Symbol Foto
Veröffentlichungsdatum November 24, 2025

Dinge ändern sich : Ransomware vs Exposure

Im November hat sich in der Welt der Cyberangriffe etwas Wichtiges verschoben – weg von „einfach nur“ Ransomware hin zu einem viel stilleren, aber gefährlicheren Trend: Exposure, also das heimliche Stehlen und Offenlegen von Daten.

Ransomware hast du wahrscheinlich schon gehört:

  • Angreifer schleusen Schadsoftware ein.
  • Alle wichtigen Dateien werden verschlüsselt.
  • Die Firma kann nicht mehr arbeiten.
  • Die Täter verlangen Lösegeld, damit alles wieder entschlüsselt wird.

Das ist natürlich immer noch ein großes Problem. Aber die Angreifer haben gemerkt:
Mit reiner Verschlüsselung verschenken sie Potenzial.

Heute im Fokus: Exposure – Daten werden geklaut und als Druckmittel benutzt

Immer öfter passiert jetzt etwas anderes:

  1. Die Täter dringen ins Firmennetz ein.
  2. Sie bleiben wochen- oder monatelang unbemerkt.
  3. Sie kopieren riesige Mengen an Daten: Kundendaten, Verträge, interne E-Mails, Geschäftsgeheimnisse.
  4. Erst wenn sie genug gesammelt haben, melden sie sich – oft mit einer Erpressungs-Mail.

Dann heißt es:

„Wir haben eure Daten. Wenn ihr nicht zahlt, veröffentlichen wir sie im Internet oder verkaufen sie.“

Manchmal wird gar nichts mehr verschlüsselt. Das Geschäft läuft nur noch über Drohung mit Veröffentlichung(„Exposure“).
Große Kampagnen – zum Beispiel gegen Oracles E-Business Suite oder Oracle-Cloud-Umgebungen – laufen genau nach diesem Muster: Zero-Day-Schwachstelle ausnutzen, Daten abziehen, später extortieren. (Google Cloud)

Was meinen die IT-Leute mit „Zero-Day“?

Ein Zero-Day ist eine Sicherheitslücke, die:

  • den Herstellern noch nicht bekannt ist oder
  • zwar gerade erst bekannt wurde, aber noch nicht überall gepatcht ist.

Kurz gesagt:
Es ist ein Loch in einer Software, das Angreifer ausnutzen, bevor die Mehrheit der Unternehmen es schließen kann.

Im November 2025 gab es gleich mehrere Fälle, in denen solche Zero-Day-Lücken in wichtigen Unternehmenssystemen für Angriffe benutzt wurden – etwa in:

  • Update-Systemen (z. B. Microsoft WSUS),
  • Identitäts- und Benutzerverwaltung (z. B. Oracle Identity Manager), (SecurityWeek)
  • Logging-Software (z. B. Fluent Bit, das in vielen Cloud-Umgebungen eingesetzt wird). (The Hacker News)

Über solche zentralen Systeme kommen Angreifer besonders tief ins Unternehmen – oft mit Systemrechten.

High-Leverage-Komponenten: Warum die „Schaltstellen“ angegriffen werden

In vielen Analysen liest man, dass Angreifer gezielt High-Leverage-Komponenten angreifen.
Das sind Bereiche, bei denen ein einzelner Treffer besonders viel Hebelwirkung hat:

  • Update-Server
    • Bildlich: die „Werkstatt“, aus der alle Computer ihre Updates beziehen.
    • Wird sie gehackt, können Angreifer falsche „Updates“ verteilen – also Schadsoftware als Update tarnen.
  • Identity-Systeme (Benutzer- und Rechteverwaltung)
    • Bildlich: der Schlüsselkasten des Unternehmens.
    • Wer ihn kontrolliert, kann sich selbst überall Zutritt verschaffen.
  • Logging- und Monitoring-Systeme
    • Bildlich: die Überwachungskameras der IT.
    • Wer sie manipuliert, kann Spuren verwischen oder Angriffe unsichtbar machen.

Statt irgendwo „vorn an der Tür“ anzuklopfen, gehen Angreifer direkt an die Stellen, wo sie
möglichst viele Systeme gleichzeitig kontrollieren können.

Stille Persistenz: Angreifer bleiben lange unbemerkt

Ein weiteres Schlagwort ist „stille Persistenz“:

  • Die Täter richten sich im Netzwerk ein wie ein heimlicher Mitbewohner.
  • Sie legen versteckte Benutzerkonten an, ändern unauffällig Konfigurationen oder bauen Hintertüren ein.
  • Sie sind nicht daran interessiert, sofort Krach zu machen – im Gegenteil:
    Je länger sie unentdeckt bleiben, desto mehr Daten können sie abziehen.

Für Unternehmen ist das besonders gefährlich, weil:

  • es oft keinen offensichtlichen Ausfall gibt,
  • alles „normal weiterläuft“,
  • und der Schaden erst sichtbar wird, wenn die Erpresser sich melden – oder wenn gestohlene Daten im Netz auftauchen.

Datenabfluss statt nur Verschlüsselung

Anstatt Daten „nur“ zu verschlüsseln, werden diese immer häufiger:

  • im großen Stil kopiert (Exfiltration),
  • auf Erpressungsseiten im Darknet angekündigt,
  • an Kriminelle oder Konkurrenten verkauft,
  • oder Stück für Stück veröffentlicht, um den Druck zu erhöhen.

