Security

Ransomware-as-a-Service (RaaS): Bedrohung verstehen und Unternehmen schützen

Erpresser-Programme, die von kriminellen IT-Profis programmiert und an Hackergruppen oder IT-affine Verbrecher:innen vermietet werden: Viele Cyberbedrohungen stehen längst nicht mehr nur Eingeweihten zur Verfügung. Die Folge: Gerade Erpresser-Software (Ransomware) wird für immer mehr Firmen zur Bedrohung. So erkennen Sie Angriffe mit Ransomware-as-a-Service und wehren sich erfolgreich dagegen.

Inhaltsverzeichnis

Das Wichtigste zu Ransomware-as-a-Service in Kürze

  • Ransomware-as-a-Service beschreibt Erpressungs-Software, die (meist) über das sogenannte Darknet an Cyberkriminelle vermietet wird.
  • Durch die zunehmende Professionalisierung unter Cyberkriminellen bei der Verbreitung von Ransomware wächst die Zahl der betroffenen Unternehmen seit Jahren an.
  • Cyberschutz-Expert:innen warnen vor einer weiteren Zunahme der Ransomware-Angriffe auf Firmen.
  • Ein umfassendes und aktuelles Cybersicherheitskonzept bietet Schutz vor vielen Cyberattacken, darunter auch Angriffe mithilfe von Ransomware-as-a-Service.
  • Auch Geheimdienste aus anderen Ländern erhalten mit RaaS neue Werkzeuge, um deutsche Firmen gezielt auszuspionieren oder zu sabotieren.

Was ist Ransomware-as-a-Service (RaaS)?

Ransomware ist eine besondere Form der Malware (Schadsoftware). Sie ist verwandt mit anderen Schadprogrammen wie Viren und Würmern, verfolgt aber im Unterschied zu diesen ein anderes „Geschäftsmodell“.
Sobald eine Ransomware in einem Firmennetzwerk aktiviert wird, verschlüsselt sie dort umgehend alle Datenträger, die sie erreicht. Das gilt meist auch für alle Back-up-Laufwerke, die sie im Netzwerk findet. Somit haben die Opfer am Ende keine rückspielbare, unverschlüsselte Version ihrer Firmendaten mehr.
Anschließend verlangen die Cyberkriminellen von ihren Opfern ein Lösegeld (englisch: Ransom). Nach Überweisung dieses Lösegelds (meist in Bitcoin) sollen die Opfer angeblich ein Passwort für die Entschlüsselung und Rückerlangung ihrer Daten erhalten. Doch ob es dazu kommt, ist meist fraglich: In vielen Fällen sind sowohl die Daten als auch das Geld verloren.
Der Begriff „Ransomware-as-a-Service“ (RaaS) beschreibt im Umfeld der Ransomware eine bestimmte „Dienstleistung“ von kriminellen Programmierer:innen für andere Kriminelle. Die Bezeichnung Ransomware-as-a-Service leitet sich ab von der sogenannten Software-as-a-Service (SaaS): ein mittlerweile weitverbreitetes Geschäftsmodell, bei dem Dienstleister Software für Unternehmen und Privatnutzer:innen zur Miete anbieten. Bekannte (legale) Produkte aus dem SaaS-Bereich sind etwa Microsoft 365 oder die Adobe Creative Cloud mit der Bildbearbeitungs-Software Photoshop.
Kriminelle nutzen mit RaaS ein ähnliches Prinzip, indem sie ihre eigene Ransomware an andere Kriminelle weitervermieten. Da dieses Geschäftsmodell hochgradig illegal ist, bieten sie ihre Programme in der Regel im sogenannten Darknet an.
Das Darknet ist ein für Strafverfolgungsbehörden schwer zu überwachender Teil des Internets, in dem viele illegale Waren und Dienstleistungen anonym angeboten werden.
Unkenntlicher Computerhacker tippt auf einem Smartphone

Lookout for Small Business

Schützen Sie Ihre gemeinschaftlich genutzten mobilen Endgeräte ganz einfach mit der Lookout-App vor Cyber-Angriffen.

Integrieren Sie Lookout in Ihre bestehenden Unified Endpoint Management-Lösungen (UEM) und steuern somit den einfachen Roll-out in Ihrer mobilen Flotte.

