Die neue Ransomware-Realität: Identität, SaaS und Ausnutzung von Vertrauen

Veröffentlicht Juni 9, 2026 Zuletzt aktualisiert am 1. Juli 2026

Ransomware ist nach wie vor eine der größten Bedrohungen für Unternehmen, aber die Art und Weise, wie diese Angriffe ablaufen, hat sich grundlegend geändert.

Jahrelang wurde Ransomware weitgehend als Malware-Problem betrachtet. Die Angreifer nutzten Schwachstellen aus, setzten bösartige Nutzdaten ein, verschlüsselten Systeme und verlangten eine Zahlung. Diese Taktiken gibt es zwar immer noch, doch inzwischen stützen sich Ransomware-Operationen zunehmend auf etwas viel Einfacheres und Effektiveres, nämlich den legitimen Zugang.

Angreifer brechen nicht mehr nur in Umgebungen ein. Zunehmend loggen sie sich auch ein.

Durchgeführte Forschung Das Advanced Threat Operations (ATO)-Team von Ontinue hat im zweiten Halbjahr 2025 eine deutliche Verlagerung hin zur Kompromittierung von Identitäten, zur Ausnutzung von SaaS-Vertrauen und zu Access-as-a-Service-Modellen festgestellt, die die Art und Weise verändern, wie Ransomware-Betreiber in Unternehmen und Lieferketten eindringen, sich seitlich bewegen und Angriffe ausweiten.

Die Ergebnisse untermauern die sich in der gesamten Bedrohungslandschaft abzeichnende Tatsache, dass die Ausfallsicherheit von Ransomware nicht mehr nur ein Malware-Problem ist. Sie ist zu einem Identitäts-, SaaS- und Vertrauensproblem geworden.

Was Ontinue in H2 2025 beobachtete

Die vom ATO-Team von Ontinue durchgeführte Analyse, die sich auf Untersuchungen vor Ort, Telemetriedaten von der Ontinue ION SecOps-Plattform und breitere Ransomware-Informationsquellen stützt, ergab mehrere einheitliche Trends für das Jahr 2025:

• Mehr als 7.000 Ransomware-Angriffe weltweit öffentlich berichtet
• Ungefähr $820 Millionen an verfolgten Ransomware-Zahlungen
• Zunehmende Nutzung kompromittierter Identitäten, OAuth-Missbrauch und Ausnutzung des SaaS-Vertrauens
• Doppelte, dreifache und vierfache Erpressungstaktiken werden zum Standard
• Anhaltende Dominanz von Ransomware-Gruppen wie Qilin, Akira und CL0P

Gleichzeitig beobachtete Ontinue, dass Angreifer zunehmend gültige Anmeldedaten, Sitzungs-Tokens, Cloud-Identitäten und Beziehungen zu Drittanbietern nutzen, um sich unbemerkt in vertrauenswürdigen Umgebungen zu bewegen, ohne sich ausschließlich auf herkömmliche Angriffe mit Hilfe von Exploits zu verlassen.

Ransomware hat sich von Ausbeutung auf Zugang verlagert

Eine der deutlichsten Veränderungen, die im Jahr 2025 zu beobachten waren, war die wachsende Bedeutung von identitätsbasierten Eindringungsmodellen.

Anstatt Zeit darauf zu verwenden, gehärtete Umgebungen zu durchbrechen, kaufen die Betreiber von Ransomware zunehmend gültige Zugangsdaten oder holen sie sich über diese:

• Infektionen durch Infostealer
• Gestohlene Anmeldedaten
• Session-Hijacking
• Kompromittierung der Cloud-Identität
• Zugangswege für Dritte
• Access-as-a-Service-Marktplätze

Dies verändert die Art und Weise, wie Ransomware-Angriffe ablaufen, dramatisch.

Wenn sich Angreifer mit legitimen Anmeldedaten authentifizieren, erscheinen die Aktivitäten oft völlig normal. Die herkömmliche Malware-Erkennung wird möglicherweise nie ausgelöst, der Cloud-Zugriff fügt sich in das erwartete Verhalten ein, und seitliche Bewegungen werden sowohl schneller als auch leiser. Gleichzeitig wird es für Sicherheitsteams deutlich schwieriger, SaaS-Umgebungen und vertrauenswürdige Integrationen effektiv zu überwachen, insbesondere wenn Angreifer mit legitimen Authentifizierungsströmen und gültigem Zugriff operieren.

Das Aufkommen von Infostealern und unterirdischen Zugangsmarktplätzen hat den illegalen Zugang skalierbar, erschwinglich und immer schwieriger zu entdecken gemacht.

In vielen Fällen brauchen die Betreiber von Ransomware selbst keine ausgefeilten Einbruchsmethoden mehr. Sie können sich einfach Zugang zu bereits kompromittierten Umgebungen verschaffen.

