Ransomware, die erst Wochen nach dem Phishing zuschlägt

Ransomware und Phishing waren schon immer miteinander verbunden, doch das alte Modell war recht plump. Eine Phishing-E-Mail enthielt die Schadlast, der Empfänger öffnete sie, und innerhalb weniger Stunden erfolgte die Verschlüsselung. Wie die Bedrohung im Jahr 2026 aussieht, ist grundlegend anders. Die E-Mail, die die Kette in Gang setzt, enthält nichts Gefährliches. Stattdessen trifft die Ransomware erst Wochen später ein, ausgelöst von einem völlig anderen Angreifer.

Wie hat sich die Verbreitung von Ransomware entwickelt?

Jede Veränderung der Verbreitungsmethode war eine direkte Reaktion auf die Kontrollmaßnahmen, die gerade gegen den vorherigen Ansatz in Kraft getreten waren. Im Jahr 2019 wurde im Rahmen einer international koordinierten Aktion das Necurs-Botnetz zerschlagen, eine kriminelle Infrastruktur, die für 90% der per E-Mail verbreiteten Malware verantwortlich war. Nachdem diese Infrastruktur zerschlagen worden war und Sicherheitsprodukte so ausreiften, dass sie die direkte Verbreitung über Anhänge erkennen konnten, änderten sich die wirtschaftlichen Rahmenbedingungen. Die Angreifer gingen zu präzisem Targeting und mehrstufigen Ketten über, bei denen die E-Mail selbst nichts Gefährliches enthält.

Welche Muster in der Ransomware-Infrastruktur zeigten sich zwischen 2025 und 2026?

Die Beobachtungen der Threat Labs in diesem Zeitraum ergaben sechs wiederkehrende Muster, die sich über verschiedene Kampagnen hinweg zeigten – unabhängig von den jeweiligen Ködern oder Payloads. Jedes dieser Muster ist eine direkte Antwort auf eine Schutzmaßnahme, die zuvor gegen den älteren Angriffstechnik gewirkt hatte.

• Vertrauenswürdige Einstiegspunkte: Angreifer leiten zunächst über Google Drive, Dropbox, Slack oder GitHub um. Links zu diesen Plattformen wirken seriös und werden von Sicherheitstechniken als risikoarm eingestuft.
• Domains mit sauberem Ruf: Die Weiterleitung läuft über kompromittierte oder geparkte Domains, die sich lange einen guten Ruf bewahrt haben und deshalb nicht auf Sperrlisten stehen. Die mehrstufigen Ketten erschöpfen zudem die Analysezeit automatisierter Sandboxes.
• Spurlose Payloads: Dropper setzen auf mehrschichtige Verschleierung und polymorphe Signaturen. Manche Kampagnen nutzen Windows-Bordmittel wie „Certutil“, um Payloads direkt in den Prozessspeicher zu laden und das Dateisystem ganz zu umgehen. So bleiben keine erkennbaren Dateien für Malware-Scanner zurück.
• Gekaufter Zugriff: Statt sich selbst Zugang zu verschaffen, kaufen Ransomware-Betreiber gültige Anmeldedaten auf Untergrundmärkten und können so direkt mit der Verbreitung beginnen.
• RMM (Remote Monitoring and Management) für die Persistenz: Für den dauerhaften Zugriff nutzen Angreifer legitime, signierte Fernwartungstools. Diese verschmelzen mit dem regulären Netzwerkverkehr, sodass unbefugte Installationen ohne Umgebungs-Baseline kaum zu erkennen sind.
• Getrennte Akteure: Phishing und Ransomware laufen oft über verschiedene kommerzielle Akteure. Einer sichert den Erstzugang und verkauft ihn an einen Ransomware-Betreiber weiter, wodurch der finale Angriff durch eine separate Finanztransaktion von der ursprünglichen E-Mail entkoppelt wird.

Wie die Ransomware-Ketten tatsächlich ablaufen

Die gängigen Infrastrukturmuster des letzten Jahres haben einen gemeinsamen Nenner: den Posteingang als Einstiegspunkt. Die Phishing-E-Mail enthält einen Aufruf zum Handeln oder einen Anhang, dessen einzige Funktion die erste Weiterleitung ist. Sie enthält keine Schadlast. Von dieser Weiterleitung aus gelangt das Opfer über Cloud-Plattformen und anschließend über Domains mit beeinträchtigtem oder fehlendem Reputationssignal zu einer Infrastruktur, die der Angreifer kontrolliert.