Für Betroffene heißt das:

  • Es geht nicht mehr nur darum, wieder arbeiten zu können,
  • sondern auch um Image-Schäden, Vertrauensverlust und rechtliche Konsequenzen,
    weil personenbezogene Daten oder Geschäftsgeheimnisse nach außen gelangt sind.

Angriffe auf Lieferketten: Wenn der Dienstleister zum Einfallstor wird

Besonders heikel sind Angriffe auf Lieferketten (Supply Chain):

  • Unternehmen arbeiten mit vielen Dienstleistern zusammen: Cloud-Anbieter, Software-Hersteller, IT-Dienstleister, Zahlungsdienstleister.
  • Wird ein solcher Dienstleister gehackt, sind gleich mehrere oder viele Kunden indirekt betroffen.

Beispiele aus 2025:

  • Angriffe auf Oracle E-Business Suite: Über eine Zero-Day-Lücke wurden in großem Stil Daten aus Kundensystemen abgezogen, die später als Druckmittel für Erpressungen dienten. (Google Cloud)
  • Untersuchungen zeigen außerdem große Datenabflüsse aus Cloud-Umgebungen, bei denen Millionen Datensätze von vielen Kunden gleichzeitig betroffen waren. (cloudsek.com)

Für Außenstehende ist das Wichtigste daran:

Nicht nur „dein“ Unternehmen muss sicher sein – sondern auch alle Dienstleister, denen es Daten anvertraut.

Was bedeutet das für dich als Privatperson?

Auch wenn das alles nach „großer Enterprise-Welt“ klingt – die Folgen landen am Ende bei uns allen:

  • Deine Kundendaten (Adresse, Kontodaten, Vertragsdaten) können betroffen sein.
  • Deine E-Mails mit Unternehmen, Versicherungen, Banken oder Ärzten können in Datenleaks auftauchen.
  • Deine Daten werden unter Umständen für Betrugsversuche (Phishing, gefälschte Anrufe) genutzt.

Du kannst die globale Lage natürlich nicht alleine ändern, aber du kannst dich besser schützen:

  1. Starke, einzigartige Passwörter
    • Nutze einen Passwortmanager.
    • Gleiche Passwörter für mehrere Dienste sind ein großes Risiko.
  2. Zwei-Faktor-Authentifizierung (2FA)
    • Wo immer möglich, aktivieren.
    • Dann reicht ein gestohlenes Passwort allein nicht mehr.
  3. Vorsicht bei Mails und SMS
    • Keine Links anklicken, wenn dir eine Nachricht seltsam vorkommt.
    • Im Zweifel selbst die Website des Unternehmens aufrufen oder anrufen – nicht über den Link in der Mail.
  4. Weniger Daten streuen
    • Gib nur die Daten an, die unbedingt nötig sind.
    • Überlege dir, wem du wirklich sensible Dokumente (Ausweis, Gehaltsabrechnungen) schickst.

Was bedeutet das für Unternehmen – auch ohne tiefes IT-Wissen?

Für Entscheider, die nicht aus der Technik kommen, lässt sich der Trend so zusammenfassen:

  • Es reicht nicht mehr, nur „wieder hochfahren zu können“.
  • Datenverlust und Offenlegung sind das Hauptproblem: Ruf, Vertrauen, rechtliche Pflichten.
  • Kritisch sind vor allem:
    • zentrale Systeme (Updates, Identitäten, Logs),
    • und externe Dienstleister (Cloud, SaaS, Outsourcing).

Darum sind Themen wie:

  • regelmäßige Sicherheitsupdates,
  • klare Verantwortlichkeiten,
  • Notfallpläne für Sicherheitsvorfälle,
  • und strenge Anforderungen an Dienstleister

keine „IT-Details“, sondern Chefsache.

Kurz und knapp

  • Ransomware verschlüsselt Daten – das bleibt ein Problem.
  • Exposure geht einen Schritt weiter: Daten werden gestohlen und als Druckmittel genutzt.
  • Angreifer wählen heute lieber Ziele, mit denen sie viele Systeme auf einmal unter Kontrolle bekommen.
  • Für uns alle heißt das:
    • Unternehmen müssen ihre zentralen Systeme und Dienstleister besser absichern.
    • Privatpersonen brauchen solide Grundhygiene: Passwörter, 2FA, Vorsicht bei Mails.

Hier sind die wichtigsten Links und Quellen zu dem Thema, das wir im Text angesprochen haben – sauber sortiert nach Bereichen.

1. „Exposure statt nur Ransomware“ – Meta-/Trend-Artikel

2. Ransomware- & Erpressungszahlen allgemein

3. Oracle Identity Manager – Zero-Day & Ausnutzung (Identity als „Schlüsselkasten“)

4. Oracle E-Business Suite – Zero-Days & Erpressung („Exposure“)

5. Fluent Bit – Logging-Agent als Angriffspunkt (Logging / Observability)

6. Ergänzende Quellen zu Ransomware & Extortion

Sylvio Mertsch

Sylvio Mertsch

IT-Blog IT-Sicherheit

Cyberangriff Exposure

Sei der Erste, der das kommentiert

Kommentare sind geschlossen, allerdings sind Trackbacks und Pingbacks möglich.