Ransomware im Ernstfall: drei Fälle aus der Incident Response von Orange Cyberdefense

Das Wichtigste im Überblick

• Ein Klick, 350.000 betroffene Unternehmen. Der Angriff des LockBit-Netzwerks auf den französischen IT-Dienstleister Coaxis im Dezember 2023 legte binnen 24 Stunden die Systeme von 350.000 Kundenunternehmen lahm. Das Unternehmen zahlte die geforderten fünf Millionen US-Dollar nicht. Möglich war das nur durch vom Netz isolierte Backups.

• Es geht auch gut aus. In einem CSIRT-Einsatz gegen Conti platzierten die Angreifer den Verschlüsselungs-Payload bereits auf dem Domain Controller. Ausgeführt wurde er nie: Der Kunde erkannte die Anomalie, isolierte den Server selbst und rief die Hotline an. Vom Anruf bis zur Eindämmung verging eine Nacht.

• Der Erstzugriff kommt 2026 auch über Werbeanzeigen. Zwischen Februar und April 2026 bearbeitete das CERT drei Vorfälle bei europäischen Kunden, bei denen eine Hintertür als Installationsdatei für gängige Administrationswerkzeuge getarnt war. In einem Fall folgte Qilin-Ransomware.

• Cyber-Erpressung wächst und verschiebt sich nach unten. Orange Cyberdefense zählt seit 2020 18.943 Opfer auf Leak-Seiten, allein 6.142 in den letzten elf Monaten. Das ist ein Plus von 44,5 Prozent. Zwei Drittel sind kleine und mittlere Unternehmen; für Deutschland weist der Security Navigator 2026 ein Wachstum von 91 Prozent aus.

• Die eigenen Zahlen sind konservativ. Erfasst werden nur Opfer, die auf Leak-Seiten erscheinen, also im Wesentlichen die, die nicht gezahlt haben. Die tatsächliche Zahl liegt nach eigener Schätzung 50 bis 60 Prozent höher.

Wie hat sich das Ransomware-Ökosystem 2025 und 2026 verändert?

Orange Cyberdefense beobachtet die Leak-Seiten der Erpressergruppen seit Januar 2020 und führt den Begriff Cyber Extortion (Cy-X) statt Ransomware, weil längst nicht mehr jeder Fall mit Verschlüsselung arbeitet. Der Security Navigator 2026 vom 4. Dezember 2025 fasst den Stand zusammen: 18.943 dokumentierte Opfer seit 2020, davon 6.142 in den letzten elf Monaten des Berichtszeitraums, ein Anstieg von 44,5 Prozent gegenüber dem Vorjahr. Die Zahl aktiver Akteursgruppen stieg von 33 im Jahr 2020 auf 89.

Drei Verschiebungen, die für die Abwehr zählen

1. Das Ziel wird kleiner. Zwei Drittel der Opfer sind Unternehmen mit 1 bis 249 Beschäftigten. Für Deutschland weist der Report ein Wachstum von 91 Prozent in diesem Segment aus, den höchsten ausgewiesenen Länderwert. Für Konzerne ist das kein Grund zur Entwarnung, denn wer klein ist, ist oft Dienstleister für jemanden, der groß ist.

2. Der Markt zersplittert. Nach den Strafverfolgungserfolgen gegen die großen Marken verteilen sich Affiliates auf immer mehr Betreiber. In Europa stiegen die Opferzahlen von Qilin um 324 Prozent und von Akira um 168 Prozent. Für Incident-Response-Teams heißt das: Die Zuordnung eines Vorfalls zu einer Gruppenmarke sagt wenig über die zu erwartenden Vorgehensweisen. Aussagekräftig sind die beobachteten Techniken, denn die folgen dem Affiliate und nicht dem Logo auf der Leak-Seite.

3. Die Statistik unterschätzt das Problem. Gezählt werden Opfer, die auf einer Leak-Seite veröffentlicht werden. Wer zahlt oder erfolgreich verhandelt, taucht dort nie auf. Orange Cyberdefense beziffert die Dunkelziffer in der eigenen Cy-Xplorer-Methodik auf 50 bis 60 Prozent oberhalb der beobachtbaren Zahl.

