Infostealer-Malware: Wie gestohlene Zugangsdaten Ransomware-Angriffe auf KMU ermöglichen
Ransomware-Angriffe beginnen immer seltener mit einem technischen Exploit. In der Mehrzahl der Fälle nutzen Angreifer Zugangsdaten, die Wochen oder Monate zuvor durch Infostealer-Malware gestohlen wurden. Allein im ersten Halbjahr 2026 wurden weltweit 1,7 Milliarden Zugangsdaten durch Infostealer erbeutet – und der deutsche Mittelstand steht im Fokus.
Was ist ein Infostealer?
Ein Infostealer ist eine Schadsoftware, die sich unbemerkt auf einem Endgerät einnistet und systematisch vertrauliche Daten abgreift: gespeicherte Passwörter aus Browsern, Session-Cookies, VPN-Tokens, Autofill-Daten, Krypto-Wallets und teilweise sogar Screenshots. Die gesammelten Daten werden als sogenannte „Logs“ an Command-and-Control-Server übermittelt und anschließend im Darknet verkauft.
Im Unterschied zu herkömmlicher Malware verursacht ein Infostealer keinen unmittelbar sichtbaren Schaden. Er verschlüsselt keine Dateien, sperrt keinen Bildschirm und verlangt kein Lösegeld. Genau das macht ihn so gefährlich: Die Infektion bleibt oft wochen- oder monatelang unentdeckt – bis die gestohlenen Zugangsdaten für einen Ransomware-Angriff genutzt werden.
Die Angriffskette: Vom gestohlenen Passwort zum verschlüsselten Netzwerk
Moderne Ransomware-Angriffe folgen einem arbeitsteiligen Geschäftsmodell mit klar getrennten Rollen:
So funktioniert die Infostealer-Ransomware-Pipeline
Phase 1 – Infektion: Ein Mitarbeiter lädt eine manipulierte Datei herunter – etwa über eine gefälschte Software-Seite, einen Crack, ein manipuliertes PDF oder einen KI-generierten Phishing-Anhang. Der Infostealer (z. B. LummaC2, StealC oder Vidar) installiert sich unauffällig und extrahiert Browser-Passwörter, Cookies und VPN-Tokens.
Phase 2 – Datenhandel: Innerhalb von 48 Stunden landen die gestohlenen Zugangsdaten als „Logs“ auf Darknet-Marktplätzen. Initial Access Broker (IABs) kaufen diese Logs in großen Mengen, filtern nach Unternehmens-VPN, SSO- oder Cloud-Admin-Zugängen und prüfen, ob die Credentials noch funktionieren.
Phase 3 – Zugangsverkauf: Validierte Unternehmenszugänge werden an Ransomware-Affiliates weiterverkauft – je nach Branche und Rechte-Level für 500 bis 5.000 Dollar.
Phase 4 – Ransomware-Angriff: Der Affiliate nutzt die gekauften Zugangsdaten, bewegt sich lateral im Netzwerk, exfiltriert Daten und verschlüsselt Systeme. Zwischen dem Kauf der Credentials und dem Angriff vergehen im Schnitt nur sieben Tage.
Warum KMU besonders betroffen sind
Laut BSI-Lagebericht richten sich rund 80 Prozent aller registrierten Ransomware-Angriffe in Deutschland gegen kleine und mittlere Unternehmen. Die Gründe liegen auf der Hand:
Viele KMU setzen keine Endpoint-Detection-and-Response-Lösungen (EDR) ein, die Infostealer-Aktivitäten erkennen würden. Gespeicherte Passwörter in Browsern werden nicht durch einen Passwort-Manager ersetzt. Multi-Faktor-Authentifizierung (MFA) fehlt an kritischen Systemen oder wird nur auf dem Papier umgesetzt. Und die wenigsten Mittelständler überwachen, ob Unternehmens-Credentials auf Darknet-Marktplätzen auftauchen.
Reales Szenario: Infostealer auf dem Privat-Laptop
Ein Mitarbeiter installiert auf seinem privaten Laptop ein kostenloses Tool von einer dubiosen Download-Seite. Im Hintergrund installiert sich ein Infostealer und liest alle gespeicherten Browser-Passwörter aus – darunter die VPN-Zugangsdaten zum Firmennetzwerk. Sechs Wochen später loggt sich ein Ransomware-Affiliate mit genau diesen Credentials ein, exfiltriert 200 GB Kundendaten und verschlüsselt die Server. Das Unternehmen erfährt erst durch die Lösegeldforderung von der Infektion – und muss zusätzlich einen NIS2-Sicherheitsvorfall innerhalb von 24 Stunden melden.
