Hacker deaktivieren Windows Defender und vernichten Backups: Der Angriffsvektor erklärt

Sie haben ein Backup-System, das tadellos funktioniert. Das ist gut. Jetzt stellen Sie sich vor, Hacker schalten es aus, bevor Sie auch nur merken, dass sie da sind. Das ist keine Science-Fiction und auch keine Geschichte. Tatsächlich gab es in der Vergangenheit bereits solche Angriffe. Ein neuer Angriffsvektor nutzt nun die „The Gentlemen” Ransomware, eine der aggressivsten Bedrohungen von 2026, um ein fundamentales Problem zu zeigen: Ein funktionierendes Backup reicht nicht aus. Sie müssen verstehen, wie Hacker angreifen, um wirklich dagegen anzukommen.

Der schonungslose Ablauf: Wie die „Gentlemen” arbeiten

Die Gentlemen-Ransomware funktioniert nach einem kalt kalkulierten Plan. Bevor auch nur eine einzige Datei verschlüsselt wird, räumt sie das Spielfeld auf – und diese Phase ist für Sie und die Möglichkeit zu intervenieren entscheidend.

Das Windows-Defender-Manöver

Die Malware deaktiviert zunächst die Echtzeit-Schutzfunktion von Microsoft Defender, fügt sich selbst und die C:-Festplatte der Ausschlussliste hinzu und löscht relevante Sicherheitsprotokolle. Das bedeutet: Der Defender schaut aktiv weg von dem, was gerade passiert.

Das ist perfide, weil es schnell, leise und hoch effizient geht – für die Hacker.Für Ihre Mitarbeiter sieht im Moment nichts verdächtig aus, da der Defender ja noch läuft. Nur eben … nicht mehr aktiv.

Das Backup-Desaster

Parallel dazu greift die Malware Ihr Backup-System an. Dabei werden alle mit Backup-Services verknüpften Prozesse und Dienste gestoppt, insbesondere:

• Veeam-Backup-Services (falls Sie Veeam nutzen).
• Acronis-Agenten
• andere Enterprise-Backup-Produkte
• Datenbankservices, die regelmäßige Backups auslösen.

Um das Ganze noch zu verschlimmern, löscht die Malware alle Volume Shadow Copies (VSC), also die automatisierten Schnappschüsse, die Windows ständig erstellt. Das ist Ihre letzte Rettungsleine, wenn normale Backups fehlschlagen.

Das Ergebnis: Backups existieren möglicherweise noch auf der Festplatte, aber Sie können sie nicht einfach wiederherstellen, da die zuständigen Dienste deaktiviert sind.

Die Spurenverwischung

Die Malware löscht dann auch noch Event Logs, den PowerShell-Verlauf, RDP-Sitzungsprotokolle und Prefetch-Dateien. Für die IT bedeutet das: Wenn die Verschlüsselung startet, stehen keine Forensik-Daten mehr zur Verfügung, um zu verstehen, wie der Angreifer in das System eingedrungen ist und wie er vorgegangen ist. Diese Informationen wären jedoch notwendig, um einen Rettungsversuch unternehmen zu können.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Warum das funktioniert: Der technische Hintergrund

Die Gentlemen nutzen ein Ransomware-as-a-Service-(RaaS)-Modell, das seit September 2025 Affiliates rekrutiert. Das bedeutet, dass es sich um ein professionell betriebenes Ökosystem handelt und nicht um einen einzelnen Hacker im Keller.

Besonders beeindruckend ist die Netzwerk-Ausbreitungsfähigkeit. Die Malware nutzt bis zu 21 verschiedene Techniken gleichzeitig, um von einem System zum nächsten zu springen. Wenn Sie nicht alle blocken können, dann haben Sie ein Problem, denn dem Angreifer reicht eine ungeblockte Methode.

Die Verschlüsselung selbst kombiniert Curve25519 (elliptische Kurvenkryptografie) mit ChaCha20 – das ist militärische Sicherheit. Jede Datei erhält einen eindeutigen Schlüssel. Ohne den privaten Schlüssel des Angreifers ist eine Entschlüsselung nicht möglich.

Das eigentliche Gift ist die doppelte Erpressung: Die Angreifer verschlüsseln nicht nur Ihre Dateien, sondern stehlen sie vorher. Wenn Sie nicht zahlen, drohen sie mit der Veröffentlichung.

Das Eingangstor: Hier kommen die Angreifer herein.

