Führungskräfte ins Visier: Ransomware-Akteure zielen auf Inhaber privilegierter Rechte

Das „ThreatLabz“-Team von Zscaler hat den „Faktor Mensch“ in der Ransomware-Angriffskette analysiert und konnte aufzeigen, dass Cyberkriminelle bei der Auswahl ihrer Opfer innerhalb von Organisationen gezielt vorgehen

[datensicherheit.de, 10.08.2026] Gelangt ein Ransomware-Angriff in die Schlagzeilen, wird die Aufmerksamkeit meist auf die betroffene Organisation, die gestohlenen Daten sowie die darauffolgende Lösegeldforderung gerichtet. Eine aktuelle Untersuchung des „ThreatLabz“-Teams von Zscaler hat indes den „Faktor Mensch“ in der Angriffskette beleuchtet und demnach aufgezeigt, dass Cyberkriminelle bei der Auswahl ihrer Opfer innerhalb von Organisationen nicht zufällig agieren. Vielmehr gerieten gezielt Mitarbeiter mit weitreichenden Berechtigungen und geschäftskritischen Funktionen in den Fokus, um über dieses Einfallstor das Netzwerk zu infiltrieren, sensible Informationen zu exfiltrieren und den unrechtmäßigen Zugriff schließlich zu monetarisieren. „ThreatLabz“ habe Opfer einer Ransomware-Kampagne identifiziert und die Position der Opfer im Unternehmen analysiert, zudem wie deren Funktionen und Befugnisse dazu beitragen, die Organisation zu unterwandern. Über einen Zeitraum von einem Monat habe „ThreatLabz“ 351 Opfer in 334 Organisationen identifiziert, welche mit einer einzelnen Ransomware-Kampagne in Verbindung gestanden hätten.

Abbildung: Zscaler, Inc. 2026

„ThreatLabz“-Erhebung zur Verteilung der am häufigsten angegriffenen Branchen

Führungskräfte und kritische Geschäftsfelder im Ransomware-Visier

Die untersuchten Bedrohungsakteure hätten sich dabei auf den Erstzugang, den Diebstahl großer Mengen an Unternehmensdaten sowie die selektive Verschlüsselung kritischer Systeme spezialisiert. Die detaillierte Auswertung der Opferprofile habe ergeben, „dass 62 Prozent der betroffenen Personen auf Managementebene oder höher angesiedelt waren“.

• Dies deute darauf hin, dass die Täter systematisch nach Mitarbeitern suchten, welche über einen privilegierten Zugriff auf Kundendaten, Finanzunterlagen, Verträge und operative Systeme verfügen.

Der Wert eines kompromittierten Managementkontos sei durch den Umfang der mit der jeweiligen Position verbunden Zugriffsrechte definiert. Führungskräfte könnten beispielsweise Zahlungen freigeben, Budgets und Lieferanten verantworten, Verträge prüfen, auf sensible Unterlagen zugreifen oder die Zusammenarbeit über verschiedene Geschäftsbereiche hinweg koordinieren.

Ransomware-Gruppen erlangen über Mitarbeiter von Industrieunternehmen Zugang zu kritischen Systemen

Auch bei den Branchen und Abteilungen hätten sich in der Analyse klare Schwerpunkte gezeigt. „Die Hälfte der kompromittierten Unternehmen stammte aus der Industrie mit über 35 Prozent sowie der Informationstechnologie mit knapp 15 Prozent.“ Für Ransomware-Gruppen könnten Mitarbeiter in Industrieunternehmen Wege zu jenen kritischen Systemen eröffnen, welche Fertigung, Distribution oder Logistik unterstützen.

• In der Informationstechnologie könnten kompromittierte Konten Geistiges Eigentum und für die Bereitstellung digitaler Dienste genutzte Plattformen offenlegen.

Die Störung solcher Systeme könne schnell sowohl operativen als auch finanziellen Druck erzeugen. Die Verschlüsselung einer Produktions-, Logistik- oder Servicebereitstellungsplattform könne den Geschäftsbetrieb und damit den Umsatz beeinträchtigen, während gestohlene technische Daten Erpressungsforderungen untermauern könnten.

Durchschnittsalter der Ransomware-Opfer bei 46 Jahren

„Innerhalb der betroffenen Organisationen entfielen mehr als 75 Prozent der Opferpersonas auf fünf zentrale Geschäftsbereiche.“ Am stärksten anvisiert worden sei das Finanz- und Rechnungswesen, gefolgt vom Vertrieb, dem operativen Betrieb, der Personalabteilung und dem Marketing.

• „Demographisch betrachtet lag der Schwerpunkt mit rund 44 Prozent auf der ,Generation X’, wobei das Durchschnittsalter der Opfer 46 Jahre betrug.“

Mitarbeiter dieser Generation bekleideten häufiger etablierte Management- oder höherwertige Positionen und verschafften Angreifern dadurch Zugang zu wertvollen Systemen, Daten und Entscheidungsbefugnissen.

