Recovery Denial: Wenn Ransomware die Beweisbasis zerstört
04.07.2026 recovery denialwiper malwareincident responsecloud forensik
Ransomware-Ermittler kennen das Muster seit Jahren: Verschlüsselung, Lösegeldforderung, Datenleck als Druckmittel. Doch dieses Muster verändert sich gerade fundamental – und mit ihm die forensische Ausgangslage jedes Incident-Response-Teams. Zwei parallele Entwicklungen aus den letzten Monaten zeigen, wohin die Reise geht: Erstens zielen Angreifer immer gezielter auf die Wiederherstellungsfähigkeit selbst, nicht mehr nur auf die Daten. Zweitens hat sich die Zeit, die Verteidigern zum Handeln bleibt, dramatisch verkürzt.
Recovery Denial statt reiner Verschlüsselung
Mandiants M-Trends 2026, gestützt auf über 500.000 Stunden Incident-Response-Arbeit aus dem Jahr 2025, dokumentiert einen systemischen Wandel: Während Verschlüsselung und Datendiebstahl zentral bleiben, konzentrieren sich Angreifer zunehmend darauf, die Wiederherstellungsfähigkeit einer Organisation zu untergraben, indem sie gezielt Backup-Infrastruktur, Identitätsdienste und Virtualisierungs-Management-Ebenen angreifen. Durch die Kompromittierung oder Zerstörung von Recovery-Fähigkeiten erhöhen Angreifer die Wahrscheinlichkeit, dass Opfer zahlen – selbst wenn Backups eigentlich existieren.
Ein besonders drastisches Beispiel liefert der Angriff der iranisch verlinkten Gruppe Handala auf den Medizintechnikkonzern Stryker im März 2026. Statt Schadcode einzusetzen, folgten die Angreifer einem „Living-off-the-Cloud“-Ansatz und nutzten Strykers eigene administrative Fähigkeiten gegen das Unternehmen selbst – durch Kompromittierung der Identitätsebene konnten sie großflächige Lösch- und Wipe-Aktionen über dieselben nativen Kontrollen ausführen, die eigentlich zur Verwaltung gedacht waren. Laut Berichterstattung nutzten die Angreifer dabei RDP für laterale Bewegung sowie Group-Policy-Anmeldeskripte, um Wiper-Malware auszurollen, ergänzt durch legitime Verschlüsselungswerkzeuge wie VeraCrypt, um die Wiederherstellung zusätzlich zu erschweren.
Ähnliche Fälle häufen sich: Bei einem Angriff auf die Los Angeles County Metropolitan Transportation Authority löschten Angreifer virtuelle Maschinen direkt über die Management-Konsole der Organisation, bei einem weiteren Ziel wurden gezielt Backup-Dateien manuell gelöscht, bevor Kernsysteme zerstört wurden. Unit 42 empfiehlt als Konsequenz explizit, Backups zu isolieren und air-zugapt zu betreiben, da cloud-verbundene Backups in einem Umfeld, in dem der Cloud-Tenant selbst kompromittiert ist, derselben Zerstörung ausgesetzt sind wie die Produktionssysteme.
22 Sekunden statt acht Stunden
Parallel dazu hat sich die operative Geschwindigkeit von Angriffen radikal verändert. M-Trends 2026 zeigt, dass ein wachsender Teil der Vorfälle einem Arbeitsteilungsmodell folgt, bei dem ein Access-Broker den Zugang an eine zweite Gruppe – oft eine Ransomware-Crew – übergibt. Dieses Muster trat 2025 in 9 % der Untersuchungen auf, gegenüber 4 % im Jahr 2022. Entscheidend ist die Geschwindigkeit dieser Übergabe: Lag die mediane Zeit zwischen initialem Zugriff und Übergabe 2022 noch bei über acht Stunden, ist dieses Fenster 2025 auf 22 Sekunden geschrumpft.
Gleichzeitig ist die globale mediane Verweildauer von Angreifern paradoxerweise gestiegen. Die globale mediane Dwell Time lag 2025 bei 14 Tagen, gegenüber 11 Tagen 2024 – maßgeblich getrieben durch langfristige Spionage-Operationen und nordkoreanische IT-Worker-Aktivitäten, die beide eine mediane Verweildauer von 122 Tagen aufwiesen. Mehr Vorfälle blieben zudem über mittlere Zeiträume (eine Woche bis sechs Monate) unentdeckt – ein Trend, den der Report auf Gruppen zurückführt, die ihr Tooling auf das beschränken, was in der Zielumgebung bereits vorhanden ist, legitimes administratives Verhalten imitieren und forensische Artefakte gezielt entfernen. Für DFIR-Teams bedeutet das: Zwei gegensätzliche Bedrohungsmodelle müssen gleichzeitig bedient werden – blitzschnelle, automatisierte Handoffs einerseits, geduldige, spurenarme Langzeitpräsenz andererseits.
Konsequenzen für die forensische Praxis
Für die forensische Praxis ergeben sich daraus konkrete Prioritäten. Erstens muss die Backup- und Recovery-Infrastruktur als eigene, kritische Verteidigungslinie behandelt und logisch von Produktions- und Identitätsumgebungen getrennt werden. Zweitens gilt es, Identitäts- und Cloud-Telemetrie – SSO-Logs, IAM-Ereignisse, OAuth-Token-Flüsse – als primäre Beweisquelle zu etablieren, denn genau dort, wo Angreifer heute agieren, muss auch die forensische Sichtbarkeit ansetzen. Drittens erfordert die 22-Sekunden-Realität eine Neubewertung der Alarmpriorisierung: Was gestern als niedrigpriorer Malware-Fund galt, kann heute bereits der Auftakt zu einer vollständigen Kompromittierung sein. M-Trends 2026 bringt dies auf den Punkt, indem der Report ein Reifegradmodell vorschlägt, das Sicherheitslage entlang zweier Achsen abbildet – Prävention und Recovery-Path-Reliability – mit dem Zielzustand einer „Active Resilience“, die gehärtete Identität mit einer vom Angriffsvektor getrennten Recovery-Umgebung kombiniert.
Für Forensiker bedeutet das im Kern: Beweissicherung darf nicht erst beginnen, wenn der Alarm ausgelöst wird. Wer erst nach der Detektion mobilisiert, mobilisiert womöglich zu spät, um überhaupt noch etwas Verwertbares vorzufinden.
← Zurück zur Übersicht