Thought Leadership
Die Ransomware-Gruppe DragonForce steht unter Verdacht, hinter den jüngsten Angriffen auf britische Handelsketten zu stecken. Ursprünglich mit ideologisch motivierten Aktionen assoziiert, hat sich die Gruppierung mittlerweile zu einem vollwertigen Ransomware-as-a-Service (RaaS)-Anbieter entwickelt.
Dabei lockt sie arbeitslose Hacker und Freiberufler mit einem ungewöhnlich flexiblen Geschäftsmodell an – trotz vergleichsweise niedriger Gewinnbeteiligung.
Komplettpaket für Cyberkriminelle
Statt nur Malware zu liefern, bietet DragonForce ein ganzes Service-Ökosystem:
- Niedrige Gewinnbeteiligung von nur 20 Prozent – deutlich unter dem Branchendurchschnitt, aber attraktiv durch geringe Einstiegshürden
- Vorgefertigte Tools zur Kommunikation mit Opfern
- Verschlüsselte Speicherplätze und Verhandlungsplattformen
- Eine eigene Leak-Plattform namens RansomBay
- Anpassbare Malware-Baukästen, die sich beliebig branden lassen
Nach dem plötzlichen Verschwinden von RansomHub im April 2025 übernahm DragonForce dessen Partnernetzwerk und füllte die Lücke auf dem Cybercrime-Markt – schnell, flexibel und skrupellos.
Ein Angriff mit Strategie: Einzelhandel im Visier
Im Frühjahr 2025 richtete DragonForce eine koordinierte Angriffswelle gegen große britische Einzelhändler. Die Folgen waren erheblich: Online-Shops, Kundenbindungsprogramme und interne IT-Prozesse wurden teilweise für Tage lahmgelegt. Diese Angriffe deuten auf mehr als reine Lösegeldforderungen hin – sie markieren einen strategischen Wandel. Statt nur auf kurzfristige Zahlungen zu setzen, scheint DragonForce verstärkt auf die Erbeutung großer Mengen personenbezogener Daten abzuzielen, die sich auf dem Schwarzmarkt mehrfach verwerten lassen.
Der Einzelhandel zählt laut Daten von Check Point inzwischen zu den am stärksten betroffenen Branchen im Vereinigten Königreich. Die Angriffe konzentrieren sich gezielt auf Konsumgüter und Dienstleistungen – ein Sektor, der bereits 2024 verstärkt ins Visier von Gruppen wie Cl0p geraten war.
Harter Schlag für britischen Einzelhandel:
- Im Vereinigten Königreich verzeichnen Unternehmen der Konsumgüter- und Dienstleistungsbranche derzeit im Schnitt 1337 Ransomware-Angriffe pro Woche.
- Das entspricht einem Anstieg von 22 Prozent im Vergleich zum Vorjahr.
- Die Angriffsrate liegt 8 Prozent über dem nationalen Durchschnitt – ein deutliches Zeichen gezielter Bedrohung.
Der Markt ist offen – und brutaler denn je
Mit dem Zerfall von bekannten Gruppen wie LockBit und ALPHV ist das Ransomware-Ökosystem zersplittert. Neue Gruppierungen wie Akira, Medusa oder Play konkurrieren um dieselben Partner, oft mit aggressiveren Bedingungen:
80/20-Gewinnteilung, keine Einstiegskosten, schnelle Monetarisierung.
DragonForce geht jedoch weiter: Es bietet nicht nur Technologie, sondern auch ein flexibles Identitätsangebot – eine Art Franchise-Modell für Cyberkriminelle, die ihre eigene Marke aufbauen wollen.
Künstliche Intelligenz im Dienste des Verbrechens
Besorgniserregend ist der wachsende Einsatz von KI durch diese Gruppen:
- LLM-basierte Malware-Generatoren senken die technische Einstiegshürde
- Deepfake-Technologien helfen beim Social Engineering
- GenAI wird genutzt für mehrsprachige Phishing-Kampagnen und automatisierte Voice-Bots, die OTPs abgreifen
Die Digitalisierung der Kriminalität schreitet damit nicht nur voran, sondern wird zunehmend automatisiert und globalisiert.
DragonForce – mehr als nur eine Bedrohung
„DragonForce ist nicht nur eine Hackergruppe – sie ist ein Geschäftsmodell, ein Ökosystem und eine Bewegung“, warnt Sergey Shykevich von Check Point. Das Besondere: Der technische Anspruch ist gering, die Eintrittsbarriere niedrig – und genau das macht die Gruppe so gefährlich.
Die aktuelle Kampagne zeigt, wie professionell diese Operationen ablaufen:
Über 3370 täuschend echte E-Mails mit gefälschten Dynamics-365-Links wurden an mehr als eine Million Postfächer verschickt. Ziel waren nicht nur Unternehmen, sondern auch Bildungseinrichtungen, NGOs und Medien.
Fazit
DragonForce verkörpert eine neue Generation digitaler Bedrohungen: anpassungsfähig, effizient, dezentral. Wer sich heute vor Ransomware schützen will, muss verstehen, dass es längst nicht mehr nur um Lösegeld geht – sondern um Daten, Kontrolle und Marktanteile im digitalen Untergrund.
Weitere Informationen finden Sie im Check Point Blog.
(vp/Check Point Software Technologies)
