Deutschland: Zwei Incident-Response-Fälle nach LockBit-5.0-Angriffen geben tiefe Einblicke

Im Februar 2026 wurden zwei deutsche Mittelständler innerhalb weniger Wochen Opfer von LockBit-5.0-Angriffen. Beide Vorfälle wurden im Rahmen forensischer Aufarbeitung detailliert dokumentiert – die Erkenntnisse sind ernüchternd:

Gemeinsamer Einstiegsvektor: In beiden Fällen nutzten die Angreifer gestohlene VPN-Credentials, die zuvor über Infostealer (RedLine, LummaC2) auf privaten Endgeräten von Mitarbeitern abgegriffen worden waren. MFA war auf beiden VPN-Gateways nicht zwingend aktiviert.

Verweildauer im Netz: Zwischen 11 und 19 Tagen. In dieser Zeit wurden Domain-Controller kompromittiert, Backup-Systeme identifiziert und über 1,5 TB Daten exfiltriert – noch bevor die eigentliche Verschlüsselung startete.

Verschlüsselungsphase: LockBit 5.0 setzt auf höhere Geschwindigkeit, Linux/ESXi-Support und gezieltes Löschen von Schattenkopien. Innerhalb weniger Stunden waren produktive Systeme nicht mehr nutzbar.

Lehren: MFA ist auch für VPNs nicht verhandelbar. Infostealer-Logs aus dem Darknet müssen aktiv überwacht werden – genau das ist eine Kernfunktion unseres Darknet-Monitorings. Backups gehören in eine separate Identitätsdomäne, idealerweise immutable.