LockBit & Akira: Profil der gefährlichsten Ransomware-Gruppen 2026
Ransomware-Angriffe sind 2026 wieder auf Rekordniveau – und zwei Gruppen stechen heraus: LockBit und Akira. Beide setzen auf das Ransomware-as-a-Service-Modell, beide nutzen Double-Extortion (Verschlüsselung + Datendiebstahl), beide haben den deutschen Mittelstand fest im Blick. Wer ihre Vorgehensweise kennt, kann gezielt die richtigen Hebel ziehen – und muss nicht in panischen Aktionismus verfallen.
Warum LockBit und Akira?
Beide Gruppen dominieren die Leak-Sites mit deutschen Opfern: Maschinenbau, Logistik, Gesundheitswesen, Kanzleien, Steuerberater, Stadtwerke. Sie sind professionalisiert wie ein Software-Hersteller – mit Support-Portalen für „Affiliates", Bug-Bounties für ihre eigene Schadsoftware und PR-Strategien gegenüber Opfern und Medien.
Steckbrief: LockBit
| Merkmal | Details |
|---|---|
| Aktiv seit | 2019 (LockBit 1.0), aktuell LockBit Green/4.0 nach Takedown 2024 |
| Geschäftsmodell | Ransomware-as-a-Service (RaaS), 20 % Provision an Operator |
| Branchenfokus DE | Mittelstand, Maschinenbau, Logistik, Stadtwerke, Behörden |
| Erstzugriff | Geleakte Credentials, exponierte RDP/VPN, ungepatchte Edge-Geräte (Fortinet, Citrix, Ivanti) |
| Besonderheit | Schnellste Verschlüsselung am Markt; aggressives Double-Extortion mit Countdown-Timer |
| Typische Lösegeldforderung | 200 Tsd. bis mehrere Mio. €, abhängig vom Umsatz |
Steckbrief: Akira
| Merkmal | Details |
|---|---|
| Aktiv seit | März 2023, kontinuierlich wachsend |
| Geschäftsmodell | RaaS mit Conti-Erbe (technisch & personell) |
| Branchenfokus DE | KMU, Gesundheitswesen, Bildung, Fertigung, Beratung |
| Erstzugriff | VPN ohne MFA, gestohlene Cisco-/Fortinet-Zugänge, Phishing |
| Besonderheit | Linux/ESXi-Variante – zerstört Virtualisierungs-Hosts und Backups in einem Rutsch |
| Typische Lösegeldforderung | 50 Tsd. bis 5 Mio. €, oft mit Rabatt bei schneller Zahlung |
Wie laufen die Angriffe ab? (Kill Chain)
- Initial Access: Erbeutete Zugangsdaten aus dem Darknet, exponiertes VPN/RDP, ungepatchte Edge-Geräte, Phishing mit OAuth-Token-Diebstahl.
- Persistence: Lokale Service-Accounts, Scheduled Tasks, AnyDesk/TeamViewer als „legitimes" Remote-Tool.
- Privilege Escalation & Discovery: Pass-the-Hash, Kerberoasting, BloodHound zur Active-Directory-Aufklärung.
- Lateral Movement: SMB, RDP, PsExec, Impacket – innerhalb von Stunden bis wenige Tage.
- Datenabzug: Rclone, MEGA, Filezilla, oft mehrere hundert GB. Hier passiert der eigentliche Reputationsschaden.
- Backup-Zerstörung: Veeam, ESXi-Snapshots, Cloud-Backups mit erbeuteten Admin-Tokens.
- Verschlüsselung: Massen-Encryption oft nachts oder am Wochenende. Bei Akira parallel auf ESXi-Hosts.
- Erpressung: Leak-Site-Listing, Pressemitteilung, Kunden- und Lieferantenbenachrichtigung als Druckmittel.
Die 5 Eintrittstüren, durch die LockBit und Akira fast immer reinkommen
- Geleakte Zugangsdaten aus Datenlecks (Darknet-Marktplätze, Stealer-Logs).
- VPN/RDP ohne MFA – die mit Abstand häufigste Einbruchstelle.
