Akira Ransomware Group: So operiert die Hackergruppe

Die Akira Ransomware Group zählt zu den derzeit aktivsten und finanziell erfolgreichsten Cyberbedrohungen weltweit. Seit ihrem Auftreten hat die Hackergruppe laut einem gemeinsamen Advisory von FBI, CISA und Europol (November 2025) eine Vielzahl von Unternehmen und kritischen Infrastrukturen in Nordamerika, Europa und Australien angegriffen und Lösegeldzahlungen in Höhe von rund 244 Millionen US-Dollar erzielt. Das FBI stuft Akira als eine der bedeutendsten Ransomware-Varianten ein, die gegen Unternehmen eingesetzt werden. Dabei richtet sich die Gruppe bevorzugt gegen kleine und mittelständische Unternehmen, auch im DACH-Raum.

Erfahren Sie im Folgenden, wie die Hackergruppe Akira operiert, welche Branchen besonders gefährdet sind und mit welchen Maßnahmen Sie Ihre Organisation wirksam schützen können.

Wer ist die Akira Ransomware Group?

Über die Herkunft der Hackergruppe Akira liefern mehrere Sicherheitsbehörden inzwischen ein zunehmend detailliertes Bild. Die Gruppe trat erstmals im März 2023 in Erscheinung und verbreitet ihre Ransomware über ein arbeitsteiliges Modell, bei dem verschiedene Akteure an der Durchführung der Angriffe beteiligt sind.

Laut dem Advisory von FBI, CISA und Europol werden die Hacker hinter Akira mit weiteren Bedrohungsgruppen wie Storm-1567, Howling Scorpius und Punk Spider in Verbindung gebracht und weisen mögliche Verbindungen zur aufgelösten Conti-Gruppierung auf, deren Strukturen 2022 zerfielen. Technisch verfügt Akira über Verschlüsselungsvarianten für Windows, Linux und VMware ESXi – seit Juni 2025 auch für Nutanix-AHV-Umgebungen. Damit deckt die Gruppe ein breites Spektrum gängiger Unternehmensinfrastrukturen ab.

Das Vorgehen hinter einem Cyberangriff durch Akira

Die Vorgehensweise der Akira Ransomware Group folgt einem mehrstufigen Angriffsmuster, das auf maximale Wirkung bei gleichzeitig geringem Entdeckungsrisiko ausgelegt ist. Vom initialen Eindringen bis zur vollständigen Verschlüsselung setzt die Gruppe auf eine Kombination aus bekannten Schwachstellen, legitimen Systemwerkzeugen und doppelter Erpressung. Die Kompromittierung eines Zielnetzwerks verläuft dabei typischerweise in vier Phasen:

1. Initialer Zugang: Die Akira-Gruppe verschafft sich vorrangig über VPN-Dienste ohne Multi-Faktor-Authentifizierung Zugang zu Unternehmensnetzwerken und nutzt dabei bekannte Schwachstellen in Produkten von Cisco und SonicWall aus. Ergänzend kommen Spear Phishing, Password Spraying sowie der Missbrauch gestohlener Zugangsdaten zum Einsatz.
2. Persistenz und Ausbreitung: Nach dem Erstzugriff legen die Akteure neue administrative Konten an und bewegen sich mithilfe legitimer Remote-Access-Tools wie AnyDesk oder RDP lateral durch das Netzwerk. Sicherheitslösungen wie Endpoint Detection and Response (EDR) werden dabei deaktiviert.
3. Datenexfiltration: Noch vor der eigentlichen Verschlüsselung extrahieren die Angreifer sensible Unternehmensdaten über Protokolle wie FTP und SFTP sowie Cloud-Dienste. In einzelnen dokumentierten Fällen erfolgte dieser Schritt innerhalb von nur zwei Stunden nach dem Erstzugriff.
4. Verschlüsselung und Erpressung: Akira setzt auf ein hybrides Verschlüsselungsverfahren aus ChaCha20 und RSA und löscht Schattenkopien (Volume Shadow Copies), um eine Wiederherstellung zu verhindern. Anschließend droht die Gruppe mit der Veröffentlichung der exfiltrierten Daten auf ihrem Tor-basierten Leak-Portal.

Die dokumentierte Geschwindigkeit, mit der Akira von der Erstinfektion bis zur Datenexfiltration vorgeht, verdeutlicht, dass reaktive Sicherheitsmaßnahmen allein nicht ausreichen. Organisationen, die ihre Infrastruktur proaktiv durch Maßnahmen wie einen Pentest auf ausnutzbare Schwachstellen überprüfen lassen, verschaffen sich einen entscheidenden Vorsprung gegenüber solchen Angriffsmustern.

Gefährdungslage für Unternehmen im DACH-Raum

Unternehmen in Deutschland, Österreich und der Schweiz sind von Cyberangriffen durch Akira unmittelbar betroffen. Bereits im Oktober 2023 legte die Gruppe den kommunalen IT-Dienstleister Südwestfalen-IT lahm und beeinträchtigte damit die Verwaltungsprozesse von über 70 Kommunen in Nordrhein-Westfalen über Wochen hinweg. Anfang 2026 traf es mit der Buhlmann Group einen international tätigen Stahlhändler aus Bremen, bei dem die Angreifer nach eigenen Angaben 55 Gigabyte an Unternehmensdaten exfiltrierten.

