Was ist Rhysida?

Rhysida ist eine seit 2023 beobachtete Ransomware-Operation. Der Name bezeichnet sowohl die eingesetzte Schadsoftware als auch das dahinterstehende kriminelle Umfeld.

Das Geschäftsmodell entspricht der sogenannten Double Extortion – doppelten Erpressung.

Dabei versuchen die Angreifer typischerweise:

1. Zugang zum Unternehmensnetzwerk zu erhalten.
2. Benutzerkonten und interne Systeme zu übernehmen.
3. weitere Systeme im Netzwerk zu erreichen.
4. sensible Daten zu kopieren und aus dem Unternehmen herauszuschaffen.
5. Server und Dateien zu verschlüsseln.
6. das Opfer anschließend mit Datenverlust und Veröffentlichung der gestohlenen Daten zu erpressen.

Damit besitzt auch ein Unternehmen mit einer guten Datensicherung noch ein erhebliches Problem, wenn zuvor vertrauliche Daten gestohlen wurden.

Ein Backup kann verschlüsselte Daten wiederherstellen. Es kann jedoch nicht verhindern, dass bereits kopierte Daten im Darknet veröffentlicht oder verkauft werden.

Moderne Ransomware ist deshalb nicht mehr nur ein Backup-Problem. Sie ist gleichzeitig ein Identitäts-, Netzwerk-, Datenschutz- und Informationssicherheitsproblem.

Wer steckt hinter Rhysida?

Die tatsächlichen Personen hinter Rhysida sind öffentlich nicht belastbar identifiziert.

Sicherheitsunternehmen verwenden deshalb eigene Bezeichnungen für die beobachteten Angreifergruppen und deren Aktivitäten. Palo Alto Networks Unit 42 führt Rhysida beispielsweise unter der Bezeichnung Squeaking Scorpius.

Sophos und andere Threat-Intelligence-Teams sehen Überschneidungen mit dem früheren Ransomware-Umfeld Vice Society. Sophos bewertet mit mittlerer Sicherheit, dass ein unter anderem als GOLD VICTOR beziehungsweise Vice Society beobachtetes Angreiferumfeld ab 2023 verstärkt Rhysida eingesetzt hat.

Über die genaue Organisationsstruktur gibt es allerdings unterschiedliche Einschätzungen.

Einige Security-Forscher beschreiben Rhysida als Ransomware-as-a-Service-Modell, bei dem verschiedene Angreifer die Infrastruktur oder Schadsoftware verwenden können. Andere Analysten weisen darauf hin, dass Rhysida nicht wie typische große Ransomware-Plattformen öffentlich um Partner geworben hat.

Für ein betroffenes Unternehmen ist diese organisatorische Frage letztlich zweitrangig.

Entscheidend ist, dass professionelle Angreifer mit erprobten Werkzeugen und wiederkehrenden Angriffsmethoden arbeiten.

Welche Organisationen greift Rhysida an?

Die dokumentierten Opfer zeigen keinen eng begrenzten Branchenfokus.

Betroffen waren unter anderem:

• Behörden und öffentliche Verwaltungen
• Gesundheitsorganisationen
• Krankenhäuser
• Bildungseinrichtungen
• Industrie- und Produktionsunternehmen
• IT-Unternehmen
• Logistikunternehmen
• professionelle Dienstleister
• Finanzunternehmen
• Telekommunikation
• Energie- und Versorgungsunternehmen

Unit 42 beschreibt Rhysida ausdrücklich als einen Akteur, der häufig Targets of Opportunity angreift – also erreichbare Gelegenheitsziele.

Das bedeutet: Ein Unternehmen muss weder besonders bekannt noch besonders groß sein.

Ein erreichbarer VPN-Zugang, kompromittierte Zugangsdaten, eine ungepatchte Schwachstelle oder eine erfolgreiche Phishing-Mail kann bereits ausreichen, um einen Angriff zu beginnen.

Wie gelangen Rhysida-Angreifer in Unternehmensnetzwerke?

Die bisher analysierten Rhysida- und verwandten Angriffe zeigen mehrere wiederkehrende Einstiegsmöglichkeiten.