Hier sind die fünf Phasen einer typischen Ransomware-Angriffskette:

• Phase 1: Phishing-E-Mail
  Die E-Mail kommt als subtiler, zeitkritischer Köder an. Sie enthält keine Schadlast, sondern lediglich einen Link zu einem vertrauenswürdigen Cloud-Dienst, der unbemerkt an den Sicherheitsfiltern vorbeigleitet.
• ​Phase 2: Umleitungskette
  Ein Klick löst ein Multi-Hop-Routing über vertrauenswürdige Cloud-Plattformen und etablierte Domains aus, um Verdacht zu vermeiden.
• ​Phase 3: Dropper einsetzen
  Ein kleiner, formwandelnder Dropper schleicht sich vollständig in den Arbeitsspeicher des Computers ein, um Dateiscanner zu umgehen. Er führt eine unauffällige Überprüfung durch, um sicherzustellen, dass er nicht überwacht wird, und bestätigt dann das Ziel.
• Phase 4: Aufklärung
  Nun, da er im System ist, sucht der Ransomware-Betreiber nach hochwertigen Daten und kritischen Systemen. Er kartiert das Netzwerk und positioniert die Ransomware, um einen einzigen, synchronisierten Angriff vorzubereiten.
• Phase 5: Einsatz der Ransomware
  Einige Wochen nach der ersten E-Mail kommt es zum finalen Akt. Ein anderer Angreifer nutzt die gekauften Schlüssel und setzt die Ransomware ein.

Wo Standardkontrollen versagen

Jede Phase dieser Kette nutzt eine Lücke aus, für die klassische Schutzmaßnahmen nie ausgelegt waren. Der ältere Angriffsansatz ließ sich noch zuverlässig stoppen: durch E-Mail-Gateways mit Detonationsumgebungen, durch Endpunktprodukte, die Dropper-Signaturen sammeln, sowie durch hash- und reputationsbasierte Blockierung. Die moderne Kette umgeht jede dieser Kontrollen gezielt durch eine bewusste Designentscheidung in genau der Phase, in der die jeweilige Kontrolle greifen müsste.

Clickfix: Eine Fallstudie zur gezielten Umgehung von Sicherheitsmaßnahmen

Die Clickfix-Technik, die in mehreren im Jahr 2025 und 2026 verfolgten Kampagnen beobachtet wurde, veranschaulicht, wie effektiv Angreifer ihre Methoden gestalten, um Sicherheitskontrollen zu umgehen.

Eine Köder-Seite präsentiert dem Opfer eine gefälschte Bestätigungsaufforderung und schreibt einen PowerShell-Befehl in die Zwischenablage, ohne dass dies sichtbar ist. Das Opfer wird angewiesen, den Windows-Dialog „Ausführen“ zu öffnen, den Befehl einzufügen und die Eingabetaste zu drücken, in der Annahme, einen Anzeigefehler zu beheben oder eine Zugriffsprüfung durchzuführen. Die nächste Befehlsstufe war in einer DNS-TXT-Eintragsantwort verschlüsselt und wurde direkt aus dem Speicher ausgeführt. Weder wurde eine Datei geschrieben noch ein HTTP-Request ausgelöst. Das funktionierte nicht wegen technischer Raffinesse, sondern weil die Technik um die tatsächliche Funktionsweise der Detektion herum gebaut war und nicht um die von Verteidigern angenommene.

Fazit: Die Gefahr liegt in der Abfolge

Ganz gleich, wie komplex die Angriffskette auch wird, alles beginnt mit einer E-Mail. Die Weiterleitungen, der Diebstahl von Anmeldedaten, der Einsatz von Ransomware: alles hängt davon ab, dass diese erste E-Mail im Posteingang landet und der Empfänger darauf reagiert. Genau darin liegt die Herausforderung. Moderne Ransomware-Kampagnen erscheinen in keiner einzelnen Phase als offensichtlich gefährlich. Die E-Mail ist unauffällig. Die erste Weiterleitung führt an einen vertrauten Ort. Der Dropper schreibt nichts auf die Festplatte, und der Persistenzmechanismus nutzt Software, die IT-Teams selbst einsetzen. Erst Wochen später, oft von einem anderen Betreiber aus, wird die Ransomware ausgeführt.

Jede Phase hängt vollständig davon ab, dass die vorherige abgeschlossen wurde. Wirksamer Schutz setzt deshalb möglichst früh an: bei der Abwehr auffälliger E-Mails, noch bevor eine Schadlast ins Spiel kommt, und bei der Sensibilisierung der Empfänger, die den entscheidenden ersten Klick verhindern kann. Ebenso wichtig ist es, verdächtige Nachrichten schnell zu melden und die gewonnenen Erkenntnisse organisationsübergreifend zu teilen, damit ein einmal erkanntes Angriffsmuster nicht andernorts erneut zuschlägt. Wer die Kette an ihrem Anfang unterbricht, entzieht allem, was folgt, die Grundlage.

Info: Die komplette Untersuchung der KnowBe4 Threat Labs findet sich hier: https://blog.knowbe4.com/how-ransomware-delivery-has-evolved

#KnowBe4