Die Ransomware-Vorbereitungslücke, die in den meisten Plänen nicht getestet wird

Ransomware ist Schadsoftware, die Dateien, Server und Systeme eines Unternehmens verschlüsselt und anschließend eine Zahlung – meist in Kryptowährung – für die Wiederherstellung des Zugriffs fordert. Sie gehört seit einem Jahrzehnt zu den folgenschwersten Arten von Cyberangriffen und beschränkt sich längst nicht mehr nur auf Bildschirme: Sie hat Krankenhäuser, Pipelines, Stadtverwaltungen und Fertigungslinien teilweise tagelang oder wochenlang lahmgelegt.

Fragt man die meisten Sicherheitsteams, was „Ransomware-Vorsorge“ bedeutet, fällt die Antwort technisch aus: Wie schnell können wir aus Backups wiederherstellen, wie isoliert sind unsere Wiederherstellungssysteme, wie aktuell ist unser Incident-Response-Plan? Das sind berechtigte und wichtige Fragen. Sie setzen jedoch alle denselben Ausgangspunkt voraus: dass der Angreifer bereits im System ist. Sie sagen wenig darüber aus, wie der Angreifer überhaupt erst dorthin gelangt ist.

Was Ransomware-Vorsorge meist testet – und was sie auslässt

Ein typisches Ransomware-Vorsorgeprogramm konzentriert sich auf die technische Mitte und das Ende eines Angriffs: Backup-Häufigkeit, Wiederherstellungsziele, Netzwerksegmentierung und Planspiele, die den Betrieb nach einem Systemausfall simulieren. Diese Übungen sind nützlich. Sie sind jedoch unvollständig, da sie erst dann beginnen, wenn der Zugriff bereits erfolgt ist.

Der Einstiegspunkt bei den meisten Ransomware-Vorfällen ist kein Schwachstellenscan, der einen ungepatchten Server findet. Zunehmend ist es ein Gespräch. Angreifer, die es auf große Unternehmen abgesehen haben, setzen verstärkt auf identitätsbasierte Angriffe: Sie überzeugen eine echte Person – meist aus dem IT-Support –, dass sie jemand anderes sind, und bringen diese Person dazu, den Zugang freiwillig zu gewähren.

Moderne Ransomware-Angriffe enden zudem selten bei der Verschlüsselung. Die meisten beinhalten mittlerweile eine doppelte Erpressung: Angreifer kopieren sensible Daten aus dem Netzwerk, bevor sie es sperren. Die Zahlung für einen Entschlüsselungsschlüssel garantiert also nicht, dass die gestohlenen Daten nicht trotzdem auftauchen. Diese zweite Ebene erhöht den Einsatz bei der Entscheidung über den Erstzugriff noch weiter, denn wenn die Verschlüsselung sichtbar wird, sind die Daten möglicherweise bereits weg.

Der zehnminütige Anruf, der 100 Millionen Dollar kostete

Im September 2023 gab MGM Resorts einen Cyberangriff bekannt, der laut dem eigenen SEC-Bericht des Unternehmens geschätzte 100 Millionen Dollar kostete. Der Angriff legte tagelang Spielautomaten, Hotelkartensysteme, Reservierungsplattformen und Zahlungssysteme in den MGM-Einrichtungen lahm.

Der Angriff begann nicht mit Schadsoftware. Sicherheitsforscher, die den Vorfall rekonstruierten, fanden heraus, dass ein Mitglied der als Scattered Spider bekannten Gruppe das Profil eines echten MGM-Mitarbeiters auf LinkedIn ausfindig machte, diese Informationen nutzte, um sich überzeugend als diese Person auszugeben, und beim IT-Helpdesk von MGM um Hilfe bei der Anmeldung bat. Das Gespräch dauerte etwa zehn Minuten. Es endete damit, dass der Angreifer Administratorzugriff auf das Identitätssystem von MGM hatte, was es der Gruppe ermöglichte, sich im Netzwerk zu bewegen und schließlich die Ransomware bereitzustellen.

Nichts an diesem Anruf wäre bei einem Schwachstellenscan aufgefallen. Es war kein technisches Versagen. Es war ein Versagen bei der Identitätsprüfung: ein Helpdesk-Prozess, der darauf ausgelegt war, hilfsbereit zu sein, nicht darauf, Identitäten unter Druck zu verifizieren. Social Engineering beim Helpdesk ist zu einem der häufigsten Angriffsvektoren für Ransomware geworden, gerade weil es auf einen Prozess abzielt, der darauf ausgelegt ist, schnell Zugriff zu gewähren, statt ihn zu hinterfragen.