Neu: Jetzt mit Vodafone Managed Endpoint Security Service. Wir überwachen für Sie die Cyber-Sicherheit Ihres Unternehmens rund um die Uhr.

Wie funktioniert RaaS?

Ransomware-as-a-Service ist meist ein Software-Baukasten, aus dem sich Kriminelle ein individuelles Programmpaket zusammenstellen können.
Die Software kennt verschiedene Wege, um in Firmennetze einzudringen, bietet Vorlagen für die Lösegeldforderung und stellt weitere Programmwerkzeuge zur Verfügung, um den digitalen Einbruch aus der Ferne nachzuverfolgen. So wissen die Erpresser:innen, ob sie ein Firmennetz erfolgreich gekapert haben. Dabei erhalten sie auch selbst Zugriff auf das Netzwerk und können so beispielsweise Schutzmaßnahmen der IT-Abteilung des betroffenen Unternehmens sabotieren.
Weil Ransomware-as-a-Service ein erfolgreiches Geschäftsmodell ist, haben die Programmierer:innen sogar Geld für Werbemaßnahmen übrig und stellen ihre Produkte im Darknet vor. Manche Anbieter wie das LockBit-Netzwerk werben beispielsweise mit einem besonders schnellen Verschlüsselungsalgorithmus. Damit können wichtige Daten besonders schnell verschlüsselt werden, bevor die Opfer die Attacke überhaupt bemerken.
Manche Programmiererkollektive werben die Nutzer:innen (Affiliates) regelrecht als feste Geschäftspartner:innen an und bilden sie umfassend aus, bevor sie ihre ersten Erpressungsversuche starten. Denn das erhöht für alle Beteiligten die Erfolgschancen.
Empfohlener externer Inhalt
Hier ist ein Video-Inhalt von YouTube. Er ergänzt die Informationen auf dieser Seite.
Sie können ihn mit einem Klick anzeigen und wieder ausblenden.
Ich bin einverstanden, dass externe Inhalte angezeigt werden. So können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr in unserer  Datenschutzerklärung.
Datenschutzerklärung

Warum RaaS für Cyberkriminelle attraktiv ist

Grundsätzlich ist die Nutzung von Ransomware-as-a-Service aus Sicht vieler Krimineller eine praktische und sinnvolle Arbeitsteilung. Viele Cyberkriminelle verfügen nicht über genug Wissen, um erfolgreich in fremde Netzwerke einzudringen und dort Laufwerke zu verschlüsseln. Zudem lässt der technologische Fortschritt bei Firewalls und anderen Cyberschutzmaßnahmen viele Angriffsvektoren schnell veralten.
Daher müssen erfolgreiche Hacker:innen ihr Fachwissen regelmäßig auffrischen. Einmal entdeckte Zero-Day-Exploits sind oft schon nach wenigen Stunden weltweit bekannt und werden umgehend durch entsprechende Schutzmechanismen in Antivirenprogrammen vereitelt.
Ransomware-as-a-Service ist somit aus Sicht von Kriminellen ein guter Weg, um erpresserische Straftraten zu begehen, ohne sich dafür selbst das notwendige Detailwissen anzueignen. Die Täter:innen müssen lediglich die Bereiche im Darknet kennen, wo sie solche Software anmieten können.
Für die Programmierer:innen ist die reine Bereitstellung von Ransomware oft lukrativer als deren Einsatz. Sie werden je nach Produkt an jedem erfolgreichen Angriff finanziell beteiligt – oft verlangen sie bis zur Hälfte der Einnahmen.
Andere RaaS-Produkte sind bereits für wenige hundert Euro zu haben. Dies lässt vermuten, dass sie in so großer Zahl gekauft werden, dass sie trotz des geringen Preises lukrativ sind.
Sowohl für die Programmierer:innen als auch für die Nutzer:innen bietet Ransomware-as-a-Service erheblich Vorteile:
  • Stärkere Spezialisierung: Beide Seiten können sich stärker auf das kriminelle Gewerbe spezialisieren, das sie besonders gut beherrschen.
  • Einfacher Zugang: Durch die niedrigen technischen Hürden für die Verwendung von Ransomware-as-a-Service können mehr Kriminelle diese nutzen und so mehr Firmennetze in kürzerer Zeit angreifen. Dadurch wächst die Anzahl der kriminellen Ransomware-Attacken schon seit Langem.
  • Leichtere Anpassung an Opfer und Ziele: Die Nutzer:innen von RaaS können gezielt in ihrer Heimatregion bestimmte Unternehmen oder Branchen angreifen, deren Sprache oder Fachsprache sie gut beherrschen. So sind die Angriffe für die Opfer schwerer erkennbar, weil es beispielsweise weniger verräterische Schreibfehler in E-Mails gibt.
  • Zuverlässigere „Tarnung“: Häufig kennen Täter:innen die Hierarchien und Berufsbezeichnungen ihres Heimatlandes besser. So können sie sich gegenüber ihren Opfern leichter und glaubwürdiger beispielsweise als Behörde ausgeben und gezielte Angriffe ausführen (Spear Phishing).
  • Breites Anwendungsgebiet: Kriminelle können RaaS auch für andere Zwecke nutzen – z.B. um ihren früheren Arbeitgeber oder ein Konkurrenzunternehmen zu attackieren oder wertvolle Firmendaten zu stehlen. Viele RaaS-Anbieter haben weitere Schadprogramme in ihrem Portfolio, die Datenbestände in Firmennetzen beispielsweise unwiederbringlich löschen oder Fertigungsanlagen beschädigen (Sabotage-Attacken). Hier steht die Lösegeldforderung nicht im Vordergrund.
Empfohlener externer Inhalt
Hier ist ein Video-Inhalt von YouTube. Er ergänzt die Informationen auf dieser Seite.
Sie können ihn mit einem Klick anzeigen und wieder ausblenden.
Ich bin einverstanden, dass externe Inhalte angezeigt werden. So können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr in unserer  Datenschutzerklärung.
Datenschutzerklärung

