Rhysida-Ransomware im Überblick: TTPs, IOCs und Abwehrmaßnahmen im Jahr 2026

Rhysida-Bedrohungsakteure veröffentlichten einen Leak-Site-Eintrag mit dem einfachen Titel “Berlin, Deutschland” am 28. August 2026. Dem Eintrag zufolge wurden 5,79 Terabyte an Daten aus dem Landesnetz der deutschen Hauptstadt abgezogen, was etwa 1,44 Millionen Dateien entspricht. Die Gruppe forderte 30 Bitcoin im Wert von rund 2 Millionen Euro und setzte einen Countdown von sieben Tagen, bevor sie mit dem Verkauf beginnen wollte. Der Spiegel berichtete zuerst am Abend des 28. August über die Urheberschaft, und Berlins Regierender Bürgermeister bestätigte den Erpressungsversuch nach einer Dringlichkeitssitzung des Senats mit der Erklärung, dass sich der Staat nicht erpressen lassen werde.

Es ist die größte Forderung, die Rhysida jemals gegen eine europäische öffentliche Körperschaft erhoben hat, und sie kommt nach einer konstanten dreijährigen Serie. Die Gruppe hat nun genannt nahezu 300 Opfer seit 2023 quer durch 39 Länder, darunter die British Library, den Hafen von Seattle, die chilenische Armee und die Stadtverwaltung von Stuttgart.

Dieser Leitfaden behandelt die Funktionsweise von Rhysida-Angriffen, die von der CISA dokumentierten TTPs und IOCs, ob die Schadsoftware noch kostenlos entschlüsselt werden kann sowie die spezifischen Abwehrmaßnahmen, die die Angriffskette an ihrem schwächsten Punkt stoppen.

1. Was ist Rhysida?

Rhysida ist eine Ransomware-as-a-Service-Gruppe (RaaS), die im Mai 2023 auftauchte.

Partner verwenden Rhysidas Schadsoftware, um sensible Daten zu stehlen und zu verschlüsseln, und jedes gezahlte Lösegeld wird zwischen dem Partner und der Kerngruppe aufgeteilt. Die Forderungen reichten von einigen Hunderttausend Euro bis zu mehreren Millionen.

Rhysida reiht sich neben andere etablierte RaaS-Akteure ein wie LockBit, RansomHubund Akira, wobei es nur mit einem Bruchteil ihres Volumens arbeitet.

Das Besondere an der Gruppe ist die Art und Weise, wie sie sich präsentiert. Die Lösegeldforderung beginnt mit einem automatisierten Warnhinweis des “Cybersecurity-Teams Rhysida” und beschreibt den zum Verkauf angebotenen Entschlüsselungsschlüssel als den ersten Schritt zur Wiederherstellung des Opfers. Stolperdraht Es ist sogar mit “Mit freundlichen Grüßen” unterzeichnet. Sicherheitsforscher von Check Point und eSentire haben dokumentierte technische und operationelle Überschneidungen mit der inzwischen aufgelösten Vice-Society-Gruppe, die fast genau in dem Moment inaktiv wurde, als Rhysida auftauchte.

Rhysida hat seinen Namen von einer Gattung von Tausendfüßler, und seine Tor-Site ist um diese Bildsprache herum aufgebaut, zusammen mit einem Token-Feld. Die Opfer geben den eindeutigen Code aus ihrer Lösegeldnotiz ein, um ein dediziertes Kontaktformular zu öffnen. Die Startseite listet aktuelle Auktionen und eine laufende Opferzahl auf.

Dieses Auktionsmodell ist beachtenswert. Anstelle einer pauschalen Nachfrage bietet Rhysida gestohlene Daten häufig mit einem Mindestgebot und einer Frist zum Verkauf an, wie sie es bei Berlin getan hat.

Im November 2023 veröffentlichten das FBI, die CISA und das Multi-State Information Sharing and Analysis Center (MS-ISAC) einen gemeinsamen Warnhinweis mit dem Titel #StopRansomware: Rhysida-Ransomware (AA23-319A) mit Indikatoren für Kompromittierungen (IOCs), die zeigen, wann ein System kompromittiert wurde. Sie wurde im April 2025 mit neuen Indikatoren aktualisiert und veraltete wurden entfernt.

