RansomwareHackerangriffeCyberkriminalität

Iranische Ransomware-Gruppe attackiert US-Gesundheitswesen – Pay2Key im Fokus geopolitischer Konflikte

Iranische Ransomware-Gruppe attackiert US-Gesundheitswesen – Pay2Key im Fokus geopolitischer Konflikte
Zusammenfassung

Die iranische Ransomware-Gruppe Pay2Key hat im Februar eine US-amerikanische Gesundheitseinrichtung angegriffen – ein Vorfall, der im Kontext der eskalierenden militärischen Spannungen zwischen den USA und dem Iran zu sehen ist. Sicherheitsforscher von Halcyon und Beazley Security stellten fest, dass die Angreifer nicht primär auf finanzielle Erpressung abzielten, sondern eher auf die Zerstörung von IT-Infrastrukturen für strategische Zwecke. Dies deute auf Motivationen hin, die über klassische Cyberkriminalität hinausgehen und enge Verbindungen zu iranischen Regierungsstellen vermuten lassen. Pay2Key, aktiv seit 2020, hat seine Aktivitäten deutlich intensiviert und erzielte allein in vier Monaten des Jahres 2025 etwa acht Millionen Dollar durch Lösegeldzahlungen. Für Deutschland und europäische Unternehmen ist dieser Fall bemerkenswert, da er zeigt, wie staatlich unterstützte Cyberakteure Ransomware als Waffe in geopolitischen Konflikten einsetzen – eine Bedrohung, die längst nicht mehr auf US-amerikanische Ziele begrenzt ist. Deutsche Organisationen im Gesundheitswesen, kritischen Infrastrukturen und Industriesektor sollten ihre Cybersicherheitsmaßnahmen überprüfen und mit erhöhter Aufmerksamkeit auf potenzielle Intrusions-Indikatoren achten.

Die Attacke auf die namenslose US-Gesundheitsorganisation wurde von den Incident Response Experten bei Beazley Security und dem Halcyon Ransomware Research Center analysiert. Die Untersuchung offenbarte ein beunruhigendes Detail: Die Angreifer hatten mehrere Tage vor der Verschlüsselung bereits ein administratives Konto kompromittiert und später sämtliche Spuren ihrer Aktivitäten und Event-Logs gelöscht. Besonders auffällig war, dass dieses Mal keine Daten exfiltriert wurden – ein Bruch mit dem bisherigen Muster von Pay2Key, das bislang primär als Informationsbeschaffungswaffe bekannt war.

“Diese Gruppe priorisiert nicht immer Erpressung und finanzielle Gewinne, sondern auch die Zerstörung von Opfersystemen für strategische Auswirkungen,” erklärten die Halcyon-Experten. Cynthia Kaiser, Senior Vice President des Ransomware Research Centers und ehemals stellvertretende Assistentin des FBI Cyber Division, stellte die zentrale Frage: Handelt es sich um Profitmotivation im Chaos oder um staatliche Operationen mit wirtschaftlichen Nebeneinkünften?

Die Aktivität von Pay2Key hat sich deutlich erhöht, seit die Spannungen zwischen den USA und dem Iran eskaliert sind. Die Gruppe war in der Vergangenheit bereits auf russischen Cyberkriminal-Foren aktiv, bot im Sommer 2025 sogar an, die gesamte Betriebsstruktur zu verkaufen, erhöhte dann aber die Affiliate-Provisionen von 70 auf 80 Prozent – ein Signal fortgesetzter Operationen.

Die Zahlen sind beeindruckend: Zwischen Sommer und Herbst 2025 dokumentierte das Sicherheitsunternehmen Morphisec 51 Lösegeldzahlungen an Pay2Key im Umfang von etwa 4 Millionen Dollar. Seitdem hat die Gruppe etwa 170 weitere Opfer ins Visier genommen und 8 Millionen Dollar an Ransomware-Zahlungen erhalten.

Pay2Key entstand 2020 und wurde zunächst mit Angriffen auf israelische, amerikanische, aserbaidschanische und emiratische Ziele verbunden. Blockchain-Analysen zeigten Verbindungen zur iranischen Kryptobörse Excoino. Der Decryption-Angriff auf den Medizingerätehersteller Stryker, der etwa 200.000 Geräte komplett wischte, wird der konkurrierenden iranischen Gruppe Handala zugeordnet – ein Vorfall mit deutlich höherem öffentlichen Aufmerksamkeitswert.

Experten rechnen damit, dass es deutlich mehr iranische Cyberangrifffe gibt, die nicht öffentlich werden. Kaiser warnt: “Man sollte davon ausgehen, dass der Iran nach Zielen sucht – wahrscheinlich eine Mischung aus Wiper-Attacken, Ransomware und Versuchen, kritische Infrastruktur über ungepatchte Schwachstellen zu kompromittieren.” Dies unterstreicht die Bedeutung für deutsche Organisationen, ihre Systeme kontinuierlich zu aktualisieren und zu härten.

Ähnliche Artikel