Medusa Ransomware: Über 500 betroffene Organisationen – und ein Satz, der zählt

Medusa Ransomware hat inzwischen mehr als 500 Organisationen aus kritischen Sektoren getroffen. Das steht in der aktualisierten Fassung des gemeinsamen Advisorys AA25-071A von FBI, CISA und dem US-Gesundheitsministerium HHS, herausgegeben am 18. August 2026. In der ersten Fassung vom März 2025 waren es noch über 300. Interessanter als die Zahl ist allerdings ein einzelner Satz weiter hinten im Dokument.

Was das Update zur Medusa Ransomware sagt

Stand April 2026 zählen die Behörden über 500 betroffene Opfer – verteilt auf Gesundheitswesen, wehrtechnische Industrie, kritische Fertigung, Behörden, IT und Finanzdienstleister. Dazu kommen Organisationen aus Medizin, Bildung, Rechtsberatung, Versicherung und Fertigung. Eine Aufschlüsselung nach Ländern nennt das Advisory nicht; die Zahl stammt aus FBI-Ermittlungen. Die Gruppe ist seit Juni 2021 bekannt und arbeitet seit mindestens Anfang 2023 als Ransomware-as-a-Service mit Partnerprogramm: Initial Access Broker werden in einschlägigen Foren angeworben, laut Advisory mit Zahlungen zwischen 100 und einer Million US-Dollar für den Zugang zu einem Opfernetz.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Der Weg hinein ist unspektakulär: Phishing zum Abgreifen von Zugangsdaten und die Ausnutzung ungepatchter Software. Namentlich nennt das Advisory die ScreenConnect-Lücke CVE-2024-1709, die SQL-Injection CVE-2023-48788 in Fortinet FortiClient EMS, die Deserialisierungs-Lücke CVE-2025-10035 in Fortra GoAnywhere und – neu in der August-Fassung – die BeyondTrust-Lücke CVE-2026-1731 (OS Command Injection). Die Opferauswahl beschreiben die Behörden als opportunistisch: Angegriffen wird, wer ungepatcht ist, nicht wer besonders interessant wäre. Das Gesundheitswesen gilt trotzdem als häufiges Ziel – deutlich genug, dass das HHS für diese Aktualisierung als Mitherausgeber dazugekommen ist.

Der Satz, auf den es ankommt

Im Abschnitt zum Erstzugang steht die eigentliche Nachricht: Medusa-Akteure nutzen frisch veröffentlichte Exploits innerhalb von 24 Stunden – und wurden dabei beobachtet, Exploits bis zu eine Woche vor der öffentlichen Bekanntgabe der Schwachstelle einzusetzen. Diese Beobachtung stützt das Advisory auf eine Microsoft-Analyse zur Gruppe Storm-1175 vom 6. April 2026. Eigene Zero-Day- oder N-Day-Schwachstellen entwickelt die Gruppe laut Advisory nicht; sie beschafft Exploits aus unbekannten Quellen oder liest schlicht sehr aufmerksam mit, wenn Hersteller etwas ankündigen.

Genau darin liegt der praktische Unterschied zu vielen Ransomware-Meldungen. Es geht nicht um raffinierte Malware, sondern um Geschwindigkeit. Eine Herstellermeldung ist für diese Gruppe kein Hinweis zum Patchen, sondern eine Zielliste.

Was das für dich bedeutet

Aus CISO-Sicht ist die Steigerung von 300 auf 500 Opfer in gut einem Jahr keine Aussage über Medusa, sondern über Patch-Latenz. Wer sein Fenster zwischen Advisory und Rollout in Wochen misst, verliert gegen einen Gegner, der in Stunden arbeitet. Dasselbe Muster war diese Woche bei der aktiv ausgenutzten SharePoint-Lücke zu sehen: Zwischen öffentlichem Proof-of-Concept und den ersten Angriffen lagen keine zwei Tage.