2. Rhysida-Ransomware in Zahlen

Rhysida hat seit 2023 ein remarkably even pace (or: ein bemerkenswert gleichmäßiges Tempo) beibehalten und das Burnout vermieden, das die meisten RaaS-Operationen innerhalb von achtzehn Monaten beendet. *Wait, let me make it natural German:* Rhysida hat seit 2023 ein bemerkenswert gleichmäßiges Tempo beibehalten und damit den Burnout vermieden, der den meisten RaaS-Operationen nach achtzehn Monaten ein Ende setzt.

Hier sind 6 Einblicke in die Welt von Rhysida.

1. Fast 300 namentlich genannte Opfer: Breachsense zählte bis zum 1. September 2026 295 Organisationen auf der Leak-Website, von denen 54 in den letzten zwölf Monaten veröffentlicht wurden. Ransomware.live aufgeführt mit 280 Stand zum 29. August, und Ransom-DB hatte 265 im Februar 2026. Tracker unterscheiden sich je nach Erhebungsmethode.
2. Etwa 7 Opfer pro Monat: Bescheiden im Vergleich zu Akira oder Qilin, aber beständig. Ransom-DB beobachtete, wie die Gruppe im Dezember 2025 fast täglich Opfer postete, wobei sich diese Dynamik bis ins Jahr 2026 fortsetzte.
3. Etwa die Hälfte aller Opfer stammt aus den USA: Ransom-DB schätzt den Wert Anfang 2026 auf 49,41 TP3T. In Europa liegt das Wachstum.
4. Bildung und Gesundheitswesen führen die Sektoranzahl an: 56 bzw. 41 Opfer von insgesamt 199 Breachsense konnte klassifizieren. Betrachten Sie dies eher als die Form des Targetings denn als eine vollständige Zählung.
5. Auf Deutschland entfallen neun Todesopfer: Leak-Site-Monitoring Setzen Sie die deutsche Gesamtzahl mit Stand vom 29. August 2026 auf neun. Absolut gesehen ist das wenig, aber es umfasst eine Landesregierung und zwei Ziele auf Stadtebene.
6. Ein Drittel der Opfer hatte zuvor preisgegebene Anmeldedaten: Breachsense Es wurde festgestellt, dass bei 33,61 TP3T der Rhysida-Opfer mit einer identifizierbaren Domäne die Zugangsdaten von Mitarbeitern in einem Datenleck auftauchten, das sich in den zwölf Monaten vor der Bekanntgabe des jeweiligen Falls ereignet hatte. Es wurde zwar nicht nachgewiesen, dass diese Zugangsdaten als Einfallstor dienten, doch lässt sich dieser Zusammenhang kaum ignorieren.

Im weiteren Kontext war Deutschland in der ersten Hälfte des Jahres 2026 weltweit das am vierthäufigsten von Ransomware angegriffene Land mit 176 beanspruchten Opfern in allen Gruppen. In der Schweiz wurden 35 und in Österreich 29 verzeichnet.

3. Die Zeitleiste der Rhysida-Ransomware

4. Wie ein Rhysida-Ransomware-Angriff funktioniert

Hier sind die technischen Phasen einer Rhysida Ransomware-Angriffnach CISA.