Dazu gehören insbesondere:

• gestohlene Benutzerkonten
• VPN-Zugänge ohne ausreichende Mehrfaktor-Authentifizierung
• Phishing
• manipulierte Downloads oder Installationsprogramme
• nicht geschlossene Sicherheitslücken
• extern erreichbare Fernzugangssysteme

Sophos beobachtete bei mehreren untersuchten Angriffen, dass gültige Zugangsdaten für VPN-Verbindungen verwendet wurden. Bei den betroffenen Zugängen war keine Mehrfaktor-Authentifizierung aktiviert.

Besonders problematisch: Der eigentliche Angriff muss danach nicht sofort sichtbar werden.

In von Sophos analysierten Fällen befanden sich Angreifer mehrere Tage im Netzwerk, bevor die Ransomware aktiviert wurde. In einem dokumentierten Fall lagen zwischen dem ersten Zugriff und späteren Aktivitäten sogar mehrere Monate.

Was passiert nach dem ersten Zugriff?

Nach dem Einstieg beginnt normalerweise nicht sofort die Verschlüsselung.

Zunächst versuchen die Angreifer, die interne Umgebung zu verstehen.

Typische Aktivitäten sind:

• Ermitteln vorhandener Benutzerkonten
• Identifizieren von Servern und Domain Controllern
• Suchen nach Administratorkonten
• Erkennen von Backup-Systemen
• Durchsuchen von Dateiablagen
• Ausweiten der eigenen Berechtigungen
• Bewegung auf weitere Systeme im Netzwerk

Rhysida-Akteure verwenden dafür teilweise völlig legitime Windows-Werkzeuge.

Dazu gehören beispielsweise PowerShell und Remote Desktop. Security-Forscher sprechen hierbei von Living off the Land.

Der Vorteil für den Angreifer: Normale Administrationswerkzeuge sehen zunächst weniger verdächtig aus als eine unbekannte Schadsoftware.

Datendiebstahl kommt häufig vor der Verschlüsselung

Ein zentraler Bestandteil moderner Ransomware-Angriffe ist die Exfiltration.

Die Täter versuchen, besonders wertvolle Daten zu identifizieren und zu kopieren.

Dazu können gehören:

• Personalunterlagen
• Kundendaten
• Patientendaten
• Mandantendaten
• Verträge
• Finanzinformationen
• E-Mails
• Datenbanken
• Zugangsdaten
• interne technische Dokumentationen
• Geschäftsgeheimnisse

Erst anschließend folgt häufig die eigentliche Verschlüsselung oder die öffentliche Erpressung.

Was ist beim Angriff auf die Berliner Verwaltung passiert?

Der aktuelle Berliner Fall zeigt die mögliche Größenordnung eines solchen Angriffs.

Der Sicherheitsvorfall wurde am 14. August 2026 entdeckt. Betroffen war unter anderem die Berliner Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt.

Um eine weitere Ausbreitung zu verhindern, wurden betroffene Verwaltungsnetze vom Berliner Landesnetz getrennt.

Nach bisherigen forensischen Erkenntnissen erfolgte der Datendiebstahl wahrscheinlich zwischen dem 7. und 12. August.

Rhysida veröffentlichte anschließend auf seiner eigenen Leak-Seite die Behauptung, für den Angriff verantwortlich zu sein.

Die Gruppe behauptet, rund 5,79 Terabyte Daten beziehungsweise etwa 1,44 Millionen Dateien entwendet zu haben.

Nach Angaben der Täter sollen darunter unter anderem gewesen sein:

• Verwaltungsdokumente
• Personalunterlagen
• Finanz- und Vertragsdaten
• E-Mail-Daten
• Datenbankinhalte
• Zugangsdaten
• Identitätsdokumente
• Bankinformationen
• interne und vertrauliche Unterlagen

Rhysida verlangte nach Angaben der Security-Fachpresse 30 Bitcoin Lösegeld.

Die Berliner Verwaltung erklärte, dass sie die Erpressungsforderung nicht erfüllen werde.

Wichtig ist allerdings die Unterscheidung: Die Berliner Behörden haben den erfolgten Datendiebstahl bestätigt. Die von Rhysida veröffentlichten Mengen- und Detailangaben stammen dagegen teilweise von den Angreifern selbst und sind nicht vollständig unabhängig verifiziert. Die Ermittlungen dauern an.

Warum ist dieser Fall für Unternehmen besonders interessant?

Der Angriff zeigt, dass Ransomware nicht ausschließlich klassische Datei-Server betrifft.

