Warum Medusa Ransomware eine wachsende Bedrohung für kritische Infrastrukturen darstellt

Senior Content Strategist und Nachrichtenautor

4April 2025

23 min. lesen

Medusa war schon immer etwas mehr als ein Monster.

In alter Mythologie verwandelte ihr Blick Männer in Stein. Während der Renaissance war sie ein Symbol der Schönheit, die tödlich wurde. Heute wurde sie als Gestalt der Veränderung zurückerobert – sie taucht in Mode, Popkultur und Symbolen der Selbstermächtigung auf.

Heute ist sie zurück – nicht in Marmor oder Mythos, sondern in Malware. Medusas Ransomware-as-a-Service (RaaS)-Operation, die seit Juni 2021 aktiv ist, intensiviert nun die Angriffe auf kritische Infrastrukturen weltweit. Zielbereiche sind die Medizin-, Bildungs-, Rechts-, Versicherungs-, Technologie- und Fertigungsindustrie.

In den ersten beiden Monaten des Jahres 2025 verdoppelte sich die Zahl der Medusa-Ransomware-Angriffe im Vergleich zum gleichen Zeitraum des Vorjahres – ein starker Anstieg, der darauf hindeutet, dass Medusa sich beschleunigt und nicht abnimmt.

Unterschiedliche Darstellungen von Medusa im Laufe der Jahre

Im Mythos bedeutete das Betrachten von Medusa den Tod. Im Bereich Cybersicherheit kann das Nichtsehen von ihr Strom, Wasser, Transport, Finanzsysteme und das öffentliche Vertrauen bedrohen – die Infrastruktur, die die Welt am Laufen hält. ‍

Eine gemeinsame Warnung von CISA und FBI

Im Februar 2024 veröffentlichten CISA und das FBI eine gemeinsame Warnung: #StopRansomware: Medusa Ransomware.

Mehr als 300 Organisationen sind bereits Opfer geworden, darunter Krankenhäuser, Finanzinstitute, Schulen und öffentliche Dienste.

Die Agenturen haben diese dringenden Schritte empfohlen:

Stellen Sie sicher, dass Betriebssysteme, Software und Firmware gepatcht und auf dem neuesten Stand sind.
Segmentieren Sie Netzwerke, um laterale Bewegungen einzuschränken.
Filtern Sie den Netzwerkverkehr, indem Sie verhindern, dass unbekannte oder nicht vertrauenswürdige Ursprünge auf Remotedienste zugreifen.

Ransomware ist jetzt ein nationales Risiko

Ransomware war nicht immer so gefährlich. 1989 wurde der erste bekannte Ransomware-Angriff – bekannt als AIDS-Trojaner – per Diskette ausgeführt und verlangte 189 Dollar per Post.

Heute, laut Illumios Global Cost of Ransomware Study:

25 % der kritischen Systeme fallen während eines Angriffs für durchschnittlich 12 Stunden aus.
Die durchschnittlichen Lösegeldforderungen übersteigen 1,2 Millionen US-Dollar.
Selbst nach der Zahlung stellen nur 13 % der Opfer alle ihre Daten wieder her.
Die Eindämmung dauert über 130 Stunden (ca. 11 Tage) und umfasst fast 18 Personen.

Ransomware ist nicht nur eine Cyberbedrohung. Es ist eine Belastung für Zeit, Geld und Resilienz. Und wenn sie kritische Infrastruktur trifft, können die Einsätze finanziellen Ruin verursachen, die Öffentlichkeit gefährden und sogar Regierungen destabilisieren.

Warum kritische Infrastrukturen so gefährdet sind

Kritische Infrastruktur ist aus einem wichtigen Grund ein Magnet für Ransomware: Sie ist wichtig.

"Kritische Infrastrukturen sind von Natur aus unverzichtbar – wenn man sie ausschaltet, ist der Welleneffekt enorm", sagt Trevor Dearing, Director Critical Infrastructure Solutions bei Illumio. "Die wirkliche Bedrohung für kritische Dienste besteht darin, wenn der Betrieb eingestellt wird – wenn Strom-, Wasser- oder Transportsysteme vom Netz gehen. Dann wird es wirklich gefährlich."

Von Stromnetzen bis hin zu Pipelines basiert das Rückgrat der Gesellschaft oft auf veralteten, nicht patchbaren Technologien – insbesondere auf älteren ICS- und SCADA-Systemen.

Michael Adjei, Director of Systems Engineering für EMEA bei Illumio, stimmt dem zu.

"Diese Systeme sind schwer zu aktualisieren und für Angreifer leicht auszunutzen", sagt er. "Das macht sie zu idealen Zielen für Ransomware wie Medusa."

Auch wenn die Modernisierung an Fahrt aufnimmt, bleibt die Sicherheit in der Welt der kritischen Infrastrukturen oft auf der Strecke.

