EDR-Killer sind keine Neuheit mehr, die nur APT-Gruppen vorbehalten ist. Im ersten Halbjahr 2026 dokumentiert das französische CERT Santé ihren Einsatz als nahezu systematischen Vorbereitungsschritt vor der Bereitstellung von Schadsoftware auf Krankenhaus-Systemen. ESET bestätigt den globalen Trend mit über hundert beobachteten Varianten in realen Angriffen. Dieser Wandel verändert die Infektionskette grundlegend und zwingt dazu, den Schutz der Endgeräte neu zu überdenken.
EDR-Killer: Die Neutralisierung der Abwehr als Voraussetzung für eine Infektion
Das klassische Schema eines Ransomware- oder Trojanerangriffs setzte voraus, dass die Nutzlast das Antivirus oder EDR umgehen musste. Wir beobachten nun eine Umkehrung der Logik: der Angreifer deaktiviert das EDR, bevor er irgendetwas bereitstellt. Die Schadsoftware muss nicht mehr heimlich sein, da sie auf einem System operiert, dessen Erkennungsschicht entfernt wurde.
Lesetipp : Entdecken Sie die neuesten Nachrichten und Gesundheitstipps, um gut für sich zu sorgen
Die Varianten von EDR-Killern nutzen signierte, aber anfällige Windows-Treiber (sogenannte Bring Your Own Vulnerable Driver-Technik). Die bösartige Binärdatei lädt einen legitimen Treiber, erhält Kernel-Zugriff und beendet die Prozesse des Sicherheitsagenten. Der Vorgang dauert nur wenige Sekunden und erzeugt lediglich ein Treiberladeereignis in den Systemprotokollen.
Für die SOC-Teams besteht die Gegenmaßnahme in der Überwachung ungewöhnlicher Treiberladungen, der Härtung der Richtlinie zur Blockierung anfälliger Treiber über die WDAC (Windows Defender Application Control) und dem Einsatz von EDR-Agenten mit Mechanismen zur Selbstschutz im Kernel. Wir veröffentlichen regelmäßig auf den Neuigkeiten von Viruslab technische Analysen dieser Varianten, sobald sie unter realen Bedingungen auftreten.
Auch lesenswert : Entdecken Sie köstliche Rezepte und Tipps, um Ihre Küche im Alltag zu verfeinern
Multi-Vektor-Ransomware: drei Gruppen, drei industrialisierte Methoden
Die dreifache Erpressung (Verschlüsselung, Exfiltration, Drohung mit Dienstverweigerung) ist seit mehreren Jahren dokumentiert. Was sich 2026 ändert, ist die Industrialisierung der Angriffswege durch strukturierte Gruppen, die die Ausnutzung von Zero-Day-Schwachstellen, die Kompromittierung der Software-Lieferkette und die koordinierte Bereitstellung in mehreren Tochtergesellschaften eines Unternehmens kombinieren.
Drei operative Profile stechen hervor:
- Gruppen, die Softwareanbieter für Unternehmensanwendungen ins Visier nehmen, um Updates zu kompromittieren und Hunderte von KMUs im Nachgang zu erreichen, ohne direkte Interaktion mit jedem Opfer.
- Betreiber, die anfängliche Zugänge auf spezialisierten Marktplätzen kaufen und dann innerhalb von weniger als vierundzwanzig Stunden eine Ransomware bereitstellen, wodurch das Zeitfenster für die Erkennung auf fast nichts reduziert wird.
- Partner, die gezieltes Phishing und EDR-Killer kombinieren, um in Netzwerke von Unternehmen im Gesundheits- oder Industriesektor einzudringen, wo die Toleranz für Dienstunterbrechungen minimal ist.
Das Gemeinsame: Jede Gruppe investiert in die Automatisierung. Die Tools für Lateralisierung, Exfiltration und Verschlüsselung werden paketiert, versioniert und wie interne Softwareprodukte verteilt.
Offensive KI und Deepfakes: Phishing verändert sich
Der Einsatz von Sprachmodellen durch Angreifer beschränkt sich nicht mehr auf die Erstellung grammatikalisch korrekter Phishing-E-Mails. Der Bericht Check Point Research AI Security 2026 dokumentiert den Übergang von KI als Assistent zu KI als aktivem Akteur in der Angriffsstrategie.
