Ein verschlüsselter Büroserver, nicht erreichbare Kundendaten und eine Lösegeldforderung auf jedem Bildschirm sind typische Folgen eines Angriffs mit LockBit-Ransomware. Ich zeige, wie diese Schadsoftware in Netzwerke gelangt, warum Backups allein nicht immer genügen und was Unternehmen sowie Privatanwender in Deutschland im Ernstfall sofort tun sollten.
Die wichtigsten Fakten zu LockBit auf einen Blick
- Ransomware verschlüsselt Dateien und kann zusätzlich zuvor gestohlene Daten veröffentlichen.
- LockBit arbeitet als Ransomware-as-a-Service, bei dem verschiedene Angreifer dieselbe kriminelle Infrastruktur nutzen.
- Phishing, gestohlene Zugangsdaten, RDP und ungepatchte Internetdienste gehören zu den häufigsten Einfallstoren.
- Backups müssen offline oder unveränderbar sein und regelmäßig testweise wiederhergestellt werden.
- Nicht vorschnell zahlen, sondern Systeme isolieren, Beweise sichern, Polizei und IT-Forensik einschalten.
Was LockBit-Ransomware so gefährlich macht
LockBit gehört zu den bekanntesten Familien von Erpressungstrojanern. Die Schadsoftware verschlüsselt Dateien auf Arbeitsplatzrechnern, Servern und Netzlaufwerken, sodass Dokumente, Datenbanken und Sicherungen nicht mehr zugänglich sind. Für die Entschlüsselung verlangen die Täter Geld, meist in Kryptowährungen.
Besonders problematisch ist die sogenannte doppelte Erpressung. Die Angreifer verschlüsseln nicht nur Daten, sondern kopieren vorher sensible Informationen wie Verträge, Personalunterlagen oder Kundendateien. Wer nicht zahlt, muss deshalb zusätzlich mit der Veröffentlichung oder dem Verkauf dieser Daten rechnen.
LockBit wurde über ein Ransomware-as-a-Service-Modell betrieben. Die Entwickler stellten Schadsoftware, Verhandlungsplattformen und Infrastruktur bereit, während sogenannte Affiliates den eigentlichen Einbruch durchführten. Das erklärt, warum sich Angriffe stark unterscheiden und nicht jedes Opfer dieselben Dateiendungen, Erpresserbriefe oder technischen Spuren sieht.
Die internationale Strafverfolgung hat die bekannte Infrastruktur seit 2024 mehrfach empfindlich gestört. Das bedeutet jedoch nicht, dass jede LockBit-Meldung erledigt ist. Alte Infektionen, weitere Affiliates, Nachahmer und neue Varianten können weiterhin für Verwirrung sorgen. Europol berichtete von mehr als 7.000 Angriffen zwischen Juni 2022 und Februar 2024; Deutschland gehörte dabei zu den fünf am stärksten betroffenen Ländern.
So gelangt die Schadsoftware ins Netzwerk
Ein Angriff beginnt selten mit der sichtbaren Verschlüsselung. Meist bleiben die Täter zunächst unbemerkt im Netzwerk, suchen nach privilegierten Konten und prüfen, welche Server und Sicherungen erreichbar sind. Erst danach wird die eigentliche Verschlüsselung gestartet, häufig nachts oder am Wochenende.
Typische Einfallstore
- Phishing mit gefälschten Rechnungen, Bewerbungen oder Lieferantenmails
- Gestohlene Zugangsdaten für VPN, Cloud-Dienste oder Administratorkonten
- Offene RDP-Zugänge, also Fernzugriffe auf Windows-Systeme
- Ungepatchte Webserver, Firewalls oder Fernwartungssysteme
- Schädliche Downloads und manipulierte Webseiten
Nach dem ersten Zugriff bewegen sich die Angreifer seitlich durch das Netzwerk. Dieser Vorgang wird als Laterale Bewegung bezeichnet. Dabei versuchen sie, weitere Rechner zu kontrollieren, Sicherheitsprogramme zu deaktivieren, Anmeldedaten auszulesen und Domänenadministratorrechte zu erlangen.
Genau hier liegt eine häufige Fehleinschätzung. Ein aktuelles Antivirenprogramm ist wichtig, kann aber einen bereits kompromittierten Administratorkanal nicht zuverlässig ersetzen. Meine Erfahrung ist, dass Mehrfaktor-Authentifizierung, Netzwerksegmentierung und gute Protokollierung gemeinsam deutlich mehr bewirken als ein einzelnes teures Sicherheitsprodukt.
