Wenn Dateien plötzlich unlesbar sind und auf dem Bildschirm eine Lösegeldforderung erscheint, hilft der Name der Schadsoftware bei der ersten Einordnung. Ich zeige die wichtigsten Ransomware-Familien, erkläre die Unterschiede zwischen Verschlüsselungs-, Locker- und Erpressungsvarianten und ordne ein, was die Bezeichnung für Schutz und Reaktion im privaten Netzwerk oder im Unternehmen bedeutet.
Die wichtigsten Ransomware-Arten auf einen Blick
- Verschlüsselungs-Ransomware macht Dateien unbrauchbar und fordert Geld für einen Entschlüsselungsschlüssel.
- Double Extortion kombiniert Verschlüsselung mit dem Diebstahl sensibler Daten.
- Bekannte Familien sind unter anderem LockBit, Clop, ALPHV, WannaCry, Ryuk und Qilin.
- Ein Name ist kein sicherer Beweis, weil Kriminelle Varianten umbenennen, kopieren oder neu vermarkten.
- Backups, Updates und MFA reduzieren das Risiko deutlich stärker als die bloße Installation eines Virenscanners.
Was die Namen von Ransomware wirklich aussagen
Ransomware ist Schadsoftware, die den Zugriff auf Dateien, Geräte oder ganze IT-Systeme blockiert. Meist verlangen die Angreifer Geld, doch moderne Kampagnen setzen zusätzlich auf die Veröffentlichung gestohlener Daten. Laut ENISA gehört Ransomware weiterhin zu den folgenreichsten Cyberbedrohungen in Europa.
Bei der Bezeichnung muss ich drei Ebenen auseinanderhalten. Eine Familie beschreibt den technischen Schadcode, eine Gruppe bezeichnet die Betreiber und eine Variante ist eine konkrete Version. LockBit kann deshalb sowohl für eine Malware-Familie als auch für die dahinterstehende kriminelle Organisation stehen.
Der Name allein reicht für eine sichere Identifizierung nicht aus. Entscheidend sind zusätzlich die Dateiendung, der Text der Lösegeldforderung, die verwendete E-Mail-Adresse, die verschlüsselten Ordner und technische Hinweise aus Logdateien. Gerade bei Nachahmern werden bekannte Namen gern missbraucht, um mehr Druck zu erzeugen.
Die wichtigsten Ransomware-Familien und ihre Besonderheiten
Die folgende Auswahl deckt die Namen ab, die in Sicherheitsberichten, Nachrichten und Incident-Response-Fällen besonders häufig auftauchen. Einige Familien sind historisch wichtig, andere stehen für aktuelle Geschäftsmodelle der Cyberkriminalität.
| Familie oder Name | Was sie bekannt gemacht hat | Was man daraus lernen kann |
|---|---|---|
| WannaCry | Nutzte 2017 eine bekannte Windows-Schwachstelle und verbreitete sich in Netzwerken sehr schnell. | Ungepatchte Systeme können einen einzelnen Rechner zu einem Sprungbrett für viele weitere Geräte machen. |
| Petya und NotPetya | Griffen nicht nur einzelne Dateien, sondern wichtige Strukturen des Systems an. NotPetya gilt vielfach als besonders zerstörerischer Angriff. | Ein Angriff kann die Wiederherstellung des gesamten Rechners verhindern, nicht nur einzelne Dokumente sperren. |
| Ryuk | Richtete sich häufig gegen Unternehmen und verlangte hohe Lösegeldsummen. | Geschäftliche Ziele werden oft gezielt ausgewählt, nachdem Angreifer ihre Umgebung ausspioniert haben. |
| REvil oder Sodinokibi | Verband Verschlüsselung mit Datendiebstahl und arbeitete mit Partnern zusammen. | Ransomware-as-a-Service senkt die technische Einstiegshürde für Kriminelle. |
