Windows VSS-Missbrauch: Microsoft stuft Ransomware-Gefahr höchst ein
Veröffentlicht am: 15.09.2026 um 19:22 Uhr | Redaktion boerse-global.de
Die Ausnutzung des Windows Volume Shadow Copy Service (VSS) durch Cyberkriminelle hat eine neue Eskalationsstufe erreicht. Während Angreifer den Dienst gezielt missbrauchen, um sensible Informationen zu extrahieren und Wiederherstellungsoptionen zu sabotieren, reagieren deutsche Sicherheitsbehörden und Bundesländer mit einem deutlichen Ausbau ihrer digitalen Abwehrmaßnahmen.
Microsoft stuft VSS-Missbrauch als Ransomware-Gefahr ein
In aktuellen Analysen von Mitte September ordnet Microsoft den Missbrauch des VSS-Dienstes als schwerwiegende Ransomware-Aktivität ein. Das Unternehmen vergab hierfür die höchste Dringlichkeitsstufe (Severity 100) bei einem Impact-Wert von 5. Bedrohungsakteure verfolgen dabei zwei primäre Ziele: die Entfernung von Systemwiederherstellungsoptionen vor einer Verschlüsselung sowie das Extrahieren von Anmeldedaten aus geschützten Windows-Dateien.
Technisch nutzen die Angreifer Werkzeuge wie vssadmin oder die Windows Management Instrumentation (WMI), um Schattenkopien zu löschen und so die Systemrettung zu verhindern. Dieses Vorgehen wird im MITRE-Framework als Technik T1490 klassifiziert.
Darüber hinaus ermöglichen die Schattenkopien den Zugriff auf die Datenbank des Active Directory (NTDS.dit), ohne dass ein direkter Zugriff auf das laufende System notwendig ist. Auf diese Weise können Passwort-Hashes und sensible Domänendaten für eine spätere Offline-Analyse erbeutet werden.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Experten erklären im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor es zu spät ist. Kostenloses E-Book zur Cyber Security jetzt herunterladen
Analysten beobachteten komplexe Angriffsketten, bei denen sich Täter über PsExec mit System-Rechten Zugriff auf Domain Controller verschafften. Nach einer Überprüfung aktiver RDP-Sitzungen erzeugten sie mittels vssadmin eine Schattenkopie der Active-Directory-Datenbank.
Vor der endgültigen Ransomware-Verschlüsselung wurden zudem Speichergrenzen verändert, um die Wiederherstellungskapazitäten weiter zu reduzieren. Experten raten Organisationen daher, VSS-Ereignisse systematischer mit Prozesslinien und Identitätskontexten zu korrelieren und verstärkt auf Offline-Backups zu setzen.
Behörden verschärfen Sicherheitsvorgaben für kritische Infrastrukturen
Parallel zu diesen technischen Bedrohungen verstärken deutsche Behörden ihre Anstrengungen zum Schutz staatlicher und privater Strukturen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) erhöhte die Bedrohungswarnung für Betreiber kommunaler Strom-, Wasser- und Verkehrssysteme.
Die Behörde fordert deutlich stärkere Abwehrmaßnahmen gegen komplexe, oft fremdstaatlich motivierte Eindringversuche. Auch das Bundeskriminalamt (BKA) registrierte einen Anstieg staatlich geförderter Cyber-Spionage gegen kritische Infrastrukturen und drängt auf einen intensivierten Informationsaustausch.
Die Bundesnetzagentur legte neue Entwürfe für IT-Sicherheitskataloge vor, die sich an Betreiber von Energieanlagen sowie Strom- und Gasnetzen richten. Diese sehen eine Vereinheitlichung bisher getrennter Vorgaben vor.
Künftig sollen sich die Sicherheitsmanagementsysteme strikt an der Norm ISO/IEC 27001 orientieren. BNetzA-Präsident Klaus Müller betonte in diesem Zusammenhang, dass die Sicherheitsanforderungen aufgrund der fortschreitenden Digitalisierung und einer veränderten geopolitischen Lage zwangsläufig steigen müssten.
Wer die IT-Sicherheit im eigenen Betrieb stärken möchte, ohne sofort in teure Hardware zu investieren, findet in diesem Leitfaden wertvolle Ansätze. Das Gratis-E-Book zeigt, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Gratis-E-Book: Cyber-Security-Lösungen für Unternehmen
Nationaler Sicherheitsrat warnt vor hybriden Angriffen
Auf politischer Ebene befasste sich der Nationale Sicherheitsrat unter Vorsitz von Bundeskanzler Merz mit der Bedrohungslage. Regierungssprecher Stefan Kornelius erklärte, dass Deutschland weiterhin im Visier hybrider Angriffe Russlands stehe.
In diesem Kontext wurden Maßnahmen zum Schutz kritischer Infrastrukturen sowie eine schnelle Novellierung des Investitionsprüfungsgesetzes beschlossen. Auch die Sicherung kritischer Rohstoffe über einen neuen Rohstofffonds ist Teil der Strategie.
Während die Bundesländer ihre Abwehrmaßnahmen gegen Datenklau weiterentwickeln, mahnen zivilgesellschaftliche Akteure zur Wachsamkeit. Bianca Kastl vom Chaos Computer Club wies darauf hin, dass trotz der Ausbaupläne weiterhin erhebliche Gefahren für die IT-Sicherheit bestehen.
Der Sicherheitsrat befasste sich zudem erneut mit zurückliegenden Sicherheitsvorfällen, wie einem Drohnenvorfall in Leipzig Anfang August, um die Resilienz gegenüber Sabotageakten zu stärken.
