Diese Ransomware-Hacker hielten ihren Code für unknackbar – bis sie merkten, dass sie den Entschlüsselungsschlüssel offenliegen gelassen hatten.

Andere stolpern über die Art von Fehler, bei der selbst Expertinnen und Experten ungläubig die Augen reiben.

Im Fall des Kollektivs CyberVolk kollidierte eine professionell aufgezogene Ransomware-Kampagne mit einer simplen, nahezu absurden Nachlässigkeit: Ein Master-Entschlüsselungsschlüssel blieb offen liegen und verschaffte einigen Opfern einen unerwarteten Ausweg aus einem Albtraum, für dessen Ende sie eigentlich zahlen sollten.

Der Aufstieg von CyberVolk und sein Telegram-gestütztes Ransomware-as-a-Service

CyberVolk trat laut Forschenden, die die Gruppe Ende 2024 zu verfolgen begannen, als politisch motivierte Bedrohungsgruppe in Erscheinung. Das Kollektiv nahm öffentliche Stellen und Institutionen ins Visier und kleidete seine kriminellen Aktivitäten in die Sprache von Ideologie und Geopolitik. Regierungen, regionale Verwaltungen und Behörden standen dabei klar im Fadenkreuz.

Nach einigen ruhigen Monaten tauchte CyberVolk im August 2025 wieder auf – mit einer überarbeiteten Ransomware-Variante namens „VolkLocker“. Diesmal wirkte die Operation deutlich strukturierter. Statt Ziele selbst direkt zu kompromittieren, wechselten die Betreiber auf ein Ransomware-as-a-Service-(RaaS)-Modell und machten ihre Malware faktisch zu einem Franchise für Angreifer mit geringen Fähigkeiten.

Affiliates konnten sich anmelden, ein fertiges Toolkit erhalten und mit minimalem technischem Verständnis Angriffe starten. Das gesamte Rückgrat der Kampagne drehte sich um eine einzige Plattform: Telegram.

Warum Telegram im Zentrum der Operation steht

Telegram, eher als Messaging-App bekannt, fungiert inzwischen zugleich als operativer Kontrollraum für CyberVolk. In privaten Kanälen und Bots zentralisierte die Gruppe nahezu alles:

• Erstellung und Konfiguration schädlicher Payloads
• Auslieferung von Befehlen an infizierte Systeme
• Sammlung von Systeminformationen der Opfer
• Echtzeit-Tracking jeder Infektion und jeder Lösegeldforderung

Affiliates bedienen einfache Menüs statt komplexer Kommandozeilen-Tools. Sie laden Basisdaten hoch, drücken eine Schaltfläche, und Telegram-Bots erzeugen maßgeschneiderte VolkLocker-Samples. Diese Samples melden sich anschließend in demselben Ökosystem zurück und berichten über erfolgreiche Infektionen sowie den Fortschritt der Dateiverschlüsselung.

Ransomware erfordert kein tiefes technisches Talent mehr; sie läuft wie ein On-Demand-Dienst, bei dem eine Gruppe die Maschinerie baut und andere einfach auf „Start“ drücken.

Dieser industrialisierte Ansatz bringt Skalierung – aber auch Fragilität. Je stärker Code neu verpackt, automatisiert und für Nicht-Spezialisten vereinfacht wird, desto leichter schleichen sich subtile Fehler ein, die sich dann breit auswirken.

Der eklatante Fehler: ein einziger geteilter Schlüssel – offen sichtbar

Diese Fragilität zeigte sich drastisch im Design von VolkLocker. Anders als viele moderne Ransomware-Familien, die pro Opfer einen individuellen kryptografischen Schlüssel erzeugen, verwendete VolkLocker einen einzigen Master-Schlüssel, der fest im ausführbaren Programmcode (hardcoded) verankert war.

Aus kryptografischer Sicht wirkt diese Entscheidung bereits leichtsinnig. Ein Geheimnis, das in jedem Sample steckt, kontrolliert den Zugriff auf die Daten aller Opfer. Gelangt dieser Schlüssel in die Hände von Verteidigern, können sie potenziell Dateien in mehreren Fällen wiederherstellen – ohne einen Cent zu zahlen.