Typische Angriffsvektoren und Verbreitungswege

Ransomware-as-a-Service wird genau wie andere Malware heimlich in fremden Netzwerken verteilt, beispielweise
  • über E-Mail-Anhänge
  • über infizierte Webseiten im Internet
  • versteckt in Programm-Downloads als sogenannte Trojaner
Grundsätzlich nutzt RaaS die gleichen Verbreitungswege wie viele andere Schadprogramme. Für die Opfer ist in der Regel nicht erkennbar, ob sie es mit einer RaaS-Attacke zu tun haben oder mit anderen kriminellen Ransomware-Werkzeugen.
Die Angreifer:innen nutzen ihre gemietete Ransomware in der Regel ähnlich wie herkömmliche Software-as-a-Service:
  • Sie führen meist in kurzer Zeit sehr viele Attacken gegen unterschiedliche Unternehmen und Organisationen aus.
  • Über webbasierte Dashboards sehen sie, ob ihre Angriffe erfolgreich waren und in welchen Firmennetzen sie sich eingenistet haben.
  • Die Hacker:innen entscheiden individuell, ob ein betroffenes Unternehmen ein lukratives Opfer ist. In einigen Fällen können sie über eine sogenannte Backdoor, also eine versteckte Hintertür in der Software, weitere Schadprogramme für zukünftige Angriffe einspielen.
Auch viele Cyberschutz-Expert:innen beobachten aufmerksam das Darknet und kennen die wichtigsten RaaS-Produkte. Bekannt sind beispielsweise:
LockBit: Hierbei handelt es sich höchstwahrscheinlich um eine russische Ransomware-Suite. Sie ist bereits seit einigen Jahren verbreitet und kann auch zum Ausspionieren von Firmennetzen verwendet werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bezeichnete die Macher:innen von LockBit 2023 als den „aktuell […] gefährlichsten Cybercrime-Akteur der Welt.“
REvil: Die gleichnamige Entwicklergruppe und ihre Software sind auch unter den Namen „Sodinokibi“ und „Pinchy Spider“ bekannt. Sie gilt als wahrscheinlicher Nachfolger eines früheren Entwicklerkollektivs namens „GandCrab“. Erstmals aktiv wurde REvil etwa um das Jahr 2019. In Deutschland sind Angriffe auf das Staatstheater Stuttgart, Krankenhäuser und verschiedene mittelständische Unternehmen bekannt. Anfang 2022 wurde zumindest ein Teil des Netzwerks von der russischen Polizei und dem russischen Geheimdienst zerschlagen.
Tox: Dieses Software-Kit war eines der ersten verfügbaren Ransomware-Produkte. Erste Berichte über Tox-Attacken gibt es aus dem Jahr 2015. Die Nutzer:innen konnten über einfache Programm-Interfaces ihre Erpresserbriefe erstellen, indem sie die Lösegeldhöhe und ein paar weitere Parameter eingaben. Das Schadprogramm gab es als Datei im unverdächtigen .scr-Format, also als ausführbare Skript-Datei, die beispielsweise Windows-Systeme befallen kann. Vertrieben wurde die Tox-Software über das Tor-Netzwerk.