Beide Vorfälle verdeutlichen das bevorzugte Beuteschema der Gruppe: mittelständische Organisationen mit gewachsenen IT-Strukturen. Laut dem BSI-Lagebericht 2025 zählen kleine und mittlere Unternehmen nach wie vor zu den Hauptbetroffenen von Ransomware-Angriffen in Deutschland. Branchenübergreifend nennt das CISA Advisory insbesondere die industrielle Fertigung, das Gesundheitswesen, den Bildungssektor sowie Finanzdienstleistungen und die IT-Branche als am häufigsten betroffene Sektoren.

Welche Maßnahmen vor Cyberangriffe der Akira-Gruppe schützen

Die Analyse der dokumentierten Angriffsmuster zeigt, dass sich die von der Hackergruppe Akira genutzten Einfallstore mit Sicherheitsmaßnahmen adressieren lassen. Entscheidend ist dabei ein proaktiver Ansatz, der Schwachstellen identifiziert, bevor sie ausgenutzt werden. Auf Basis der CISA-Empfehlungen und der bisherigen Angriffsanalysen haben sich folgende Maßnahmen als wirkungsvoll erwiesen:

• Multi-Faktor-Authentifizierung (MFA): Sämtliche externen Zugänge, insbesondere VPN-Verbindungen und Remote-Desktop-Dienste, sollten durch eine phishing-resistente MFA abgesichert sein. .
• Patch- und Schwachstellenmanagement: Bekannte Sicherheitslücken in Produkten von Cisco, SonicWall oder Veeam sollten zeitnah geschlossen werden. Ein strukturiertes Patchmanagement reduziert die Angriffsfläche, die Akira gezielt nach verwundbaren Systemen absucht, erheblich.
• Netzwerksegmentierung: Eine konsequente Trennung von Netzwerkbereichen erschwert die laterale Ausbreitung innerhalb der Infrastruktur. Zusätzlich empfiehlt sich ein regelmäßiger Netzwerkpenetrationstest, um Segmentierungslücken und unbeabsichtigte Übergänge zwischen Netzwerkzonen unter realistischen Bedingungen aufzudecken.
• Backupstrategie: Geschäftskritische Daten sollten regelmäßig gesichert und mindestens eine Kopie offline aufbewahrt werden. Ebenso wichtig ist die regelmäßige Überprüfung der Wiederherstellungsprozesse, da die Akira Ransomware Group Schattenkopien löscht, um die Recovery zu unterbinden.
• Threat Intelligence: Aktuelle Bedrohungsinformationen zu den Taktiken, Techniken und Prozeduren (TTPs) von Gruppen wie Akira ermöglichen es, neue Angriffsmuster frühzeitig zu erkennen und Schutzmaßnahmen entsprechend anzupassen. Indicator-of-Compromise-Daten (IoCs) aus dem CISA Advisory lassen sich direkt in bestehende Sicherheitssysteme integrieren.
• Sensibilisierung und Phishing-Simulation: Da Akira neben technischen Schwachstellen auch auf Social Engineering setzt, profitieren Organisationen von regelmäßigen Awareness-Schulungen. Realistische Phishing-Simulationen testen die Reaktionsfähigkeit der Belegschaft und machen Handlungsbedarf sichtbar, bevor ein echter Angriff Schaden anrichtet.

Neben der Prävention entscheidet vor allem die Fähigkeit, im Ernstfall strukturiert zu reagieren, über das Ausmaß eines Schadens. Organisationen, die ihre Incident-Response-Prozesse regelmäßig erproben und leistungsfähige IT-Forensik-Dienstleister an der Hand haben, um Angriffspfade lückenlos zu rekonstruieren, verkürzen Ausfallzeiten und gewinnen wertvolle Erkenntnisse für die Härtung ihrer Systeme. Kombiniert mit regelmäßigen Pentests, die Schwachstellen proaktiv aufdecken, entsteht ein ganzheitliches Sicherheitsniveau, das Akteure wie die Akira Hackergruppe vor deutlich höhere Hürden stellt.

Prävention als wirksamste Antwort auf die Akira Ransomware Group

Die Akira Ransomware Group wird auch in den kommenden Monaten eine ernstzunehmende Bedrohung für Unternehmen im DACH-Raum bleiben. Wer seine Angriffsfläche kennt, Schwachstellen systematisch behebt und auf den Ernstfall vorbereitet ist, reduziert das Risiko erheblich. SySS unterstützt Unternehmen seit über 28 Jahren dabei, genau diese Resilienz aufzubauen. Als Deutschlands führender Anbieter für Penetrationstests verbinden über 100 spezialisierte IT Security Consultants technische Tiefe mit herstellerneutraler Analyse, damit Sicherheitslücken geschlossen werden, bevor Angreifer sie finden.