Zweitens fällt das Muster hinter der CVE-Liste auf. Es trifft durchweg zentrale, aus dem Internet erreichbare Verwaltungs- und Transfersysteme: Fernwartung (ScreenConnect), Endpoint-Management (Fortinet FortiClient EMS), Managed File Transfer (Fortra GoAnywhere), privilegierter Fernzugriff (BeyondTrust). Also genau die Werkzeuge, mit denen Administratoren und Dienstleister arbeiten – und die per Konstruktion breiten Zugriff ins Netz haben. Ein kompromittiertes Verwaltungssystem liefert Angreifern das, was sie sonst mühsam erarbeiten müssten: legitime Reichweite in viele Systeme gleichzeitig. Wer so etwas betreibt, sollte es nicht wie Anwendungssoftware behandeln, sondern wie einen Domänencontroller. Wie schnell das kippt, war zuletzt bei gekaperten VPN-Gateways zu sehen.

Und drittens, für kleinere Betriebe der wichtigste Punkt: Das Advisory empfiehlt Sicherungen, die offline liegen, verschlüsselt und unveränderbar (immutable) sind – in mehreren Kopien an einem physisch getrennten, segmentierten Ort. Das ist kein Formalismus. Ein Backup, das dieselbe Domänen-Administratorkennung löschen kann wie die Produktivdaten, ist im Ransomware-Fall keines.

Fünf Maßnahmen, die wirklich etwas bringen

• Fernzugriffs- und Verwaltungssysteme auf die Überholspur. Inventarisiere alles, was aus dem Internet erreichbar ist und zentralen Zugriff gewährt – RMM, VPN-Gateway, PAM, Fernwartung, Dateitransfer. Für diese Systeme braucht es einen Patch-Prozess in Tagen, nicht im Monatszyklus.
• Phishing-resistente MFA dort, wo es zählt. Das Advisory schreibt ausdrücklich „phishing-resistant MFA” – für alle Dienste, soweit möglich, besonders für Webmail, VPN und Konten mit Zugriff auf kritische Systeme. Der Zusatz ist der Kern der Empfehlung: Medusa-Partner kommen primär über Phishing an Zugangsdaten, und SMS- oder Push-Verfahren adressieren genau das nur halb. Welche Hardware-Sicherheitsschlüssel nach FIDO2 dafür taugen, habe ich separat zusammengestellt.
• Backup offline, verschlüsselt, unveränderbar – und getestet. Mehrere Kopien, davon mindestens eine physisch getrennt. Und die Rückspielung mindestens einmal jährlich wirklich durchspielen, nicht nur dokumentieren. Für den privaten und den Kleinbetrieb-Bereich reicht dafür oft schon ein verschlüsselter externer Datenträger, der nach dem Sichern abgesteckt wird.
• Segmentieren und filtern. Netzsegmentierung bremst die seitliche Bewegung nach einem Erstzugriff. Ergänzend empfiehlt das Advisory, Zugriffe unbekannter oder nicht vertrauenswürdiger Herkunft auf interne Remote-Dienste zu blockieren – das entzieht Angreifern ihre selbst eingerichteten Rückwege.
• Callbacks mitschneiden. Ein konkreter Erkennungshinweis aus der neuen Fassung: Medusa verifiziert erfolgreiche Exploits über Out-of-Band-Callbacks an den Interactsh-Dienst – Domains wie oast.site, oast.pro und oast.fun, wobei der Name des kompromittierten Systems im Subdomain-Teil steckt. Wer DNS-Anfragen protokolliert, kann darauf gezielt alarmieren oder die Domains sperren.

Eine Einordnung noch: Das Advisory ist ein US-Dokument und richtet sich an US-Verteidiger. Die Einfallstore sind allerdings global verfügbare Produkte, und die Angriffslogik ist es auch. Wer hierzulande dieselbe Fernwartungssoftware betreibt, steht im selben Zielraster – nur ohne Statistik, die es später ausweist.

Quellen

• CISA/FBI/HHS: #StopRansomware – Medusa Ransomware, AA25-071A (PDF, Stand 18.08.2026)
• CISA: Advisory-Seite zu AA25-071A
• BleepingComputer: CISA – Medusa ransomware hit over 500 critical infrastructure orgs
• Help Net Security: Medusa ransomware gang has hit over 500 organizations, CISA warns