Angreifer interessieren sich für das gesamte Informationssystem:

• Identitäten
• E-Mail-Konten
• Datenbanken
• Dokumentenablagen
• Passwörter
• Administrationszugänge
• Netzwerkstrukturen
• Backup-Systeme

Und genau diese Strukturen finden sich nicht nur in großen Behörden.

Sie existieren auch in einem Unternehmen mit 20, 50 oder 100 Beschäftigten.

Kann Rhysida auch Unternehmen in Bochum treffen?

Ja.

Es gibt keinen technischen Grund, warum ein Unternehmen in Bochum weniger gefährdet wäre als ein Unternehmen in Berlin, London oder Madrid.

Rhysida und vergleichbare Ransomware-Gruppen suchen nach verwertbaren Zugangsmöglichkeiten.

Dabei kann ein Unternehmen beispielsweise über:

• einen kompromittierten Microsoft-365-Benutzer
• gestohlene VPN-Zugangsdaten
• einen unsicheren Fernwartungszugang
• eine ungepatchte Firewall
• einen kompromittierten Arbeitsplatz
• eine Phishing-Mail
• einen externen Dienstleister

zum Angriffsziel werden.

Warum das Ruhrgebiet besonders relevant ist

Das Ruhrgebiet besitzt eine außerordentlich hohe Dichte an Unternehmen und öffentlichen Einrichtungen.

Dazu gehören:

• Industrie- und Produktionsunternehmen
• Logistikunternehmen
• Krankenhäuser und medizinische Einrichtungen
• Arzt- und Therapiepraxen
• Kanzleien und professionelle Dienstleister
• kommunale Unternehmen
• Energie- und Wasserversorger
• Städte und öffentliche Verwaltungen
• Bildungseinrichtungen
• IT- und Telekommunikationsunternehmen

Damit befinden sich im Ruhrgebiet zahlreiche Organisationen aus genau den Branchen, in denen Rhysida und andere Ransomware-Akteure bereits erfolgreich waren.

Bochum, Herne, Essen, Dortmund, Gelsenkirchen, Witten, Recklinghausen, Duisburg und die übrigen Städte der Region bilden dabei keinen isolierten IT-Raum.

Unternehmen sind durch Lieferanten, Dienstleister, Cloud-Systeme und gemeinsame Kommunikationsplattformen eng miteinander verbunden.

Auch kleinere Unternehmen sind attraktive Ziele

Ein häufiger Irrtum lautet: „Wir sind zu klein, bei uns gibt es nichts zu holen.“

Das Geschäftsmodell von Ransomware widerspricht dieser Annahme.

Für einen Angreifer muss ein Unternehmen nicht strategisch bedeutend sein.

Es reicht, wenn:

• der Geschäftsbetrieb von IT abhängig ist
• sensible Daten vorhanden sind
• ein Ausfall erheblichen wirtschaftlichen Schaden verursacht
• Versicherungs- oder Kundendruck entsteht
• die Organisation möglicherweise bereit wäre, für eine schnelle Wiederherstellung zu zahlen

Aktuelle Ransomware-Untersuchungen von Sophos zeigen zudem, dass kompromittierte Identitäten inzwischen eine zentrale Rolle bei erfolgreichen Angriffen spielen.

Kann ein Virenscanner Rhysida stoppen?

Endpoint-Security ist wichtig, aber sie bildet nur eine Verteidigungsschicht.

Wenn ein Angreifer mit gültigen Zugangsdaten arbeitet und legitime Administrationswerkzeuge nutzt, ist die Situation wesentlich schwieriger.

Deshalb benötigt moderner Ransomware-Schutz mehrere Ebenen.

Ransomware-Schutz besteht nicht aus einem Produkt. Er entsteht aus dem Zusammenspiel von Identitätsschutz, Endpoint-Security, Patchmanagement, Netzwerksegmentierung, Monitoring, Datensicherung und vorbereiteter Reaktion.

1. Benutzerkonten und Identitäten schützen

Ein Schwerpunkt muss auf dem Schutz von Benutzerkonten liegen.

Wichtige Maßnahmen sind:

• Mehrfaktor-Authentifizierung
• Passkeys, soweit technisch sinnvoll
• getrennte Administratorkonten
• keine gemeinsamen Administratorzugänge
• regelmäßige Berechtigungsprüfung
• Überwachung ungewöhnlicher Anmeldungen
• schnelle Sperrung kompromittierter Konten

2. VPN und Fernzugänge absichern

Da Rhysida in dokumentierten Angriffen gestohlene VPN-Zugangsdaten verwendet hat, gehören externe Zugänge zu den besonders wichtigen Kontrollpunkten.