„Die erste Frage im Krisenstab lautet fast immer, welche Gruppe dahintersteckt. Das ist verständlich, hilft operativ aber selten weiter. Aussagekräftig ist, welche Techniken wir in der Umgebung sehen. Die verraten mehr über den nächsten Schritt als jeder Markenname auf der Leak-Seite." Markus Neumaier, Head of Security Operations Central Europe, Orange Cyberdefense Germany

Coaxis: Wie wird aus einem Klick ein Ausfall für 350.000 Unternehmen?

Dieser Fall ist der am besten dokumentierte im Portfolio, weil Orange Cyberdefense ihn gemeinsam mit dem betroffenen Unternehmen öffentlich gemacht hat. Der 56-minütige Dokumentarfilm „Don't Go to the Police" (Regie: Ludoc, Ko-Autor: Romain Mielcarek) zeichnet ihn nach. Er ist frei verfügbar.

Den Film ansehen:Don't Go to the Police, deutsche Fassung

Was passiert ist

Coaxis ist ein französischer IT-Dienstleister aus dem Département Lot-et-Garonne, der die IT von Steuerberatungskanzleien betreibt und hostet. In der Nacht vom 7. auf den 8. Dezember 2023 verschlüsselte ein Affiliate des LockBit-Netzwerks die Systeme. Der Erstzugriff erfolgte nach Darstellung von Orange Cyberdefense über den Klick auf einen Link in einer E-Mail.

Weil Coaxis für seine Kunden die gesamte Arbeitsumgebung bereitstellt, kaskadierte der Ausfall binnen 24 Stunden auf rund 350.000 Kundenunternehmen in ganz Frankreich. Kanzleien konnten nicht mehr arbeiten, mitten in der Vorbereitung des Jahresabschlusses.

Die Entscheidung

Coaxis zahlte nicht. Möglich war das aus einem einzigen Grund:

„Good news is that we had backups isolated from the network, whom the attackers didn't have access to. This key asset allowed Coaxis, through considerable effort, to get back on their feet." Rodrigue Le Bayon, Leiter des CERT von Orange Cyberdefense

Der Geschäftsführer des betroffenen Unternehmens beschreibt die Abwägung so:

„And if we pay the ransom, is this going to put an end to our problems? We took the decision not to give in and rebuild our infrastructure from the ground up." Joseph Veigas, CEO Coaxis

Conti: Warum ging ein Angriff aus, ohne dass verschlüsselt wurde?

Dieser Fall stammt aus dem Security Navigator und ist von Gordon Brebner, Senior Incident Response Analyst bei Orange Cyberdefense, unter dem Titel „A close cut for Conti" beschrieben worden. Sein Lehrwert liegt darin, dass er zeigt, wie ein Angriff scheitert.

„As is often the case, the balloon went up late afternoon when a client called us to say they had noticed some behavioural anomalies on one of their Domain Controllers (Group Policy Objects had been deleted and the DC had unexpectedly rebooted). Fortunately, the client exercised an impeccable response procedure by isolating the server and calling the Orange Cyberdefense hotline!" Gordon Brebner, Senior Incident Response Analyst, Orange Cyberdefense

Der Ablauf

1. Später Nachmittag, der Anruf. Der Kunde bemerkt gelöschte Gruppenrichtlinienobjekte und einen unerwarteten Neustart eines Domain Controllers. Er isoliert den Server selbst und ruft die Incident-Response-Hotline.

2. Früher Abend, Sichtbarkeit herstellen. Das CSIRT rollt XDR im Kundennetz aus und erhält Echtzeiteinsicht. Befund: Die Angreifer sind noch aktiv und zwar auf einem aus dem Internet erreichbaren Webserver, sowie auf einem Applikationsserver, der über einen Sliver-C2-Kanal nach außen kommuniziert.

„Fortunately, the collective efforts of the CSIRT and the client thwarted all attempts by the attackers to execute the ransomware payload and achieve their final objective." Gordon Brebner, Orange Cyberdefense

• Nachtschicht zum Eindämmen. Die Analystinnen und Analysten isolieren über Nacht alle kompromittierten Server und setzen Präventionsregeln, um die weitere Ausführung der Angreifer-Werkzeuge zu unterbinden.

