TRM Labs und Zscaler bündeln Kräfte, um Ransomware auf der Blockchain zu verfolgen

Zwei der am genauesten beobachteten Namen der Threat Intelligence haben eine Partnerschaft formalisiert, die Malware-Tradecraft direkt mit Kryptowährungs-Geldflüssen verbindet. TRM Labs, bekannt für seine On-Chain-Analysen, und Zscaler ThreatLabz, spezialisiert auf Cyber-Threat-Intelligence, gaben am 6. Oktober 2026 bekannt, dass sie ihre Datensätze kombinieren, um Ransomware-Gruppen, staatliche Akteure und andere Cyberkriminelle zu untersuchen, die auf digitale Vermögenswerte angewiesen sind, um Angriffe zu finanzieren und zu monetarisieren. Für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs, die auf zuverlässige Krypto-Buchhaltungssoftware und robuste AML-Kontrollen angewiesen sind, haben die Daten, die diese Partnerschaft bereits hervorgebracht hat, unmittelbares praktisches Gewicht.

Was die Partnerschaft tatsächlich leistet

Cyber-Threat-Intelligence und On-Chain-Intelligence lebten traditionell in getrennten Silos. Ein Malware-Analyst kann beschreiben, wie eine Ransomware-Gruppe operiert, welche Infrastruktur sie nutzt und wie sich ihre Taktiken im Laufe der Zeit verändern. Ein Blockchain-Analyst kann Kryptowährungsflüsse zwischen Wallets nachverfolgen. Was keine der beiden Disziplinen allein leicht leisten konnte, ist die Verbindung einer bestimmten Angriffskampagne mit einem bestimmten Satz von Wallet-Adressen und dann die Verfolgung des Geldes, während es sich über Börsen, Mixer oder Cross-Chain-Bridges bewegt.

Die Attributionslücke schließen

Die Zusammenarbeit von TRM Labs und Zscaler ThreatLabz ist genau darauf ausgelegt, diese Lücke zu schließen. ThreatLabz steuert Malware-Code-Analysen, Profiling des Angreiferverhaltens und die Dokumentation sich entwickelnder Taktiken, Techniken und Verfahren bei. TRM Labs kartiert die On-Chain-Finanzaktivität, die mit denselben Bedrohungsakteuren verbunden ist, und verfolgt, wie sich Lösegeldzahlungen bewegen, sobald Opfer zahlen, und wie Erlöse schließlich ausgezahlt oder in weitere kriminelle Infrastruktur reinvestiert werden.

Die beiden Teams sagen, dass ihre kombinierte Intelligence bereits messbar bessere Ransomware-Analysen hervorgebracht hat, indem sie operative Angriffsaktivität mit Opferzahlungsdaten verbindet, was deutlich schwieriger war, als jede Organisation isoliert mit ihren eigenen Daten arbeitete.

Vier definierte Schwerpunktbereiche

Die Partnerschaft hat vier Arbeitsströme skizziert, die die laufende Zusammenarbeit strukturieren werden:

• Analyse des Ransomware-Ökosystems: kontinuierliche Verfolgung führender Ransomware-Gruppen, ihrer Affiliate-Netzwerke und neu auftretender Familien, einschließlich Verschiebungen in der Monetarisierungsstrategie.
• Missbrauch der Blockchain-Technologie: Untersuchung von Techniken wie EtherHiding, bei denen Bedrohungsakteure Blockchain-Infrastruktur als resilienten Command-and-Control-Fallback nutzen, was Takedowns erheblich erschwert.
• Forschung zu staatlichen Akteuren: Verknüpfung staatlich geförderter Angriffskampagnen mit bestimmten Kryptowährungstransaktionen, was Attributionsbeweise liefert, die keines der Teams unabhängig produzieren könnte.
• Intelligence-Austausch und Berichterstattung: Anreicherung aktiver Untersuchungen mit validierten Erkenntnissen und Verbreitung der Ergebnisse an die breitere Sicherheits- und Compliance-Community.

Die Zahlen hinter der Ransom-Ökonomie

Der erste gemeinsame Output der Partnerschaft ist der ThreatLabz 2026 Ransomware Report, der bekannte Lösegeldzahlungen von Opfern von April 2025 bis März 2026 analysiert. Die Schlagzeilen sind ernüchternd.