Auswirkungen auf Unternehmen

Für Unternehmen und deren Netze bedeutet die wachsende Verbreitung von RaaS und die damit einhergehende Professionalisierung und Arbeitsteilung unter Cyberkriminellen eine große Gefahr. Selbst wenn nur eine kleine Anzahl der Cyberattacken erfolgreich ist, führt deren schiere Masse dazu, dass in Summe immer mehr Unternehmen und andere Organisationen betroffen sind.
Expert:innen bestätigen die zunehmende Verbreitung von Ransomware-as-a-Service:
  • IBM ermittelte 2025 im „IBM X-Force Threat Intelligence Index“ den weltweiten Anteil von RaaS unter den insgesamt festgestellten Cyberkriminalitätsvorfällen: Es seien rund 20 %.
  • Der Cybersecurity-Dienstleister Group-IB ging bereits 2020 davon aus, dass mehr als zwei Drittel aller Ransomware-Angriffe mithilfe des RaaS-Modells erfolgten und sich diese Entwicklung weiter fortsetzt.
  • Das BSI zitiert den „Threat Report“ von Darktrace. Laut diesem hat sich die Verbreitung von Malware-as-a-Service, wozu auch auch RaaS gehört, im Jahr 2024 beschleunigt: Ihr Anteil an den detektierten Attacken ist vom ersten zum zweiten Halbjahr 2024 von 40 % auf 57 % gestiegen.
Unternehmen müssen somit ihre Maßnahmen gegen Cyberattacken und ihre Cyberschutzkonzepte stetig weiterentwickeln und aktualisieren, um mit dieser Entwicklung Schritt zu halten. Immerhin kann schon ein einziger erfolgreicher Angriff zu irreversiblen Datenverlusten, langanhaltenden Betriebsausfällen und einem Reputationsverlust führen. Beispielsweise wenn auch Kund:innen und Geschäftspartner:innen von einer RaaS-Attacke betroffen sind.
Es kann außerdem vorkommen, dass einem geschädigten Unternehmen im Zuge eines Ransomware-Vorfalls Verfehlungen beim Datenschutz nachgewiesen werden. Die nationalen Datenschutzbehörden können in solchen Fällen zusätzliche Geldstrafen auf Grundlage der Datenschutz-Grundverordnung (DSGVO) verhängen.

Schutzmaßnahmen gegen RaaS-Angriffe

Genau wie gegen andere Malware-Attacken und Cyberangriffe gibt es auch gegen RaaS-Angriffe eine Vielzahl von Schutzmaßnahmen, die in der Regel in Kombination zum Einsatz kommen. Im Einzelnen sind dies:
  • Cyber-Schutzmaßnahmen: Alle potenziellen Einfallstore in das Firmennetz sollten sorgsam geschützt werden, etwa über Firewalls und Virenschutzprogramme und regelmäßige Scans der E-Mail-Server.
  • Datensicherungen: Sichern Sie alle wichtigen Firmendaten mehrmals täglich, beispielsweise über ein Cloud-Back-up, das gegen RaaS zusätzlich abgesichert ist.
  • Back-up-Strategie: Alle Daten sollten grundsätzlich mehrfach gesichert werden. Verwahren Sie außerdem ältere Back-ups für einige Zeit an einem sicheren Ort offline, damit es ältere Back-up-Versionen gibt, in der die Ransomware noch nicht vorhanden ist.
  • Mitarbeiterschulungen: Unternehmen sollten Ihre Mitarbeiter:innen regelmäßig zu Cybergefahren fortbilden. Viele Schadprogramme werden nur aktiv, weil Mitarbeiter:innen beispielsweise unbekannte E-Mail-Anhänge öffnen.
  • Cyber-Sicherheitskonzept: Jedes Unternehmen sollte ein Cyberschutzkonzept haben und im Falle einer Ransomware-Attacke kompetente Hacking-Expert:innen aus dem eigenen Unternehmen oder von einem spezialisierten Dienstleister heranziehen können.
  • Sicherheitsprüfungen: Mit regelmäßigen Pentests können Firmen die individuelle Anfälligkeit ihrer IT-Infrastruktur gegenüber Cyberattacken überprüfen lassen.
Welche Maßnahmen außerdem gegen Ransomware-as-a-Service helfen, lesen Sie auch in unserem Whitepaper: Cyber Security.
Junger Mann studiert das Vodafone Cyber Security Whitepaper am Laptop

