Cybercrime als Business

Hacker-Ökonomie: Wie Cybercrime wirklich funktioniert

Cybercrime folgt längst wirtschaftlichen Prinzipien. Angebot, Nachfrage und Spezialisierung bestimmen, wie Angriffe entstehen und nicht nur technische Fähigkeiten. Was dabei oft unterschätzt wird, ist die Art und Weise, wie Angriffe tatsächlich zustande kommen. In vielen Fällen greifen mehrere Akteure ineinander, die jeweils nur einen Teil beitragen. Der eine stellt Werkzeuge bereit, ein anderer beschafft Zugang und ein dritter nutzt diesen Zugang für den eigentlichen Angriff. So entstehen Strukturen, die effizienter und deutlich leichter skalierbar sind als isolierte Einzelaktionen.

Wer diese Dynamik verstehen will, sollte weniger auf einzelne Techniken schauen und stärker auf die zugrunde liegende Logik. Genau dort wird sichtbar, warum Angriffe so schnell reproduzierbar sind und warum sie in so vielen Fällen funktionieren. Besonders deutlich zeigt sich das an konkreten Modellen, die sich in den letzten Jahren etabliert haben. Dazu gehören Malware as a Service, der Handel mit initialen Zugängen durch sogenannte Initial Access Broker und Affiliate Strukturen rund um Ransomware.

Malware as a Service

Ein wesentlicher Bestandteil dieser Entwicklung ist die Bereitstellung von Schadsoftware als Dienstleistung. Malware wird nicht mehr zwingend für einen einzelnen Angriff entwickelt, sondern als fertige Lösung aufgebaut und anderen zur Verfügung gestellt. Hinter solchen Angeboten stehen Gruppen, die sich ausschließlich auf Entwicklung und Betrieb konzentrieren. Sie verbessern ihre Software kontinuierlich und stellen sicher, dass sie möglichst zuverlässig funktioniert. Für die Nutzer bedeutet das, dass sie keine eigenen Werkzeuge mehr entwickeln müssen. Sie greifen auf Systeme zurück, die bereits erprobt sind.

Typisch für solche Modelle sind:

• zentrale Oberflächen zur Steuerung von Kampagnen
• regelmäßige Anpassungen, um Erkennung zu vermeiden
• flexible Nutzung je nach Ziel und Umgebung

Der Effekt ist klar. Die Einstiegshürde sinkt und gleichzeitig steigt die Verfügbarkeit funktionierender Angriffswerkzeuge. Technisches Wissen verliert an Bedeutung, während Umsetzung und Auswahl der Ziele wichtiger werden.

Initial Access Broker

Parallel dazu hat sich ein eigener Markt für Zugänge entwickelt. Initial Access Broker konzentrieren sich darauf, Zugriff auf Unternehmen zu erlangen und diesen weiterzugeben. Der Zugang selbst steht im Mittelpunkt. Wie er entstanden ist, spielt oft eine untergeordnete Rolle. Entscheidend ist, dass er funktioniert und verwertbar ist. Solche Zugänge entstehen häufig durch bekannte Methoden wie Phishing oder die Nutzung gestohlener Zugangsdaten. Anschließend werden sie bewertet und gehandelt. Dabei zählen vor allem Faktoren wie Unternehmensgröße, vorhandene Rechte und mögliche wirtschaftliche Nutzung.

Typische Aspekte sind:

• Zugriff auf Remote Systeme oder Cloud Dienste
• Einordnung nach Branche und Größe des Unternehmens
• Preisgestaltung nach Qualität und Tiefe des Zugriffs

Für nachgelagerte Akteure ergibt sich daraus ein klarer Vorteil. Sie müssen nicht selbst in ein System eindringen, sondern können direkt mit einem vorhandenen Zugang arbeiten. Der eigentliche Angriff beginnt damit häufig erst, nachdem der erste Zugriff längst erfolgt ist.

Ransomware Affiliate Strukturen

Auf dieser Grundlage bauen viele der heutigen Ransomware Aktivitäten auf. Auch hier zeigt sich die Marktlogik deutlich. Aufgaben werden getrennt und von unterschiedlichen Akteuren übernommen. Eine Seite stellt die technische Grundlage bereit. Dazu gehören die Verschlüsselung, die Kommunikationswege und die Infrastruktur für Zahlungen. Andere übernehmen die Durchführung. Sie nutzen vorhandene Zugänge, bewegen sich im Unternehmen und setzen den Angriff um.

Die Zusammenarbeit basiert auf Beteiligung. Wer den Angriff durchführt, erhält einen großen Teil der Einnahmen. Der Anbieter der Infrastruktur erhält seinen Anteil für die bereitgestellte Plattform.

Typisch für diese Modelle sind:

• klare Trennung zwischen Entwicklung und Durchführung
• Nutzung bereits vorhandener Zugänge
• Beteiligungsmodelle statt fester Strukturen

Dieses Vorgehen ermöglicht eine schnelle Ausbreitung. Neue Akteure können sich beteiligen, ohne den gesamten Prozess verstehen zu müssen. Gleichzeitig entsteht ein System, in dem sich einzelne Teile unabhängig voneinander weiterentwickeln.

Fazit

Cyberangriffe sind heute selten das Ergebnis einzelner Handlungen. Sie entstehen aus einem Zusammenspiel verschiedener Rollen, die sich gegenseitig ergänzen. Werkzeuge werden bereitgestellt, Zugänge werden gehandelt und Angriffe werden von anderen umgesetzt. Jeder Teil für sich ist überschaubar. Erst im Zusammenspiel entsteht die eigentliche Wirkung. Die Herausforderung liegt daher nicht nur in der Abwehr eines einzelnen Angriffs. Sie liegt im Verständnis eines Systems, das sich kontinuierlich weiterentwickelt und immer stärker nach wirtschaftlichen Prinzipien funktioniert.