Die vier gefährlichsten Infostealer-Familien 2026
| Infostealer | Verbreitungsweg | Besonderheit |
|---|---|---|
| LummaC2 | Fake-CAPTCHA-Seiten, SEO Poisoning | Marktführer, umgeht Browser-Schutz |
| StealC | Software-Cracks, Malvertising | Leichtgewichtig, schwer zu erkennen |
| Vidar | Phishing-Mails, Telegram-Gruppen | Stiehlt auch Krypto-Wallets |
| ACRStealer | Gefälschte Installer | Nutzt Dead-Drop-Resolver, schwer zu blocken |
NIS2-Relevanz: Warum Infostealer ein Compliance-Problem sind
Das seit Dezember 2025 geltende NIS2-Umsetzungsgesetz fordert in § 30 BSIG unter anderem ein wirksames Risikomanagement, Zugangskontrolle und Incident Detection. Infostealer-Infektionen treffen genau diese Anforderungen:
Zugangskontrolle (§ 30 Abs. 2 Nr. 9 BSIG): Wer keine Kontrolle über die Verteilung von Zugangsdaten hat, verstößt gegen die Mindestanforderungen. Vorfallserkennung (§ 30 Abs. 2 Nr. 2 BSIG): Wenn ein Infostealer wochenlang unentdeckt Daten abgreift, fehlt es an ausreichenden Erkennungsmechanismen. Meldepflicht (§ 32 BSIG): Wird ein durch gestohlene Credentials ermöglichter Angriff entdeckt, muss innerhalb von 24 Stunden eine Erstmeldung an das BSI erfolgen.
Für die persönlich haftende Geschäftsführung bedeutet das: Werden keine angemessenen Maßnahmen gegen Credential-Diebstahl getroffen, drohen Bußgelder bis 10 Millionen Euro und persönliche Haftung.
Schutzmaßnahmen: Was KMU jetzt tun sollten
Sieben Sofortmaßnahmen gegen Infostealer
- Passwort-Manager einführen: Browser-Passwörter durch einen Enterprise-Passwort-Manager ersetzen. Infostealer können Browser-Speicher auslesen, aber keine verschlüsselten Passwort-Tresore.
- MFA überall aktivieren: Phishing-resistente MFA (FIDO2/WebAuthn) für VPN, E-Mail, Cloud-Dienste und Admin-Zugänge. Selbst wenn Passwörter gestohlen werden, verhindert MFA den Zugang.
- EDR auf allen Endpoints: Moderne Endpoint-Detection-Lösungen erkennen Infostealer-typisches Verhalten – etwa das Auslesen von Browser-Datenbanken oder verdächtige Netzwerkverbindungen.
- Darknet-Monitoring einrichten: Dienste wie Have I Been Pwned oder spezialisierte Threat-Intelligence-Anbieter prüfen, ob Unternehmens-Credentials in geleakten Datenbanken auftauchen.
- Browser-Richtlinien durchsetzen: Per Gruppenrichtlinie das Speichern von Passwörtern im Browser deaktivieren und Downloads aus unsicheren Quellen einschränken.
- Netzwerksegmentierung: Selbst wenn ein Angreifer mit gestohlenen VPN-Credentials ins Netz kommt, begrenzt Segmentierung den Bewegungsradius.
- Regelmäßige Schwachstellenscans: Externe Scans decken exponierte Dienste und veraltete Software auf, bevor Angreifer sie finden.
Fazit: Infostealer sind die Eintrittskarte für Ransomware
Die Bedrohung durch Infostealer-Malware wird von vielen KMU unterschätzt – weil sie keinen sofort sichtbaren Schaden anrichtet. Doch genau das macht sie so effektiv: Der eigentliche Angriff erfolgt Wochen später, durch andere Akteure, mit gültigen Zugangsdaten. Wer als Unternehmen nur auf Firewalls und Antivirus setzt, übersieht den gefährlichsten Angriffsvektor 2026.
Die gute Nachricht: Mit Passwort-Managern, phishing-resistenter MFA, EDR und Darknet-Monitoring lässt sich das Risiko drastisch reduzieren – pragmatisch und auch für kleinere Unternehmen umsetzbar. Die IT-Security-Beratung von TSMONDO unterstützt KMU bei der Umsetzung – von der Risikoanalyse bis zur NIS2-konformen Dokumentation.
Sind Ihre Zugangsdaten bereits kompromittiert?
TSMONDO prüft für Sie, ob Unternehmens-Credentials im Darknet kursieren, und entwickelt einen maßgeschneiderten Schutzplan gegen Infostealer und Ransomware – NIS2-konform und pragmatisch.
NIS-2 jetzt umsetzen – mit klarem Fahrplan
Zwei nächste Schritte für Ihre NIS-2-Umsetzung:
→ NIS-2-Reifegrad-Check für 499 EUR – vollständige Erstanalyse Ihrer Betroffenheit, Pflichten und Umsetzungslücken, geliefert in 5–7 Werktagen.
→ NIS-2-Umsetzungs-Beratung – konkrete Umsetzungsbegleitung mit ISO-27001-Mapping, ISMS-Aufbau und GF-Dokumentation.
