Ransomware-as-a-Service (RaaS) ist das Geschäftsmodell hinter den meisten großen Erpressungswellen: Entwicklergruppen bauen und pflegen die Schadsoftware samt Verhandlungsportalen und Leak-Seiten; sogenannte Affiliates mieten das Paket, führen die Einbrüche durch und teilen die Lösegelder mit den Betreibern.
Diese Arbeitsteilung senkt die Einstiegshürde dramatisch: Technisches Spezialwissen ist nicht mehr nötig — kriminelle Energie und gekaufte Zugänge genügen. Das erklärt Masse und Professionalität der heutigen Angriffe.
Das Ökosystem hinter RaaS
Die Kette ist arbeitsteilig: Initial Access Broker verkaufen erbeutete Zugänge — VPN-Konten, RDP, gestohlene Sitzungen. Affiliates kaufen ein, bewegen sich durchs Netz, exfiltrieren Daten und zünden die Verschlüsselung. Die Betreiber liefern Software, Infrastruktur, Verhandlungsführung und Markennamen; abgerechnet wird prozentual. Rekrutiert wird in einschlägigen Foren wie in einem Franchise-System.
Für Verteidiger heißt das: Der Gegner ist ein Markt, kein Einzeltäter. Takedowns einzelner Marken wirken nur kurz — Affiliates wechseln zum nächsten Anbieter. Nachhaltig wirkt, was das Handwerk aller Affiliates teuer macht: gehärtete Zugänge, Segmentierung, Erkennung der stillen Phase.
Konsequenzen für die Verteidigung
- Zugänge sind die Ware: Phishing-resistente MFA und ZTNA entwerten das Broker-Angebot.
- Exponierte Fernzugänge und ungepatchte Randsysteme sind die Haupteinkaufsquellen.
- Playbooks der großen RaaS-Marken sind dokumentiert — Erkennung lässt sich daran ausrichten.
- Double Extortion ist Standard: Abfluss-Erkennung gehört zur Grundausstattung.