Ransomware-Angreifer nutzen Täuschungstaktiken

Um sich das Vertrauen der anvisierten Entscheidungsträger zu erschleichen, nutzten die Angreifer häufig künstlich erzeugte Dringlichkeit sowie die falsche Identität von vermeintlichen IT-Mitarbeitern. Dabei kämen vertraute Werkzeuge wie „Microsoft Teams“ oder „Quick Assist“ zum Einsatz, woraus schnell weitreichender Datendiebstahl und Erpressung resultieren könnten.

• Da Künstliche Intelligenz (KI) eine bessere Personalisierung von Angriffsmaßnahmen und überzeugende Täuschungsmaßnahmen durch Identitätsdiebstahl ermögliche, könnten Ransomware-Akteure mit weniger offensichtlichen Warnsignalen angreifen. Um dieses Risiko zu minimieren, rät „ThreatLabz“ Unternehmen dringend zur Implementierung einer „Zero Trust“-Architektur für eine strikte Netzwerksegmentierung und zur Verhinderung von lateralen Bewegungen im System.

Ebenso wichtig sei die konsequente Durchsetzung des „Least Privilege“-Prinzips, um den Zugriff auf sensible Daten strikt auf das Notwendigste zu begrenzen. Das Blockieren externer Nachrichten in Kollaborationstools, die Sensibilisierung der Mitarbeiter für die Verifizierung von internen IT-Anfragen sowie der Einsatz von KI-gestützten Sicherheitslösungen zur kontinuierlichen Überwachung bildeten die essenziellen Bausteine einer effektiven Verteidigungsstrategie gegen diese zielgerichteten Bedrohungen.

Die DS-Redaktion zu Erkenntnissen und Ableitungen aus der aktuellen „ThreatLabz“-Analyse:

• Im Kontext der rasanten IT-Weiterentwicklung gelangen Führungskräfte einerseits zunehmend in Haftungsfragen bei IT-Schadensfällen – zudem werden sie von cyberkriminellen Angreifern immer öfter gezielt ins Visier genommen.

• Die privilegierten Zugriffsrechte der Führungsebene stellen eine attraktive „Beute“ für Cyberkriminelle dar.

• Generell gilt es, in den Betrieben grundsätzliche Sicherheitsprinzipien wie z.B. „Zero Trust“, „Least Privilege“ oder auch „Multi-Faktor-Authentifizierung“ (MFA) zu etablieren und konsequent anzuwenden.

• Selbst bei einem Höchstmaß an Schutzmaßnahmen solle für eine erprobte Notfall- und Wiederanlaufplanung davon ausgegangen werden, dass irgendwann eine gravierender Cyberangriff auf die Führungsebene – eben z.B. mit Ransomware – gelingt.

• Eine saloppe, despektierliche, gleichwohl ein zentrales Problem adressierende Redensart lautet: „Der Fisch stinkt vom Kopf her“ – Aufgabe der Führungsebene muss es daher sein, an der Spitze der Betriebe Lern- und Sicherheitskultur vorbildhaft einzuführen und im Alltag vorzuleben.

Weitere Informationen zum Thema:

zscaler
About Zscaler: Transforming Today and Tomorrow / Leveraging the largest security cloud on the planet, Zscaler anticipates, secures, and simplifies the experience of doing business for the world’s most established companies.

datensicherheit.de, 25.06.2026
Neuer Ransomware-Boom: Ein Drittel mehr Vorfälle registriert / Laut dem „Threat Status Report 2025/2026“ von aDvens wurden 2025 ein Drittel mehr Ransomware-Vorfälle als im Vorjahr registriert – in Deutschland geriet vor allem die Industrie ins Visier

datensicherheit.de, 29.04.2026
Ransomware-Hotspot: Deutschland als Top-Ziel für Erpresser / Im Jahr 2025 laut PwC 58 Prozent mehr Ransomware-Opfer weltweit – KI senkt Einstiegshürden und beschleunigt Angriffe

datensicherheit.de, 20.04.2026
Ransomware-Attacken: Versicherungs- und Rechtsfragen in Zeiten zunehmender Cyberangriffe / Web-Seminar zur neuen Qualität von Bedrohungen durch Cyberangriffe im Kontext der Wechselwirkungen zwischen angespannter geopolitischer Lage und vermehrtem KI-Einsatz am 22. April 2026

datensicherheit.de, 09.04.2026
Ransomware im Wandel – dennoch weiterhin eine der gravierendsten Cyberbedrohungen weltweit / Weniger Opfer zahlen, doch die Summen steigen – aktuelle Zahlen zur Ransomware-Bedrohung zeichnen ein Bild, welches Verantwortliche in Unternehmen nicht als Entwarnung missverstehen sollten