SaaS und vertrauensvolle Beziehungen erweitern den Blast-Radius

Unternehmensumgebungen sind eng miteinander verknüpft und stützen sich häufig auf eine Vielzahl von Daten:

• SaaS-Anwendungen
• Cloud-Plattformen
• APIs
• Anbieter von Drittanbietern
• Anbieter verwalteter Dienste
• Automatisierung von Arbeitsabläufen
• Föderierte Identitätssysteme

Angreifer nutzen diese vertrauenswürdigen Beziehungen zunehmend aus, um das Ausmaß und die nachgelagerten Auswirkungen von Ransomware-Angriffen zu vergrößern. Ontinue-Untersuchungen im zweiten Halbjahr 2025 ergaben einen zunehmenden Missbrauch von Cloud-Identitäten, OAuth-Tokens und Integrationen von Drittanbietern, um sich seitlich über vernetzte Umgebungen zu bewegen.

Dies erklärt, warum Ransomware-Vorfälle zunehmend über ein einzelnes Unternehmen hinausgehen und breitere operative Ökosysteme stören.

Eines der deutlichsten Beispiele war der Ransomware-Angriff im Jahr 2025, der Jaguar Land Rover. Die Produktionsstillstände unterbrachen den Produktionsbetrieb und bedrohten abhängige Zulieferer in der gesamten Lieferkette, was letztlich zu einem staatlich unterstützten Hilfspaket in Höhe von $2 Milliarden führte, um die betroffenen Betriebe zu stabilisieren.

Ebenso haben Ransomware-bedingte Störungen in der Luftfahrt und im Transportwesen gezeigt, wie sich Angriffe auf vernetzte digitale Dienste schnell über mehrere Branchen und Länder hinweg ausbreiten können.

Die Auswirkungen sind erheblich.

Ransomware ist nicht mehr nur ein IT-Störungsproblem. Sie ist zu einem Problem für die Geschäftskontinuität, die betriebliche Widerstandsfähigkeit und das Vertrauen in das Ökosystem geworden.

Das Erpressungsmodell hat sich weiterentwickelt

Die Untersuchungen von Ontinue haben auch gezeigt, dass sich die Erpressungstaktiken von Ransomware im Jahr 2025 weiterentwickeln werden.

Verschlüsselung allein reicht nicht mehr aus, um Unternehmen zur Zahlung zu zwingen. Ransomware-Operationen werden zunehmend kombiniert:

• Datendiebstahl
• Öffentliche Leckdrohungen
• DDoS-Erpressung
• Regulatorischer Druck
• Direkte Einschüchterung von Mitarbeitern oder Kunden

Diese vielschichtigen Erpressungskampagnen erhöhen den operativen Druck und den Reputationsdruck bei Vorfällen erheblich.

Selbst Unternehmen, die in der Lage sind, verschlüsselte Systeme aus Sicherungskopien wiederherzustellen, müssen mit einer Reihe negativer Folgen rechnen, z. B:

• Offenlegung von sensiblen Kundendaten
• Regulatorische Kontrolle
• Unterbrechung der Lieferkette
• Langfristige Schädigung des Ansehens
• Betriebsausfälle in vernetzten Umgebungen

Die Betreiber von Ransomware verstehen zunehmend, dass die effektivste Maßnahme nicht unbedingt eine technische Störung ist.

Es ist eine Unterbrechung der Geschäftstätigkeit.

Das Ransomware-Ökosystem fragmentiert sich, verschwindet aber nicht

Trotz umfangreicher Strafverfolgungsmaßnahmen und regelmäßiger Unterbrechungen von Ransomware-Gruppen zeigen die Untersuchungen von Ontinue, dass das breitere Ökosystem weiterhin sehr aktiv und zunehmend dezentralisiert ist.

Eine Analyse der öffentlich gemeldeten Ransomware-Aktivitäten im Jahr 2025 ergab:

• Mehr als 8.800 öffentlich gemeldete Verstöße
• 129 aktive Ransomware-Gruppen beobachtet
• Qilin, Akira und CL0P machen einen großen Teil der erfassten Aktivitäten aus

Anstatt zu verschwinden, ähneln Ransomware-Operationen zunehmend fragmentierten kriminellen Geschäftsnetzwerken:

• Zugangsmakler
• Verbundene Betreiber
• Anbieter von Infrastruktur
• Gruppen für Ausweisdiebstahl
• Spezialisten für Erpressung

Diese Fragmentierung schafft Widerstandsfähigkeit innerhalb des Ökosystems selbst. Selbst wenn einzelne Gruppen gestört werden, reorganisieren sich die Betreiber häufig unter neuen Partnerschaften, Infrastrukturen oder Markennamen, während sie dieselbe grundlegende Tätigkeit fortsetzen.