Woran sich ein Angriff erkennen lässt
Warnzeichen sind plötzlich deaktivierte Sicherheitsdienste, ungewöhnliche Anmeldungen, neue Administratorkonten, viele fehlgeschlagene VPN-Logins oder massenhafte Dateizugriffe. Auch Dateien mit unbekannten Endungen und Erpressernotizen sind klare Hinweise, doch dann ist der Angriff oft schon weit fortgeschritten.
Unternehmen sollten deshalb nicht nur nach dem Schadprogramm selbst suchen. Ungewöhnliche Aktivitäten im Vorfeld, etwa nächtliche Datenübertragungen oder Zugriffe auf viele Server durch ein einzelnes Konto, können wertvolle Zeit für die Reaktion gewinnen.
Was bei einem konkreten Befall sofort zu tun ist
Wenn Dateien verschlüsselt werden oder ein LockBit-Verdacht besteht, zählt eine kontrollierte Reaktion. Hektisches Löschen, Neustarten oder Zurücksetzen kann wichtige Spuren vernichten und den Angreifern sogar die Möglichkeit geben, über versteckte Zugänge zurückzukehren.
- Betroffene Systeme isolieren. Netzwerkkabel ziehen oder WLAN und VPN trennen. Nicht unüberlegt den gesamten Betrieb ausschalten, wenn dadurch flüchtige Beweise verloren gehen könnten.
- Keine weiteren Anmeldungen mit Administratorkonten durchführen. Besonders auf möglicherweise infizierten Rechnern können Zugangsdaten abgegriffen werden.
- IT-Leitung, Geschäftsführung und Datenschutzverantwortliche informieren. Zuständigkeiten müssen schnell festgelegt werden.
- Beweise sichern. Erpressernotizen, Logdateien, Zeitpunkte, verdächtige E-Mails und betroffene Geräte sind für die Untersuchung wichtig.
- Polizei und spezialisierte IT-Forensik einschalten. Bei Unternehmen kann zusätzlich eine Meldung an zuständige Stellen erforderlich sein.
- Erst nach der Ursachenanalyse bereinigen und wiederherstellen. Ein sauberes Backup ist wertlos, wenn der ursprüngliche Angriffsweg weiterhin offensteht.
Das BSI empfiehlt bei Ransomware, betroffene Systeme schnell vom Netzwerk zu trennen und nicht vorschnell einzelne Rechner zu bereinigen. Der Grund ist einfach: Hinter einer sichtbaren Verschlüsselung können sich weitere kompromittierte Geräte oder versteckte Benutzerkonten befinden.
Privatanwender sollten den Rechner ebenfalls vom Internet und Heimnetz trennen, aber die verschlüsselten Dateien nicht löschen. Eine Anzeige bei der Polizei ist sinnvoll. Bei persönlichen Daten, die möglicherweise abgeflossen sind, muss außerdem geprüft werden, ob eine Meldung an die zuständige Datenschutzaufsicht notwendig ist.
Warum Zahlen des Lösegelds keine sichere Lösung ist
Eine Zahlung kann theoretisch zu einem Entschlüsselungsprogramm führen, bietet aber keine Garantie für die Wiederherstellung. Die Täter können einen fehlerhaften Schlüssel liefern, weitere Forderungen stellen oder die gestohlenen Daten trotz Zahlung veröffentlichen.
Hinzu kommen rechtliche und praktische Risiken. Eine Überweisung kann gegen Sanktionsvorschriften verstoßen, wenn die Empfänger mit sanktionierten Personen oder Organisationen verbunden sind. Deshalb sollte eine Entscheidung nie allein unter Zeitdruck und ohne rechtliche sowie technische Beratung fallen.
Ich halte auch sogenannte „schnelle Entschlüsselungsdienste“ für besonders kritisch. Manche Anbieter verlangen hohe Vorauszahlungen, ohne den genauen Schadensumfang zu prüfen. Seriöse Spezialisten untersuchen zuerst die Variante, die Spuren im Netzwerk und die Qualität vorhandener Backups.
Vor einer Verhandlung sollte außerdem geklärt werden, ob die Daten tatsächlich gestohlen wurden. Ein Eintrag auf einer Leak-Seite beweist nicht automatisch den kompletten Angriff, und das Fehlen eines Eintrags beweist ebenso wenig, dass keine Daten abgeflossen sind.
Welche Schutzmaßnahmen im Alltag wirklich helfen
Die wirksamste Verteidigung ist kein einzelner Schutzmechanismus, sondern eine Kombination aus Zugangsschutz, Aktualisierung, Überwachung und Wiederherstellung. Für kleinere Unternehmen ist dabei nicht die perfekte Sicherheitsarchitektur entscheidend, sondern ein konsequent gepflegtes Grundniveau.
