Aktive Crime-Gruppen in Deutschland
Erläuterungen und tabellarische Übersicht
Stand: 23.10.2025
Finanziell motivierte Angreifer zielen auf verschiedensten Wegen auf Vermögenswerte von Betroffenen ab. Von Betrugsmaschen über Diebstahl bis zu Erpressungen beobachtet das BSI tagtäglich neue Angriffskampagnen. Die Erpressung mit Ransomware und Datenleaks stellt dabei nach Einschätzung des BSI gegenwärtig die größte cyberkriminelle Bedrohung für Staat, Wirtschaft und Gesellschaft dar.
In den vergangenen Jahren beobachteten das BSI wie auch nationale und internationale Partner verstärkt sogenanntes Cybercrime-as-a-Service (CCaaS). Dabei werden Bestandteile eines Cyberangriffs an jeweils spezialisierte Angreifergruppen ausgelagert, vergleichbar mit dem Outsourcing von Dienstleistungen. CCaaS erlaubt es einem Angreifer, nahezu jeden Schritt eines Angriffs als Dienstleistung von anderen Cyberkriminellen oder zumindest die dafür notwendige Schadsoftware zu beziehen. Das Bereitstellen von Schadsoftware wird dabei als Malware-as-a-Service (MaaS) bezeichnet. Auf Ransomware spezialisierte MaaS werden Ransomware-as-a-Service (RaaS) genannt.
Angreifer, die Zugänge zu Netzwerken verkaufen, heißen Access Broker und die Dienstleistung Access-as-a-Service (AaaS). Emotet und QakBot waren zwei sehr bekannte Malware-Familien, die wahrscheinlich von Access Brokern eingesetzt wurden. Access Broker zielen darauf ab, sich längerfristig Zugang zu einem Netzwerk zu verschaffen. Dafür laden sie meist über sogenannte Loader weitere Malware nach.
Cyberkriminelle Angreifer werden nach Möglichkeit anhand der eingesetzten Malware und Vorgehensweise in Gruppen zusammengefasst. Folgend werden einige Angreifergruppen hervorgehoben, von denen nach Einschätzung des BSI eine erhöhte Bedrohung für deutsche Organisationen ausgeht. Das BSI beobachtet darüber hinaus weitere Angreifergruppen, die wahrscheinlich auch gegen deutsche Organisationen aktiv sind.
| Gruppenname | Besondere Eigenschaften | Beschreibung |
|---|---|---|
| Frozen Spider (aka White Kali) |
|
|
| Graceful Spider (aka ATK103, Chimborazo, DEV-0950, Dudear, FIN11, G0092, Gold Tahoe, Hive0065, Lace Tempest, SectorJ04, Spandex Tempest, TA505, White Austaras) |
|
|
| Honey Spider | ||
| Lunar Spider (aka Gold Swathmore, White Khione) |
| |
| Punk Spider (aka White Lilith) |
| |
| Recess Spider (aka White Peryton) |
|
|
| Scattered Spider (aka 0ktapus, Dev0671, Dev0875, Dev0971, Muddled Libra, Octo Tempest, Oktapus, Roasted 0ktapus, Scatter Swine, Scattered Swine, StarFraud, Storm-0875, UNC3944, White Dev 146) |
|
|
| Traveling Spider (aka Gold Mansard, White Imp) | ||
| Vice Spider (aka White Nefas, DEV-0832, Vanilla Tempest, Vice Society) |
| |
| White Dragon (aka Slippery Scorpius) |
|
|
| White Fenrir |
|
|
| White Kore |
|
|
| White Veles (aka DEV-0504, Velvet Tempest) |
|
|
| White Yama |
|
|
| N/A |
|
Fussnoten:
1 Als zugangsbeschränkte MaaS werden diejenigen MaaS bezeichnet, welche offen um neue Affiliates werben und Affiliates zum Beispiel einen Bewerbungsprozess durchlaufen lassen, bevor diese Zugriff auf den Service erhalten.
2 Als geschlossene MaaS werden diejenigen MaaS bezeichnet, welche nicht offen um neue Affiliates werben. Der Service steht einer beschränkten Gruppe an Affiliates zur Verfügung und neue Affiliates kommen eher durch Einladungen hinzu.
Leak-Geschädigten-Statistik:
Seit 2021 gehen Ransomware-Angriffe in der Regel mit einem Datenleak einher. Die kombinierte Erpressung mit Datenverschlüsselung durch Ransomware und Datenveröffentlichung durch Datenleaks wird als Double Extortion bezeichnet. Das BSI beobachtet sogenannte Leak-Seiten, auf denen Angreifer die Namen und die erbeuteten Daten von Geschädigten ihrer Ransomware-Angriffe veröffentlichen, wenn diese der Cybererpressung nicht nachgeben.
Über diese Leak-Seiten lassen sich also mutmaßlich Geschädigte erfassen, denen mit der Veröffentlichung ihrer Daten gedroht wurde. Die Leak-Geschädigten-Statistik ist insoweit keine Statistik über Ransomware-Angriffe, sondern über Geschädigte von Schweigegeld-Erpressungen. Daher wird auch von mutmaßlichen Geschädigten gesprochen, denn die Nennung auf einer Leak-Seite unter Kontrolle eines Angreifers bedeutet nicht zwingend, dass es tatsächlich auch zu einem Angriff kam. In einigen Fällen nennen Angreifer Namen auch nur zum Zwecke der Erpressung, ohne dass tatsächlich ein Angriff stattgefunden hat.
Mit der Beobachtung von Leak-Seiten wird nur ein Teil der Ransomware-Geschädigten erfasst. So werden in der Regel nur diejenigen Organisationen auf Leak-Seiten genannt und veröffentlicht, die die Zahlung eines Löse- oder Schweigegelds verweigern. Auch verwenden nicht alle Ransomware-Angreifer eine Leak-Seite. Ein großes Dunkelfeld an Ransomware-Geschädigten verbleibt daher. Deshalb gibt diese Erfassung auch keinen Aufschluss darüber, wie viele der tatsächlichen Geschädigten sich zur Zahlung eines Löse- oder Schweigegeldes entscheiden. Zudem gibt der Zeitpunkt der Veröffentlichung keinen Aufschluss über den Zeitpunkt des Ransomware-Angriffs, der bereits lange zuvor stattgefunden haben kann. Die Kategorisierung der so erfassten mutmaßlich Geschädigten nach Ländern ist darüber hinaus nur eine Annäherung, da sie in der Regel nach dem Standort der Hauptniederlassung des mutmaßlich Geschädigten erfolgt. Das angegriffene Netzwerksegment kann sich daher insbesondere bei global agierenden Unternehmen auch in anderen Teilen der Welt befunden haben.
Die Indizes aus der Abbildung messen das Nennen von mutmaßlich Geschädigten auf Leak-Seiten. Dabei wird der Durchschnitt des Jahres 2021 als Grundlage herangezogen.
