Wenn plötzlich Dateien unlesbar werden, Netzlaufwerke verschwinden und eine Lösegeldforderung auf dem Bildschirm erscheint, zählt jede Minute. LockBit Black bezeichnet die als LockBit 3.0 bekannte Ransomware-Variante, die Daten verschlüsselt, Informationen abzieht und Unternehmen zusätzlich mit deren Veröffentlichung unter Druck setzt. Ich zeige, woran sich der Angriff erkennen lässt, wie die Schadsoftware typischerweise vorgeht und was Betroffene in Deutschland jetzt tun sollten.
Die wichtigsten Fakten zur LockBit-3.0-Ransomware auf einen Blick
- LockBit Black ist der geläufige Name für LockBit 3.0.
- Die Malware kombiniert Dateiverschlüsselung und Datendiebstahl.
- Angriffe treffen vor allem Unternehmen, Behörden und kritische Einrichtungen.
- Ein auffälliger Dateiname allein beweist noch keine bestimmte LockBit-Version.
- Nicht zahlen, isolieren, Beweise sichern und professionelle Hilfe einschalten.
- Für bestimmte Infektionen existiert ein kostenloses Entschlüsselungswerkzeug.
Was LockBit Black tatsächlich ist
Bei LockBit Black handelt es sich nicht um ein eigenständiges Produkt, sondern um eine konkrete Entwicklungsstufe der LockBit-Familie. Die Variante wurde 2022 bekannt und wird in Sicherheitsberichten meist als LockBit 3.0 bezeichnet. Sie gehört zur Kategorie der Ransomware, also zu Schadsoftware, die den Zugriff auf Daten oder Systeme blockiert und dafür Geld verlangt.
Das Besondere ist das Geschäftsmodell Ransomware-as-a-Service. Dabei entwickeln Betreiber die Infrastruktur und stellen Schadsoftware, Erpresserseiten oder Verhandlungssysteme bereit. Affiliates führen die Angriffe aus und teilen später die Einnahmen. Deshalb sieht nicht jeder Vorfall gleich aus, obwohl im Hintergrund dieselbe Malware-Familie stehen kann.
Ich halte die Bezeichnung deshalb für nützlich, aber nicht für einen ausreichenden Beweis. Ein Erpresserbrief, ein schwarzer Desktop-Hintergrund oder eine bestimmte Dateiendung können Hinweise liefern, doch eine belastbare Zuordnung gelingt erst durch forensische Analyse von Dateien, Protokollen und Angriffsablauf.
Wie die Schadsoftware in ein Netzwerk gelangt
LockBit 3.0 wird nicht nur über einen einzigen Weg verbreitet. Häufig beginnt der Angriff mit gestohlenen Zugangsdaten, ungepatchten VPN- oder RDP-Zugängen, Phishing-Nachrichten oder kompromittierten Dienstleistern. Auch ein bereits vorhandener Zugang durch andere Schadsoftware kann später zur Verbreitung der Verschlüsselung genutzt werden.
Nach dem ersten Zugriff versuchen die Angreifer, ihre Rechte auszuweiten und weitere Systeme zu erreichen. Sie suchen nach Servern, Netzlaufwerken, Sicherungen und besonders wertvollen Daten. Danach werden Schutzprogramme behindert, Wiederherstellungsmöglichkeiten gelöscht oder verschlüsselt und die Malware zeitgleich auf möglichst vielen Geräten ausgeführt.
Der Ablauf lässt sich vereinfacht so verstehen:
- Zugang: Ein Konto, ein Dienst oder ein Endgerät wird kompromittiert.
- Ausbreitung: Die Angreifer bewegen sich mit erbeuteten Rechten durch das Netzwerk.
- Datendiebstahl: Besonders sensible Dateien werden vor der Verschlüsselung kopiert.
- Verschlüsselung: Dokumente, Datenbanken und Netzfreigaben werden unbrauchbar.
- Erpressung: Die Täter fordern Geld und drohen mit der Veröffentlichung der Daten.