1. Erster Zugang: Rhysida-Partner melden sich an, anstatt einzubrechen. Der primäre Weg sind gültige, kompromittierte Zugangsdaten für nach außen gerichtete Dienste wie VPNs ohne Multifaktor-Authentifizierung (MFA). Spear Phishing wird ebenfalls genutzt, ebenso wie die Zerologon-Schwachstelle (CVE-2020-1472), sofern diese nicht gepatcht wurde.
2. Beharrlichkeit und Entdeckung: Die Gruppe eskaliert Privilegien und erfasst Domänenanmeldeinformationen mithilfe von ntdsutil.exe um die NTDS-Datenbank zu extrahieren. Die Netzwerkabbildung erfolgt mithilfe von „Living-off-the-Land“-Werkzeugen und Dienstprogrammen wie Advanced IP Scanner, wobei der Fernzugriff durch legitime Software wie AnyDesk aufrechterhalten wird.
3. Ausweichen der Verteidigung: Affiliates löschen Protokolle und beenden Sicherheitsprozesse, um Zeit für die Seitwärtsbewegung zu gewinnen.
4. Exfiltration und Auswirkungen: Daten werden abgezogen, bevor irgendetwas verschlüsselt wird. Im Berliner Fall verfolgten forensische Ermittler die Exfiltration bis zu einem fünftägigen Zeitfenster zwischen dem 7. August und dem 12. August 2026 zurück. Die betroffenen Systeme wurden erst am 14. August isoliert.
5. Verschlüsselung der Daten: Die Nutzlast wird mit PsExec bereitgestellt und verschlüsselt Dateien mit einem 4096-bit-RSA-Schlüssel und dem ChaCha20-Algorithmus. Rhysida verwendet eine intermittierende Verschlüsselung, bei der jede Datei nur teilweise verschlüsselt wird, um schneller zu arbeiten. Verschlüsselte Dateien erhalten die .rhysida Erweiterung und eine Lösegeldforderung namens CriticalBreachDetected.pdf wird fallen gelassen.

Ein Detail aus dem CISA-Sicherheitshinweis lohnt sich direkt in Ihre Erkennungsregeln aufgenommen zu werden: Der Inhalt der Lösegeldforderung ist als Klartext in der Ransomware-Binärdatei eingebettet. Das gibt Verteidigern eine unkomplizierte Möglichkeit, string-basierte Erkennung einzusetzen, um Alarm bei Hinweisen auf die Notiz zu schlagen. Fortinets Incident-Response-Team hat außerdem eine veröffentlicht Vollständige Einbruch-Komplettlösung mit Bedrohungssuchabfragen.

Sie können die vollständige Liste der MITRE ATT&CK-Taktiken auf der Website von CISA einsehen Sicherheitsbulletin.

Die Merkmale eines Rhysida-Angriffs

Hier sind einige der Taktiken, Techniken und Vorgehensweisen (TTPs), die immer wieder auftauchen.

• Anwendung eines doppelten Erpressungsmodells: Rhysida verschlüsselt Daten und stiehlt sie, droht dann mit der Veröffentlichung als zweitem Hebel. CISA ordnet dies der MITRE-Technik T1657 zu.
• Versteigern statt fordern: Gestohlene Daten werden oft mit einem Mindestgebot zum Verkauf angeboten, was eine private Verhandlung in einen öffentlichen Countdown verwandelt.
• Die Notiz als PDF senden: Ungewöhnlich und möglicherweise absichtlich. CISA hat darauf hingewiesen, dass das PDF-Format darauf hindeuten könnte, dass die Gruppe auf Systeme abzielt, die keine Betriebssysteme mit Befehlszeile ausführen.
• Kommunikation über Onion Mail: Es wurde beobachtet, dass Affiliates neben dem Tor-Portal Onion-Mail-Konten für den Kontakt mit Opfern eingerichtet haben.
• Bitcoin-Zahlungen zu verlangen: Opfer werden angewiesen, Zahlungen an Wallet-Adressen zu senden, die von den Bedrohungsakteuren bereitgestellt wurden.
• Auswahl von Zielen, die nicht schweigen können: Stadtverwaltungen, Krankenhäuser, Universitäten und Bibliotheken sehen sich alle einer intensiven öffentlichen Prüfung aus, sobald ein Sicherheitsvorfall bekannt wird. Diese Prüfung ist der Druck.

5. Fallstudien: Opfer der Rhysida-Ransomware

Rhysida Ransomware kann für jede Organisation eine Bedrohung darstellen, aber das Muster in seiner Opferliste ist ungewöhnlich klar. Schauen wir uns einige reale Geschichten von Rhysida in Aktion an, als digitale Wachsamkeit gescheitert.

Als eine Hauptstadt versteigert wurde…

Die Landesregierung von Berlin verbrachte den größten Teil des August 2026 damit, ein Datenleck leise einzudämmen.

Zwei Senatsverwaltungen wurden am 14. August vom Landesnetz getrennt und blieben neun Tage lang offline. Dabei handelte es sich um die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen sowie die Senatsverwaltung für Mobilität, Verkehr, Klimaschutz und Umwelt. Ermittler konnten den Datenabfluss auf den 7. bis 12. August zurückführen, was bedeutet, dass Angreifer etwa eine Woche lang im System waren, bevor der Stecker gezogen wurde.