Wichtige Datenpunkte aus dem Bericht 2026

Metrik	Wert
Bekannte Lösegeldzahlungen insgesamt (12 Monate bis März 2026)	327,8 Mio. USD
Durchschnittliche Zahlung pro Opfer	431.900 USD
Veränderung der durchschnittlichen Zahlung im Jahresvergleich	+5,3 %

Dies sind nur bekannte Zahlungen. Die tatsächliche Summe ist wahrscheinlich höher, da viele Opfer Zahlungen nicht öffentlich offenlegen und einige Transaktionen nur teilweise attribuiert werden. Die Zahlen stellen dennoch eine aussagekräftige Untergrenze dar und bestätigen, dass die Ransom-Ökonomie trotz erhöhter Strafverfolgungsaktivitäten weltweit nicht schrumpft.

Der Anstieg der durchschnittlichen Zahlung im Jahresvergleich ist besonders relevant für die Risikomodellierung. Er deutet darauf hin, dass Ransomware-Betreiber entweder größere Organisationen ins Visier nehmen, effektiver darin werden, höhere Summen von Opfern ähnlicher Größe zu erpressen, oder beides. Für jedes Unternehmen, das digitale Vermögenswerte hält oder Transaktionen damit durchführt, beeinflusst diese Entwicklung die Versicherungsprämien, das Budget für Incident Response und die Kosten-Nutzen-Abwägung präventiver Kontrollen.

Staatliche Akteure und die Blockchain-Dimension

Über Ransomware hinaus nennt die Partnerschaft staatliche Akteure ausdrücklich als zweitem Hauptschwerpunkt. Staatlich geförderte Gruppen nutzen zunehmend Kryptowährungen, um Operationen zu finanzieren, Sanktionen zu umgehen und Erlöse aus Cyberdiebstahl in nutzbare Ressourcen umzuwandeln. Die Herausforderung für Ermittler war stets die Attribution: Der Nachweis, dass ein Wallet-Cluster zu einer bestimmten staatlich unterstützten Gruppe gehört, erfordert sowohl technische Malware-Indikatoren als auch On-Chain-Finanzbeweise.

Warum Attribution für Compliance-Teams wichtig ist

Für regulierte Unternehmen, insbesondere Virtual Asset Service Provider, Banken mit Digital-Asset-Desks und Unternehmen, die Krypto in ihrer Bilanz halten, hat die Attributionsfrage direkte AML-Konsequenzen. Der Empfang von Geldern, die mit einem sanktionierten staatlichen Akteur in Verbindung gebracht werden können, selbst unwissentlich, kann Sanktionsrisiken auslösen. Je präziser Threat Intelligence Wallet-Adressen staatlichen Gruppen zuordnen kann, desto effektiver können Compliance-Screening-Tools diese Adressen kennzeichnen, bevor eine Transaktion abgewickelt wird.

Teams, die Krypto-Buchhaltungssoftware und Transaktionsmonitoring-Systeme verwalten, sollten beachten, dass diese Partnerschaft voraussichtlich neue Indicators of Compromise und Wallet-Attributionsdaten hervorbringen wird, die schließlich in Blockchain-Analyse-Tools für das Compliance-Screening einfließen. Mit diesen Updates auf dem Laufenden zu bleiben, ist Teil eines verteidigungsfähigen AML-Programms.

Zu verstehen, wie die ZachXBT-Infiltration des Lazarus-Netzwerks Krypto-AML für Unternehmen neu gestaltet, liefert nützlichen Kontext zu den spezifischen Tradecrafts einer der aktivsten staatlich verbundenen Gruppen und den On-Chain-Mustern, die ihre Geldwäsche hinterlässt.

EtherHiding und der Missbrauch von Blockchain-Infrastruktur

Eines der technisch spezifischeren Elemente des erklärten Umfangs der Partnerschaft ist EtherHiding, eine Technik, bei der bösartige Akteure Command-and-Control-Anweisungen in Blockchain-Transaktionen oder Smart-Contract-Speicher einbetten. Da Blockchain-Daten unveränderlich und global verteilt sind, ist es für Verteidiger weit schwieriger, sie abzuschalten als traditionelle Hosting-Infrastruktur. Ein Bedrohungsakteur kann bösartige Payload-Bereitstellungsanweisungen in einen Smart Contract schreiben und sie von jedem Gerät überall auf der Welt abrufen, ohne zentralen Server, der beschlagnahmt werden könnte.

