MediaMarkt und Saturn mit Verschlüsselungstrojaner infiziert – Die Gefährlichkeit von Ransomware-Angriffen

Zuletzt aktualisiert am 13. August 2026

An diesem Wochenende (06./07.11.2021) kam es laut mehreren Quellen zu einem Ransomware-Angriff auf die Elektronikmärkte MediaMarkt und Saturn. Offenbar sind lediglich die Kassen- und Warenwirtschaftssysteme in den Filialen betroffen. Die Läden bleiben jedoch zunächst geöffnet.

Die unbekannten Erpresser fordern für die Entschlüsselung der Daten 50 Millionen US-Dollar in Bitcoin. Sie verwendeten die relativ neue Ransomware „Hive“.

Ransomware-Angriffe werden häufiger

Ransomware wird verwendet, um die Daten auf einem Endgerät zu verschlüsseln und für deren Freigabe ein Lösegeld zu erpressen. Laut dem aktuellen BSI-Lagebericht werden solche Angriffe in letzter Zeit immer häufiger. Gerade große Unternehmen geraten deshalb wiederholt in die Schlagzeilen. Die Angreifer sind dabei immer besser organisiert und dementsprechend schwieriger zu überführen.

Eine Erweiterung dieser Strategie lässt sich auch beobachten. Teilweise speichern Angreifer die Daten vor der Verschlüsselung rechtswidrig ab, um dann unter Androhung der Veröffentlichung Schweigegeld zu erpressen. Dieses Vorgehen kann sich als effektiv beweisen, wenn das Opfer aufgrund eigener Sicherheitskopien der Daten kein Interesse an der Zahlung des Lösegeldes für die Entschlüsselung der Daten zeigt. Findet ein Ransomware-Angriff statt, muss deshalb grundsätzlich davon ausgegangen werden, dass die Daten kompromittiert sind.

Größtes Einfalltor für solche Angriffe sind wohl Social-Engineering-Attacken. Hierbei wird versucht, Menschen durch Tricks wie geschickt gefälschte E-Mails dazu zu bringen, etwa auf bösartige Links zu klicken oder Anhänge herunterzuladen, die die Schadsoftware installieren.

Betroffenheit von MediaMarkt und Saturn vom Verschlüsselungstrojaner

Die Elektronikmärkte MediaMarkt und Saturn gehören zur Ceconomy AG. Die Gruppe betreibt in 13 europäischen Ländern rund 1000 Märkte. Insgesamt sind wohl 3100 Server mit einem Krypto-Virus infiziert.

Das Unternehmen teilte mit, dass „derzeit intensiv mit internen und externen Experten sowie den zuständigen Behörden zusammen[gearbeitet werde], um die entstandenen Schäden schnellstmöglich zu analysieren und zu identifizieren“. Es könne momentan weder festgestellt werden, ob Kundendaten abgegriffen wurden, noch welches Ausmaß der Angriff konkret hat. Die Online-Shops würden momentan noch funktionieren, in den Läden sei dagegen außer dem Verkauf der Bestandsware kein Service möglich. Die Mitarbeiter werden angewiesen, Computer nicht zu benutzen und Kassen vom Netz zu nehmen.

Unter Verweis auf laufende Ermittlungen macht das Unternehmen allerdings keine weiteren Aussagen. Derzeit werde zudem noch verhandelt.

Ransomware „Hive“

Die Angreifer verwendeten die Ransomware „Hive“. Nach den Angaben einer Website im Tor-Netzwerk ist diese seit Juni dieses Jahrs aktiv und damit ein verhältnismäßig neuer Spieler. Bereits im August hatte das FBI eine Warnung vor „Hive“ ausgesprochen. Die Software würde signifikante Herausforderungen für die Verteidigung und die Schadensminimierung bereithalten.

Datenschutzrechtliche Folgen eines Ransomware-Angriffs

Ein Ransomware-Angriff hat nicht nur operative Konsequenzen, sondern zieht auch erhebliche datenschutzrechtliche Pflichten nach sich. Nach Art. 33 DSGVO muss eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde gemeldet werden, sofern die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Bei einem Ransomware-Angriff ist grundsätzlich davon auszugehen, dass ein solches Risiko besteht. Die Verschlüsselung der Daten bedeutet einen Verlust der Verfügbarkeit, und die mögliche Exfiltration der Daten vor der Verschlüsselung stellt eine Verletzung der Vertraulichkeit dar. Beides sind meldepflichtige Datenschutzverletzungen.

Außerdem müssen die betroffenen Personen nach Art. 34 DSGVO benachrichtigt werden, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten mit sich bringt. Im Fall von MediaMarkt und Saturn könnten Kundendaten wie Namen, Adressen, Zahlungsinformationen und Kaufhistorien betroffen sein.