Am 27. August traf die Lösegeldforderung ein. Am 28. August veröffentlichte Rhysida das Angebot: 5,79 Terabyte, 1,44 Millionen Dateien, 30 Bitcoin Mindestgebot, eine Woche Zeit zum Bezahlen.

Zu den Kategorien, die die Gruppe nach eigenen Angaben besitzt, gehören 80.000 Ordnungswidrigkeitsverfahren, 46.500 Verträge, personenbezogene Daten von 12.076 Personen, Justizdokumente, eine Bewertung der kritischen Infrastruktur der Berliner Wasserversorgung und Zugangsdaten-Dateien. Berlin hat keine dieser Zahlen bestätigt.

🚨 Ransomware-Warnung: 🇩🇪

Senatsverwaltung für Stadtentwicklung, Bauen und Wohnenhttps://t.co/XongW6LPUr), eine in Deutschland ansässige Behörde der öffentlichen Verwaltung, ist Berichten zufolge Opfer von RHYSIDA-Ransomware geworden.

Hinweis: Die Gruppe beabsichtigt, die Daten innerhalb von… zu veröffentlichen. pic.twitter.com/28CErVMSxo

- FalconFeeds.io (@FalconFeedsio) 28. August 2026

Bedrohungsanalyse-Konto FalconFeeds.io hat den Eintrag am Tag seines Erscheinens gemeldet und dabei die Senatsverwaltung für Stadtentwicklung, Bauen und Wohnen namentlich genannt, während Rhysidas eigener Eintrag nur mit “Berlin, Deutschland” betitelt war.”

Die Nachwirkungen waren unmittelbar spürbar. Rund 50.000 Haushalte waren von Verzögerungen bei der Auszahlung von Wohngeld betroffen, und bis zum 1. September mindestens zwei Senatsverwaltungen hatte den Homeoffice-Zugang vollständig gesperrt, nachdem Passwörter für interne Fachanwendungen im Internet aufgetaucht waren. Der E-Mail-Zugang blieb offen.

Regierender Bürgermeister Kai Wegner bestätigte den Erpressungsversuch und erklärte, dass Berlin ließ sich nicht erpressen, wobei der Staat als Opfer einer schweren Straftat bezeichnet wird. Das Landeskriminalamt und die Staatsanwaltschaft haben zusammen mit den Bundessicherheitsbehörden ein Ermittlungsverfahren eingeleitet.

Als die British Library offline ging…

Im Oktober 2023 verschlüsselte Rhysida die Systeme der British Library und exfiltrierte mehrere Hundert Gigabyte an internen Daten.

Die Bibliothek weigerte sich zu zahlen, und die Gruppe veröffentlichte die Daten. Die Erholung der Institution dauerte weit über ein Jahr, und der Vorfall wurde zu einem der am meisten untersuchten Ransomware-Fälle im öffentlichen Sektor in Europa, vor allem weil die Bibliothek einen ungewöhnlich offenherzigen Bericht nach dem Vorfall veröffentlichte.

Als eine deutsche Stadt schwieg…

Im Mai 2026 bekannte sich Rhysida zu einem Angriff auf die Stadtverwaltung von Stuttgart und forderte rund 330.000 Euro, einen Bruchteil dessen, was sie später von Berlin fordern würde.

Stuttgart hat nie öffentlich bestätigt, dass Daten exfiltriert wurden. Dies ist eine nützliche Erinnerung daran, dass ein Eintrag auf einer Leak-Site eine Behauptung und kein bestätigter Vorfall ist und dass die beiden in der Berichterstattung routinemäßig vermischt werden.

Als ein Flughafenbetreiber getroffen wurde…

Im September 2024 wurde der Hafen von Seattle, der den Flughafen Seattle-Tacoma betreibt, der Leak-Website hinzugefügt.

Neben früheren Angriffen auf das chilenische Heer und Prospect Medical Holdings, was 17 Krankenhäuser und 166 Kliniken in den USA betraf, demonstriert es, wie weit Rhysida bereit ist, in kritische Infrastrukturen vorzudringen.