Auswirkungen auf Buchhaltung und Audit

Für Auditoren, die Kunden mit erheblichem On-Chain-Engagement prüfen, ist dies über die Cybersicherheit hinaus relevant. Wenn die digitale Vermögensinfrastruktur eines Kunden mit Contracts oder Adressen interagiert hat, die mit EtherHiding-Kampagnen in Verbindung stehen, müssen diese Interaktionen möglicherweise für regulatorische Offenlegungszwecke bewertet werden und könnten die Einschätzung des Auditors zum Kontrollumfeld rund um die digitale Vermögensbuchhaltungssoftware beeinflussen. Forensische Prüfungen auf Blockchain-Ebene werden zu einer realistischeren Erwartung für Audits von Krypto-nativen Unternehmen.

Das breitere Muster, dass Kriminelle Blockchain-Infrastruktur für operative Resilienz ausnutzen, wird auch in unserer Analyse zu AML-Warnsignalen, die Compliance-Teams nach Crypto-Bridge-Hacks kennen müssen behandelt, die dokumentiert, wie ähnlicher Infrastrukturmissbrauch im Kontext von Bridge-Exploits auftritt.

Kontinuität über Rebrands hinweg: Das Problem der Ransomware-Verfolgung

Ransomware-Gruppen sind notorisch schwer über die Zeit zu verfolgen, weil sie rebranden, sich in Affiliate-Operationen aufspalten und Infrastruktur nach Störungen durch Strafverfolgung neu aufbauen. Eine Gruppe, die unter einem Namen geschlossen wird, taucht häufig unter einem anderen wieder auf, oft mit denselben Kernentwicklern, Affiliates und Kryptowährungs-Geldwäschekanälen.

Wie der kombinierte Datensatz hilft

Die Malware-Code-Analyse von ThreatLabz kann gemeinsame Codebibliotheken und Infrastrukturmuster identifizieren, die eine neue Gruppe mit einer früheren verbinden, selbst wenn Branding und Sprache der Lösegeldforderung vollständig geändert wurden. Die On-Chain-Daten von TRM Labs können dann bestätigen, ob die neue Gruppe Wallet-Infrastruktur nutzt, die sich mit der alten überschneidet, ob dieselben Geldwäschemuster auftreten und ob dieselben Auszahlungkanäle verwendet werden. Zusammen machen diese beiden Beweisquellen es einer Gruppe deutlich schwerer, ihrer Geschichte einfach durch Namensänderung zu entkommen.

Für Compliance-Teams bedeutet dies, dass Wallet-Blocklisten und OFAC-SDN-Ergänzungen, die mit einer nicht mehr existierenden Gruppe verbunden sind, auch nach einem Rebrand relevant bleiben und dass Attributionsbeweise aus der kombinierten Partnerschaftsberichterstattung zur Unterstützung von Sanktionsdesignationen von Nachfolgeorganisationen verwendet werden können.

Praktische Schritte für Wirtschaftsprüfungsgesellschaften, Auditoren und CFOs

Die Erkenntnisse der Partnerschaft und laufende Intelligence-Outputs haben mehrere direkte Auswirkungen für Fachleute, die digitale Vermögenspositionen verwalten oder prüfen.

Für Wirtschaftsprüfungsgesellschaften und Auditoren

Kunden-Onboarding- und periodische Überprüfungsverfahren für Krypto-native Kunden sollten Prüfungen gegen neu attribuierte Wallet-Cluster integrieren, sobald sie von Intelligence-Quellen veröffentlicht werden. Auditprogramme für digitale Vermögensbuchhaltung sollten einen spezifischen Schritt enthalten, der bewertet, ob Transaktionsmonitoring-Systeme mit aktueller Threat Intelligence aktualisiert werden, nicht nur mit regulatorischen Watchlists. Wenn Kunden Ransomware-Vorfälle erlitten und Kryptowährungszahlungen geleistet haben, werfen diese Zahlungen spezifische Fragen zur buchhalterischen Behandlung auf: Die Zahlung selbst muss zum beizulegenden Zeitwert am Abwicklungstag erfasst werden, jede speziell zur Lösegeldzahlung erworbene Kryptowährung löst in den meisten Jurisdiktionen eine steuerpflichtige Veräußerung aus, wenn sie nicht bereits gehalten wurde, und die Zahlung muss je nach Wesentlichkeit und den Berichtspflichten der Jurisdiktion möglicherweise im Jahresabschluss offengelegt werden.