- Ungepatchte Edge-Geräte: Fortinet, Citrix, Ivanti, Cisco ASA, SonicWall.
- Phishing mit OAuth-Token-Hijack (Microsoft 365 / Entra ID).
- Unsichere ESXi-Hosts: exponiertes Management-Interface, Standard-Credentials, fehlende Updates.
Was wirklich schützt – die 10 Maßnahmen mit dem höchsten ROI
- MFA überall: Pflicht für VPN, RDP, M365, Admin-Accounts. Phishing-resistent (FIDO2) für privilegierte Konten.
- Edge-Patching binnen 72 h: Fortinet, Citrix, Ivanti, Exchange. Idealerweise automatisch mit Notfallausnahme.
- EDR/MDR auf allen Endpunkten inkl. Server und ESXi – siehe unser Managed Detection & Response.
- Privileged Access Management: Domain-Admins nie auf Workstations, separate Admin-Konten, Just-in-Time-Erhöhung.
- Backup-Härtung: Immutable Backups (S3 Object Lock, Veeam Hardened Repository), getrennt vom AD, regelmäßig restore-getestet.
- Netzwerk-Segmentation: Server, OT und Backup-Netze von Office-LAN trennen. Idealerweise Microsegmentation per Zero Trust.
- Darknet-Monitoring: Geleakte Zugangsdaten erkennen, bevor LockBit-Affiliates sie nutzen – siehe Darknet Monitoring.
- Phishing-Resilienz: Awareness-Programm plus technische Härtung von M365 (Mailbox-Forwarding sperren, OAuth-Apps überwachen).
- Incident-Response-Plan & Tabletop: Wer entscheidet über Zahlung, Anwalt, Kommunikation? Im Vorfeld geklärt, nicht im Chaos.
- 24/7-Reaktion: Angriffe laufen nachts und am Wochenende. Ohne 24/7-Detection & Response ist die MTTR zu lang.
Soll man zahlen? (Kurze Antwort: nein)
BKA, BSI und LKA raten klar von Zahlungen ab. Gründe:
- Keine Garantie auf funktionierenden Entschlüsseler – bei LockBit oft fehlerhaft, Datenverlust trotz Zahlung.
- Daten werden trotz Zahlung weitergegeben oder weiterverkauft.
- Wer einmal zahlt, ist Wiederholungsziel.
- Zahlungen können gegen Sanktionsrecht verstoßen (LockBit-Affiliates mit Russland-Bezug).
- Versicherungsrechtlich kritisch – Cyberversicherer kürzen bei mangelhafter Prävention.
Stattdessen: Wiederherstellung aus saubereren Backups, Forensik, Meldung an BSI/Polizei, Krisenkommunikation.
Wie Valyros vor LockBit, Akira & Co. schützt
Wir bündeln die wirksamsten Maßnahmen in einem integrierten Service – damit Sie nicht 8 Tools von 8 Anbietern orchestrieren müssen:
- 24/7 Managed Detection & Response mit deutschen Analysten und Mean Time to Respond < 15 Minuten – inkl. ESXi/Linux-Server.
- Darknet Monitoring: Frühwarnung bei geleakten Mitarbeiter- und Admin-Zugängen, bevor Affiliates sie kaufen.
- SOAR-Playbooks für Brute-Force, Impossible-Travel, RDP-Anomalien und ESXi-Logins – automatische Eindämmung in Sekunden.
- Edge-Patch-Monitoring für Fortinet, Citrix, Ivanti und Co.
- Incident-Response-Bereitschaft: Pre-Engagement-Vertrag, Forensik, Krisenkommunikation, Behördenmeldung.
- Härtungs- und Backup-Audit – konkrete Liste der Lücken, die LockBit/Akira aktuell ausnutzen.
- NIS2- und ISO-27001-taugliches Reporting über unseren externen ISB.
Sprechen Sie mit uns über einen Ransomware-Readiness-Check – wir bewerten in 2 Wochen, wie groß Ihr Risiko gegenüber LockBit und Akira aktuell ist, und priorisieren die 3 wirksamsten Maßnahmen.
