Was die #StopRansomware-Advisories über die Ransomware-Ökonomie verraten: Zahlungen, Branchen, Affiliates
Die #StopRansomware-Advisories, die CISA, das FBI und Partnerbehörden gemeinsam veröffentlichen, liest man meist als Material für den Ernstfall: Indikatoren of Compromise, Tactic-Zuordnungen, Checklisten zur Schadensbegrenzung. Liest man einige davon nebeneinander, ergeben sie zugleich ein ungewöhnlich öffentliches Protokoll davon, wie die Ransomware-Wirtschaft organisiert ist. Die Advisorys zu ALPHV/Blackcat, Black Basta und Medusa beschreiben in bewusst nüchterner Sprache, wer die Arbeit macht, wie der Zugang zu Netzwerken gekauft wird und wie Opfer zur Zahlung gedrängt werden.
Ein Arbeitsmarkt, keine einzelne Bande
Die Medusa-Advisory (AA25-071A, erstmals im März 2025 veröffentlicht und im August 2026 aktualisiert, auch beim FBI abrufbar) ist bei Geldfragen die ausführlichste. Darin berichten die Autoren, dass Medusa-Entwickler auf Cyberkriminellen-Foren Initial-Access-Broker anwerben und Zahlungen zwischen 100 und 1 Million US-Dollar an IABs bieten, dazu die Möglichkeit, exklusiv für Medusa zu arbeiten; die meisten IABs arbeiten zugleich für mehrere Ransomware-Varianten. Der Zugang zu Netzwerken ist die Ware; die Marke, die ihn kauft, ist weitgehend austauschbar. Dieselbe Advisory beschreibt ein gestaffeltes Affiliate-Modell: Medusa startete im Juni 2021 als geschlossene Operation und ging Anfang 2023 zu einer Ransomware-as-a-Service-Struktur über, bei der Affiliates je nach Erfahrung und Profitabilität unterschiedlich viel Vertrauen erhalten. Bei neueren Affiliates kann die Ransomware-Verhandlung zentral von den Entwicklern gesteuert werden. Die ALPHV/Blackcat-Advisory und die Black-Basta-Advisory beschreiben ihre Gegenstände auf dieselbe Weise: RaaS-Operationen, in denen namentlich genannte Affiliates die Intrusion und Erpressung unter Bedingungen des Kerns erledigen. Die Leak-Site als Zahlungsmechanismus
Die Advisorys behandeln Leak-Sites als Teil des Zahlungsprozesses, nicht als Publicity. Die .onion-Seite von Medusa listet Opfer mit Countdown-Timern; ein Opfer kann 10.000 US-Dollar in Kryptowährung zahlen, um den Timer um einen einzigen Tag zu verlängern. Die Akteure bieten einen zeitlich begrenzten niedrigeren Satz für schnelle Zahlung und orientieren sich laut Advisory bei ihren Forderungen am öffentlich ausgewiesenen Umsatz des Opfers. Das Dokument hält auch fest, was nach einer Zahlung passieren kann: Ein Opfer, das gezahlt hatte, wurde erneut kontaktiert und sollte die Hälfte der Forderung noch einmal zahlen, angeblich für einen 'echten Decryptor'; ob gestohlene Daten nach einer Zahlung wirklich gelöscht werden, lässt sich nach Angaben der Autoren nicht überprüfen. Die Black-Basta-Advisory beschreibt einen parallel laufenden Mechanismus: Die Lösegeldnotizen geben den Opfern 10 bis 12 Tage, bevor die Daten auf der 'Basta News'-Tor-Seite der Gruppe veröffentlicht werden. Das ALPHV-Update dokumentiert das gegenteilige Ende des Marktes: Manche Affiliates erpressen allein mit gestohlenen Daten, ohne überhaupt Ransomware einzusetzen. Opportunistisches Vorgehen, wiederkehrende Branchen
