Die Silent Ransom Group ist kein klassisches Ransomware-Syndikat, das Systeme verschlüsselt. Stattdessen konzentriert sich die Gruppe ausschließlich auf Datendiebstahl und anschließende Erpressung. Seit mindestens 2022 aktiv und nach dem Zusammenbruch der gefürchteten Conti-Ransomware-Bande entstanden, hat SRG eine besonders heimtückische Taktik entwickelt: Sie stiehlt sensible Informationen und droht damit, diese auf einer Leak-Website zu veröffentlichen oder an Dritte zu verkaufen – sofern die Opfer nicht zahlen.
Das FBI dokumentierte in seiner aktuellen Warnung vom Dienstag mehrere Angriffsszenarien. Das klassische Vorgehen: Opfer erhalten Phishing-E-Mails oder Telefonanrufe von vermeintlichen IT-Mitarbeitern der eigenen Firma. Die Täter überreden Angestellte, ihnen Fernzugriff auf ihre Rechner zu gewähren. Mittels dieser Zugriffe durchsuchen die Kriminellen dann das Firmennetzwerk nach wertvollen Daten und laden diese herunter.
Falls dieser digitale Weg scheitert, schreckt SRG nicht vor physischen Besuchen zurück. Ein unbekannter Mensch erscheint in der Kanzlei oder dem Büro, gibt sich als IT-Sicherheitsspezialist aus und behauptet, ein Backup oder ein System-Image erstellen zu müssen. In Wahrheit kopiert die Person Dateien auf externe Speichermedien – völlig unbemerkt von echtem IT-Personal.
Besonders tückisch: Die Gruppe nutzt legitimale Remote-Access-Tools (wie TeamViewer oder AnyDesk), die in jeder modernen IT-Abteilung Standard sind. Die gestohlenen Daten werden über vertrauenswürdige Cloud-Dienste wie Google Drive oder Microsoft OneDrive übertragen – ein Vorgehen, das sich perfekt in den normalen Geschäftsbetrieb einfügt und kaum auffällt.
Anwaltskanzleien sind für SRG besonders attraktiv, weil sie immense Mengen an sensiblen Daten lagern: Mandantengespräche, Verträge, Finanz- und Personalunterlagen, aber auch M&A-Dokumente und Rechtsstreitigkeiten. Neben Kanzleien hat die Gruppe auch Unternehmen in Versicherung, Gesundheitswesen und Finanzsektor ins Visier genommen.
Das FBI gab keine genaue Zahl betroffener Firmen an. Allerdings ist klar: Eine ähnliche Kampagne in Deutschland hätte gravierende rechtliche Folgen. Unter DSGVO-Recht müssen Unternehmen Datenpannen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde (hier: der BfDI) melden. Bußgelder können bis zu 4 Prozent des Jahresumsatzes erreichen.