6. Kann Rhysida-Ransomware entschlüsselt werden?

Manchmal. Das ist der Teil der Rhysida-Geschichte, den die Berichterstattung meistens auslässt, und das ist mit echten Vorbehalten verbunden.

Im Februar 2024 entdeckten Forscher der Kookmin-Universität in Seoul und der koreanischen Agentur für Internet und Sicherheit (KISA) hat eine Arbeit veröffentlicht Beschreiben einer Implementierungsschwachstelle in Rhysidas Verschlüsselung.

Die Schadsoftware verwendete einen sicheren Zufallszahlengenerator, um ihren Verschlüsselungsschlüssel zu erzeugen. Die Entwickler machten jedoch einen Fehler bei der Implementierung, und es gelang den Forschern, den internen Zustand des Generators zum Zeitpunkt der Infektion wiederherzustellen, den Schlüssel zu rekonstruieren und die Reihenfolge zu ermitteln, in der die Dateien verschlüsselt worden waren.

KISA hat ein kostenloses Entschlüsselungstool und eine Anleitung veröffentlicht. Die Dateien, die damit wiederhergestellt werden, werden als Kopien gespeichert mit _dec an den Dateinamen angehängt.

Dabei sind drei Einschränkungen zu beachten.

• Es gilt nur für Windows: Das Tool funktioniert gegen Windows Portable Executable (PE)-Dateien, nicht gegen alles, was Rhysida einsetzt.
• Es ist möglicherweise schon veraltet: Fabian Wosar von Emsisoft, dessen Team diesen Fehler im Mai 2023 intern entdeckt hatte, gewarnt dass es für die Gruppe ein Leichtes wäre, den Fehler zu beheben, und dass sie dies wahrscheinlich innerhalb weniger Tage nach der öffentlichen Bekanntgabe tun würde. Avast hatte ihn im August 2023 unabhängig davon entdeckt.
• Entschlüsselung macht die Datenabfluss nicht rückgängig: Selbst ein perfekter Entschlüssler ändert nichts an der Kopie Ihrer Daten, die auf einer Leak-Site liegt. Bei doppelter Erpressung löst die Wiederherstellung Ihrer Dateien höchstens die Hälfte des Problems.

Wenn Sie mit einer aktiven Rhysida-Infektion zu tun haben, entfernen Sie zuerst die Schadsoftware, um eine Reinfektion zu vermeiden, und versuchen Sie dann den Decryptor auf Windows-Systemen. Planen Sie unter der Annahme, dass er nicht funktionieren wird.

7. Abwehr der Ransomware-Gruppe Rhysida

Rhysidas Angfettkette hat einen offensichtlichen Schwachpunkt: Sie beginnt mit Zugangsdaten, nicht mit Exploits. So schützen Sie Ihr Cybersicherheitslage.

Die Aktivierung der Mehrfaktor-Authentifizierung (MFA) überall

MFA fügt als zusätzliche Sicherheitsstufe zum Passwort eine zweite Form der Verifizierung hinzu: einen Code von einer Authenticator-App, einen Fingerabdruck oder ein Hardware-Token.

Der am häufigsten dokumentierte Einstiegspunkt von Rhysida ist ein nach außen gerichteter Remotedienst, meist ein VPN, der diesen nicht besitzt. CISA, das FBI und MS-ISAC Setzen Sie MFA für alle Dienste ganz nach oben auf die Liste der Rhysida-Mitigationsmaßnahmen, wobei Webmail, VPN und Konten mit Zugriff auf kritische Systeme besonders hervorgehoben werden. Wenn Sie auf dieser Liste nur eine Sache beheben, dann diese.

Suche nach freiliegenden Anmeldedaten

Ein Drittel der Opfer von Rhysida hatte im Jahr vor ihrer Nennung auf der Leak-Website Zugangsdaten von Mitarbeitern, die bei einer Sicherheitsverletzung offengelegt wurden.

Niemand hat bewiesen, dass diese Zugangsdaten der Einstiegspunkt waren. Aber sie lagen öffentlich da, sie gehörten Organisationen, die in der Folge kompromittiert wurden, und sie waren vor dem Angriff auffindbar und nicht erst danach.