• Tagesanbruch, umschalten auf Forensik. Das Team ist sicher, den Vorfall eingedämmt zu haben, und wechselt in die forensische Untersuchung.

• Der Befund. Der Erstzugriff erfolgte über eine bekannte Schwachstelle in einem aus dem Internet erreichbaren Webserver, über die ein öffentlich verfügbares Web-Shell-Skript abgelegt wurde. Danach legten die Angreifer eigene hochprivilegierte Konten an, verteilten Sliver-Beacons auf mehreren Servern und erlangten schließlich ein Domain-Administrator-Konto.

• Das verhinderte Finale. Die Angreifer deaktivierten Firewall-Einstellungen, löschten Gruppenrichtlinienobjekte auf dem Domain Controller und legten dort ihre Werkzeuge ab: kommerzielle Fernwartungssoftware, einen Sliver-Beacon und den Conti-Ransomware-Payload. Zur Ausführung kam es nicht.

Der Ablauf

Bei allen drei Kunden führte die Infektionskette über Malvertising, also bezahlte Suchanzeigen, die auf gefälschte Downloadseiten führten. Ausgeliefert wurde die Hintertür SmokedHam, getarnt als Installationsdatei für RVTools und den Remote Desktop Manager. Nach diesen beiden Werkzeugen suchen typischerweise Administratorinnen und Administratoren. Der Angriff zielt damit direkt auf privilegierte Nutzer.

Nach der Kompromittierung setzten die Angreifer bewusst unauffällige Werkzeuge ein: PuTTY, Kitty, Total Commander und die Fernwartungslösung Zoho Assist. Besonders bemerkenswert ist ein Detail, das das CERT hervorhebt: Die Angreifer installierten zwei Mitarbeiterüberwachungs-Lösungen, um ihre eigenen Aktionen in scheinbar legitimer Administrationstätigkeit zu verstecken. Die Kommunikation nach außen lief über Domain Fronting via Cloudflare Workers.

In einem der drei Fälle mündete die Kette in die Ausbringung von Qilin-Ransomware. Die Zuordnung erfolgt mit mittlerer Konfidenz:

„We attribute with moderate confidence these activities to the Russian-speaking ransomware affiliate UNC2465, historically associated with DarkSide, LockBit and Hunters International distribution." Orange Cyberdefense CERT, 15.04.2026

Das passt zum Marktbild: Qilin ist die Gruppe mit dem stärksten Zuwachs in Europa, plus 324 Prozent bei den Opferzahlen.

Was kostet ein Ransomware-Vorfall wirklich?

Die belastbarste eigene Kostenrechnung stammt aus einem älteren, dokumentierten CSIRT-Einsatz bei einem Großunternehmen mit über 4.000 Windows-Endpunkten.

Der Fall „flaches Netz"

Der Einstieg erfolgte über ein Word-Dokument mit Makro und die Schadsoftware Emotet. Der Virenschutz warnte, blockierte aber nicht, und niemand sah hin. Von dort aus fanden die Angreifer den entscheidenden Fehler: Das lokale Administratorkennwort war auf jedem Endpunkt identisch, einschließlich Servern und Hypervisoren. In der Folge löschten sie die Backups, deaktivierten den Virenschutz, legten Domain-Admin-Konten an, kartierten das Verzeichnis mit BloodHound und öffneten RDP nach außen. Auf dem Domain Controller platzierten sie schließlich Ryuk in einem versteckten Share, zusammen mit einer Textdatei, die über 4.000 Endpunkte auflistete.

Die Rechnung: 500.000 Euro Lösegeld, gezahlt gegen den ausdrücklichen Rat des CSIRT. Dazu mehrere Hunderttausend Euro Anwaltskosten und über 500.000 Euro für den Netzumbau. In Summe über eine Million Euro, plus vier Wochen CSIRT-Arbeit für die Wiederherstellung.

Die Ursachen benennt der Bericht schonungslos: ein vollständig flaches Netz, über 30 Domain-Admin-Konten, kein zentrales Logging, kein SOC und keine funktionierenden Backups.

Was sagen die eigenen Betriebsdaten über Erkennung und Reaktion?