Diese Kombination wird als doppelte Erpressung bezeichnet. Ein funktionierendes Backup schützt dann zwar vor dem dauerhaften Verlust der Daten, verhindert aber nicht automatisch den möglichen Abfluss vertraulicher Informationen.
Woran sich ein Angriff erkennen lässt
Die auffälligsten Symptome treten oft erst am Ende des Angriffs auf. Dateien lassen sich nicht mehr öffnen, Namen oder Endungen ändern sich und in mehreren Ordnern liegen Lösegeldnotizen. Auf betroffenen Rechnern können außerdem Hintergrundbild, Dienste oder geplante Aufgaben verändert worden sein.
Weniger sichtbare Warnzeichen sind häufig wichtiger. Dazu gehören ungewöhnliche Anmeldungen, Zugriffe zu ungewöhnlichen Zeiten, eine starke Auslastung von Servern, deaktivierte Sicherheitssoftware oder verdächtige Aktivitäten auf Backup-Systemen. Ein einzelnes Ereignis muss noch kein Ransomware-Angriff sein. Mehrere dieser Signale zusammen verdienen jedoch sofortige Aufmerksamkeit.
| Beobachtung | Mögliche Bedeutung | Was sie nicht beweist |
|---|---|---|
| Viele Dateien lassen sich nicht öffnen | Verschlüsselung oder beschädigte Daten | Nicht automatisch LockBit 3.0 |
| Lösegeldforderung in mehreren Ordnern | Geplanter Ransomware-Angriff | Die Echtheit der Täterangaben |
| Ungewöhnliche Admin-Anmeldungen | Missbrauch privilegierter Konten | Dass die Verschlüsselung bereits begonnen hat |
| Backup-Snapshots fehlen | Angreifer haben Wiederherstellung erschwert | Dass jedes Backup verloren ist |
Die Dateiendung ist dabei ein schlechter Ermittlungsanker. Affiliates können Konfigurationen verändern, und auch andere Schadprogramme können ähnliche Namen oder Erpressertexte verwenden. Ich würde deshalb niemals auf Basis eines Screenshots einen Entschlüsseler auswählen.
Was Betroffene in Deutschland sofort tun sollten
Bei einem laufenden Angriff geht es zuerst darum, die Ausbreitung zu stoppen und Beweise zu erhalten. Das BSI rät Betroffenen, unverzüglich Anzeige zu erstatten und Lösegeldzahlungen nicht als sichere Lösung zu betrachten. Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung gestohlener Daten.
- Betroffene Geräte isolieren. Netzwerk- und WLAN-Verbindungen trennen, ohne vorschnell das gesamte System auszuschalten.
- IT-Verantwortliche und Incident-Response-Fachleute informieren. Bei Unternehmen sollte der Krisenplan aktiviert werden.
- Keine Dateien löschen. Erpressernotizen, Logs und verschlüsselte Dateien können für die Identifikation wichtig sein.
- Konten absichern. Passwörter und Sitzungen von einem garantiert sauberen Gerät aus zurücksetzen.
- Polizei und gegebenenfalls Datenschutzstelle einschalten. Bei gestohlenen personenbezogenen Daten können Meldepflichten nach DSGVO entstehen.
- Backups prüfen und nicht sofort zurückspielen. Zuerst muss ausgeschlossen werden, dass die Angreifer noch Zugriff auf das Netzwerk haben.
Ein häufiger Fehler ist die schnelle Neuinstallation einzelner Rechner. Sie kann zwar kurzfristig wieder Arbeitsfähigkeit schaffen, zerstört aber möglicherweise wichtige Spuren und lässt einen vorhandenen Zugang der Angreifer bestehen. Erst Ursache, Reichweite und Persistenz klären, dann Systeme sauber neu aufbauen.