Keine der drei Gruppen wird als wählerisch beschrieben. Medusa-Akteure arbeiten demnach opportunistisch und zielen auf Opfer mit ungepatchter Software, dennoch war das Gesundheitswesen häufig ein Opfer, und Stand April 2026 zählt die Advisory mehr als 500 Medusa-Opfer in kritischen Infrastruktursektoren. Black-Basta-Affiliates hatten Stand Mai 2024 weltweit über 500 Organisationen getroffen, in mindestens 12 von 16 kritischen Infrastruktursektoren, wobei das Gesundheitswesen hervorgehoben wird: wegen der Abhängigkeit von Technik und der Störungen, die ein Angriff für die Patientenversorgung verursacht. Das ALPHV-Update vermerkte, dass von fast 70 geleakten Opfern seit Mitte Dezember 2023 der Gesundheitssektor der am häufigsten betroffene war – eine Phase, die folgte, nachdem der Administrator der Gruppe nach Behördenmaßnahmen gegen ihre Infrastruktur ausdrücklich zur Zielsetzung von Krankenhäusern aufgerufen hatte. Fallende Zahlungen, bestehendes Sanktionsrisiko
Beim Zahlungsverhalten ist die veröffentlichte Position der Regierung regulatorisch statt statistisch. Die aktualisierte OFAC-Advisory zu Ransomware-Zahlungen aus dem September 2021 stellt fest, dass die US-Regierung alle privaten Unternehmen und Bürger strikt davor abrät, Lösegeld oder Erpressungsforderungen zu zahlen; sie warnt, dass Vermittler wie Banken, Cyber-Versicherer und Incident-Response-Firmen zivilrechtliche Sanktionen nach dem Strict-Liability-Prinzip riskieren; und sie vermerkt eine Ablehnungsvermutung für Lizenzen, die Ransomware-Zahlungen an sanktionierte Parteien betreffen. Dasselbe Dokument, veröffentlicht gemeinsam mit der Eintragung der Börse Suex wegen der Vermittlung von Ransomware-Erlösen, erklärt Opfern, dass eine rasche Meldung an Strafverfolgungsbehörden oder die CISA voluntary self-disclosure credit und erhebliche Milderung bringen kann – bei der Einschränkung, dass es keine Garantie dafür gibt, wieder Zugang zu den Daten zu erhalten. Marktdaten zeigen den Druck auf der Zahlungsseite. Chainalysis beziffert die Ransomware-Zahlungen 2024 auf rund 813,55 Millionen US-Dollar, etwa 35 Prozent unter dem Rekordwert von 1,25 Milliarden US-Dollar aus 2023 und der erste Rückgang seit 2022; in weniger als der Hälfte der erfassten Fälle wurde gezahlt, und ein in dem Bericht zitierter Verhandler schätzt, dass rund 30 Prozent der Verhandlungen zu einer Zahlung führen. Chainalysis beobachtete zudem, dass Endzahlungen unabhängig von der ursprünglichen Forderung zwischen 150.000 und 250.000 US-Dollar clustern: Die Verhandlung, nicht die Auftaktzahl, setzt den Endpreis fest. Warum die Advisorys Affiliates beim Namen nennen
Das wiederkehrende Detail in diesen Dokumenten ist strukturell: Wer das Netzwerk kompromittiert, wer verhandelt, wer die Ransomware pflegt und welcher Dienst die Erlöse wäscht, sind unterschiedliche Parteien, oft in verschiedenen Jurisdiktionen. Genau deshalb benennen die Advisorys Affiliates, Initial-Access-Broker und Vermittler statt einer einzelnen Marke. Die Durchsetzung folgt den Rollen, etwa als das Treasury 2021 die Börse Suex eintrug – den ersten virtuellen Devisenexchange, der wegen der Vermittlung von Ransomware-Erlösen designiert wurde und mit mindestens acht Ransomware-Varianten in Verbindung stand –, ohne eine Sanktionsverbindung zu einer bestimmten RaaS-Variante herzustellen. Für Leser, die Leak-Sites verfolgen, lautet die praktische Lehre wie in unserem Beitrag dazu, wie Ransomware-Leak-Sites auf .onion funktionieren: Der Countdown ist ein Zahlungsmechanismus, und die Maschinerie darum herum – Broker-Preise, gestaffelte Affiliates, Sanktionsrisiko für Vermittler – ist es, was diese Advisorys tatsächlich dokumentieren.