"Festverdrahtete Steuerungssysteme werden durch Ethernet und Wi-Fi ersetzt, ohne die Auswirkungen auf die Sicherheit vollständig zu berücksichtigen", sagt Dearing. "Und viele Hersteller liefern Geräte mit schwacher Standardsicherheit aus – und schränken dann ein, was Unternehmen tun können, um sie zu härten."

Viele Organisationen kritischer Infrastrukturen befinden sich in öffentlichem Besitz oder sind auf nationale Finanzierung angewiesen. Das bedeutet langsame Beschaffung, komplexe Aufsicht und begrenzte Budgets. Mit anderen Worten, es ist ein massives, unterverteidigtes Ziel.

Wie schwerwiegend kann ein Angriff auf kritische Infrastrukturen werden?

Im Jahr 2023 wurden laut einem gemeinsamen Bericht von CISA und NSA 11 der 15 häufigsten Schwachstellen als Zero-Day-Schwachstellen ausgenutzt. Die Geschwindigkeit und das Ausmaß der Ausnutzung zeigen, wie schnell Angreifer Fehler als Waffe einsetzen, bevor Verteidiger sie beheben können – besonders in kritischen Systemen. Mit der Weiterentwicklung der Ransomware-Taktiken können Angreifer kleinere Schwachstellen in große Bedrohungen verwandeln – mit dem Potenzial, kritische Infrastruktur zu destabilisieren und wesentliche Dienste zu stören.

Ransomware für das hybride Zeitalter

Medusa braucht keine Zero-Day-Schwachstellen oder laute Exploits. Es bewegt sich leise und ist für hybride Umgebungen konzipiert – in denen Cloud-Apps sich mit lokalen Rechenzentren verbinden können. ‍

Medusa entgeht der Entdeckung, indem sie Werkzeuge nutzt, die bereits in Ihrem Netzwerk sind – bekannt als Living off the Land (LotL). Anstatt neue Malware zu veröffentlichen, nutzt es eingebaute Programme und Schwachstellen, um sich in den normalen Betrieb einzufügen.

Dazu könnten gehören:

PowerShell
Windows-Verwaltungsinstrumentation (WMI)
Remotedesktopprotokoll (RDP)
ConnectWise ScreenConnect
SSH (auf Linux- und Unix-Systemen)

"Diese Tools sind erlaubt, vertrauenswürdig und haben bereits den Zugriff, den Angreifer wollen", sagt Adjei. "Es geht weniger um das Tool, sondern mehr um sein Privileg und seine Reichweite."

Remote-Management-Software wie ScreenConnect oder SolarWinds ist besonders attraktiv, weil sie vorab genehmigt ist. Es wurde entwickelt, um in großem Maßstab zu verbinden, zu überwachen und zu steuern, und wird in den falschen Händen zu einem Kraftmultiplikator, der Angreifern eine unmittelbare Reichweite über alle Systeme hinweg bietet.

Und wenn sich Ransomware wie IT verhält, wirft das möglicherweise keine Alarmbereitschaft.

Wie Adjei sagt: "Moderne Ransomware kommt nicht einfach durch die Haustür – sie fügt sich wie ein Spion ein."

Seitwärtsbewegung: Wie sich Medusa ausbreitet

Angreifer landen dort, wo es einfach ist – nicht dort, wo sie sein wollen. Dann bewegen sie sich lautlos durch das Netzwerk, System für System, bis sie die Kronjuwelen erreichen.

Es gibt zwei Arten von seitlicher Bewegung:

Host-intrinsic: Privilegieneskalation im System (z. B. svc-ndscans)
Host-extrinsic: Wechsel zwischen Maschinen über RDP oder WinRM

Bei einem typischen Medusa-Angriff arbeiten beide Typen zusammen. Zuerst übernehmen sie die Kontrolle innerhalb eines Geräts. Dann nutzen sie diesen Zugang, um sich leise im Netzwerk auszubreiten. ‍

Datenexfiltration und doppelte Erpressung

Medusa wendet auch doppelte Erpressung an: Daten verschlüsseln und exfiltrieren sie – sie verlangen Lösegeld für die Wiederherstellung und für das Versprechen, dass gestohlene Daten nicht veröffentlicht, verkauft oder online oder im Dark Web durchgesickert sind.

In der letzten Phase lokalisieren und stehlen Angreifer sensible Daten und senden sie an ihre Command-and-Control-Server zurück. Dieser Callback-Datenverkehr kann mithilfe von Techniken wie DNS-Textdatensätzen oder ICMP-Paketen über gängige Kommunikationsports getunnelt werden – Methoden, die so konzipiert sind, dass sie unbemerkt an herkömmlichen Abwehrmaßnahmen vorbeischlüpfen.