Die Lücke zwischen Zugriff und Auswirkungen wird immer kürzer

Der Fall MGM liegt nun einige Jahre zurück, doch die Taktik, die er offenlegte, hat sich nicht verlangsamt, sondern beschleunigt. Der M-Trends-Bericht 2026 von Mandiant dokumentiert auf Basis eigener Untersuchungen, wie ein als UNC6692 verfolgter Akteur sich über Microsoft Teams als IT-Helpdesk-Mitarbeiter ausgab, um Erstzugriff zu erlangen, und diesen dann an eine zweite Gruppe zur Ransomware-Bereitstellung weitergab. Die mittlere Zeit zwischen diesem Erstzugriff und der Übergabe zur Ransomware-Bereitstellung ist von über acht Stunden auf nur noch 22 Sekunden gesunken.

Diese Zahl ist bedeutsamer, als sie auf den ersten Blick scheint. Ein Vorsorgeplan, der von Stunden zwischen Eindringen und Auswirkungen ausgeht – Zeit, um ungewöhnliche Aktivitäten zu erkennen oder ein kompromittiertes Konto zu isolieren –, wird an einem Zeitrahmen gemessen, der zunehmend nicht mehr existiert. Wenn die Lücke auf Sekunden schrumpft, entscheidet nicht die Reaktion nach dem Zugriff über den Ausgang, sondern die Frage, ob der Zugriff überhaupt gewährt wird.

Wichtige Erkenntnis: Die Vorsorgelücke liegt vor dem Einbruch, nicht danach

Ransomware-Vorsorge wurde fast ausschließlich über die Wiederherstellung definiert: Wie schnell kann das Unternehmen zum Normalzustand zurückkehren, wenn es bereits getroffen wurde. Das ist notwendig, aber es behandelt den menschlichen Moment vor dem Einbruch – das Telefonat, die Teams-Nachricht, die Anfrage, die glaubwürdig genug klingt – als außerhalb des Bereichs der Vorsorge liegend.

Der Fall MGM und das von Mandiant im Jahr 2026 dokumentierte Muster belegen das Gegenteil. Sie beginnen am selben Punkt: bei einer Person, die in Echtzeit entscheiden muss, ob die Person am anderen Ende des Gesprächs die ist, für die sie sich ausgibt. Eine auf Stunden getestete Backup-Strategie ist dennoch anfällig, wenn diese Entscheidung niemals getestet wird.

Was das in der Praxis bedeutet

Ein Ransomware-Vorsorgeprogramm, das nur auf Backup-Tests und Wiederherstellungsübungen basiert, testet nur die halbe Miete. Die andere Hälfte ist die Frage, ob IT-Support-Mitarbeiter und Mitarbeiter im Allgemeinen einen überzeugenden Identitätsdiebstahl unter normalem Arbeitsdruck erkennen können – nicht in einem Szenario, von dem sie wissen, dass es ein Test ist.

Das erfordert die Art von realistischen, kanalübergreifenden Tests, die den Fall MGM für die Angreifer erst möglich gemacht haben: ein Szenario, das einen plausiblen Vorwand mit einem spezifischen Kanal (Telefon, Chat, Video) kombiniert, statt nur eine generische Phishing-E-Mail zu versenden. Diese Kombination zu simulieren, so wie sich ein tatsächlicher Social-Engineering-Versuch über verschiedene Kanäle entfaltet, ist genau die Art von Test, die in den meisten jährlichen Sicherheitsbewusstseins-Kalendern fehlt.

Nichts davon ersetzt Backup-Tests, Netzwerksegmentierung oder Incident-Response-Planung. Es ändert jedoch, was „bereit sein“ bedeutet: nicht nur, wie schnell ein Unternehmen wiederherstellen kann, sondern ob das spezifische Gespräch, das zum zehnminütigen Einbruch bei MGM führte, heute gegen den eigenen Helpdesk erfolgreich wäre.

Das technische Playbook für Ransomware – verschlüsseln, Lösegeld fordern, verhandeln oder wiederherstellen – ist seit Jahren weitgehend unverändert. Was sich jedoch geändert hat, ist die Geschwindigkeit, mit der Angreifer den Punkt erreichen, an dem dieses Playbook beginnt, und wie wenig dieser Weg heute noch über Code verläuft.

Unternehmen, die nicht nur den Wiederherstellungsplan, sondern auch den Telefonanruf testen, werden herausfinden, wo sie stehen, bevor es ein Angreifer tut.