Die wichtigsten Erkenntnisse
- Der aktualisierte Bundesleitfaden dokumentiert neue Taktiken und Techniken von Medusa sowie mehr als 500 Opfer in kritischen Infrastruktursektoren.
- Angreifer haben es nicht nur auf Produktionsdaten abgesehen, sondern stören auch Backups, das Identitätsmanagement, die Virtualisierung und andere Systeme, auf die Unternehmen für die Recovery angewiesen sind.
- Die Warnmeldung fordert Unternehmen auf, ihre Widerstandsfähigkeit durch Tests und Validierungen anhand beobachteter Angreiferverhalten nachzuweisen und sich nicht allein auf Pläne oder erfolgreiche Sicherungsvorgänge zu verlassen.
Die jüngste Empfehlung der US-Bundesbehörden zur „Medusa“-Ransomware wurde aus gutem Grund aktualisiert:Der Angreifer hat sich verändert.
Die Wiederherstellung in einer isolierten Umgebung verhindert,Aktualisierte Warnung der US-Bundesbehörden, die am 18. August 2026 vom FBI, der Cybersecurity and Infrastructure Security Agency (CISA) und dem US-Gesundheitsministerium (HHS) herausgegeben wurde, beschreibt einen Angreifer, der neue Zugangsmacher rekrutiert, sich nach dem Eindringen schneller bewegt und besser darin geworden ist, sicherzustellen, dass der von ihm verursachte Schaden nicht rückgängig gemacht werden kann.
Der Angriff richtet sich nicht nur gegen Ihre Daten
Die Medusa-Akteure handeln schnell. Ermittler berichten, dass die Medusa-Akteure neu bekannt gewordene Exploits innerhalb von 24 Stunden ausgenutzt haben und in einigen Fällen Exploits bereits bis zu einer Woche vor der öffentlichen Bekanntgabe der Sicherheitslücke eingesetzt haben.
Einmal im System, tarnen sie sich mithilfe legitimer Fernverwaltungs-Tools, durch den Diebstahl von Anmeldedaten und mithilfe von „Living-off-the-Land“-Techniken.
Die wichtigste Erkenntnis aus dem Sicherheitshinweis ist jedoch, dassMedusa greift den Recovery-Prozess selbst an.
Der Sicherheitshinweis ordnet diese Aktivität einder MITRE-ATT&CK-Technik T1490 („Inhibit System Recovery“) zu. Er dokumentiert, dass die Ransomware Dienste beendet, die mit Backups, Sicherheit, Datenbanken, Kommunikation, Dateifreigabe und Websites in Verbindung stehen. Zudem löscht sie Schattenkopien, fährt virtuelle Maschinen aus der Ferne herunter und verschlüsselt sie.
Wenn ein Angreifer gezielt die Systeme, Identitäten und die Infrastruktur ins Visier nimmt, die eine Organisation für die Recovery benötigt, geht das Problem über den Datenschutz hinaus und betrifft auch die Cyber-Resilienz und die Cyber-Recovery.
Wo ResOps (Resilience Operations) ins Spiel kommt
ResOps ist kein Synonym für „Backup“. Es handelt sich um eine operative Disziplin, die Sicherheit, IT, Infrastruktur, Anwendungen, Betrieb und das Geschäft auf ein gemeinsames Ziel ausrichtet: kritische Dienste am Laufen zu halten und sie innerhalb der für das Unternehmen tolerierbaren Zeit wiederherzustellen.
In der Medusa-Empfehlung wird der Begriff „ResOps“ zwar nie verwendet, doch der dahinterstehende Gedanke ist vorhanden. Sie empfiehlt Unternehmen, ihre Sicherheitsprogramme anhand beobachteter Angreiferverhalten zu üben, zu testen und zu validieren, Sicherheitstechnologien an Angriffstechniken anzupassen, sie in großem Maßstab zu testen, die Leistung zu messen und Mitarbeiter, Prozesse und Technologien auf der Grundlage der Erkenntnisse zu optimieren.
Ein Backup beweist nicht, dass es fehlerfrei ist. Ein in einer Tabelle festgelegtes Recovery-Zeitziel beweist nicht, dass der Geschäftsbetrieb innerhalb dieses Zeitfensters weiterläuft. Resilienz muss sich von Annahmen hin zu Belegen entwickeln.
Fangen Sie mit dem Unternehmen an, nicht mit dem Server
Die Einbeziehung des HHS in die Empfehlung macht dies besonders relevant für das Gesundheitswesen – einen Sektor, der laut FBI ein häufiges Ziel von Medusa war. Die Diskussion über Recovery beginnt mit drei Fragen:
- Was muss weiterlaufen, und wie sieht ein minimal funktionsfähiger Betrieb aus?
- Welche Identitäten, Anwendungen, Infrastruktur und Daten unterstützen diese Dienste?
