LockBit 5.0 ist zurück in Europas Ransomware-Top-Fünf

LockBit 5.0 ist wieder aktiv und zurück in der Top-Riege der europäischen Ransomware-Aktivität. Im August 2026 veröffentlichte Forschung zählte 1.115 Ransomware-Angriffe in ganz Europa im ersten Halbjahr, ein Anstieg von 29 Prozent gegenüber demselben Zeitraum 2025, und stufte LockBit 5.0 wieder unter die fünf aktivsten Gruppen ein.

Dieser verifizierte Trend zählt mehr als jeder einzelne Ausschlag auf einer Leak-Site. Ransomware-Opferseiten sind Behauptungen der Angreifer, keine geprüften Vorfallsberichte, weshalb wöchentliche Zahlen sich schnell bewegen können und mit Vorsicht behandelt werden sollten. Die härtere Tatsache ist, dass eine Ransomware-Operation, die einer der sichtbarsten internationalen Strafverfolgungsmaßnahmen der letzten Jahre unterworfen war, es geschafft hat, genug Aktivität wiederaufzubauen, um erneut relevant zu sein.

Für Infrastruktur-Teams verändert das die Planungsannahme. Eine Zerschlagung kann einem Ransomware-Ökosystem schaden, ohne das zugrunde liegende Geschäftsmodell, die Affiliates, Access Broker, das Malware-Know-how oder die finanziellen Anreize zu beseitigen, die es erfolgreich gemacht haben.

Wie aktiv ist LockBit 5.0 2026 in Europa?

Die aktualisierte europäische Ransomware-Forschung von TicTac Cyber Security verzeichnete 1.115 Angriffe im ersten Halbjahr 2026, ein Anstieg von 29 Prozent gegenüber demselben Zeitraum 2025. Deutschland führte die Länderliste mit 229 erfassten Angriffen an, gefolgt vom Vereinigten Königreich mit 202, Frankreich mit 133, Italien mit 126 und Spanien mit 98.

Innerhalb dieses breiteren Marktes war LockBit 5.0 wieder unter den fünf aktivsten Gruppen, nachdem die Aktivität nach der vorherigen Zerschlagung stark eingebrochen war. Diese Position ist bedeutsamer als eine dramatische Ein-Wochen-Zahl, weil sie Beständigkeit über ein längeres Messfenster zeigt.

Ein separater Live-Feed von Proven Data zeigte bis zum 17. August 2026 Hunderte öffentliche LockBit-Opferbekenntnisse. Diese Zahlen sollten nicht mit bestätigten erfolgreichen Verschlüsselungen verwechselt werden. Leak-Sites sind Teil der Erpressungsinfrastruktur, und ein Bekenntnis kann gestohlene Daten, eine Kompromittierung mit begrenzter Auswirkung, eine Verhandlungstaktik oder ein umstrittenes Ereignis darstellen.

Das Signal, das in die Risikoplanung einfließen sollte, ist die Richtung. LockBit verfügt über genug aktuelle Aktivität, Tooling und Affiliate-Beteiligung, um für europäische Verteidiger relevant zu bleiben.

Hat Operation Cronos LockBit 2024 nicht schon erledigt?

Operation Cronos schadete LockBit ernsthaft, eliminierte die Operation aber nicht dauerhaft. Im Februar 2024 übernahm eine internationale Strafverfolgungsaktion unter Führung der britischen National Crime Agency die Kontrolle über LockBit-Dienste und -Infrastruktur. Europol bezeichnete die Aktion als bedeutende Zerschlagung einer der schädlichsten Ransomware-Operationen der Welt.

Die Intervention legte Infrastruktur offen, unterstützte Festnahmen und Sanktionen und verschaffte Strafverfolgungsbehörden Zugriff auf Entschlüsselungsmaterial, das Opfern helfen konnte. Die NCA erklärte, LockBit sei im Vorjahr für ein Viertel aller Ransomware-Angriffe verantwortlich gewesen, was erklärt, warum die Operation eine derart aggressive internationale Reaktion erhielt.

Aber Ransomware-as-a-Service ist auf Verteilung ausgelegt. Kern-Entwickler pflegen Malware und Infrastruktur, während Affiliates sich Zugang zu Opfern verschaffen und Kompromittierungen durchführen. Initial Access Broker, gestohlene Zugangsdaten, Phishing-Crews und andere kriminelle Dienstleistungen können überleben, selbst wenn die zentralen Server einer Marke beschlagnahmt werden.