Weiterlesen: Ransomware-Schutz für den Mittelstand · Managed Detection & Response · Darknet Monitoring
Häufige Fragen
Was ist LockBit?
LockBit ist seit 2019 eine der aktivsten Ransomware-as-a-Service-Gruppen weltweit. Sie verschlüsselt Daten, stiehlt sie parallel und erpresst Unternehmen mit Veröffentlichung auf einer Leak-Site. Trotz eines Takedowns durch internationale Behörden 2024 ist die Gruppe weiter aktiv.
Was ist die Akira-Ransomware?
Akira ist eine seit 2023 aktive Ransomware-Gruppe mit Conti-Erbe. Sie greift bevorzugt VPN-Zugänge ohne MFA und ESXi-Hosts an, verschlüsselt Daten und droht mit Veröffentlichung. Besonders gefährlich ist die Linux/ESXi-Variante, die Virtualisierungs-Hosts und Backups in einem Schritt zerstört.
Wie kommen LockBit und Akira typischerweise ins Netzwerk?
Über fünf Hauptwege: geleakte Zugangsdaten aus dem Darknet, VPN/RDP ohne MFA, ungepatchte Edge-Geräte (Fortinet, Citrix, Ivanti), Phishing mit OAuth-Token-Diebstahl und unsicher konfigurierte ESXi-Hosts.
Soll man bei einem Ransomware-Angriff zahlen?
Nein. BKA, BSI und LKA raten geschlossen davon ab: keine Garantie auf funktionierende Entschlüsselung, Daten werden trotz Zahlung weitergegeben, Wiederholungsangriffe drohen, mögliche Sanktionsverstöße und Probleme mit der Cyberversicherung. Stattdessen Wiederherstellung aus Backups, Forensik und Meldung an die Behörden.
Wie schützt Valyros vor LockBit und Akira?
Valyros kombiniert 24/7 Managed Detection & Response mit deutschen Analysten, Darknet Monitoring für geleakte Zugänge, SOAR-Playbooks zur automatischen Eindämmung, Edge-Patch-Monitoring, Backup-Härtung und Incident-Response-Bereitschaft – als integrierten Service aus einer Hand.
MDR mit 24/7-SOC aus Deutschland
Valyros betreibt ein 24/7-SOC und schützt KMU, Arztpraxen, Kanzleien und den Mittelstand – DSGVO-konform mit Datenhaltung in Deutschland.
Weitere Artikel
Ransomware-Schutz für den Mittelstand: Der vollständige Leitfaden 2026
9 von 10 Ransomware-Angriffe lassen sich verhindern – wenn die richtigen Maßnahmen greifen. Der vollständige Leitfaden für den Mittelstand mit konkreter Schritt-für-Schritt-Anleitung.
Ransomware 2026: Deutschland auf Platz 3 weltweit
Deutschland ist weltweit Nr. 3 bei Ransomware-Angriffen. Warum KMU besonders betroffen sind und welche Schutzmaßnahmen jetzt Priorität haben.
Rhysida-Angriff auf Berlin: Was KMU jetzt lernen müssen
5,79 TB Behördendaten im Darknet: Was der Rhysida-Angriff auf Berlin für KMU bedeutet – und welche 5 Maßnahmen jetzt zählen.
Ransomware Deutschland 2026: Warum KMU jetzt im Visier sind
176 Ransomware-Angriffe in Deutschland im 1. Halbjahr 2026 – Tendenz steigend. Warum KMU im Visier stehen und welche fünf Maßnahmen jetzt Priorität haben.
Ransomware im Mittelstand: SafePay-Welle & Schutz 2026
SafePay-Ransomware trifft deutsche KMU: Die Angriffswelle vom Juli 2026, das Vorgehen der Gruppe und wie Sie sich mit MDR und Notfallplan schützen.
Zero Trust: Prinzip, Architektur und Umsetzung im Mittelstand
Zero Trust ist kein Produkt, sondern ein Sicherheitsprinzip: Niemandem vertrauen, jeden Zugriff prüfen. So setzen KMU es pragmatisch in 6 Schritten um.