Backups richtig planen
Eine brauchbare Orientierung ist die 3-2-1-1-0-Regel. Sie bedeutet drei Kopien der Daten, auf zwei unterschiedlichen Medien, davon eine Kopie außerhalb des laufenden Netzwerks, zusätzlich eine offline oder unveränderbar gespeicherte Sicherung und null ungeprüfte Wiederherstellungsfehler.
Ein dauerhaft eingebundenes NAS ist kein ausreichender Schutz. Wenn ein Angreifer Administratorrechte erhält, kann er möglicherweise auch angeschlossene Sicherungen löschen oder verschlüsseln. Ich würde deshalb mindestens eine Sicherung regelmäßig vom Netzwerk trennen und die Wiederherstellung mit echten Dateien testen.
Lesen Sie auch: Drive-by-Download erklärt - Risiken erkennen und Geräte schützen
Zugänge und Geräte absichern
- Mehrfaktor-Authentifizierung für VPN, E-Mail, Cloud und Administrationszugänge aktivieren
- RDP nicht offen aus dem Internet erreichbar machen
- Administratorkonten nur für administrative Aufgaben verwenden
- Updates für Betriebssysteme, Router, Firewalls und Fachanwendungen zeitnah einspielen
- Netzwerke in getrennte Bereiche für Clients, Server, Gäste und Backups aufteilen
- Protokolle zentral sammeln und auf ungewöhnliche Anmeldungen überwachen
- Mitarbeitende mit realistischen Phishing-Beispielen schulen
Für wichtige Konten sind lange, einzigartige Passwörter sinnvoll. Die CISA empfiehlt für passwortbasierte Konten mindestens 15 Zeichen. Entscheidend ist außerdem, dass ein gestohlenes Passwort nicht gleichzeitig für E-Mail, VPN und Administration verwendet wird.
Entschlüsselung und Wiederherstellung realistisch einschätzen
Eine Entschlüsselung hängt stark von der genauen Variante, dem Zeitpunkt des Angriffs und vorhandenen Schlüsseln ab. Für LockBit 3.0 gibt es ein kostenloses Entschlüsselungsprogramm im Portal No More Ransom. Es funktioniert jedoch nicht automatisch bei jeder LockBit-Version und sollte zunächst mit Kopien einzelner Dateien getestet werden.
Auch ein funktionierendes Tool ersetzt keine forensische Untersuchung. Wenn das Netzwerk weiterhin kompromittiert ist, können wiederhergestellte Systeme erneut verschlüsselt werden. Die sinnvolle Reihenfolge lautet daher Angriffsweg schließen, Systeme neu aufsetzen, Konten absichern und erst dann Daten zurückspielen.
Bei kleinen privaten Geräten ist eine Wiederherstellung aus einer getrennten Festplattensicherung oft der sauberste Weg. Cloud-Synchronisation allein reicht dagegen nicht immer aus, weil verschlüsselte Dateien automatisch in die Cloud synchronisiert werden können. Versionierte Dateien und ein längerer Wiederherstellungsverlauf sind hier besonders wertvoll.
Unternehmen sollten zusätzlich prüfen, ob personenbezogene Daten, Geschäftsgeheimnisse oder gesetzlich relevante Unterlagen betroffen sind. Der technische Schaden ist nur ein Teil des Problems. Meldepflichten, Kundeninformation, Versicherungsbedingungen und Beweissicherung müssen parallel betrachtet werden.
Die wichtigste Entscheidung fällt vor dem ersten Angriff
LockBit zeigt, wie schnell ein digitaler Einbruch zu einem betrieblichen und rechtlichen Krisenfall werden kann. Die bekannt gewordenen Zerschlagungen haben den Druck auf die Täter erhöht, aber sie machen Ransomware nicht harmlos und ersetzen keine eigene Vorbereitung.
Meine klare Empfehlung lautet, heute drei Dinge zu prüfen. Erstens, ob ein Administratorkonto durch Mehrfaktor-Authentifizierung geschützt ist. Zweitens, ob mindestens eine Sicherung vom Netzwerk getrennt oder unveränderbar gespeichert wird. Drittens, ob im Ernstfall eine erreichbare Person für IT-Forensik, Geschäftsführung und Datenschutz entscheidet.
Wer diese Punkte regelmäßig testet, reduziert nicht nur das Risiko einer Verschlüsselung. Er gewinnt im Notfall vor allem das, was am schwersten zurückzukaufen ist: Zeit, Kontrolle und verlässliche Handlungsoptionen.
