RMM-Missbrauch: Wenn das Admin-Tool zur Waffe wird
27.07.2026 rmm-abuseransomwareliving-off-the-landincident-response
Vertrauen als Angriffsvektor
Remote Monitoring and Management (RMM)-Tools wie ScreenConnect, Atera, Splashtop oder AnyDesk gehören zum Alltagswerkzeug jeder IT-Abteilung und jedes Managed Service Providers. Genau diese Allgegenwart macht sie für Angreifer attraktiv. Der Huntress 2026 Cyber Threat Report verzeichnete einen Anstieg von 277 Prozent beim Missbrauch von RMM-Tools im Jahr 2025. Auch Arctic Wolf bestätigt den Trend: 59,4 Prozent der von Arctic Wolf Incident Response untersuchten Ransomware-Fälle begannen mit externem Fernzugriff – eine Kategorie, die RMM-Missbrauch oder -Ausnutzung einschließt, wobei in einem einzigen Quartal 32 verschiedene RMM-Tools bei bösartiger Nutzung beobachtet wurden. Acronis TRU identifizierte zudem mehr als 51 RMM-Lösungen als potenzielle Angriffsvektoren, wobei Splashtop, ConnectWise, ScreenConnect und Atera wiederholt in realen Angriffen missbraucht wurden.
Der Grund für die forensische Brisanz liegt im Design der Tools selbst: gültige RMM-Binärdateien wirken für die meisten Sicherheitsprodukte nicht bösartig – Standardtools erkennen bekannte schädliche Signaturen wie Ransomware oder RATs, aber eine legitime RMM-Executable passt einfach nicht in dieses Profil und rutscht als scheinbar routinemäßige IT-Aktivität durch. Huntress fand heraus, dass über 50 Prozent der Fälle mit verdächtiger Atera-RMM-Aktivität direkt mit Ransomware-Angriffen in Verbindung standen.
Die Angriffskette: Von Phishing zum Verschlüsselungsknopf
Der Einstieg erfolgt fast immer über Social Engineering. Huntress beschreibt typische Köder als E-Mails, die authentisch wirken – man denke an eine DocuSign-Anfrage, eine Party-Einladung oder einen Dropbox-Link. Zunehmend wird dabei auch legitime Tunneling-Infrastruktur zweckentfremdet: Sicherheitsforscher von Securonix und Sekoia dokumentierten Kampagnen, bei denen Angreifer den Tunneling-Dienst von Cloudflare – speziell die trycloudflare.com-Subdomain – nutzen, um bösartige Payloads zu hosten und auszuliefern, obwohl dieser Dienst eigentlich von Entwicklern genutzt wird, um lokale Server temporär im Internet verfügbar zu machen, ohne Firewall-Regeln zu ändern oder statische Infrastruktur aufzusetzen. GuidePoint Security betont, dass Cloudflared für Angreifer besonders attraktiv ist, weil es einem Angreifer erlaubt, eine Umgebung vor einem Angriff zu konfigurieren und dann mit einem einzigen Befehl vom Opfer-Rechner aus einen Fußhalt zu etablieren, ohne dabei eigene Konfigurationsdetails auf dem Zielsystem preiszugeben.
Ist das RMM-Tool erst installiert, erbt der Angreifer dessen volle Funktionalität. Huntress warnt, dass Angreifer die eingebaute Persistenz übernehmen und plötzlich Aufgaben automatisieren, sich lateral im Netzwerk bewegen, Befehle ausführen und sogar Ransomware ablegen können – während sie wie ein hilfreicher IT-Administrator wirken. Die Geschwindigkeit ist dabei erschreckend: wenn Tools wie RustDesk oder Atera missbraucht werden, kann sich der Ransomware-Schaden innerhalb von ein bis zwei Stunden entfalten.
Forensische Herangehensweise und Detektion
Für Incident Responder bedeutet das: Die klassische Signatur-basierte Malware-Suche greift zu kurz. Cato Networks fasst das Kernproblem treffend zusammen: diese doppelte Nutzbarkeit von RMM-Tools stellt eine wachsende Herausforderung für Organisationen dar, bei der die Grenze zwischen autorisierter administrativer Aktivität und bösartigem Verhalten zunehmend schwer zu definieren und zu erkennen ist. Auch Acronis warnt vor dem MSP-Risiko: die Kompromittierung der RMM-Infrastruktur eines MSP ermöglicht Angreifern, gleichzeitig in mehrere Kundenumgebungen vorzudringen, was den Explosionsradius und das Monetarisierungspotenzial eines einzelnen Einbruchs erheblich verstärkt.
Für die praktische Forensik empfiehlt Huntress ein proaktives Fingerprinting der eigenen Umgebung: es reicht nicht zu wissen, dass man ScreenConnect nutzt – man braucht ein laufendes, detailliertes Inventar der eigenen Angriffsfläche mit Fragen wie: Welche RMM-Tools sind für unsere Umgebung freigegeben? Welche Hashes gehören zu den genehmigten Executables? Mit welchen URLs oder IP-Adressen dürfen diese Tools kommunizieren?. GovInfoSecurity ergänzt konkrete Playbook-Maßnahmen: RMM in das Incident-Response-Playbook integrieren, Angriffe über Purple-Team-Übungen simulieren, von signaturbasierten Alarmen zu Verhaltens-Baselining übergehen und SIEM mit RMM-Logs für Anomalieerkennung verknüpfen.
Für die IR-Praxis heißt das konkret: Installationsprotokolle, Windows-Event-Logs (insbesondere Dienstinstallationen und geplante Tasks), Netzwerkverbindungen zu bekannten RMM-Endpunkten sowie Abweichungen von genehmigten Hash-Listen müssen systematisch korreliert werden – bevor aus einer unauffälligen Fernwartungssitzung ein vollständiger Verschlüsselungsvorfall wird.
← Zurück zur Übersicht