Ransomware-as-a-Service bezeichnet ein kriminelles Gesch\u00e4ftsmodell, bei dem Ransomware-Entwickler ihre Angriffsinfrastruktur, Werkzeuge und Verwaltungsplattformen an andere Angreifer vermieten, die als Affiliates bezeichnet werden. Die Affiliates f\u00fchren die eigentlichen Angriffe durch, ohne die Schadsoftware selbst entwickeln zu m\u00fcssen, wobei die Plattformbetreiber je nach Modell am erpressten L\u00f6segeld beteiligt sind. Das Modell orientiert sich strukturell an legitimen Cloud-Diensten wie Software-as-a-Service und senkt dadurch die technische Einstiegsh\u00fcrde f\u00fcr Ransomware-Angriffe erheblich<\/strong>, sodass auch Kriminelle Kampagnen durchf\u00fchren k\u00f6nnen, ohne die Schadsoftware selbst entwickeln zu m\u00fcssen. Weil Entwicklung, Vertrieb und Ausf\u00fchrung dabei auf unterschiedliche Beteiligte verteilt sind, l\u00e4sst sich ein einzelner Vorfall nicht ohne Weiteres auf eine einzelne verantwortliche Partei zur\u00fcckf\u00fchren, was strafrechtliche Ermittlungen gegen das gesamte dahinterstehende kriminelle Gesch\u00e4ftsmodell zus\u00e4tzlich erschwert.<\/p>\n Weil Affiliates die bereitgestellte Ransomware eigenst\u00e4ndig einsetzen, kann dieselbe RaaS-Infrastruktur \u00fcber unterschiedliche Angriffswege gegen Systeme eines Versicherers zum Einsatz kommen, etwa \u00fcber Phishing-E-Mails oder kompromittierte Fernzug\u00e4nge. F\u00fcr die Angriffserkennung bedeutet das, dass ein Versicherer nicht nur einen bestimmten Angriffsweg absichern kann, sondern das Vorgehen mehrerer voneinander unabh\u00e4ngiger Affiliates einkalkulieren muss<\/strong>.<\/p>\n Ransomware-as-a-Service funktioniert \u00fcber eine Aufteilung der Rollen zwischen Plattformbetreibern, die Ransomware und Infrastruktur bereitstellen, und Affiliates, die damit Angriffe ausf\u00fchren. Die Betreiber entwickeln die Schadsoftware, pflegen ein Verwaltungspanel f\u00fcr Verschl\u00fcsselung und L\u00f6segeldverhandlung und stellen zus\u00e4tzlich eine Leak-Seite f\u00fcr Datendiebstahl-Drohungen<\/strong> bereit. Ein Affiliate meldet sich f\u00fcr die Plattform an, w\u00e4hlt ein Ziel aus und verschafft sich eigenst\u00e4ndig Zugang, etwa \u00fcber einen exponierten Remote-Desktop-Dienst oder eine Phishing-Kampagne. Die technische Umsetzung der Verschl\u00fcsselung \u00fcbernimmt dabei die von der Plattform bereitgestellte Software, sodass der Affiliate selbst keine eigene Ransomware programmieren muss und sich stattdessen ganz auf den Erstzugang zum jeweiligen Zielsystem konzentrieren kann.<\/p>\n Bei Plattformen mit Gewinnbeteiligung flie\u00dft nach einer Zahlung ein vertraglich vereinbarter Anteil an den Plattformbetreiber zur\u00fcck<\/strong>, w\u00e4hrend der Rest beim Affiliate verbleibt. Weil Entwicklung und Ausf\u00fchrung getrennt sind, lassen sich Betreiber und ausf\u00fchrender Angreifer bei Ermittlungen nur schwer eindeutig derselben Tat zuordnen.<\/p>\nWie funktioniert Ransomware-as-a-Service?<\/h2>\n
Woran erkenne ich Ransomware-as-a-Service?<\/h2>\n