Medusa Ransomware 500 Victims — Was das CISA-Advisory bedeutet

Medusa ransomware 500 victims ist jetzt die offizielle US-Bundeszahl: CISA, FBI und das Department of Health and Human Services aktualisierten am 18. August 2026 ihr gemeinsames Advisory und bestätigten, dass die Ransomware-as-a-Service-Gruppe seit Juni 2021 mehr als 500 US-amerikanische Betreiber kritischer Infrastruktur kompromittiert hat — gegenüber der Zahl von mehr als 300 im ursprünglichen Bericht vom März 2025.

Was ist passiert

Das aktualisierte Advisory (ein Update zu AA25-071A) nutzt FBI-Ermittlungsdaten mit Stand April 2026. Zu diesem Zeitpunkt hatten Medusa-Akteure mehr als 500 Opfer in US-amerikanischen KRITIS-Sektoren getroffen, darunter Gesundheitswesen, Rüstungsindustrie, kritische Fertigung, Regierungsdienste und -einrichtungen, Informationstechnologie sowie Finanzdienstleistungen — zusätzlich zu weiteren Opfern in Medizin, Bildung, Recht, Versicherung, Technologie und verarbeitendem Gewerbe im weiteren Sinne. Das ist die konkrete, US-fokussierte Zahl, die die drei Behörden nennen; sie sollte nicht mit einer separaten, größeren, globalen Zahl verwechselt werden.

Medusa ransomware 500 victims ist die US-spezifische Zahl, an der man sich beim Briefing der Geschäftsführung orientieren sollte, da globale Zählungen höher liegen. Unabhängiges Leak-Site-Tracking (ransomware.live) beziffert Medusas weltweite Gesamtopferzahl auf 517 zum Stand 17. August 2026, wobei Deutschland neben den USA, dem Vereinigten Königreich, Australien, Indien, Frankreich, Kanada, Brasilien und Italien als eines der nennenswerten Zielländer in Medusas breiterer globaler Operationstätigkeit genannt wird. Diese globale Zahl ist getrennt von der US-spezifischen Zahl im CISA/FBI/HHS-Advisory zu betrachten und sollte nicht damit vermischt werden.

Medusa trat im Juni 2021 als geschlossene Ransomware-Operation auf. Die Aktivität nahm 2023 deutlich zu, als die Gruppe ihre Leak-Site „Medusa Blog“ startete und ein Double-Extortion-Ransomware-as-a-Service-Modell einführte. Medusa-Entwickler rekrutieren Initial Access Broker in Cyberkriminalitätsforen und auf Marktplätzen und bieten 100 bis 1 Million US-Dollar pro Einsatz, mit der Option, exklusiv für die Gruppe zu arbeiten.

Warum das wichtig ist

Ein solches Advisory ist ein Due-Diligence-Datenpunkt, kein Einzelvorfall-Alarm — und genau deshalb verdient es Aufmerksamkeit auf Vorstandsebene, nicht nur ein SOC-Ticket. Eine fünf Jahre alte Ransomware-as-a-Service-Operation, die ihre bestätigte Opferzahl Jahr für Jahr weiter steigert, quer durch Sektoren von Gesundheitswesen über Finanzdienstleistungen bis Regierung, ist ein Beleg dafür, dass „uns hat es noch nicht getroffen“ nicht dasselbe ist wie „wir sind kein Ziel“. Für NIS2-pflichtige Unternehmen ist ein aktualisiertes Bundesadvisory mit konkreter Sektor-Nennung genau die Art externer Bedrohungskontext-Dokumentation, die ein Auditor im Risikoregister erwartet.

Die im Advisory empfohlenen Gegenmaßnahmen greifen ein Thema auf, zu dem DIESEC immer wieder zurückkehrt: Medusa-Affiliates kaufen sich, wie die meisten Ransomware-Betreiber, Erstzugang über genau die Art ungepatchter, internetseitiger Exposition, die in praktisch jedem CVE-Alarm dieses Newsletters auftaucht. Ransomware-Bereitschaft ist eine Folge normalen Patch- und Expositionsmanagements, kein eigenständiges Programm.

Was Sie jetzt tun sollten

1. Zuerst bekannte ausgenutzte Schwachstellen patchen: Das Advisory nennt explizit die Absicherung von Betriebssystemen, Software und Firmware als oberste Priorität — heute die eigenen offenen CISA-KEV-Einträge abgleichen.
2. Netzwerk segmentieren: sicherstellen, dass ein einzelner kompromittierter Host nicht jedes andere System erreichen kann — Medusa-Affiliates setzen auf laterale Bewegung nach dem ersten Zugriff.
3. Zugriff aus nicht vertrauenswürdigen Quellen auf interne Remote-Dienste einschränken: prüfen, welche Remote-Access- und Management-Dienste (RDP, VPN-Gateways, RMM-Tools) aus nicht vertrauenswürdigen Netzwerken erreichbar sind, und auf bekannte Quellen beschränken.
4. Offline-Backups für kritische Systeme verifizieren und bestätigen, dass der Wiederherstellungsprozess in den letzten zwölf Monaten tatsächlich getestet wurde — nicht nur dokumentiert ist.

DIESEC Einschätzung

Bei den meisten Medusa-artigen Vorfällen, die wir analysieren, sehen wir dieselbe Grundursache: keine spektakuläre Zero-Day-Lücke, sondern eine Patch- oder Expositionslücke, die Wochen oder Monate unbeachtet blieb, bis ein Initial Access Broker sie fand und die Tür weiterverkaufte. Die Gegenmaßnahmen-Liste des Advisories liest sich wie eine Checkliste von Dingen, die die meisten Organisationen ohnehin zu tun glauben — die Lücke liegt meist zwischen „dokumentierter Richtlinie“ und „in der Produktion verifiziert“.

Nicht sicher, ob Ihre Netzwerksegmentierung und Ihr Patch-Verifizierungsprozess einem Medusa-artigen Angriff tatsächlich standhalten würden? Kontaktieren Sie DIESEC für eine schnelle Ransomware-Expositionsanalyse.

Quellen: CISA/FBI/HHS Joint Advisory (AA25-071A) | BleepingComputer
Veröffentlicht: 2026-08-21 | Kategorie: Tägliche News | ~4 Min. Lesezeit