Die drei Fälle sind Einzelbeobachtungen. Der Betrieb liefert die Grundgesamtheit dazu. Aus 15 CyberSOCs weist der Security Navigator 2026 für den Zeitraum Oktober 2024 bis September 2025 aus:

Rund 86 Prozent des Aufkommens ist Rauschen. Wer diese Filterleistung nicht hat, bindet die knappste Ressource im Haus an Ereignissen ohne realen Angriff. Wie sich das automatisieren lässt und wo die Grenze verläuft, behandelt der Beitrag „Agentic AI im SOC".

66 Stunden bis zum Abschluss eines Prio-1-Vorfalls sind der realistische Erwartungswert, nicht die 15 Minuten Reaktionszeit. Wer im Krisenstab mit „in einer Stunde ist das erledigt" plant, plant falsch. Für Deutschland weist der Security Navigator 2025 zusätzlich eine mittlere Bearbeitungsdauer von 50,5 Stunden aus.

Welche Meldepflichten greifen in Deutschland bei einem Ransomware-Vorfall?

Bei einem einzigen Vorfall können drei Uhren gleichzeitig laufen.

BSIG

Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. § 32 BSIG verlangt eine Frühwarnung binnen 24 Stunden nach Kenntniserlangung, eine Meldung binnen 72 Stunden und eine Abschlussmeldung binnen eines Monats. Dauert der Vorfall an, tritt zunächst eine Fortschrittsmeldung an deren Stelle. Nach § 38 BSIG haften Geschäftsleitungen persönlich für die Umsetzung der Risikomanagementmaßnahmen und sind zur regelmäßigen Schulung verpflichtet.

DSGVO

Sind personenbezogene Daten betroffen, greift Artikel 33: Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, andernfalls mit Begründung der Verzögerung. Bei hohem Risiko für Betroffene kommt die Benachrichtigung nach Artikel 34 hinzu, ohne Stundenfrist, aber unverzüglich.

DORA

Für Finanzunternehmen gilt seit dem 17. Januar 2025 die schärfste Frist: Erstmeldung so früh wie möglich, in jedem Fall binnen vier Stunden nach Klassifizierung als schwerwiegender IKT-Vorfall und spätestens 24 Stunden nach Kenntnis.

Der Coaxis-Fall zeigt die praktische Konsequenz: Ein Dienstleisterausfall löst Pflichten bei allen aus, deren Dienste erheblich gestört sind, auch ohne eigene Kompromittierung. Die Klassifizierungsentscheidung ist selbst zeitkritisch und gehört vordefiniert ins Playbook. Wie ein solcher Prozess aufgebaut wird, beschreibt der Beitrag „Incident Response: Grundlagen, Prozess und Phasen für Unternehmen".

Bei einem akuten Vorfall erreichen Sie das CSIRT von Orange Cyberdefense über die Incident Response Hotline rund um die Uhr. Die Ersteinschätzung ist kostenfrei.

Die ersten Schritte

1. Backups gegen den Angreifer prüfen, nicht gegen den Festplattenausfall. Konkrete Frage: Kann ein Domain-Administrator unsere Sicherungen löschen? Wenn ja, haben wir keine.

2. Wiederherstellung tatsächlich testen, inklusive Identitäten, die vom kompromittierten Verzeichnisdienst unabhängig sind, und mit der Zeitmessung, die in die Business-Impact-Analyse gehört.

3. Lokale Administratorkennwörter individualisieren und die Zahl der Domain-Admin-Konten auf eine überprüfbare Größe reduzieren.

4. Einen freigegebenen Bezugsweg für Administrationswerkzeuge einrichten. Suchmaschine plus Downloadseite ist 2026 ein Angriffsvektor.

5. Die Rufnummer bekannt machen. Der Conti-Fall ging gut aus, weil jemand wusste, wen er anruft, und weil der Vertrag schon existierte.

6. Sanktionsprüfung ins Playbook aufnehmen, vor jeder Zahlungsdiskussion, dokumentiert.

7. Den Film im Führungskreis zeigen. 56 Minuten, deutsche Fassung, ein realer Fall mit dem betroffenen Geschäftsführer vor der Kamera. Das erreicht Gremien, die eine Risikomatrix nicht erreicht.