| LockBit | Wurde durch ein professionell wirkendes Partner- und Erpressungsmodell bekannt. | Ein technisch ausgereiftes Auftreten sagt nichts über die Seriosität einer Entschlüsselungszusage aus. |
| ALPHV oder BlackCat | Setzte auf moderne Programmiersprachen, Datenraub und mehrstufige Erpressung. | Auch eine bekannte Marke kann verschwinden, sich aufspalten oder unter anderem Namen wieder auftauchen. |
| Clop | Wurde besonders mit Angriffen auf verwundbare Dateiübertragungs- und Unternehmenssysteme in Verbindung gebracht. | Nicht nur Endgeräte, sondern auch zentrale Dienste und externe Schnittstellen müssen geschützt werden. |
| Akira und Qilin | Stehen für jüngere, international aktive Erpressungsökosysteme mit Angriffen auf Unternehmen und öffentliche Einrichtungen. | Die Landschaft verändert sich schnell. Eine aktuelle Sicherheitsstrategie darf sich nicht nur an alten Namen orientieren. |
Ich würde diese Liste niemals als endgültiges Verzeichnis behandeln. Ransomware-Namen wechseln schneller als Schutzkonzepte. Für die Praxis ist daher wichtiger, wie ein Angriff abläuft und welche Systeme betroffen sind, als ob der Name gerade in einer Rangliste auftaucht.
Welche Arten von Ransomware es gibt
Crypto-Ransomware verschlüsselt Dateien
Die häufigste Variante verschlüsselt Dokumente, Fotos, Datenbanken oder Netzlaufwerke. Ohne Schlüssel sind die Dateien nicht ohne Weiteres lesbar. Eine neue Dateiendung oder eine Datei mit dem Namen „readme“ kann auf den Angriff hinweisen, ist aber kein eindeutiger Beweis.
Die Verschlüsselung betrifft oft nicht nur den lokalen Rechner. Wenn ein Benutzer Schreibrechte auf einem NAS oder einer Freigabe besitzt, können auch dort Dateien beschädigt werden. Deshalb sind getrennte Backups ohne dauerhafte Netzverbindung so wichtig.
Locker-Ransomware sperrt das Gerät
Locker-Ransomware blockiert den Zugriff auf Windows, Android oder ein anderes Betriebssystem, ohne zwingend jede Datei zu verschlüsseln. Typisch sind ein gesperrter Bildschirm, eine gefälschte Behördenmeldung oder die Aufforderung, mit Gutscheinen oder Kryptowährung zu zahlen.
Solche Meldungen sind besonders auf privaten Geräten überzeugend gestaltet. Eine echte deutsche Behörde fordert jedoch kein Lösegeld per Bitcoin und sperrt keinen Rechner über eine zufällige Browserseite.
Leakware und Double Extortion erhöhen den Druck
Bei Leakware stehlen die Angreifer Daten und drohen mit deren Veröffentlichung. Beim Modell der Double Extortion werden Daten zuerst kopiert und anschließend zusätzlich verschlüsselt. Selbst wenn ein Unternehmen ein Backup besitzt, bleibt die Sorge vor einem Datenabfluss bestehen.
Manche Gruppen verzichten inzwischen sogar vollständig auf die Verschlüsselung. Sie drohen nur mit der Veröffentlichung vertraulicher Informationen. Für Unternehmen bedeutet das, dass Datenschutz, Zugriffsrechte und Protokollierung genauso wichtig sind wie die Wiederherstellung von Dateien.
Lesen Sie auch: Ransomware-Beispiele - Was WannaCry und LockBit lehren
Ransomware-as-a-Service verteilt die Arbeit
Bei Ransomware-as-a-Service entwickelt eine Gruppe die Schadsoftware und stellt Infrastruktur bereit. Sogenannte Affiliates übernehmen die eigentlichen Angriffe und teilen später die Einnahmen. Dieses Modell erklärt, warum derselbe Name bei Angriffen mit unterschiedlichen Zugangsmethoden und Vorgehensweisen auftauchen kann.