Geprüft werden sollten:

• VPN-Systeme
• Firewalls
• Remote-Desktop-Zugänge
• Fernwartungssoftware
• externe Administrationsportale

Nicht benötigte Dienste sollten nicht aus dem Internet erreichbar sein.

3. Sicherheitsupdates konsequent überwachen

Bekannte Schwachstellen müssen zeitnah geschlossen werden.

Dabei reicht es nicht, Updates lediglich freizugeben.

Es muss kontrolliert werden, ob sie tatsächlich installiert wurden.

Ein funktionierendes Patchmanagement beantwortet:

• Welche Geräte sind vorhanden?
• Welche Updates fehlen?
• Welche Schwachstellen sind kritisch?
• Welche Installationen sind fehlgeschlagen?
• Welche Systeme werden nicht mehr unterstützt?

4. Endpoint-Security zentral überwachen

Endpoint-Security sollte auf Servern und Arbeitsplätzen nicht nur installiert, sondern zentral überwacht werden.

Dadurch lässt sich erkennen:

• ob Geräte geschützt sind
• ob Schutzfunktionen deaktiviert wurden
• ob verdächtige Aktivitäten auftreten
• ob Schadsoftware erkannt wurde
• ob ein Gerät isoliert werden muss

5. Das Netzwerk segmentieren

Hat ein Angreifer einen Arbeitsplatz übernommen, sollte er nicht automatisch Zugriff auf sämtliche Server, Backups, Verwaltungssysteme und Netzwerkgeräte erhalten.

Netzwerksegmentierung kann die Ausbreitung eines Angriffs begrenzen.

Besonders schützenswert sind:

• Server
• Backup-Systeme
• Administrationsnetze
• medizinische Systeme
• Produktionssysteme
• Managementschnittstellen

6. Datensicherungen vom Produktivsystem trennen

Ransomware-Angreifer suchen gezielt nach Datensicherungen.

Ein Backup, das mit denselben Administratorrechten wie das Produktivnetz erreichbar ist, kann ebenfalls angegriffen werden.

Eine belastbare Backup-Strategie benötigt deshalb getrennte beziehungsweise gegen Manipulation geschützte Sicherungskopien.

7. Wiederherstellung testen

Eine erfolgreiche Backup-Meldung ist noch kein Beweis, dass eine Wiederherstellung funktioniert.

In regelmäßigen Abständen sollte getestet werden, ob beispielsweise:

• Dateien wiederhergestellt werden können
• Datenbanken funktionieren
• virtuelle Server gestartet werden können
• Verschlüsselungsschlüssel verfügbar sind
• die dokumentierte Wiederanlaufreihenfolge funktioniert

8. Microsoft 365 absichern

Auch Cloud-Identitäten sind für Ransomware-Gruppen interessant.

Unternehmen sollten unter anderem überwachen:

• ungewöhnliche Anmeldungen
• neue Authentifizierungsmethoden
• administrative Rollen
• verdächtige Postfachregeln
• automatische Weiterleitungen
• externe Freigaben

9. Monitoring verkürzt die Zeit bis zur Erkennung

Zwischen dem ersten Eindringen und der eigentlichen Ransomware-Aktivierung kann erhebliche Zeit liegen.

Diese Zeit ist die wichtigste Chance für die Verteidigung.

Monitoring kann beispielsweise ungewöhnliche:

• Anmeldungen
• Administratoraktivitäten
• Netzwerkverbindungen
• Endpoint-Warnungen
• Backup-Fehler

sichtbar machen.

10. Auf den Ernstfall vorbereitet sein

Trotz guter Schutzmaßnahmen kann kein IT-Dienstleister einen erfolgreichen Cyberangriff vollständig ausschließen.

Deshalb muss bereits vor einem Vorfall feststehen:

• Wer entscheidet über technische Sofortmaßnahmen?
• Wer sperrt Benutzerkonten?
• Welche Systeme werden zuerst isoliert?
• Wo befinden sich Notfallkontakte?
• Wie wird die Geschäftsleitung informiert?
• Wie werden Beweise gesichert?
• Wie erfolgt die Wiederherstellung?

Was sollte bei einem vermuteten Rhysida-Angriff passieren?

