Lorenz ist eine Ransomware-Gruppierung, die sich auf gezielte Angriffe gegen Unternehmensnetzwerke spezialisiert hat und gestohlene Daten vor der Verschl\u00fcsselung exfiltriert. Statt breit gestreute Kampagnen zu fahren, w\u00e4hlen die Angreifer einzelne Organisationen gezielt aus und bereiten den Angriff \u00fcber einen l\u00e4ngeren Zeitraum vor. Zentrales Merkmal ist die doppelte Erpressung: Vor der Verschl\u00fcsselung exfiltrieren die Angreifer sensible Daten aus dem Netzwerk und drohen zus\u00e4tzlich mit deren Ver\u00f6ffentlichung, falls das Opfer nicht zahlt. Diese Kombination erh\u00f6ht den Druck auch dann, wenn ein Unternehmen dank vorhandener Backups<\/strong> auf die Zahlung verzichten k\u00f6nnte.<\/p>\n F\u00fcr einen Versicherer versch\u00e4rft dieses Vorgehen die Folgen eines Angriffs deutlich. Verweigert das Unternehmen die Zahlung, droht die Gruppe damit, gestohlene Kundendaten auf einer eigenen Leak-Seite im Darknet zu ver\u00f6ffentlichen. Neben dem Verlust der Datenverf\u00fcgbarkeit durch Verschl\u00fcsselung droht damit zus\u00e4tzlich der Verlust der Vertraulichkeit sensibler Kundendaten, was aufsichtsrechtliche Meldepflichten und Reputationssch\u00e4den nach sich ziehen kann<\/strong> und den wirtschaftlichen Schaden \u00fcber die reine Systemwiederherstellung hinaus vergr\u00f6\u00dfert.<\/p>\n Lorenz funktioniert nach dem Prinzip der doppelten Erpressung: Die Angreifer verschaffen sich zun\u00e4chst \u00fcber einen initialen Zugang, etwa eine kompromittierte Fernzugriffsl\u00f6sung oder eine ausgenutzte Schwachstelle, Zugriff auf das Unternehmensnetzwerk. Von dort aus bewegen sie sich lateral durch das Netzwerk, identifizieren wertvolle Systeme und Daten und kopieren sensible Dokumente auf eigene Infrastruktur<\/strong>, bevor sie \u00fcberhaupt verschl\u00fcsseln. Diese Vorbereitungsphase kann je nach Gr\u00f6\u00dfe des Netzwerks mehrere Tage oder Wochen dauern.<\/p>\n Erst nach Abschluss der Datenexfiltration verschl\u00fcsselt Lorenz die Systeme im Netzwerk und hinterlegt eine L\u00f6segeldforderung. Zahlt das Opfer nicht innerhalb der gesetzten Frist<\/strong>, droht die Gruppe damit, die zuvor gestohlenen Daten auf einer eigenen Darknet-Leak-Seite zu ver\u00f6ffentlichen. Welche Systeme zuerst verschl\u00fcsselt werden, h\u00e4ngt von ihrer wirtschaftlichen Bedeutung f\u00fcr das Opfer ab, etwa Datenbank- oder Fileserver mit gesch\u00e4ftskritischen Informationen.<\/p>\nWie funktioniert Lorenz?<\/h2>\n
Woran erkenne ich Lorenz?<\/h2>\n