Der Mai war kein guter Monat für den lettischen Staatsbürger Deniss Zolotarjovs. Das US-Justizministerium gesichert Er wurde wegen seiner Rolle in der russischen Ransomware-Bande Karakurt zu 102 Monaten Haft verurteilt.

Der Fall enthüllte, dass Mitglieder von Karakurt russische Regierungsdatenbanken nutzten, um Unternehmen einzuschüchtern und ihre eigenen Rekruten zu überprüfen. Dieses kriminelle Netzwerk hatte zudem den US-Notruf 911 lahmgelegt und von mehr als 54 namentlich genannten Unternehmen mindestens 15 Millionen US-Dollar Lösegeld erpresst.

Dieses kriminelle Netzwerk verdeutlicht ein wachsendes Problem, das Unternehmenssicherheitsteams nicht allein lösen können. Wer die Bedrohung weiterhin als reines IT-Problem betrachtet, plant gegen den falschen Angreifer und unterschätzt das Ausmaß des Problems.

Wer ist beteiligt

Unternehmen müssen das Akteursprofil ändern, für das sie bisher ihre Notfallpläne entwickelt haben. Diese Gruppen agieren nicht nur international; sie mit staatlicher Kooperation zusammenarbeiten.

Das US-Finanzministerium hatte 2024 bereits die Ransomware-Gruppe Trickbot wegen mutmaßlicher Verbindungen zum russischen Geheimdienst mit Sanktionen belegt. Trickbot brachte mehrere andere Gruppen hervor, darunter Conti, aus der wiederum Karakurt hervorging. Die Sanktionen gegen die Anführer von Trickbot wirken sich daher indirekt auch auf Karakurt aus.

Die Anklage im Mai wandelte die bis dahin als passive staatliche Duldung dargestellte Situation in Beweise für direkte operative Unterstützung um. Karakurt zahlte Bestechungsgelder, um Mitglieder vom obligatorischen russischen Militärdienst zu befreien, und schleuste Korruption in den Staatsapparat ein, um seine Operation aufrechtzuerhalten.

Für Organisationen mit Hauptsitz in Gebieten, die Moskau als feindselig betrachtet, besteht die praktische Konsequenz darin, dass sich der Bedrohungsakteur auf der anderen Seite des Verhandlungstisches weniger wie ein organisiertes Verbrechen verhält, sondern eher wie ein quasi-vertraglich gebundenes Instrument der Staatspolitik.

Wo es anfängt

Die Verbesserung der Widerstandsfähigkeit gegen Ransomware erfordert auch eine Neubewertung des eigentlichen Ursprungs des Sicherheitsvorfalls. Security Scorecard analysiert 2025 1,000 Sicherheitsvorfälle. gefunden dass 41.4 % der Ransomware-Angriffe mittlerweile über den Zugriff Dritter durch Ausnutzung von Schwachstellen bei Anbietern beginnen und dass 35.5 % aller Sicherheitsverletzungen im Jahr 2024 eine Komponente Dritter aufwiesen.

Die europäische Antwort betrachtet den Unternehmensperimeter als etwas, das mit dem schwächsten Vertragspartner endet: NIS2 dehnt die Cybersicherheitsverpflichtungen ausdrücklich auf „ein viel breiteres Ökosystem von Drittanbietern, Lieferanten und digitalen Dienstleistern“ aus, die kritische Aktivitäten im gesamten Block unterstützen.

Ein Beschaffungsvertrag ist heute in einer Weise ein reguliertes Sicherheitsartefakt, wie es vor drei Jahren noch nicht der Fall war, und die Lieferanten-Onboarding-Prozesse der meisten multinationalen Unternehmen wurden auf eine wesentlich weniger vernetzte Version des Risikos kalibriert.

Wo es endet

Sicherheitslücken enden nicht mehr bei der IT-Infrastruktur; sie beeinträchtigen den gesamten Geschäftsbetrieb. Der Angriff auf die Colonial Pipeline im Jahr 2021. gezwungen Eine Betriebseinstellung, die die Versorgung mit rund 45 % des an der US-Ostküste verbrauchten Treibstoffs unterbrach und eine bundesweite Notstandserklärung auslöste.

Asahi-Gruppe, September 2025 Ransomware-Vorfall Die gleiche Dynamik wurde in einem anderen Maßstab veranschaulicht. Fabrikhallen waren zwar technisch gesehen nicht infiziert, aber bis zu 30 Nutzpflanzen in Privathaushalten. gestoppt Die Produktion wurde eingestellt, weil die IT-Systeme, die Bestellungen, Logistik und voneinander abhängige Lieferketten koordinieren, ausgefallen waren.