Präventive Maßnahmen gegen Ransomware

Um sich vor Ransomware-Angriffen zu schützen, sollten Unternehmen eine umfassende Sicherheitsstrategie implementieren. An erster Stelle steht die regelmäßige Erstellung von Backups. Diese sollten nach dem 3-2-1-Prinzip angelegt werden: drei Kopien der Daten, auf zwei verschiedenen Medientypen, davon eine Kopie an einem externen Standort. Wichtig ist dabei, dass die Backups offline oder in einem vom Netzwerk isolierten Bereich gespeichert werden, um zu verhindern, dass auch sie von der Ransomware verschlüsselt werden.

Die Schulung der Mitarbeiter ist ein weiterer essenzieller Baustein der Prävention. Da Social-Engineering-Attacken das häufigste Einfallstor für Ransomware darstellen, müssen Mitarbeiter in der Lage sein, verdächtige E-Mails, Links und Anhänge zu erkennen. Regelmäßige Datenschutz-Schulungen und Awareness-Kampagnen können das Sicherheitsbewusstsein erheblich steigern.

Technisch sollten Unternehmen auf eine aktuelle Antivirensoftware, eine korrekt konfigurierte Firewall und ein Intrusion-Detection-System setzen. Das zeitnahe Einspielen von Sicherheitsupdates und Patches ist ebenfalls unerlässlich, da viele Ransomware-Varianten bekannte Schwachstellen ausnutzen.

Zahlen oder nicht zahlen: Das Dilemma bei Lösegeldforderungen

Die Frage, ob Unternehmen auf Lösegeldforderungen eingehen sollten, wird kontrovers diskutiert. Das BSI und die Polizeibehörden raten grundsätzlich von einer Zahlung ab. Dafür sprechen mehrere Gründe: Es gibt keine Garantie, dass die Daten nach der Zahlung tatsächlich entschlüsselt werden. Die Zahlung finanziert die kriminelle Infrastruktur und motiviert die Angreifer zu weiteren Attacken. Zudem kann die Zahlung als Schwäche interpretiert werden, was das Unternehmen zum Ziel für künftige Angriffe macht.

In der Praxis zeigt sich jedoch, dass einige Unternehmen trotz der Warnungen zahlen, weil sie keine funktionierenden Backups haben oder die Ausfallzeit zu kostspielig wäre. Im Fall von MediaMarkt und Saturn lag die ursprüngliche Forderung bei 50 Millionen US-Dollar.

Unabhängig davon, ob gezahlt wird oder nicht, müssen betroffene Unternehmen den Vorfall gründlich aufarbeiten. Dazu gehören eine forensische Analyse zur Identifizierung des Angriffsvektors, die Schließung der ausgenutzten Sicherheitslücke und die Überprüfung der gesamten technisch-organisatorischen Maßnahmen.

Versicherungsschutz bei Cyberangriffen

Angesichts der zunehmenden Bedrohung durch Ransomware gewinnen Cyberversicherungen an Bedeutung. Diese können die finanziellen Folgen eines Angriffs abmildern, indem sie unter anderem die Kosten für die forensische Untersuchung, die Wiederherstellung der Systeme und die Benachrichtigung der Betroffenen übernehmen.

Allerdings stellen die Versicherer zunehmend strengere Anforderungen an die IT-Sicherheit der versicherten Unternehmen. Ein grundlegendes Sicherheitsniveau, regelmäßige Backups und Mitarbeiterschulungen werden häufig als Voraussetzung für den Versicherungsschutz gefordert. Unternehmen, die diese Mindeststandards nicht erfüllen, riskieren eine Ablehnung im Schadensfall.

Die Ransomware-Gruppe Hive: Hintergründe und Zerschlagung

Die Ransomware-Gruppe Hive, die für den Angriff auf MediaMarkt und Saturn verantwortlich war, entwickelte sich zu einer der gefährlichsten Cybercrime-Organisationen weltweit. Seit ihrer Entstehung im Juni 2021 griff die Gruppe über 1.500 Unternehmen und Organisationen in mehr als 80 Ländern an. Die erpressten Lösegelder beliefen sich auf geschätzt über 100 Millionen US-Dollar.

Hive operierte nach dem Ransomware-as-a-Service-Modell (RaaS). Dabei stellte die Kerngruppe die Ransomware und die Infrastruktur bereit, während sogenannte Affiliates die eigentlichen Angriffe durchführten. Die Beute wurde zwischen der Kerngruppe und den Affiliates aufgeteilt, wobei die Kerngruppe in der Regel einen Anteil von 20 Prozent erhielt.

