Die Wannacry-Erpressung
Am 12. Mai 2017 bemerkten IT-Sicherheitsspezialisten in Behörden und Unternehmen in über 150 Ländern, dass sich eine neue Version der WannaCry-Erpressersoftware in ihren IT-Systemen verbreitet hatte. In Großbritannien befiel die Malware beispielsweise die IT-Systeme zahlreicher Krankenhäuser und Arztpraxen.
Die WannaCry-Ransomware nutzte eine Schwachstelle im Betriebssystem Windows aus. Unbestätigten Gerüchten zufolge hatte die US-Sicherheitsbehörde NSA diese Sicherheitslücke bewusst geschaffen, um selbst Windows-Systeme auszuspionieren. Eine Hackergruppe namens Shadow Brokers hatte die EternalBlue genannte Schwachstelle bereits vor dem WannaCry-Angriff publik gemacht.
Microsoft reagierte auf den Leak von Shadow Brokers und veröffentlichte im April 2017 ein Update für Windows. Doch zu einer flächendeckenden Beseitigung der Sicherheitslücke kam es nicht. Auf zahlreichen Firmencomputern lief auch weiterhin eine unsichere Windows-Version. Die unzureichenden Update-Routinen vieler Unternehmen öffneten dem WannaCry-Trojaner Tür und Tor.
Als die Ransomware schließlich zuschlug, verschlüsselte sie Unmengen an Datensätzen und legte zahlreiche Unternehmen und Einrichtungen für Tage lahm. Die Angreifer:innen forderten jeweils 600 Dollar in Bitcoin von ihren Opfern. Wie viele Opfer gezahlt haben, ist nicht belegt. Weltweit betraf der WannaCry-Angriff etwa 230.000 Computer.
Weitere bekannte Ransomware-Attacken
Dass nicht jede Art von Ransomware via Phishing-Mail auf die Zielcomputer gelangt, zeigt der Bad-Rabbit-Trojaner. Dieser verbreitete sich 2017 über einen sogenannten Drive-by-Angriff. Die Opfer waren allesamt Besucher:innen einer von Kriminellen manipulierten Webseite. Der Besuch reichte aus, um unbemerkt im Hintergrund einen sogenannten Malware-Dropper zu aktivieren. Der Bad-Rabbit-Malware-Dropper forderte die Nutzer:innen auf, das Adobe-Flash-Plugin auf dem Computer zu installieren. Nur so werde die besuchte Webseite vollumfänglich lesbar. Doch anstatt des Plugins installierten die Opfer die Malware auf dem Endgerät.
Im August 2018 verbreitete sich weltweit der Ryuk-Erpressertrojaner. Diese Ransomware deaktivierte auf den befallenen Rechnern die Wiederherstellungsfunktion von Windows. Die Nutzer:innen konnten ihre durch den Trojaner verschlüsselten Dateien nicht mehr zurückerhalten. Dies gelang nur durch Rückgriff auf eine externe Sicherheitskopie des Systems. Ryuk befiel auch Netzwerkfestplatten in Behörden, Unternehmen und Krankenhäusern.
2016 legte Petya zahlreiche Personalabteilungen in Unternehmen lahm. Die Ransomware lauerte hinter einem Dropbox-Link in gefälschten Bewerbungsmails. Statt einzelner Dateien verschlüsselte Petya die komplette Festplatte der Opfer.
Als Nachfolger von Petya gilt der nach einem James-Bond-Film benannte Trojaner GoldenEye. Er schädigte 2017 einige große russische Ölfirmen und Banken.
Häufig bauen Ransom-Attacken auf zuvor erfolgtes Phishing auf. Nicht so Dharma Brrr – diesen Erpresser-Trojaner installierten Cyberkriminelle „in Handarbeit“ auf von ihnen gehackten Desktops. Als die Angreifer:innen die Malware dann aus der Ferne aktivierten, verschlüsselten sie sämtliche gefundenen Dateien. Die Dateinamen endeten dann auf „.id-[ID].[E-Mail].brrr“.
Anfang 2024 wurden mehrere Krankenhäuser in Bayern, Berlin und Nordrhein-Westfalen Opfer einer Ransomware-Attacke. Immer wieder greifen Hacker:innen gezielt Einrichtungen im Gesundheitswesen an. Dabei nehmen sie sogar in Kauf, dass Patient:innen gefährdet werden. So verstarb 2020 eine Notfallpatientin, die nach einer Ransomware-Attacke auf die Uniklinik Düsseldorf ersatzweise in ein 30 Kilometer entferntes Krankenhaus nach Wuppertal gebracht werden musste.
Im Oktober 2023 wurden rund 70 Gemeindeverwaltungen in Nordrhein-Westfalen für mehrere Monate Opfer eines Ransomware-Angriffs des Cybercrime-Kollektivs Akira. Alle Kommunen hatten denselben IT-Dienstleister. Die Angreifer hatten sich unter anderem Schwachstellen in VPN-Zugängen zunutze gemacht. Anfang 2024 machte eine weltweite Ransomware-Attacke speziell auf Rechenzentren Schlagzeilen. Die Malware befiel ESXi-Server, die als Hypervisoren bei der Virtualisierung von Kundennetzen eine große Rolle spielen. Ein betroffenes Rechenzentrum in Chile sollte pro betroffenem Kunden jeweils zwei Bitcoin Lösegeld zahlen – umgerechnet insgesamt rund 140 Millionen Euro. 