Eine temporäre Datei, die nie hätte überleben dürfen

Der Patzer endete nicht beim geteilten Schlüssel. Während der Infektion erstellt VolkLocker eine temporäre Datei auf dem System des Opfers. Diese Datei enthält drei kritische Informationen:

Gespeicherte Daten	Rolle im Angriff
Verschlüsselungsschlüssel	Dient zum Sperren und Entsperren der Dateien des Opfers
Eindeutige Opferkennung	Ermöglicht den Betreibern, ein System dem passenden Erpressungsfall zuzuordnen
Bitcoin-Adresse	Ziel-Wallet für die Lösegeldzahlung

Theoretisch kann eine solche Datei in internen Tests helfen. Entwickler können prüfen, ob der richtige Schlüssel und die richtige Zahlungsadresse genutzt werden, oder Probleme während der Verschlüsselung debuggen. In einer Produktionsversion, die über das Internet verteilt wird, dürfte eine solche Datei niemals im Klartext existieren.

In VolkLocker blieb sie jedoch erhalten:

Die Ransomware speicherte ihre Kronjuwelen – den Entschlüsselungsschlüssel und Zahlungsdetails – in einer einfachen, ungeschützten Datei auf dem Rechner des Opfers und räumte sie nie weg.

Keine Verschlüsselung der Datei. Keine Verschleierung. Keine automatische Löschung nach der Nutzung. Wenn Incident-Responder früh genug Zugriff auf das System erhalten und wissen, wo sie suchen müssen, können sie den Schlüssel sichern und Daten wiederherstellen, ohne je Kontakt zu CyberVolk aufzunehmen.

Forschende vermuten, dass CyberVolk diese Funktion während der Entwicklung hinzufügte, um Tests zu beschleunigen. Als die Malware von Labor-Builds zu „Live“-Versionen wechselte, blieb diese Testfunktion im Code. Affiliates verbreiteten dann diese halbfertige Variante in großem Maßstab – vermutlich ohne zu verstehen, wie stark sie die gesamte Operation untergrub.

Warum das nicht automatisch jedes Opfer rettet

Solche Geschichten klingen fast tröstlich: inkompetente Kriminelle, kostenlose Entschlüsselung, und das Gefühl, dass die Bösen sich manchmal selbst ins Knie schießen. Die Realität ist weniger ordentlich.

Zunächst kann die temporäre Schlüsseldatei verschwinden:

• Automatisierte Cleanup-Tools können sie bei Routinewartung löschen.
• Nutzerinnen und Nutzer könnten Software neu installieren oder verdächtige Dateien entfernen.
• Nachfolgende Malware oder IT-Maßnahmen können relevante Ordner überschreiben.

Timing ist entscheidend. Incident-Responder müssen das System erreichen, solange Spuren noch intakt sind. Selbst bei erfolgreicher Schlüsselwiederherstellung gelingt die Datenrettung nicht immer. Teilverschlüsselung, beschädigte Dateien oder unterbrochene Prozesse können weiterhin dauerhafte Schäden verursachen.

VolkLocker setzt auf Windows-Systemen zudem vergleichsweise fortgeschrittene Techniken ein. Es versucht Rechteausweitung (Privilege Escalation), umgeht User-Account-Control-Abfragen und nimmt zuerst hochwertige Daten ins Visier: Datenbanken, freigegebene Dokumente, Archive und laufende Projektordner. Viele Betroffene erleben Betriebsunterbrechungen, lange bevor jemand Zeit hat, in obskuren temporären Verzeichnissen nach einem Glückstreffer zu suchen.

Ein sichtbarer Schlüssel kann helfen, aber er macht nicht rückgängig, dass ein Angreifer Code mit erweiterten Rechten auf dem System – und womöglich im Netzwerk – ausgeführt hat.

Sobald ein Ransomware-Prozess läuft, darf Incident Response nicht bei der Dateiwiederherstellung enden. Teams müssen weiterhin:

• infizierte Endpunkte vom Netzwerk isolieren,
• auf zusätzliche Backdoors oder Credential-Theft prüfen,
• Administratorkonten und Remote-Access-Tools auditieren,
• verifizieren, dass Backups nicht manipuliert wurden.

Der CyberVolk-Fall zeigt, dass selbst fehlerhafte Malware Organisationen lahmlegen kann, wenn Monitoring, Schulungen und grundlegende Segmentierung kritischer Systeme fehlen.