Im Januar 2023 gelang es dem FBI in Zusammenarbeit mit Europol und deutschen Strafverfolgungsbehörden, die Infrastruktur von Hive zu zerschlagen. Die Ermittler hatten sich bereits Monate zuvor Zugang zu den Systemen der Gruppe verschafft und konnten über 300 Entschlüsselungsschlüssel an betroffene Unternehmen verteilen, was geschätzte Lösegeldzahlungen von über 130 Millionen US-Dollar verhinderte.

Meldepflichten und behördliche Zusammenarbeit

Bei einem Ransomware-Angriff bestehen neben den datenschutzrechtlichen Meldepflichten auch weitere behördliche Meldepflichten. Betreiber kritischer Infrastrukturen sind nach dem BSI-Gesetz verpflichtet, erhebliche Störungen unverzüglich an das Bundesamt für Sicherheit in der Informationstechnik (BSI) zu melden. Auch wenn MediaMarkt und Saturn nicht als kritische Infrastruktur gelten, zeigt der Fall die Bedeutung der behördlichen Zusammenarbeit bei Cyberangriffen.

Das BSI empfiehlt betroffenen Unternehmen, den Vorfall umgehend bei der Polizei anzuzeigen. Die Zentralstelle Cybercrime (ZAC) der jeweiligen Staatsanwaltschaft ist der richtige Ansprechpartner. Eine frühzeitige Einbindung der Strafverfolgungsbehörden kann nicht nur bei der Aufklärung des Vorfalls helfen, sondern auch bei der Wiederbeschaffung der verschlüsselten Daten, wie das Beispiel der Hive-Zerschlagung zeigt.

Außerdem sollten betroffene Unternehmen auch ihre Kunden und Geschäftspartner zeitnah über den Vorfall informieren, insbesondere wenn die Möglichkeit besteht, dass deren Daten kompromittiert wurden. Eine transparente Kommunikation stärkt das Vertrauen und hilft den Betroffenen, sich vor möglichen Folgen wie Identitätsdiebstahl zu schützen. Die Einbindung eines externen Datenschutzbeauftragten kann in solchen Krisensituationen wertvolle Unterstützung bieten.

Lehren für kleine und mittlere Unternehmen

Obwohl der Ransomware-Angriff auf MediaMarkt und Saturn aufgrund der Größe des Unternehmens besondere Aufmerksamkeit erregt hat, sind kleine und mittlere Unternehmen (KMU) mindestens ebenso gefährdet. Tatsächlich zeigen Statistiken, dass KMU überproportional häufig von Ransomware-Angriffen betroffen sind, da sie in der Regel über weniger ausgeprägte Sicherheitsmaßnahmen verfügen.

Für KMU ist es daher besonders wichtig, grundlegende Sicherheitsmaßnahmen zu implementieren. Dazu gehören neben regelmäßigen Backups und Mitarbeiterschulungen auch die Segmentierung des Netzwerks, die Implementierung einer Multi-Faktor-Authentifizierung für alle kritischen Systeme und die regelmäßige Durchführung von Sicherheitsaudits. Diese Maßnahmen erfordern keine großen Budgets, können aber die Angriffsfläche erheblich reduzieren.

Zudem sollten KMU einen Notfallplan für Cyberangriffe erstellen und regelmäßig testen. Dieser Plan sollte klare Verantwortlichkeiten definieren, Kommunikationswege festlegen und die Schritte zur Wiederherstellung des Betriebs beschreiben. Ein gut vorbereitetes Unternehmen kann die Auswirkungen eines Ransomware-Angriffs erheblich minimieren und die Wiederherstellungszeit drastisch verkürzen. Die Einbindung eines externen Datenschutzbeauftragten in die Erstellung des Notfallplans ist dabei empfehlenswert.

Der Ransomware-Angriff auf MediaMarkt und Saturn verdeutlicht eindrücklich, dass Cyberangriffe jedes Unternehmen treffen können, unabhängig von seiner Größe oder Branche. Die zunehmende Professionalisierung der Angreifer erfordert eine ebenso professionelle Verteidigung. Unternehmen, die in präventive Sicherheitsmaßnahmen investieren, ihre Mitarbeiter schulen und einen funktionierenden Notfallplan vorhalten, sind deutlich besser gegen Ransomware-Angriffe gewappnet. Die Kosten für Prävention sind dabei laufend geringer als die potenziellen Schäden eines erfolgreichen Angriffs.

Sollten Sie Fragen oder Probleme in diesem Bereich haben, beraten Sie unsere Experten gerne.