Bei Verdacht auf einen laufenden Ransomware-Angriff zählt Zeit.

Unkontrolliertes Herumprobieren kann Spuren zerstören oder den Angreifer auf die Entdeckung aufmerksam machen.

Je nach Situation können unter anderem erforderlich sein:

• betroffene Systeme vom Netzwerk trennen
• kompromittierte Benutzerkonten sperren
• aktive Sitzungen widerrufen
• Backups zusätzlich schützen
• Protokolldaten sichern
• Incident-Response-Verfahren aktivieren
• Datenschutz- und Meldepflichten prüfen
• forensische Analyse einleiten

Wie InoBit Datensysteme Unternehmen im Ruhrgebiet schützen kann

Die InoBit Datensysteme GmbH verfolgt beim Schutz vor Ransomware keinen Ansatz, der sich auf ein einzelnes Sicherheitsprodukt beschränkt.

Ein belastbares Sicherheitsniveau entsteht durch mehrere aufeinander abgestimmte Schutzschichten.

Dazu gehören beispielsweise:

• Bestandsaufnahme der IT-Infrastruktur
• Risiko- und Schwachstellenanalyse
• Patchmanagement
• zentral überwachte Endpoint-Security
• Absicherung von Firewalls und VPN-Zugängen
• Mehrfaktor-Authentifizierung und Passkeys
• Absicherung von Microsoft 365
• Trennung von Benutzer- und Administratorkonten
• Netzwerksegmentierung
• Überwachung wichtiger Systeme
• Backup-Monitoring
• getrennte Datensicherungen
• Wiederherstellungstests
• Prüfung externer Dienstleisterzugänge
• Notfall- und Wiederanlaufplanung
• Dokumentation der Sicherheitsmaßnahmen

Schutz bedeutet auch, einen Angriff überleben zu können

Die entscheidende Frage lautet nicht nur:

„Wie verhindern wir einen Rhysida-Angriff?“

Ebenso wichtig ist:

„Wie schnell erkennen wir einen Angreifer und wie können wir unseren Geschäftsbetrieb wiederherstellen, falls die Prävention versagt?“

Genau hier verbinden sich klassische IT-Sicherheit und Cyberresilienz.

Fazit

Rhysida ist keine theoretische Bedrohung.

Der aktuelle Angriff auf Teile der Berliner Verwaltung zeigt, welche Mengen sensibler Informationen bei einem erfolgreichen Ransomware-Angriff betroffen sein können.

Die Angreifer konzentrieren sich dabei nicht ausschließlich auf große Konzerne oder Bundesbehörden.

Behörden, Gesundheitseinrichtungen, Produktionsunternehmen, professionelle Dienstleister und mittelständische Unternehmen gehören bereits zum dokumentierten Opferspektrum.

Damit können auch Organisationen in Bochum und im gesamten Ruhrgebiet grundsätzlich Ziel solcher Angriffe werden.

Der wirksamste Schutz besteht aus mehreren Ebenen: starke Identitäten, aktuelle Systeme, überwachte Endgeräte, sichere Fernzugänge, Netzwerksegmentierung, getrennte Backups und eine vorbereitete Reaktion auf Sicherheitsvorfälle.

Ransomware wird nicht erst gefährlich, wenn Dateien verschlüsselt werden. Der eigentliche Angriff beginnt häufig Tage oder Wochen vorher. Genau dort muss moderne IT-Sicherheit ansetzen.

Wichtiger Hinweis

Die Angaben zu Rhysida basieren auf öffentlich verfügbaren Threat-Intelligence-Berichten, technischen Analysen, Behördenhinweisen und Berichten spezialisierter IT-Sicherheitsmedien.

Bei laufenden Cyberangriffen können sich technische Erkenntnisse, Opferzahlen und Bewertungen nachträglich ändern. Insbesondere Angaben zu gestohlenen Datenmengen stammen teilweise von den Angreifern selbst und müssen entsprechend eingeordnet werden.

Keine technische oder organisatorische Maßnahme kann Cyberangriffe vollständig ausschließen. Ziel eines Sicherheitskonzepts ist es, die Wahrscheinlichkeit eines erfolgreichen Angriffs zu reduzieren, Angriffe frühzeitig zu erkennen, ihre Auswirkungen zu begrenzen und eine kontrollierte Wiederherstellung zu ermöglichen.