- Welchen Wiederherstellungspunkten können wir vertrauen, und was wird zuerst wiederhergestellt?
In einem Krankenhaus kann die Nichtbeantwortung auch nur einer dieser Fragen zu einer verzögerten Operation, einem Apotheker, der eine Dosierung nicht überprüfen kann, oder einem Diagnosesystem führen, auf das sich ein Arzt nicht verlassen kann. Kein einzelnes Team kann diese Fragen allein beantworten – genau diese Lücke soll ResOps schließen.
Nutzen Sie Medusa, um Ihre Annahmen zu testen
Nutzen Sie Medusa als Testfall für Ihre Annahmen zur Recovery. Kann ein Angreifer auf die Systeme zugreifen, die die Recovery unterstützen? Was passiert, wenn Active Directory kompromittiert wird? Können Sie einen intakten Wiederherstellungspunkt identifizieren, kritische Dienste in der richtigen Reihenfolge wiederherstellen und nachweisen, wie lange dies dauern wird?
Angreifer passen sich an, wenn sich die Verteidiger anpassen. Resilienzprogramme müssen genauso funktionieren: kontinuierlich getestet, kontinuierlich validiert und kontinuierlich verbessert.
Denn mitten in einem Vorfall ist es ein ungünstiger Zeitpunkt, um festzustellen, dass der Recovery-Plan auf dem Papier besser aussah, als er in der Praxis funktioniert.
FAQs
F: Was ist die Ransomware „Medusa“?
A:Medusa ist ein „Ransomware-as-a-Service“-Betrieb, der erstmals im Jahr 2021 identifiziert wurde. Seine Entwickler und Partner wenden ein Modell der doppelten Erpressung an: Sie verschlüsseln Systeme und drohen gleichzeitig mit der Veröffentlichung gestohlener Daten, falls kein Lösegeld gezahlt wird.
F: Warum wurde die „Medusa“-Warnmeldung der US-Bundesbehörden aktualisiert?
A:Die Aktualisierung vom August 2026 berücksichtigt Erkenntnisse aus FBI-Ermittlungen, die bis April 2026 zurückreichen. Sie erweitert die dokumentierten Taktiken, Techniken und Verfahren, die ausgenutzten Schwachstellen, die Aktivitäten der Partner sowie die Indikatoren für eine Kompromittierung und fügt zudem Erkenntnisse des HHS zu Angriffen auf das Gesundheitswesen hinzu.
F: Inwiefern gefährdet „Medusa“ die Recovery-Fähigkeiten einer Organisation?
A:„Medusa“ kann Dienste lahmlegen, die mit Backups, Sicherheit, Datenbanken, Kommunikation und anderen kritischen Funktionen in Verbindung stehen. Darüber hinaus kann die Gruppe Schattenkopien löschen, identitätsbezogene Richtlinien ändern und virtuelle Maschinen herunterfahren oder verschlüsseln, wodurch der Recovery-Prozess selbst gefährdet wird.
F: Was sollten Organisationen tun, um das Medusa-Risiko zu verringern?
A:Unternehmen sollten bekannte Schwachstellen umgehend beheben, Netzwerke segmentieren, den Zugriff auf Remote-Dienste einschränken, die Authentifizierung verstärken, laterale Bewegungen überwachen und das Prinzip der geringsten Berechtigungen anwenden. Außerdem sollten sie separate, offline gespeicherte, verschlüsselte und unveränderliche Recovery-Kopien bereithalten und die Recovery-Abläufe regelmäßig testen.
F: Was ist ResOps und wie unterscheidet es sich von Backups?
A:ResOps, kurz für „Resilience Operations“, ist ein funktionsübergreifender Betriebsansatz – kein Backup-Produkt. Es stimmt Sicherheit, IT, Infrastruktur, Anwendungen, Betrieb, Geschäftskontinuität und Führungskräfte darauf ab, kritische Dienste innerhalb des für das Unternehmen tolerierbaren Ausmaßes an Betriebsunterbrechungen wiederherzustellen.
F: Wie kann ein Unternehmen nachweisen, dass es für die Wiederherstellung bereit ist?
A:Beginnen Sie mit kritischen Geschäftsdiensten, erfassen Sie die Identitäten, Anwendungen, Infrastruktur, Daten, Mitarbeiter und Dritten, von denen diese abhängen, und definieren Sie einen erfolgreichen Recovery-Plan. Führen Sie anschließend realistische Übungen durch, bei denen klare Recovery-Punkte identifiziert, Dienste in der richtigen Reihenfolge wiederhergestellt, die tatsächliche Recovery-Zeit gemessen und etwaige Lücken in ein eigenes Verbesserungs-Backlog aufgenommen werden. Chris Bevilist Principal Portfolio Marketing Manager bei Commvault.