Qilin Ransomware: So operiert die Hackergruppe

Die Qilin Ransomware Group gehört zu den Cyberbedrohungen, die Unternehmen und Organisationen weltweit unter Druck setzen. Die Gruppe verschlüsselt die Systeme ihrer Opfer, stiehlt vertrauliche Daten und erpresst Lösegeld. Mehrere Sicherheitsbehörden, darunter das BSI und das Bundeskriminalamt, ordnen sie inzwischen den relevanten Akteuren im Ransomware-Umfeld zu.

Wie die Hackergruppe vorgeht, welche Branchen besonders im Visier stehen und mit welchen Maßnahmen Sie Ihre Organisation absichern, erfahren Sie im Folgenden.

Wer ist die Qilin Ransomware Group?

Bei der Hackergruppe Qilin handelt es sich um eine Cybercrime-Gruppierung, die nach dem Prinzip Ransomware-as-a-Service arbeitet. Die Gruppe stellt ihre Schadsoftware und die nötige Infrastruktur sogenannten Affiliates zur Verfügung. Diese führen die eigentlichen Angriffe durch und führen im Gegenzug einen Teil der erpressten Gelder an die Betreiber ab. Ihren Ursprung hat die Gruppe im Juli 2022 unter dem Namen Agenda. Im September 2022 benannte sie sich in Qilin um, eine Bezeichnung, die auf ein Fabelwesen der chinesischen Mythologie zurückgeht.

Eine US-amerikanische Sicherheitsbehörde ordnet die Qilin Ransomware Group einem mutmaßlich russischsprachigen Umfeld zu und stuft sie als finanziell motiviert ein. Ab Ende 2023 warb die Gruppe in einem Hackerforum aktiv um neue Affiliates und schloss Ziele in den GUS-Staaten ausdrücklich aus. Technisch tritt Qilin breit auf. Die Ransomware ist in den Programmiersprachen Golang und Rust geschrieben und zielt in erster Linie auf Windows-Systeme. Zusätzlich existiert eine Linux-Variante, die VMware-ESXi-Server angreift.

Wie gehen die Hacker von Qilin vor?

Ein Angriff der Qilin Ransomware Group verläuft in mehreren aufeinander aufbauenden Phasen. Auffällig ist die Arbeitsteilung der Gruppe: Den ersten Zugang zu einem Netzwerk verschaffen sich die Angreifer nicht in jedem Fall selbst, teils erwerben sie ihn von spezialisierten Akteuren. Die Kompromittierung eines Zielnetzwerks folgt dabei oftmals diesen Phasen:

1. Erstzugang: Qilin nutzt für den ersten Zugriff mehrere Wege. Häufig stehen Phishing- und Spear-Phishing-Mails am Anfang, ebenso der Missbrauch exponierter Dienste wie Citrix oder RDP. Daneben nutzt die Gruppe kritische Schwachstellen aus, etwa eine Lücke in der VPN-Lösung von Check Point (CVE-2026-50751), die einen Zugriff ohne gültiges Passwort erlaubt. Einen weiteren Weg liefert der Zukauf fertiger Zugänge aus der ZipLine-Kampagne, bei der sich die Täter als Personalvermittler ausgeben und ihre Opfer über einen längeren Schriftverkehr zum Öffnen einer präparierten ZIP-Datei bewegen.
2. Ausbreitung im Netzwerk: Nach dem Eindringen setzt Qilin auf legitime Fernwartungssoftware (RMM-Tools) und das Angriffswerkzeug Cobalt Strike, um die Schadsoftware auszurollen. Für die seitliche Bewegung zwischen Systemen kommen Werkzeuge wie PsExec und Secure Shell zum Einsatz. Schutzmechanismen umgeht die Gruppe über verwundbare Systemtreiber.
3. Abfluss sensibler Daten: Vor der Verschlüsselung kopiert die Gruppe Unternehmensdaten heraus. Qilin verfolgt damit das Prinzip der doppelten Erpressung. Die entwendeten Daten dienen später als zusätzliches Druckmittel.
4. Verschlüsselung und Erpressung: Im letzten Schritt verschlüsselt Qilin die Systeme der Opfer. Zum Einsatz kommen etablierte Verfahren wie ChaCha20 und RSA-4096, ergänzt um AES-256; die Verschlüsselungsmodi steuern die Betreiber je nach Ziel. Anschließend fordert die Gruppe ein Lösegeld in Kryptowährung und droht mit der Veröffentlichung der gestohlenen Daten auf einem Leak-Portal im Tor-Netzwerk.