Häufig gestellte Fragen (FAQ) zu Ransomware-Angriffen

Sollten wir Lösegeld zahlen?

Die Datenlage spricht dagegen. Die Zahlungsquote liegt laut Chainalysis bei 28 Prozent und damit auf einem Allzeittief. Coaxis zahlte fünf Millionen US-Dollar nicht und stand nach etwa einem Monat wieder. Umgekehrt zeigt der Fall des flachen Netzes, was passiert, wenn Backups fehlen: 500.000 Euro Lösegeld gegen den Rat des CSIRT und trotzdem über eine Million Euro Gesamtkosten. Hinzu kommen rechtliche Risiken: Die Zahlung kann insbesondere dann rechtswidrig sein, wenn die Angreifer auf Sanktionslisten stehen oder einer sanktionierten bzw. terroristischen Organisation zugeordnet werden können, da dadurch eine verbotene finanzielle Unterstützung vorliegen kann.

Schützen Backups vor moderner Ransomware?

Nur gegen den Verschlüsselungsteil, und nur wenn der Angreifer sie nicht erreicht. Im Coaxis-Fall waren die Sicherungen vom Netz isoliert. Das gab den Ausschlag. Im Fall des flachen Netzes wurden sie als Erstes gelöscht. Gegen reine Datenerpressung ändern Backups ohnehin nichts an der Veröffentlichungsdrohung.

Wie schnell müssen wir realistisch reagieren können?

Im Conti-Fall lag zwischen Anruf am späten Nachmittag und Eindämmung im Morgengrauen eine Nacht, bei einem Angreifer, der noch aktiv im Netz war. Die eigene Rufbereitschaft sollte auf Stunden ausgelegt sein, nicht auf den nächsten Werktag. Die Reaktionszeit auf Prio-1-Vorfälle liegt im CyberSOC-Betrieb bei 15 Minuten, der vollständige Abschluss im Schnitt bei 66 Stunden.

Was ist ein Compromise Assessment und wann ist es sinnvoll?

Eine gezielte forensische Untersuchung der Umgebung auf Spuren einer bereits erfolgten Kompromittierung. Sinnvoll nach dem Bekanntwerden einer massenhaft ausgenutzten Schwachstelle in eingesetzten Produkten, und immer dann, wenn Systeme wiederhergestellt wurden, bevor jemand geprüft hat, ob der Angreifer noch da ist.

Müssen wir melden, obwohl wir selbst nicht kompromittiert wurden?

Wenn ein Vorfall bei einem Dienstleister zu einer erheblichen Störung Ihrer Dienste führt, kann die Meldepflicht nach § 32 BSIG greifen. Maßgeblich ist die Erheblichkeit der Auswirkung, nicht der Ort der Kompromittierung. Der Coaxis-Fall mit 350.000 mittelbar betroffenen Unternehmen ist dafür die Blaupause.

Wie erkennen wir Datenexfiltration, wenn nichts verschlüsselt wird?

Über Ausgangsdatenverkehr, ungewöhnliche Archivierungsvorgänge auf Servern, Zugriffe auf Datenbestände außerhalb bekannter Muster und Verbindungen zu Cloud-Speichern oder Tunneldiensten. Hilfreich ist außerdem, legitime Fernwartungs- und Kopierwerkzeuge nicht nur zu kennen, sondern ihren Einsatz zu autorisieren und zu protokollieren.

Ist die Zuordnung zu einer Ransomware-Gruppe für die Reaktion relevant?

Weniger, als oft angenommen. Affiliates arbeiten markenübergreifend. Im SmokedHam-Fall wird der Akteur historisch mit DarkSide, LockBit und Hunters International in Verbindung gebracht und setzte hier Qilin ein. Die beobachteten Techniken sind aussagekräftiger als der Markenname.

Wo kann ich den Fall Coaxis im Detail nachvollziehen?

Im Dokumentarfilm „Don't Go to the Police", 56 Minuten, deutsche Fassung. Er zeigt den Fall aus Sicht des betroffenen Geschäftsführers, der Ermittler und des CERT von Orange Cyberdefense.