Für Privathaushalte ist weniger das Geschäftsmodell als der Zugang zum Gerät entscheidend. Ein gestohlenes Passwort, ein ungepatchter Router oder eine manipulierte E-Mail kann den Angriff ermöglichen. Im Heimnetz sollte deshalb auch die Firmware des Routers und der WLAN-Geräte regelmäßig aktualisiert werden.
Wie Ransomware auf Geräte und Netzwerke gelangt
Phishing bleibt ein häufiger Einstieg. Eine gefälschte Rechnung, eine Bewerbung oder ein Paket-Hinweis führt zu einem schädlichen Anhang oder einer manipulierten Anmeldeseite. Besonders gefährlich ist der Moment, in dem ein Nutzer Makros aktiviert, ein unbekanntes Programm startet oder Zugangsdaten eingibt.
Daneben nutzen Angreifer gestohlene VPN-Zugänge, schwache Passwörter und ungepatchte Internetdienste. In Unternehmen beobachten sie das Netzwerk oft über Tage oder Wochen, bevor sie Dateien verschlüsseln. Diese Vorbereitung macht den Schaden größer, weil auch Backups, Domänenkonten und zentrale Server angegriffen werden können.
Ich halte deshalb die Kombination aus Passwortmanager, Mehrfaktor-Authentifizierung und zeitnahen Updates für wirksamer als die Suche nach dem angeblich besten Einzelprogramm. Ein Virenscanner ist nützlich, kann aber einen bereits missbrauchten Administratorzugang nicht zuverlässig auffangen.
- Keine unerwarteten Anhänge öffnen, auch wenn Absender und Logo plausibel wirken.
- Wichtige Konten mit MFA schützen, besonders E-Mail, VPN, Cloud und Router-Verwaltung.
- Automatische Updates für Betriebssysteme, Browser, Router und Smart-Home-Komponenten aktivieren.
- Alte Fernzugänge deaktivieren und keine Verwaltungsschnittstellen offen ins Internet stellen.
- Backups regelmäßig testen, statt nur zu prüfen, ob überhaupt eine Sicherungsdatei existiert.
Was bei einem Verdacht sofort zu tun ist
Wenn Dateien plötzlich neue Endungen haben oder eine Lösegeldforderung erscheint, sollte das betroffene Gerät sofort vom Netzwerk getrennt werden. WLAN und Netzwerkkabel abschalten, externe Laufwerke trennen und den Rechner nicht weiter benutzen. Ein vorschneller Neustart kann forensische Spuren zerstören, während das bloße Weiterarbeiten weitere Freigaben infizieren kann.
Danach sollte man die Meldung, verdächtige Dateien und den Zeitpunkt des Vorfalls dokumentieren. In einem Unternehmen gehören IT-Abteilung, Datenschutzverantwortliche und gegebenenfalls die zuständige Aufsicht oder Strafverfolgungsbehörde frühzeitig informiert. Das BSI rät grundsätzlich davon ab, Lösegeld zu zahlen, weil dadurch weder eine funktionierende Entschlüsselung noch das Löschen gestohlener Daten garantiert wird.
Bei privaten Geräten kann ein seriöses IT-Sicherheitsunternehmen die Familie anhand der Lösegeldforderung, Dateiendung und Systemartefakte bestimmen. Die Plattform No More Ransom bietet für einige Familien kostenlose Entschlüsselungsprogramme an. Ob eines funktioniert, hängt jedoch von der exakten Variante ab, deshalb sollte man nicht einfach irgendein Tool aus einem Forum installieren.
Ein vorhandenes Backup verändert die Lage grundlegend, aber nur dann, wenn es nicht selbst verschlüsselt oder manipuliert wurde. Vor der Wiederherstellung müssen die ursprüngliche Infektionsquelle geschlossen, alle Passwörter geändert und das System sauber neu aufgesetzt werden. Ein Backup zurückzuspielen, ohne den Zugang zu sichern, führt sonst leicht zum zweiten Angriff.