Viele dieser Einfallstore beruhen auf offenen Schwachstellen und unzureichend abgesicherten Zugängen. Wer seine Angriffsfläche kennt, kann diese Lücken schließen, bevor sie zum Problem werden. Ein prüfender Blick von außen, etwa durch einen Pentest, deckt solche Schwachstellen unter realistischen Bedingungen auf, bevor Angreifer sie finden.

Auf welche Ziele hat es Qilin abgesehen?

Die Opferauswahl folgt weniger einem festen Muster als der Gelegenheit. Sicherheitsanalysen beschreiben das Vorgehen der Qilin Ransomware Group als opportunistisch: Die Hacker schlagen dort zu, wo sich eine Lücke auftut. Auf ihrem Leak-Portal war die Fertigungsindustrie am stärksten vertreten; dahinter folgten Rechts- und Beratungsdienstleistungen sowie der Finanzsektor. Betroffen sind Organisationen weltweit, mit dokumentierten Fällen unter anderem in den USA, Kanada und Großbritannien.

Der DACH-Raum steht ebenfalls im Fokus. Für Deutschland dokumentiert das Bundeskriminalamt einen Angriff auf die Media Broadcast Satellite GmbH aus Usingen, bei dem die Täter nach eigenen Angaben 870 Gigabyte Daten erbeutet haben wollen. Im März 2026 meldete die Partei Die Linke einen schweren Cyberangriff und erklärte, es lägen Hinweise auf eine Beteiligung der Qilin-Hackergruppe vor.

Die ZipLine-Kampagne, über die Qilin Zugänge bezieht, nimmt vor allem Betriebe der kritischen Fertigung und exportorientierte Mittelständler ins Visier. In Österreich bestätigte das nationale CERT mehrere Vorfälle, aus der Schweiz wurde ein weiterer Vorfall gemeldet. Wie gravierend die Folgen ausfallen können, zeigte ein mit der Qilin Ransomware Group in Verbindung gebrachter Angriff auf einen britischen Dienstleister für Bluttests und Diagnostik: Mehrere Londoner Krankenhäuser mussten Operationen absagen.

Schutzmaßnahmen gegen die Qilin Ransomware Group

Ein Angriff durch Qilin beginnt fast immer dort, wo Systeme verwundbar oder Zugänge schlecht abgesichert sind. Diese Einfallstore lassen sich mit überschaubaren Mitteln deutlich verkleinern. Wirksam ist ein vorbeugender Ansatz, der bekannte Lücken frühzeitig behebt und der Hackergruppe so ihre wichtigsten Hebel nimmt. Die folgenden Maßnahmen haben sich gegen Ransomware-Angriffe bewährt:

• Patch- und Schwachstellenmanagement: Verfügbare Updates gehören unverzüglich eingespielt, idealerweise über eine zentrale Softwareverteilung. Vorrang haben kritische Lücken und besonders exponierte Systeme wie Firewalls, VPN-Gateways oder Webserver.
• Abgesicherte Remote-Zugänge: Externe Zugriffe sollten ausschließlich über ein VPN und zusätzlich mit einer Zwei-Faktor-Authentisierung erfolgen. Diese zweite Hürde erschwert den Missbrauch gestohlener Zugangsdaten erheblich.
• E-Mail-Schutz: E-Mails sollten als reiner Text dargestellt und aktive Inhalte unterdrückt werden, ebenso gehören Makros restriktiv konfiguriert. Ergänzend sensibilisieren regelmäßige Schulungen und Phishing-Simulationen die Belegschaft. Großen Nutzen hat das in Bereichen mit hohem externen Mailaufkommen wie der Personalgewinnung.
• Netzwerksegmentierung und Active-Directory-Härtung: Eine saubere Segmentierung begrenzt die Reichweite eines erfolgreichen Angriffs. Privilegierte Konten sollten allein für administrative Aufgaben und mit Zwei-Faktor-Schutz genutzt werden. Eine Härtung des zentralen Verzeichnisdiensts erschwert die Übernahme der gesamten Domäne.
• Offline-Backups und Notfallplan: Geschäftskritische Daten gehören in ein Offline-Backup, das nach der Sicherung vom Netz getrennt wird. Ebenso wichtig ist ein getesteter Wiederanlauf. Ein eingeübter Notfallplan mit offline hinterlegten Kontakten verhindert, dass die Reaktion im Ernstfall improvisiert ausfällt.
• Threat Intelligence: Aktuelle Bedrohungsinformationen helfen, Angriffsspuren früh zu erkennen. Bekannte oder auffällige IP-Adressen lassen sich in die Auswertung der VPN- und Zugangsprotokolle einbeziehen, um verdächtige Verbindungen rechtzeitig aufzuspüren. Solche Erkenntnisse aus der Threat Intelligence halten die Abwehr auf dem Stand der jeweils aktuellen Angriffsmuster.

Technische und organisatorische Schutzmaßnahmen senken das Risiko eines erfolgreichen Ransomware-Angriffs erheblich. Vollständig ausschließen lässt sich ein Sicherheitsvorfall jedoch nicht. Deshalb gehört zu einer belastbaren Sicherheitsstrategie auch ein vorbereiteter und eingeübter Umgang mit dem Ernstfall.

Incident Response und digitale Forensik: Im Ernstfall handlungsfähig bleiben

Wenn der Verdacht auf einen Angriff besteht oder Qilin bereits Systeme verschlüsselt hat, beeinflusst das weitere Vorgehen maßgeblich das Ausmaß des Schadens. Unkoordinierte Eingriffe in betroffene Systeme können wichtige digitale Spuren verändern und die spätere Aufklärung erschweren. Ein vorbereitetes Vorgehen hilft Unternehmen dabei, den Vorfall einzuschätzen, seine Auswirkungen zu begrenzen und die Wiederherstellung strukturiert einzuleiten.

SySS begleitet Sie in jeder Phase eines Sicherheitsvorfalls. Im Idealfall beginnt diese Unterstützung bereits vor dem Ernstfall, etwa mit dem Aufbau verlässlicher Incident- und Krisenmanagementprozesse sowie eines verteidigungsfähigen Netzwerks. Bei einem laufenden Angriff steht Ihnen unser Team aktiv zur Seite, unterstützt das Incident Management und arbeitet dem Krisenstab mit technischer und methodischer Kompetenz zu.

Parallel dazu erfasst und analysiert die IT-Forensik relevante Spuren. Unsere Fachleute werten unter anderem Datenträger und Logdateien aus, untersuchen verdächtige Netzwerkaktivitäten und helfen dabei, den Ablauf des Angriffs nachzuvollziehen. Für die gerichtsverwertbare Auswertung digitaler Beweismittel verfügt SySS über ein eigenes, umfassend ausgestattetes Forensik-Labor, das eine effiziente Bearbeitung unterschiedlicher Vorfälle ermöglicht.

Der Qilin Ransomware Group einen Schritt voraus

Die Methoden von Qilin verändern sich, doch die Grundlagen eines wirksamen Schutzes bleiben gleich: bekannte Lücken schließen und für den Ernstfall vorbereitet sein. An dieser Stelle setzt SySS an. Seit über 28 Jahren begleitet das Unternehmen Organisationen im DACH-Raum beim Aufbau ihrer Widerstandsfähigkeit. Als einer der führenden Anbieter für Pentests verbinden über 100 IT Security Consultants technische Tiefe mit herstellerneutraler Analyse und machen Schwachstellen sichtbar, die der Qilin Ransomware Group sonst als Einfallstor dienen.