Die Überwachung von Anmeldeinformationen (Credential Intelligence Monitoring) identifiziert offengelegte E-Mail- und Passwort-Paare, die mit Ihren Domains verknüpft sind, sodass Sie ein Zurücksetzen erzwingen können, bevor jemand anderes sie verwendet.

Schließen von Lücken in Ihrer externen Exposition

Patchen Sie Zerologon (CVE-2020-1472), falls Sie das irgendwie immer noch nicht getan haben, und verschaffen Sie sich ein vollständiges Bild davon, was von Ihrem Netzwerk aus dem Internet erreichbar ist.

Eine Verwaltung externer Angriffsflächen (EASM-)Werkzeug wie CybelAngel erfasst Ihre freiliegenden Assets, einschließlich der Schatten-IT, an deren Einrichtung sich niemand mehr erinnert, damit Sie Schwachstellen beheben können, bevor Angreifer sie finden.

Sie können auch verwenden dunkles Internet Monitoring, um Erwähnungen Ihrer Organisation auf Leak-Seiten und in Untergrundforen aufzuspüren, was im Fall von Berlin den Unterschied ausgemacht hätte zwischen dem Herauskriegen am 28. August und dem Erfahren durch den Spiegel.

Befolgung der 3-2-1-Regel

Die Standard-Empfehlungen für die Datensicherung gelten weiterhin:

• 3x Kopien von wichtigen Dateien
• 2x Medientypen zum Speichern dieser Dateien
• 1x Offline-/Offsite-Kopie dieser Dateien

Guter Backup-Support datenschutz und die Systemwiederherstellung. Sie schützen Sie nicht vor einer Veröffentlichung, was die Hälfte der doppelten Erpressung ausmacht, die Backups nicht verhindern können.

Segmentierung Ihres Netzwerks

Berlins Reaktion bestand darin, Netzwerksegmente Abteilung für Abteilung zu trennen und jedes einzelne erst nach bestandener Prüfung wieder anzuschließen. Das dauerte neun Tage. Bis dahin hatten forensische Ermittler die siebentägige Lücke zwischen der ersten Erkennung und der Isolierung als dem entscheidenden Zeitfenster.

Eine vor einem Vorfall entworfene Segmentierung macht diesen Prozess schneller und begrenzt, wie weit sich eine kompromittierte Abteilung ausbreiten kann.

Nicht zahlen

Das FBI, die CISA und europäische Behörden raten alle von einer Zahlung ab, und Berlin folgte dieser Linie öffentlich und unverzüglich.

Die Zahlung garantiert weder, dass Ihre Daten gelöscht werden, noch, dass sie nicht weiterverkauft werden, und stuft Ihr Unternehmen als zahlendes Ziel ein. Melden stattdessen den Angriff den Strafverfolgungsbehörden.

Erstellung eines Reaktionsplans für Zwischenfälle

Erstellen Sie einen Plan für den Fall, dass Ihre Organisation von Rhysida kompromittiert wird. Identifizieren Sie wichtige Teammitglieder und Rollen und erstellen Sie einen schrittweisen Prozess zur Erkennung, Eindämmung und Behebung von Vorfällen.

Fügen Sie einen Kommunikationsplan hinzu. Berlin wurde dafür kritisiert, in den ersten zwei Wochen so wenig gesagt zu haben, und das Informationsvakuum wurde durch die Behauptungen der Angreifer auf deren eigener Leak-Site gefüllt.

Sie sind dran

Rhysida wird Qilin oder Akira beim Volumen nicht übertreffen, und das versucht es auch gar nicht. Es hat es auf Organisationen abgesehen, die nicht im Verborgenen verhandeln können, und hat nun bewiesen, dass es eine europäische Landesregierung erreichen kann.

Die gute Nachricht ist, dass die Angriffskette früh gestoppt werden kann. MFA für jeden externen Dienst, Transparenz über Ihre exponierten Assets und die Überwachung bereits geleakter Zugangsdaten schließen die Tür, durch die Rhysida am häufigsten geht.

Mit den richtigen Kontrollen und Werkzeugen wie CybelAngel vor Ort können Sie Ihre Exposition finden, bevor es die Bedrohungsakteure tun.