Das macht eine Zerschlagung wertvoll, aber unvollständig. Sie erhöht die Kosten, zerstört Vertrauen, verbrennt Infrastruktur, deckt Identitäten auf und kann Affiliates abschrecken. Was sie nicht garantieren kann, ist, dass jeder fähige Operator, jeder Kunde, jede Zugangsdatenquelle und jede Codebasis im selben Moment verschwindet.

Was hat sich mit LockBit 5.0 geändert?

LockBit 5.0 stellt einen weiteren Versuch dar, die Ransomware-Plattform rund um neueres Tooling und breitere Betriebssystemabdeckung wieder aufzubauen. Aktuelle technische Analysen beschreiben separate Varianten für Windows, Linux und VMware ESXi, die Affiliates Optionen über klassische Endpunkte und virtuelle Infrastruktur hinweg geben.

Plattformübergreifende Fähigkeiten sind wichtig, weil moderne Rechenzentren selten eine einzige saubere Betriebssystemgrenze haben. Eine Windows-Domäne authentifiziert vielleicht Nutzer, Linux-Hosts führen vielleicht Anwendungen aus, und ESXi hält vielleicht die virtuellen Maschinen unter beidem. Malware, die über diese Schichten hinweg operieren kann, gibt einem Angreifer mehr Möglichkeiten, eine einzelne Identitätskompromittierung in eine breite operative Störung zu verwandeln.

Technische Berichte beschreiben außerdem Defense-Evasion-Funktionen, die Sichtbarkeit reduzieren und Security-Tooling stören sollen. Die Details werden sich weiter ändern, weshalb Verteidiger vermeiden sollten, einen Plan um eine einzige statische Malware-Signatur herum aufzubauen. Bis eine Ransomware-Payload mit dem Verschlüsseln beginnt, sind die wertvollsten Verteidigungsmöglichkeiten möglicherweise schon verstrichen.

Die bessere Strategie besteht darin, die vorausgehenden Schritte zu erkennen: verdächtigen Fernzugriff, neue privilegierte Konten, Credential Dumping, laterale Bewegung, ungewöhnliche Archiverstellung, Manipulation an Backups, Massenzugriffe auf Dateien und unerwartete Verbindungen zwischen Management-Systemen.

Warum ist plattformübergreifende Ransomware für Virtualisierungsteams wichtig?

Virtualisierung konzentriert Risiko. Ein einzelner Hypervisor oder eine einzelne Management-Ebene kann Dutzende oder Hunderte Workloads hosten, sodass ein Angreifer, der diese Schicht erreicht, einen viel größeren Explosionsradius erzeugen kann als ein Angreifer, der einen gewöhnlichen Server kompromittiert.

Das bedeutet nicht, dass jede LockBit-5.0-Kompromittierung automatisch den Hypervisor erreicht. Es bedeutet, dass das Recovery-Design davon ausgehen sollte, dass der Angreifer es versuchen könnte. Virtualisierungs-Zugangsdaten, Backup-Zugangsdaten, Storage-Administration und Verzeichnisberechtigungen sollten nicht zu einer einzigen gemeinsamen administrativen Identität zusammenfallen.

Das ist besonders wichtig während Migrationen und Plattform-Konsolidierung. Teams, die von VMware wegziehen, Proxmox ausbauen oder mehrere Hypervisoren mischen, erstellen oft temporäre Konten und breite Netzwerkregeln, um den Übergang zu erleichtern. Temporärer Zugriff neigt dazu, dauerhaft zu werden, und Ransomware-Operatoren profitieren genau von dieser Art von vergessenem Vertrauen.

Mr.PlanBs Proxmox-Backup-Vergleich ist hier hilfreich, weil die Backup-Architektur mit der Failure Domain des Hypervisors im Hinterkopf gewählt werden sollte. Ein Backup-Server, der dieselben Zugangsdaten und denselben administrativen Pfad wie die Produktion teilt, mag einfacher zu betreiben sein, ist aber auch leichter in derselben Kompromittierung zu verlieren.

Was sollten Backup-Teams über eine LockBit-Kompromittierung annehmen?