Die wichtigsten Zielbranchen im Jahr 2025

Die von Ontinue durchgeführte Analyse der öffentlich gemeldeten Ransomware-Aktivitäten ergab, dass die Angriffe breit über die verschiedenen Branchen verteilt sind, was unterstreicht, dass keine Branche von einem geringeren Risiko ausgehen kann.

Zu den am stärksten betroffenen Sektoren im Jahr 2025 gehörten:

Das produzierende Gewerbe war besonders betroffen, was die zunehmende Überschneidung von Ransomware, Betriebstechnologie (OT) und Unterbrechung der Lieferkette verdeutlicht.

Warum sich Sicherheitsabläufe weiterentwickeln müssen

Diese sich entwickelnde Ransomware-Landschaft stellt die Sicherheitsteams vor grundlegend neue Herausforderungen.

Heutige Ransomware-Angriffe generieren zunehmend unauffällige, legitim aussehende Aktivitäten, die sich über Cloud-, Endpunkt-, SaaS- und Identitätsumgebungen erstrecken. Angreifer nutzen vertrauenswürdige Authentifizierungsabläufe, gültige Anmeldedaten, Cloud-native Angriffspfade und Integrationen von Drittanbietern auf eine Art und Weise, die sich oft in den normalen Unternehmensbetrieb einfügt.

Infolgedessen haben herkömmliche alarmgesteuerte Sicherheitsmodelle häufig Schwierigkeiten, diese subtilen Verhaltensweisen schnell genug zu korrelieren, um Angreifer zu stoppen, bevor sich der Zugriff ausweitet oder eine Seitwärtsbewegung beginnt.

Die Abwehr von Ransomware erfordert daher mehr als nur Malware-Prävention und Endpunktschutz. Unternehmen müssen die Transparenz von Identitätsaktivitäten verbessern, Authentifizierungskontrollen verstärken, den Zugriff auf SaaS und Drittanbieter effektiver regeln und ihre Fähigkeit verbessern, verdächtiges Verhalten in vernetzten Umgebungen schnell zu untersuchen.

Hier kann auch der richtige Partner für Managed Security Operations eine immer wichtigere Rolle spielen. Die Erkennung von identitätsgesteuerten Angriffen hängt oft von der Fähigkeit ab, Verhaltenssignale über Cloud-, Endpunkt-, SaaS- und Authentifizierungssysteme hinweg in großem Umfang zu analysieren und zu korrelieren.

Die Kombination von KI-gesteuerten Untersuchungen mit menschlichem Fachwissen kann Unternehmen dabei helfen, verdächtige Zugriffsmuster früher zu erkennen, die Untersuchungszeit zu verkürzen und die Eindämmung zu beschleunigen, bevor die Betreiber von Ransomware vollständig Fuß fassen oder den Zugriff auf andere Umgebungen ausweiten können.

Das größere Bild

Die Entwicklung von Ransomware spiegelt eine breitere Veränderung in der Cyber-Bedrohungslandschaft wider.

Angreifer müssen zunehmend keine Systeme im herkömmlichen Sinne ausnutzen. Stattdessen machen sie sich diese zunutze:

• Vertrauenswürdige Identitäten
• Gültige Berechtigungsnachweise
• SaaS-Integrationen
• Beziehungen zu Dritten
• Legitime Authentifizierungsströme

Das verändert die defensive Herausforderung grundlegend.

Unternehmen, die Ransomware weiterhin in erster Linie als Malware-Problem betrachten, werden zunehmend Schwierigkeiten haben, mit der neuen Funktionsweise dieser Angriffe Schritt zu halten.

Denn in der heutigen Bedrohungslandschaft geht es bei der Resilienz gegen Ransomware nicht mehr nur um die Wiederherstellung.

Es geht darum, Identität, Vertrauen und Zugang zu schützen, bevor Angreifer sie als Waffe einsetzen können.

Forschungsmethodik

Diese Untersuchung wurde vom Advanced Threat Operations (ATO)-Team von Ontinue entwickelt und basiert auf Untersuchungen in Kundenumgebungen, Telemetriedaten der Ontinue ION SecOps-Plattform, Analysen öffentlich gemeldeter Ransomware-Aktivitäten und ergänzenden Bedrohungsanalysen der Branche.

Dieser Artikel ist der erste in einer breiteren Ontinue-Forschungsreihe, in der untersucht wird, wie sich Ransomware-Operationen im Jahr 2025 entwickelt haben, einschließlich identitätsgesteuerter Eindringungsmodelle, Ausnutzung von SaaS-Vertrauen, moderner Erpressungstaktiken, Fragmentierung des Ransomware-Ökosystems und der zunehmenden betrieblichen Auswirkungen von Ransomware in verschiedenen Branchen und Lieferketten.