Die Lehre aus dem Fall der Asaha Group ist eher struktureller als technischer Natur: In hochgradig digitalisierten Betrieben wirken sich Kompromisse in der IT direkt auf das physische Betriebsmodell aus. Je stärker ein Unternehmen seine Prozesse auf Effizienz optimiert hat, desto größer ist in der Regel der Wirkungsbereich dieser Beeinträchtigungen.

Was Resilienz heute tatsächlich bedeutet

Die Anklage gegen Karakurt verdeutlicht das Ausmaß und die Tragweite geopolitischer Risiken, die sich mit herkömmlichen Cyberversicherungsmodellen nur schwer abschätzen lassen. Die Fälle Colonial und Asahi machen deutlich, dass das Geschäftsmodell selbst die Angriffsfläche darstellt. Ransomware als Problem der Unternehmensresilienz und nicht als Problem der Sicherheitskontrolle zu behandeln, ist heutzutage die Mindestanforderung im Hinblick auf die regulatorischen Rahmenbedingungen und die Bedrohungslage.

Die Institutionen, die die neuen Regeln erarbeiten, beschreiben Resilienz nun in einer Sprache, die von Aufsichtsräten und nicht von CISOs umgesetzt wird. Dies umfasst Governance, Lieferantenüberwachung, Geschäftskontinuität und die Annahme, dass ein Sicherheitsvorfall letztendlich über einen Lieferanten erfolgt, den das Unternehmen nicht kontrolliert.

Die bereits existierenden Standards übernehmen den Großteil der Übersetzung. Die ISO 27001-Revision von 2022 ist hierfür das deutlichste Beispiel, da sie ihre Lieferantenkontrollen exakt auf die im Security Scorecard beschriebenen Risiken durch Dritte ausrichtete. Die Kontrollen A.5.19 bis A.5.23 legen fest, wer auf welche Daten Zugriff hat, und verankern diese Sicherheitsverpflichtungen in Lieferantenverträgen.

Diese Kontrollmechanismen weiten die Sorgfaltspflichten entlang der gesamten ITK-Lieferkette bis hin zu Cloud-Diensten und Unterauftragnehmern aus, die bei Onboarding-Prüfungen nicht immer erfüllt werden. Dadurch wird selbst der schwächste Punkt in der Lieferkette für Unternehmen überprüfbar.

ISO 22301 leistet in ähnlicher Weise einen Beitrag zur Sicherstellung der Geschäftskontinuität. Sie fordert eine Analyse der Geschäftsauswirkungen und geprüfte Wiederherstellungsziele anstelle des Vertrauens, dass die Systeme von selbst wieder funktionieren – genau diese Lücke hat der Ausfall von Asahi offengelegt.

Das ist alles eine gute Vorgehensweise, aber NIS2 wandelt vieles davon in eine rechtliche Verpflichtung um. Artikel 21 nennt die Sicherheit der Lieferkette als konkrete Verpflichtung, nicht nur als Empfehlung.

Die Wahl eines Rahmenwerks ist der einfache Teil. Die eigentliche Arbeit besteht darin, Dutzende von sich überschneidenden Kontrollen, Lieferantenbewertungen und Kontinuitätstests in einer Organisation, deren Perimeter sich über Lieferanten erstreckt, die sie nicht vollständig kontrolliert, auf dem neuesten Stand zu halten.

Durch die Nutzung einer einheitlichen Plattform zur gleichzeitigen Erfassung von Nachweisen gemäß ISO 27001, ISO 22301 und NIS2 werden Lieferantenrisiken transparent und verständlich dargestellt. So entsteht ein Prüfprotokoll, das die Geschäftsleitung vor einem Vorfall analysieren und darauf reagieren kann. Die Widerstandsfähigkeit gegen Ransomware ist nicht länger ein Dokument, das nach einem Angriff aktualisiert wird, sondern wird zu einem nachweisbaren Erfolgskriterium für die Führungsebene.

Erweitern Sie Ihr Wissen

Blog: Cyberkriminalität vs. Geopolitik: Wie Ransomware zu einem geopolitischen Instrument wird

Blog: Phishing für Ärger S02 E05: Sie sind konform. Sind Sie widerstandsfähig?

Guide: Der Bericht zum Stand der Informationssicherheit 2025