Whitepaper: Cyber Security

Cyberangriffe und kein Ende: Die potenziellen Schäden sind gewaltig und auch der Mittelstand ist zunehmend betroffen. Unser Cyber-Security-Whitepaper verrät, wie wirksamer Schutz vor Kriminellen gelingt:

  • Zahlen, Daten und Fakten zur Bedrohung durch Cyberattacken
  • Einblicke in Angriffsmethoden wie Malware, Ransomware & Co.
  • Maßnahmenplan, um Ihr Unternehmen effektiv zu schützen

Erkennung und Reaktion auf die Angriffe

Die meisten RaaS-Angriffe verschlüsseln die Datenträger ihrer Opfer und verlangen dann ein Lösegeld. Eine seltene Unterart von RaaS, die allein dem Datendiebstahl mit anschließender Erpressung dient, thematisieren wir an dieser Stelle nicht.
Für die Opfer ist eine Ransomware-Attacke in der Regel erst zu erkennen, wenn die Verschlüsselung bereits läuft. Das zeigt sich beispielsweise an folgenden Warnzeichen:
  • Ihr Arbeitsplatz-Computer wird sehr langsam, weil er gekapert wurde und nun die Verschlüsselung seiner Datenträger durchführt.
  • Sie stellen ungewöhnlich viel Datenverkehr in Ihrem Firmennetz fest.
  • Einzelne Datenträger und Verzeichnisse in Ihrem Firmennetz sind nicht mehr erreichbar oder Sie sehen nur kryptische Zeichen anstelle von Verzeichnisstrukturen.
Wenn Sie eine Attacke mit Ransomware feststellen, sollten Sie vorgehen wie folgt:
  1. Schalten Sie Ihren Arbeitsplatz-Computer aus und trennen Sie ihn vom Firmennetzwerk.
  2. Informieren Sie Ihre IT-Abteilung und Ihre Abteilungskolleg:innen vor Ort über die Ransomware-Attacke. Falls Sie keine IT-Abteilung in Ihrem Unternehmen haben, holen Sie sich Unterstützung von Ihrem Systemdienstleister.
  3. Wenn Sie Ihre Firmendaten lokal z.B. über ein NAS-Laufwerk sichern, nehmen Sie dieses sofort vom Netzwerk.
  4. Besprechen Sie mit Ihrer IT-Abteilung bzw. Ihrem Dienstleister Ihre nächsten Schritte.
Cyberschutz-Expert:innen empfehlen, nach einer Ransomware-Attacke kein Lösegeld zu zahlen. Zum einen ist die Wahrscheinlichkeit gering, dass Sie im Gegenzug wirklich ein Passwort zum Entschlüsseln erhalten. Zum anderen fördern Sie damit die Entwicklung und Verbreitung von Ransomware sowie das zugehörige Geschäftsmodell. Außerdem signalisieren Sie den Angreifer:innen so, dass Sie ein lukratives Opfer sind, das auch bei zukünftigen Attacken bereitwillig zahlt.