Gehen Sie davon aus, dass der Angreifer vor der Verschlüsselungsphase nach Recovery-Infrastruktur sucht. Moderne Ransomware-Operationen verdienen mehr Geld, wenn dem Opfer weniger saubere Optionen bleiben, weshalb Backup-Konsolen, Hypervisor-Manager, Storage-Arrays, Domain-Administratoren und Replikationssysteme naheliegende Ziele sind.

Das bedeutet, dass Recovery-Kontrollen für einen Angreifer bewusst unbequem sein sollten. Getrennte Zugangsdaten, isolierte Management-Pfade, unveränderliche oder Offline-Kopien, geschützte Aufbewahrungsfristen, Multi-Faktor-Authentifizierung und eingeschränkte Löschrechte reduzieren allesamt die Wahrscheinlichkeit, dass eine gestohlene administrative Sitzung den gesamten Recovery-Plan auslöschen kann.

Die DeadLock-Recovery-Analyse kommt aus einer anderen Ransomware-Familie zum selben praktischen Punkt: Backups zählen dann, wenn sie unabhängig von dem Ausfall bleiben, der die Produktion zerstört. Der Produktname spielt eine geringere Rolle als die Trennung.

Testen ist ebenso wichtig. Stellen Sie einen repräsentativen Workload in einem isolierten Netzwerk wieder her. Messen Sie, wie lange das dauert. Überprüfen Sie die Anwendungskonsistenz, nicht nur den VM-Boot. Bestätigen Sie, dass DNS, Zertifikate, Secrets und Datenbanken wiederhergestellt werden können, ohne auf eine kompromittierte Produktionsumgebung zurückgreifen zu müssen.

Was sagt das europäische Ransomware-Wachstum über Verteidigungsprioritäten aus?

Die Zahlen für das erste Halbjahr 2026 legen nahe, dass Organisationen Ransomware als wiederkehrendes operatives Risiko planen sollten, nicht als Ausnahmeereignis. Das verarbeitende Gewerbe blieb in der europäischen Studie einer der am stärksten angegriffenen Sektoren, dicht gefolgt von Business Services. Das sind Umgebungen, in denen Ausfallzeiten schnell teuer werden und in denen Angreifer Opfer sowohl über Verschlüsselung als auch über gestohlene Daten unter Druck setzen können.

Die Konzentration in den großen europäischen Volkswirtschaften ist auch für Zulieferer relevant. Ein Unternehmen muss kein berühmtes Großunternehmen sein, um im Explosionsradius zu sitzen. Kleinere Engineering-Firmen, Logistikanbieter, MSPs, Softwarehersteller und Dienstleistungsunternehmen können privilegierten Zugriff oder sensible Informationen von viel größeren Kunden besitzen.

Deshalb sollten Sicherheitsüberprüfungen den Fernzugriff und die Dienstkonten von Drittanbietern einschließen. Eine Backup-Plattform kann perfekt gehärtet sein, während die Zugangsdaten eines Zulieferers trotzdem den Weg in die Produktion öffnen. Recovery-Planung muss die Identitäts- und Netzwerkbeziehungen berücksichtigen, die Organisationen verbinden, nicht nur das lokale Server-Inventar.

Was würde ich nach dem Comeback von LockBit ändern?

Ich würde eine Umgebung nicht speziell um LockBit 5.0 herum neu gestalten. Ich würde sein Comeback als Beweis dafür nutzen, dass sich Ransomware-Marken und Affiliate-Ökosysteme nach einer großen Zerschlagung erholen können, und dann Kontrollen widerstandsfähig gegen diese Realität machen.

Die erste Priorität wäre administrative Trennung. Hypervisoren, Backups, Identitätssysteme und Storage sollten nicht alle demselben Konto-Pfad vertrauen. Die zweite wäre getestete Wiederherstellung aus einer Kopie, die ein Angreifer nicht einfach so löschen kann. Die dritte wäre Sichtbarkeit in das Verhalten vor der Verschlüsselung, auf das Ransomware-Affiliates angewiesen sind, besonders Credential-Missbrauch und laterale Bewegung.

Wenn diese Kontrollen bereits existieren, testen Sie sie weiter. Wenn nicht, ist das Comeback von LockBit eine nützliche Deadline. Strafverfolgungsbehörden können kriminelle Infrastruktur zerschlagen, Sicherheitsanbieter können Payloads erkennen, und Patches können einzelne Schwachstellen schließen. Ihre Recovery-Architektur muss trotzdem an dem Tag funktionieren, an dem der Angreifer an allen dreien vorbeikommt.