Entschlüsselung, Backup und die Frage nach dem Lösegeld
Für bestimmte Varianten von LockBit 3.0 gibt es über das Portal No More Ransom ein kostenloses Entschlüsselungswerkzeug. Ob es funktioniert, hängt jedoch von der genauen Version, der verwendeten Konfiguration und den vorhandenen Schlüsselinformationen ab. Ein Versuch sollte immer mit Kopien der verschlüsselten Dateien und nach fachlicher Prüfung erfolgen.
Ein aktuelles Backup bleibt die verlässlichste Absicherung. Es sollte nicht permanent vom produktiven Netzwerk aus erreichbar sein, regelmäßig getestet werden und mehrere Generationen enthalten. Für viele Organisationen ist eine Kombination aus offline gespeicherter Kopie, geschütztem Cloud-Backup und getesteter Wiederherstellung sinnvoll.
Meine klare Einschätzung lautet: Bezahlen ist höchstens eine juristisch und wirtschaftlich sorgfältig zu prüfende Notmaßnahme, kein normaler Wiederherstellungsweg. Selbst nach der Zahlung bleiben Datenabfluss, weitere Erpressung und beschädigte Systeme möglich. Besser ist ein vorbereiteter Wiederanlaufplan, der festlegt, welche Systeme zuerst zurückkehren müssen und wer Entscheidungen treffen darf.
Was die Variante für Heimnetz und Smart Home bedeutet
LockBit 3.0 richtet sich traditionell eher gegen Organisationen als gegen einzelne Smart-Home-Geräte. Ein normaler Router oder eine smarte Steckdose wird dadurch nicht automatisch zum direkten Ziel. Trotzdem kann ein unsicherer Router, ein ungepatchtes NAS oder ein schlecht geschützter Fernzugang als Sprungbrett in das Heimnetz dienen.
Für Privathaushalte sind deshalb einige Maßnahmen besonders sinnvoll. Router-Firmware, NAS-Systeme und Betriebssysteme sollten aktuell sein, Fernzugriffe gehören abgeschaltet oder durch ein VPN geschützt. Außerdem sollten wichtige Fotos und Dokumente nicht ausschließlich auf einem dauerhaft verbundenen Netzlaufwerk liegen.
- Ein eigenes WLAN für IoT-Geräte einrichten.
- Standardpasswörter sofort ändern und Mehrfachnutzung vermeiden.
- Fernwartung nur aktivieren, wenn sie wirklich benötigt wird.
- Wichtige Dateien zusätzlich auf einem getrennten Datenträger sichern.
- Router- und NAS-Protokolle bei verdächtigen Anmeldungen prüfen.
Das schützt nicht nur vor dieser Ransomware-Familie. Gerade im vernetzten Zuhause entscheidet meist die unscheinbare Kombination aus altem Gerät, wiederverwendetem Passwort und dauerhaft offenem Fernzugang über das tatsächliche Risiko.
Warum der Name auch 2026 noch sorgfältig geprüft werden muss
Die internationale Operation Cronos hat die kriminelle Infrastruktur von LockBit 2024 erheblich gestört. Europol berichtete außerdem über weitere Maßnahmen gegen beteiligte Personen und Infrastruktur. Das bedeutet aber nicht, dass jede spätere Datei mit LockBit-Bezug aus derselben Quelle stammt.
Der Quellcode und technische Bausteine können kopiert, angepasst oder in neue Ransomware-Kampagnen eingebaut werden. Deshalb ist die Bezeichnung LockBit 3.0 heute eher ein wichtiger Ermittlungs-Hinweis als eine vollständige Erklärung des Vorfalls. Für Unternehmen zählen konkrete Indikatoren, kompromittierte Konten und der tatsächliche Angriffspfad mehr als das Etikett auf der Lösegeldforderung.
Wer Systeme segmentiert, Administratorrechte begrenzt, Backups testet und ungewöhnliche Anmeldungen überwacht, reduziert den möglichen Schaden deutlich. Bei einem Vorfall sollten Betroffene ruhig, schnell und beweissicher handeln, denn genau diese Kombination nimmt der Erpressung am meisten Wirkung.