Ransomware-as-a-Service: Trends und Zukunft

Cyberschutz-Expert:innen beobachten im Ransomware-Sektor eine stetige Professionalisierung, zu der auch die Verwendung von Ransomware-as-a-Service einen Beitrag leistet. Je mehr Unternehmen und Organisationen erfolgreich erpresst werden und Lösegelder zahlen, desto mehr Geld erhalten die Ransomware-Entwickler:innen. Dadurch wachsen die kriminellen Netzwerke.
Seit einigen Jahren wächst zudem die Sorge, dass auch Geheimdienste oder regierungsnahe Organisationen aus bestimmten Ländern solche RaaS-Pakete nutzen, um damit in Deutschland Unternehmen oder Behörden auszuspionieren oder auf anderen Wegen zu schädigen.
Auch kleinere Länder, deren Geheimdienste keine großen, eigenen Software-Entwicklungsabteilungen haben, können RaaS für Angriffe nutzen. Außerdem können sie mit solchen gemieteten Produkten schneller angreifen, weil die Pakete bereits am illegalen Markt verfügbar sind.
Eine weitere Befürchtung von Cyberschutz-Expert:innen ist, dass die RaaS-Produkte zunehmend mit KI-Werkzeugen weiterentwickelt werden. So könnte künstliche Intelligenz beispielsweise gezielt nach lückenhaften Firmennetzwerken suchen und bei Erfolg gleich ein zur Lücke passendes RaaS-Paket vorschlagen.
Vor einem speziellen neuen Trend warnt der Computer- und Software-Hersteller IBM: So würden bestimmte Cyberkriminelle gar keine Datenbestände mehr verschlüsseln, sondern stattdessen mit ihrer Malware personenbezogene Daten aus Firmendatenbanken stehlen.
Anschließend würden sie mit deren Verbreitung drohen, falls kein Lösegeld gezahlt werde. Besonders Banken und Gesundheitsdienstleister seien betroffen. Die Opfer zahlen laut IBM häufig das geforderte Lösegeld, weil für sie der Schaden durch Reputationsverluste infolge von Datenlecks besonders groß sei.
Microsoft Defender für Unternehmen

Microsoft Defender for Business

Mittelständische Unternehmen sind anfällig für Cyber-Bedrohungen. Sie haben weniger Ressourcen und meist wenige IT-Fachkräfte. Hybrides Arbeiten vergrößert diese Angriffsfläche. Wir helfen Ihnen – mit dem Microsoft Defender für Unternehmen.

Neu: Jetzt mit Vodafone Managed Endpoint Security Service. Wir überwachen für Sie die Cyber-Sicherheit Ihres Unternehmens rund um die Uhr.

  • Schutz vor Ransomware, Phishing und anderen Bedrohungen
  • In Microsoft 365 Business Premium als zusätzlicher Schutz für Office-Anwendungen bereits enthalten

Fazit: Unsere Empfehlung für Ihr Unternehmen

Angriffe mit Ransomware-as-a-Service (RaaS) können jede Firma empfindlich treffen. Nach aktuellen Erhebungen des Bundeskriminalamts gab es Anfang 2026 auf jedes Unternehmen und jede Organisation durchschnittlich 1.223 Angriffe pro Woche.
Die meisten dieser Attacken sind nicht zielgerichtet und erfolgen beispielsweise über infizierte Massen-E-Mails. Doch der Trend zu Ransomware-as-a-Service belegt die zunehmende Arbeitsteilung und Professionalisierung bei Cyberkriminellen.
Daher sollten Sie Ihre Schnittstellen nach außen und innen möglichst lückenlos absichern und Angreifer:innen möglichst keine Einfallstore bieten.

Ransomware-as-a-Service: Häufig gestellte Fragen (FAQ)

Das könnte Sie auch interessieren:
Security

Remote Firewall Management: Sicherheit flexibel steuern

Sie wollen Ihre Unternehmens-Firewall zukünftig von einem anderen Standort aus managen? Das funktioniert mit Remote Firewall Management. Erfahren Sie hier, wie Sie Ihre Firewall fernüberwachen und worauf Sie dabei achten sollten, um schnell auf Bedrohungen reagieren zu können.

Digitalisierungsberatung

Die Beraterinnen und Berater helfen Ihnen kostenlos und unabhängig bei praktischen Fragen und geben konkrete Tipps. Vereinbaren Sie einen unverbindlichen Termin um Ihr Anliegen zu besprechen.

Termin vereinbaren