprozess, injizierte Komponenten, teils Schlüsselmaterial, aktuelle Logs. Der Reboot löscht sie dauerhaft.
3. Die Notiz sauber sichern
Kopieren Sie die Ransom Note aus mehreren Ordnern, notieren Sie Hash-Wert und Zeitstempel und archivieren Sie Exemplare unverändert. Je nach Encryptor variieren Versionen leicht; die im Brief enthaltene Opfer-ID ist oft für spätere Abgleiche relevant — etwa falls ein öffentliches Entschlüsselungstool auftaucht.
4. Volumeschattenkopien prüfen
Prüfen Sie über vssadmin list shadows bzw. das Windows-Ereignisprotokoll (Quelle volsnap), ob Schattenkopien existieren — oder bereits gelöscht wurden. Viele Gruppen löschen Schattenkopien vorsätzlich vor der Verschlüsselung, um die einfachste Wiederherstellung abzuschneiden. Vorhandene Schattenkopien retten Chancen; Löschungen dokumentieren das Vorgehen der Angreifer für die Forensik.
5. Wiper oder Encryptor? Die Unterscheidung
Stellen Sie schnell fest, ob verschlüsselt oder zerstört wurde:
- Verschlüsselung: Dateigrößen bleiben meist nahezu unverändert (typischerweise nur wenige Kilobyte Unterschied), Muster in Dateianfang oder -ende wirken strukturiert, Metadaten bleiben teils erhalten.
- Zerstörung (Wiper): Dateien auf 0 KB oder mit stark reduzierter Größe, vollständig überschriebene Anfangsbytes, auffällig gleichförmiger zufälliger Inhalt statt erkennbarem Muster.
Diese Unterscheidung bestimmt die realistische Erwartung, mit der Sie ins Management gehen — bevor irgendein Wort zur Recovery fällt. Und: Verwenden Sie auf keinen Fall den Entschlüsselungslink aus der Notiz auf einem kompromittierten System.
6. Logs exportieren
Sichern Sie VPN-, Firewall-, EDR- und Domänen-Logs sofort und extern. Diese Spuren dürfen nicht auf dem kompromittierten Host abhängen, der jederzeit ausfallen kann.
Was der Erpresserbrief NICHT verrät
Der Brief ist Marketing, kein Beweismittel. Vier Punkte bleiben trotz detailliert klingender Drohungen offen:
- Exfiltrationsstatus: Behauptungen wie "Wir haben Ihre Daten gestohlen" sind unverifizierbar. Die solide Grundhaltung: Gehen Sie von einem Abfluss aus, bis die Forensik das Gegenteil belegt.
- Backup-Manipulation: Ob Angreifer bereits Tage oder Wochen zuvor Backups, NAS-Snapshots oder Replikationen gekappt haben, steht nie im Brief. Prüfen Sie Ihre Backup-Historie eigenständig — erst dann kennen Sie die tatsächliche Ausgangslage.
- Dwell Time und Ursprung: Einstiegsweg (Phishing? VPN-Schwachstelle? RDP-Angriff?), Verweildauer im Netz, Lateral Movement — die Note schweigt gewöhnlich dazu. Nur die Forensik antwortet.
- Güte der Verschlüsselung: Ob die Malware Implementierungsfehler enthält, die theoretisch eine kostenlose Entschlüsselung möglich machen, kann nur die Forscherseite bewerten — nicht der Text der Drohung.
Wann Sie BSI, CERT-Bund oder LKA einschalten
Melden schadet nicht, Schweigen schon. In Deutschland stehen drei Adressen bereit:
- BSI / CERT-Bund: Die Meldestelle für IT-Sicherheitsvorfälle nimmt Berichte von Unternehmen und Organisationen auf. Für Betreiber kritischer Infrastruktur und nach den Anforderungen von NIS2 können Meldepflichten ohnehin greifen — klären Sie das mit Ihrer Compliance-Verantwortung.
- Polizei — ZAC Cybercrime des BKA oder das zuständige LKA Ihres Bundeslandes: Erpressung mit Malware ist eine Straftat; eine Strafanzeige ist unabhängig von der Höhe der Forderung möglich. Reichen Sie die Notizkopie als Beweismittel ein.
- Datenschutz-Aufsichtsbehörde: Sind personenbezogene Daten betroffen, gelten die 72-Stunden-Fristen der DSGVO unabhängig davon, was im Brief steht.
Für die erste Meldung reicht verhältnismäßig wenig: Kopie der Notiz, eine verschlüsselte Beispieldatei, Endung, Zeitpunkt des Verdachts. Genau hier zahlt sich die Identifikationsarbeit dieses Artikels aus — je präziser Ihre Familienbestimmung, desto zielgerichteter antworten die Sachbearbeiter.
Fazit: Kenne deinen Feind
Die Ransom Note ist das Visitenkarte des Gegners.
- Ist es eine bekannte, "vertrauenswürdige" kriminelle Gruppe wie LockBit? (Chance auf Datenrettung bei Zahlung hoch).
- Ist es eine chaotische Splittergruppe oder ein "Wiper"? (Chance gering).
Diese Information ist entscheidend für das Krisenmanagement.
Bei Cyberlord analysieren wir diese Spuren, verhandeln professionell (falls nötig) und helfen Ihnen bei der Entscheidung: Wiederherstellen oder Verhandeln?
Überblick
Wichtige Entscheidungen, Risiken und Umsetzungsmaßnahmen zu diesem Thema.