Hier sind die typischen Wege, wie die Angreifer Zugang erhalten:

• Phishing und Malicious E-Mails (37 %)
• Ausgenutzte Sicherheitslücken (32 %) – oft in Firewalls und VPN-Appliances
• Gestohlene oder gebrutete Anmeldedaten (23 %) – besonders für VPN und OWA/M365

Das Interessante dabei ist: Das ist kein High-Tech-Einstieg. Hacker nutzen häufig das, was Sie bereits haben: Ihre eigenen Anmeldedaten. Von dort aus eskalieren sie Privilegien und verbreiten sich.

Was ist zu tun? Die Maßnahmen, die wirklich zählen

Viele IT-Leiter denken: „Ein gutes Backup ist genug.” Das ist falsch, denn in diesem Fall ist das Backup selbst das primäre Ziel und nicht die Dateien, die eigentlich durch das Backup bewahrt werden sollen.

1. Die Backup-Architektur reparieren

Immutable (unveränderliche) Backups sind jetzt Pflicht, das bedeutet:

• Backups müssen so konfiguriert sein, dass selbst ein gehackter Admin-Account sie nicht löschen oder verändern kann.
• Sie sollten offline oder in einer isolierten Cloud-Region gespeichert sein.
• Sie müssen regelmäßig getestet und verifiziert werden, denn „Backups existieren” ist nicht gleich „Backups funktionieren”.

Die 3-2-1-Regel ist Standard: – 3 Kopien Ihrer Daten, davon 2 auf verschiedenen Speichermedien und 1 komplett offline.

2. Access Controls aufdrehen

• MFA auf allen Backup-Management-Accounts – Punkt. Keine Ausnahmen.
• Principle of Least Privilege: Admin-Zugang nur für die, die ihn wirklich brauchen.
• Regelmäßige Credential-Rotation

Die Gentlemen nutzen häufig gestohlene oder gebrutete Zugangsdaten. Wenn Sie kein starkes Identitätsmanagement haben, ist Ihre Backup-Konsole das letzte Schloss, das Hacker knacken.

3. Defense-in-Depth: Mehrschichtig denken

• EDR im Block-Mode aktivieren (Endpoint Detection & Response, die auch blockt und nicht nur alarmiert)
• Behavioral Detection auf anomale Massenaktivitäten konfigurieren: Tausende von verschlüsselten Dateien um 3 Uhr nachts? Das sollte sofort geblockt werden.
• Attack Surface Reduction Rules nutzen (bei Microsoft Defender XDR).
• Tamper Protection aktivieren, sodass Prozesse den Defender nicht deaktivieren können.

4. Netzwerk-Segmentierung

Die Gentlemen breiten sich aggressiv aus.
Wenn Sie Ihr Netzwerk segmentieren, beachten Sie:

• Backup-Systeme separat vom Produktiv-Netzwerk
• Kritische Datenbanken in eigenen Segmenten
• Engmaschiges Monitoring zwischen den Segmenten

So wird ein Befall auf einem System nicht sofort zu einem Befall überall.

5. Incident Response und Wiederherstellung trainieren

Die beste Abwehr nützt nichts, wenn Sie nicht üben, zu reagieren.

• Regelmäßige Recovery-Tests durchführen (nicht nur die Backup-Integrität prüfen, sondern ein System vollständig von Backup wiederherstellen).
• Wer entscheidet, was zu tun ist? Dieser Prozess muss vor dem Incident definiert sein.
• Alle Rollen sollten gemeinsam üben, nicht isoliert, um zu erfahren, wie echte Zusammenarbeit zwischen IT-Sicherheit, Infrastruktur und Backup-Team aussieht.

Unser Vorgehen:

Falls Sie dieses Szenario befürchten und Hilfe benötigen, können Sie sich gerne an uns wenden.

Wir beginnen mit Konzeption und Analyse: Wir betrachten Ihre Backup-Architektur, Ihre Zugriffskontrollen, Ihre digitale Reife und IT-Landschaft, Ihre Netzwerksegmentierung und Ihre Dokumentation. Wir ermitteln, wo Sie stehen und wo sich echte Lücken befinden.

In einem Workshop arbeiten wir gemeinsam mit Ihrem Team: Welche Szenarien sind für Sie die Worst-Case-Fälle? Wie sieht ein Wiederherstellungsplan aus, den Sie in vier Stunden und nicht in vier Tagen umsetzen können? Welche Rollen und Entscheidungswege benötigen Sie?

Das Ergebnis ist ein für Ihr Unternehmen passendes Konzept – nicht dasselbe wie bei dem Unternehmen um die Ecke, sondern maßgeschneidert. Gerne unterstützen wir Sie auch beim Change-Management und der User-Adoption und helfen Ihnen dabei, die Maßnahmen in Ihrem Unternehmen dauerhaft und effektiv zu implementieren.

Die Gentlemen mögen aggressiv sein, aber mit dem richtigen Schutzschild sind Sie schneller.