In der Praxis sehen wir Kampagnen aufkommen, bei denen ein Modell dynamisch den Inhalt der E-Mail basierend auf dem LinkedIn-Profil des Ziels generiert, die Sprache und den Stil anpasst und dann eine präparierte Datei erstellt, deren Name und Aussehen dem Tätigkeitsbereich des angepeilten Unternehmens entsprechen. Die Klickrate dieser Kampagnen übersteigt signifikant die der klassischen Phishing-Kampagnen.
Stimmliche Deepfakes fügen eine zusätzliche Ebene hinzu. Dokumentierte Fälle in Unternehmen zeigen Telefonanrufe, die die Stimme eines Führungskräfte nachahmen, um eine Überweisung zu validieren oder die Installation einer Fernwartungssoftware zu genehmigen. Die Kombination aus synthetischer Stimme und von KI personalisierter E-Mail macht die menschliche Erkennung sehr schwierig.
Technische Gegenmaßnahmen umfassen die Multi-Faktor-Authentifizierung bei finanziellen Validierungen, die Überprüfung außerhalb der Bandbreite (Rückruf unter einer bekannten Nummer) und den Einsatz von Lösungen zur Erkennung von KI-generierten Inhalten an den E-Mail-Gateways.
Quantenbedrohung und digitale Souveränität: Vorbereitung auf die post-quanten Kryptographie
Die Quantenbedrohung für die Cybersicherheit ist kein theoretisches Thema mehr, das nur Laboren vorbehalten ist. Sicherheitsbehörden empfehlen Unternehmen, jetzt mit der Inventarisierung ihrer kryptografischen Vermögenswerte und der Migration zu post-quanten Algorithmen zu beginnen.
Das konkrete Risiko trägt einen Namen: „Jetzt ernten, später entschlüsseln“. Staatliche Akteure sammeln heute verschlüsselte Datenströme (Gesundheitsdaten, industrielle Geheimnisse, diplomatische Kommunikationen) in der Hoffnung, dass ein Quantencomputer in der Lage sein wird, RSA oder elliptische Kurven zu knacken. Für Unternehmen, die mit langfristigen Daten umgehen, verkürzt sich das Zeitfenster für die Migration.
Die post-quanten NIST-Standards (ML-KEM, ML-DSA) werden veröffentlicht. Die Herausforderung für die IT-Abteilungen besteht darin, die kryptografischen Abhängigkeiten in ihren Geschäftsanwendungen, ihren VPNs, ihren TLS-Zertifikaten und ihren elektronischen Signatursystemen zu identifizieren. Ein Audit der Crypto-Agilität ermöglicht es, die Reibungspunkte zu kartieren, bevor die Übergangsplanung erfolgt.
Schutz von KMUs und Homeoffice: Angriffsflächen werden weiterhin unterschätzt
KMUs bleiben die bevorzugten Ziele, da sie begrenzte Sicherheitsbudgets und eine durch Homeoffice erweiterte Angriffsfläche aufweisen. Persönliche Geräte, die über VPN mit dem Unternehmensnetzwerk verbunden sind, stellen einen Eintrittsvektor dar, den Cloud-Lösungen allein nicht abdecken.
Die Schutzmaßnahmen, die in diesem Segment den Unterschied ausmachen:
- Das Netzwerk segmentieren, um Homeoffice-Arbeitsplätze von kritischen Ressourcen zu isolieren, selbst in einem kleinen flachen Netzwerk.
- Eine verwaltete EDR-Lösung anstelle eines klassischen Antivirus bereitstellen, wobei darauf zu achten ist, dass sie einen gegen dokumentierte EDR-Killer resistenten Anti-Tampering-Schutz integriert.
- Die Mitarbeiter speziell zu KI-generierten Phishing-Kampagnen schulen, mit vierteljährlich aktualisierten Simulationsübungen.
- Eine regelmäßig getestete Offline-Backup-Lösung einrichten, die einzige zuverlässige Abwehr gegen eine Ransomware, die das EDR neutralisiert hat.
Das Management digitaler Risiken für kleine Strukturen erfolgt nicht durch die Ansammlung von Tools, sondern durch die Kohärenz zwischen der Sicherheitsrichtlinie und den tatsächlichen Nutzungen der Mitarbeiter. Eine schlecht konfigurierte Firewall schützt weniger als ein korrekt gehärteter Arbeitsplatz mit einem selbstgeschützten EDR.