Eine Leak-Site ohne Server, den man beschlagnahmen kann

DeadLock ist eine auf Rust basierende Ransomware-Operation, die Microsofts eigene Sicherheitsforscher erstmals im Juli 2025 beobachteten und in einem am 10. August 2026 veröffentlichten technischen Blogbeitrag detailliert beschrieben haben. Wie die meisten modernen Ransomware-Gruppen setzt DeadLock auf doppelte Erpressung: Sie verschlüsselt die Systeme eines Opfers und droht, gestohlene Daten zu veröffentlichen, wenn nicht gezahlt wird. Microsoft hat zudem beobachtet, dass das Tool von mehreren Gruppen eingesetzt wird, darunter ein Partner mit Verbindungen zu den Ransomware-Ökosystemen Lynx und INC, was zeigt, dass die Infrastruktur von DeadLock bereits wiederverwendet wird und nicht von einer einzigen geschlossenen Gruppe betrieben wird.

Der entscheidende Unterschied liegt darin, wo die Leak-Site und die Verhandlungsinfrastruktur tatsächlich liegen. Statt eines gemieteten Servers hinter einem Hosting-Anbieter nutzt DeadLock zwei Smart Contracts auf der Polygon-Blockchain: Der eine speichert die aktuelle Adresse des Chat-Proxys, der andere die Beiträge des Leak-Blogs. Der Browser eines Besuchers liest beide über kostenlose, lesende Anfragen an öffentliche Polygon-Knoten aus, ohne dass eine Krypto-Wallet nötig ist, und die Betreiber wechseln zwischen sechs verschiedenen öffentlichen Endpunkten, damit kein einzelner Knotenbetreiber den Zugang kappen kann.

Warum eine Blockchain länger durchhält als ein Hosting-Anbieter

Eine klassische Ransomware-Leak-Site ist von Natur aus ein einzelner Ausfallpunkt: Sie liegt auf einem Server, erreichbar über ein Hosting-Konto oder einen Tor-Einstiegspunkt, und ein Hosting-Anbieter, eine Registrierstelle oder eine Strafverfolgungsmaßnahme kann sie an einem Nachmittag offline nehmen. Die Polygon-basierte Version von DeadLock hat keinen vergleichbaren Schwachpunkt. Die 'Site' ist eine Reihe von Transaktionen, die auf einem öffentlichen Register aufgezeichnet sind und von Tausenden unabhängigen Validator-Knoten weltweit kopiert und geprüft werden. Sie zu entfernen würde bedeuten, Blockchain-Geschichte umzuschreiben, auf die auch andere, unbeteiligte Teilnehmer angewiesen sind, was nicht realistisch ist.

Microsofts eigene Einschätzung des Designs ist unmissverständlich: Die Architektur erhöhe, in den Worten des Unternehmens, wahrscheinlich die Widerstandsfähigkeit der Kommunikations-, Leak-Hosting- und Verhandlungsinfrastruktur von DeadLock und erlaube es den Betreibern, sich von Störversuchen zu erholen, während die Kontinuität für die Opfer erhalten bleibt. Das ist ein bemerkenswertes Eingeständnis seitens des Anbieters, der am besten in der Lage ist, dies zu beurteilen, und es ist der bislang klarste Beleg dafür, dass sich Ransomware-Infrastruktur gezielt in Formen bewegt, die Zerschlagungsmaßnahmen nicht ohne Weiteres erreichen können.

Session schließt die letzte zentrale Schwachstelle

Auch eine blockchain-gehostete Leak-Site braucht einen Weg, auf dem der Betreiber mit dem Opfer sprechen kann, und genau hier schließt DeadLock seine zweite Lücke. Die Kommunikation zwischen Opfer und Betreiber läuft über Session, einen dezentralen, über Onion-Routing geführten Messenger, der auf einem Schwarm-Netzwerk statt auf einem zentralen Server aufbaut. Das gibt beiden Seiten Anonymität, ohne dass eine der beiden Seiten von einem Unternehmen abhängt, das zur Herausgabe von Protokollen gezwungen oder dessen Konten abgeschaltet werden könnten. DeadLock leitet die Session-Identität jedes Opfers sogar deterministisch aus dessen eigenen Anmeldedaten ab, sodass weder ein separater Registrierungsschritt noch ein separater Datensatz nötig ist.