Warum ein Ransomware-Name nicht für die Schutzentscheidung reicht
Ein Name klingt präzise, vermittelt aber oft eine falsche Sicherheit. Hinter derselben Familie können unterschiedliche Varianten mit eigener Dateiendung, Verschlüsselungsmethode und Lösegeldnotiz stehen. Umgekehrt verwenden Nachahmer manchmal den Namen einer bekannten Gruppe, obwohl der Code von einer ganz anderen Quelle stammt.
Für die Bewertung eines Vorfalls zählen daher vier Fragen. Welche Daten sind betroffen, welche Konten wurden missbraucht, ist der Angriff noch aktiv und existiert ein sauberes Wiederherstellungsmedium? Erst danach lohnt sich die technische Zuordnung der Familie.
| Beobachtung | Was sie bedeuten kann | Was ich empfehlen würde |
|---|---|---|
| Neue Dateiendung | Hinweis auf eine Verschlüsselungsvariante | Originaldateien sichern und nicht umbenennen |
| Lösegeldnotiz | Kann Hinweise auf Familie oder Kontaktweg enthalten | Als Beweismittel speichern, aber keinen Kontakt aufnehmen |
| Nur Cloud-Dateien betroffen | Möglicherweise wurde ein Konto übernommen | Sitzungen beenden, Passwörter ändern und MFA prüfen |
| NAS oder Smart-Home-Geräte reagieren nicht | Netzwerkweite Störung oder kompromittierte Verwaltung | Geräte isolieren und Router-Protokolle sichern |
Gerade im vernetzten Zuhause wird ein Detail häufig übersehen. Ein Smart-TV oder eine Kamera ist meist nicht das wertvollste Ziel, kann aber als schwach geschütztes Gerät im selben Netzwerk die Angriffsfläche vergrößern. Getrennte WLANs für Gäste, Smart Home und persönliche Rechner sind deshalb eine einfache Maßnahme mit spürbarem Nutzen.
Eine robuste Verteidigung beginnt nicht mit der Namensliste
Eine Liste bekannter Familien hilft beim Verständnis, ersetzt aber kein Sicherheitskonzept. Für Privathaushalte halte ich drei Sicherungskopien, davon mindestens eine offline, für eine gute praktische Grundlage. Unternehmen sollten zusätzlich Wiederanlaufzeiten, Zuständigkeiten und regelmäßige Wiederherstellungstests festlegen.
Der wichtigste Test ist nicht, ob ein Backup erfolgreich erstellt wurde, sondern ob sich wichtige Dateien tatsächlich wiederherstellen lassen. Ich würde mindestens einmal pro Quartal eine Stichprobe durchführen und prüfen, ob Dokumente, Fotos, Datenbanken und Konfigurationen lesbar sind.
Wer Ransomware nur als Problem großer Konzerne betrachtet, unterschätzt die Angriffslogik. Private Rechner, kleine Betriebe und Smart-Home-Netze werden häufig automatisiert nach schwachen Zugangsdaten und veralteter Software durchsucht. Gute Grundhygiene schlägt komplizierte Spezialmaßnahmen, solange sie konsequent umgesetzt und kontrolliert wird.
Die sinnvollste Reaktion auf unbekannte Ransomware
Wenn der Name einer Schadsoftware unbekannt ist, muss niemand in Panik geraten oder vorschnell zahlen. Gerät isolieren, Beweise sichern, professionelle Analyse einholen und die Wiederherstellung aus einem geprüften Backup vorbereiten sind die entscheidenden Schritte.
Die bekannteste Familie ist nicht automatisch die gefährlichste für den eigenen Fall. Entscheidend sind die betroffenen Daten, die Reichweite im Netzwerk und die Qualität der vorhandenen Sicherungen. Wer diese drei Punkte regelmäßig überprüft, reduziert die Wirkung eines Angriffs deutlich, unabhängig davon, welchen Namen die Ransomware gerade trägt.