Ransomware-as-a-Service: Kriminalität als Franchise für Einsteiger

Das Design von VolkLocker spiegelt einen breiteren Trend wider: Cyberkriminalität bewegt sich in Richtung Abomodell. Betreiber stellen Infrastruktur, Malware-Builds, Zahlungsabwicklung und teils sogar „Support“-Kanäle bereit. Affiliates liefern Opfer und erhalten einen Anteil jedes gezahlten Lösegelds.

Diese Struktur verändert die Bedrohungslage auf mehrere Arten:

• Personen mit wenig technischem Hintergrund erhalten Zugriff auf professionelle Werkzeuge.
• Kampagnen werden schwerer zuzuordnen, weil viele unterschiedliche Akteure dieselbe Kern-Malware nutzen.
• Entwicklungsteams optimieren auf Bedienkomfort statt Sicherheit oder Robustheit, was gelegentlich zu Fehlern wie dem VolkLocker-Schlüsselleck führt.

Für Verteidiger bedeutet das: mehr Rauschen, mehr Varianten im Angriffsverhalten und schnellere Wiederverwendung von Schwachstellen. Eine in einer Kampagne entdeckte Schwäche kann rasch in anderen auftauchen – und das gilt ebenso für erfolgreiche Taktiken.

Wie Organisationen diesen Fehler als Lernmoment nutzen können

CyberVolks Patzer bietet ein seltenes Zeitfenster, in dem Verteidiger einmal Glück haben. Zugleich unterstreicht er praktische Schritte, die auch dann helfen, wenn Angreifer nicht so spektakulär stolpern.

Bereitschaft stärken, bevor die Lösegeldnotiz auftaucht

Mehrere Maßnahmen, die Incident-Responder immer wieder betonen, zeigen hier ihren Wert:

• Regelmäßige, offline Backups: Vom Hauptnetz getrennte Backups reduzieren den Druck zu zahlen.
• Logging und Aufbewahrung: Detaillierte Logs helfen Ermittlern, Artefakte wie temporäre Schlüsseldateien zu finden.
• Netzwerksegmentierung: Die Trennung kritischer Systeme begrenzt die Ausbreitung der Verschlüsselung.
• Playbooks und Übungen: Vorab definierte Schritte beschleunigen die Suche nach Entschlüsselungsmöglichkeiten.

In einem Szenario wie bei VolkLocker hat eine Organisation, die betroffene Maschinen schnell snapshotten und Spezialisten übergeben kann, deutlich bessere Chancen, eine entdeckte Schwäche zu nutzen, bevor sie verschwindet.

Was dieser Fall über Kryptografie und „perfekte“ Ransomware verrät

Aus kryptografischer Perspektive stellt die CyberVolk-Geschichte auch ein gängiges Narrativ infrage. Viele Erpressernachrichten behaupten „militärtaugliche“ Verschlüsselung, die „nicht gebrochen werden kann“. Algorithmen wie AES machen bei korrekter Implementierung – mit pro Opfer individuellen Schlüsseln und sicherer Schlüsselablage – Brute-Force-Entschlüsselung praktisch unmöglich.

Die Schwachstelle liegt selten im Algorithmus selbst. Sie zeigt sich in:

• Abkürzungen beim Schlüsselmanagement, etwa geteilte oder hardcodierte Schlüssel,
• Debug-Funktionen, die versehentlich in Produktions-Builds landen,
• schlechter Entropie oder vorhersagbarer Zufallszahlengenerierung,
• operativer Schlampigkeit in der Angriffs-Infrastruktur.

VolkLocker verkörpert das: Die zugrunde liegende Kryptografie kann solide sein, doch die praktische Umsetzung leakt Geheimnisse auf eine Weise, die das gesamte Geschäftsmodell bei manchen Infektionen aushebelt. Für Verteidiger ergibt sich daraus eine hilfreiche Perspektive: Die Untersuchung von Malware-Artefakten und Systemspuren zahlt sich manchmal weit mehr aus als reine Kryptoanalyse.

CyberVolks Ausrutscher bedeutet nicht, dass Ransomware an Schwung verliert oder Opfer einfach warten können, bis Hacker Fehler machen. Er zeigt etwas anderes: Der Drang, Cyberkriminalität zu industrialisieren, zu verpacken und in großem Maßstab zu verkaufen, kann Risse erzeugen. Security-Teams, die schnell handeln, forensische Beweise sichern und neugierig bleiben, wie sich jede Variante verhält, haben bessere Chancen, durch diese Risse zu schlüpfen, wenn sie sich öffnen.