Das ist relevant, weil Chat-Infrastruktur historisch einer der wenigen Ansatzpunkte für Strafverfolgungsbehörden war. Telegram-Kanäle und Tor-basierte Chatserver, die andere Ransomware-Gruppen nutzen, haben zentrale Betreiber oder zentrales Hosting, die unter Druck gesetzt, beschlagnahmt oder blockiert werden können. Session hat beides nicht. In Kombination mit der Polygon-Leak-Site hat DeadLock damit praktisch beide zentralen Angriffspunkte beseitigt, auf die frühere Zerschlagungsaktionen gegen Ransomware-Gruppen angewiesen waren.

Rust-Verschlüsselung und eine schnell wachsende Opferliste

Auch die Verschlüsselungssoftware selbst ist solide gebaut, nicht nur die Infrastruktur drumherum. DeadLock ist in Rust geschrieben und verwendet ein hybrides Design, das Curve25519-Kryptografie auf Basis elliptischer Kurven mit der XChaCha20-Stromchiffre kombiniert und für jede einzelne Datei ein eindeutiges, kurzlebiges Schlüsselpaar erzeugt. Verschlüsselte Dateien erhalten die Endung .dlock. Für sich genommen ist daran nichts Exotisches, aber in Kombination mit dezentraler Auslieferung und Verhandlungsinfrastruktur entfällt genau das übliche weiche Ziel, ein beschlagnahmbarer Server oder ein blockierbarer Chatkanal, auf das sich Verteidiger in früheren Fällen verlassen haben.

Die Opferliste wächst schnell. Microsoft zählte bis Juli 2026 mehr als 80 auf der DeadLock-Leak-Site veröffentlichte Organisationen, mehr als die Hälfte davon in Europa, verteilt über Informationstechnologie, Bergbau, Transport und Logistik, verarbeitendes Gewerbe, Gastgewerbe und Konsumgüter, unter anderen Sektoren, über Europa, Asien, Nordamerika, Südamerika und Afrika hinweg. Eine separate technische Analyse des Portals The Hacker News beziffert die Zahl höher, auf rund 96, mit den stärksten Konzentrationen in Italien, Spanien, Polen, der Türkei und den Vereinigten Staaten, ein Unterschied, der sich eher durch Zeitpunkt und Zählmethode erklärt als durch einen Widerspruch.

Was sich für die Notfallplanung von Fertigungsunternehmen ändert

Die Fertigungsindustrie gehört unmittelbar zu den von Microsoft genannten DeadLock-Opfersektoren, und das ist für europäische Eigentümer kein Nebenaspekt. Fertigungs-Teilsektoren, darunter Hersteller von Maschinen, Elektronik und Fahrzeugkomponenten, gelten nach der EU-Richtlinie NIS2 als wichtige Einrichtungen, was bedeutet, dass Meldepflichten und ein Mindestmaß an Cyber-Risikomanagement bereits vor einem Angriff gelten. Ein Vorfall im Stil von DeadLock ist genau das Szenario, für das der Fertigungsbereich in NIS2 vorgesehen wurde.

Die praktische Verschiebung betrifft das Gewicht, das ein Notfallplan auf Verhandlungsspielraum gegenüber Backup-Bereitschaft legen sollte. Pläne, die auf der Annahme beruhen 'wir können die Leak-Site abschalten lassen' oder 'die Strafverfolgung kann ihre Kommunikation stören', setzten einen beschlagnahmbaren Server und einen blockierbaren Chatkanal voraus, und beides hat DeadLock nicht. Das macht Verhandlungen nicht nutzlos, bedeutet aber, dass die Rückfallebene, saubere, getestete Offline-Backups und ein eingeübter Wiederherstellungsprozess, mehr Gewicht tragen muss als bisher, weil die Unterbrechungsoption, auf die sich Verteidiger historisch verlassen konnten, gegen diesen Akteur nicht mehr zuverlässig verfügbar ist.

Weiterlesen: CVSS 9.6: Schwachstelle traf Load Balancer 792 Mal  |  Autonome KI-Agenten griffen Taiwans Regierung an