Für CFOs von Krypto-exponierten Unternehmen

Der Anstieg der durchschnittlichen Lösegeldzahlungen um 5,3 % im Jahresvergleich sollte in Verhandlungen über Cyber-Versicherungsverlängerungen und in die Budgetplanung für Incident Response einfließen. Unternehmen, die Kryptowährungen in ihrer Bilanz halten, sind attraktivere Ziele als solche, die dies nicht tun, weil sie bereits über die Infrastruktur verfügen, um digitale Vermögenswerte schnell zu erwerben und zu übertragen. CFOs sollten mit ihren Sicherheitsteams bestätigen, dass Transaktionsmonitoring-Kontrollen und AML-Richtlinien speziell die im ThreatLabz 2026 Ransomware Report dokumentierten Szenarien abdecken, einschließlich der Nutzung von Blockchain-Infrastruktur für Command-and-Control und der mehrschichtigen Geldwäschemuster im Zusammenhang mit staatlichen Akteuren. Die intern genutzte digitale Vermögensbuchhaltungssoftware sollte daraufhin bewertet werden, ob sie Transaktionen, die bekannte illegale Wallets berühren, bereits zum Zeitpunkt der Erfassung kennzeichnen kann, nicht nur im Nachhinein.

Für Compliance-Beauftragte bei VASPs

Virtual Asset Service Provider sind dem direktesten regulatorischen Risiko aus dieser Landschaft ausgesetzt. Die Partnerschaft zwischen TRM Labs und Zscaler ThreatLabz wird voraussichtlich aktualisierte Attributionsdaten liefern, die in Screening-Tools einfließen. Compliance-Beauftragte sollten die Update-Frequenz ihrer Anbieter bestätigen und sicherstellen, dass neu attribuierte Adressen innerhalb des von ihrem AML-Programm geforderten Zeitrahmens in Screening-Systemen berücksichtigt werden. Alle Transaktionsmonitoring-Warnungen mit Wallet-Adressen, die später Ransomware- oder staatlichen Akteuren zugeordnet werden, sollten unter dem Gesichtspunkt der erweiterten Sorgfaltspflichten überprüft werden, die in der jeweiligen Jurisdiktion gelten, selbst wenn die ursprüngliche Warnung als geringes Risiko geschlossen wurde, bevor die Attribution veröffentlicht wurde.

Häufig gestellte Fragen

Was produziert die Partnerschaft von TRM Labs und Zscaler ThreatLabz in praktischer Hinsicht?

Die Zusammenarbeit produziert gemeinsame Threat-Intelligence-Berichte, angereicherte Wallet-Attributionsdaten und analytische Frameworks, die bestimmte Malware-Kampagnen mit On-Chain-Kryptowährungsflüssen verbinden. Der erste Output ist der ThreatLabz 2026 Ransomware Report, der Lösegeldzahlungen von April 2025 bis März 2026 abdeckt.

Wie wirkt sich die Lösegeldsumme von 327,8 Mio. USD auf AML-Risikobewertungen aus?

Sie bestätigt, dass die Ransom-Ökonomie wächst, nicht schrumpft. Für AML-Risikobewertungen bedeutet dies, dass die Wahrscheinlichkeit höher ist als vor einem Jahr, dass ein Unternehmen oder seine Gegenparteien auf Ransomware-verbundene Transaktionen stoßen. Risikoeinstufungen für Krypto-exponierte Kunden und Transaktionskorridore mit Hochrisiko-Jurisdiktionen sollten diesen Trend widerspiegeln.

Was ist EtherHiding und warum ist es für Auditoren wichtig?

EtherHiding ist eine Technik, die bösartige Command-and-Control-Anweisungen in Blockchain-Daten einbettet und die Infrastruktur praktisch un-takedownbar macht. Für Auditoren wirft dies die Frage auf, ob die Smart-Contract-Interaktionen eines Kunden versehentlich Contracts berührt haben, die als Teil dieser Infrastruktur verwendet werden, was Auswirkungen auf die Prüfung der internen Kontrollen und regulatorischen Offenlegungen des Kunden haben könnte.

Wenn ein Unternehmen ein Lösegeld in Kryptowährung zahlt, wie sollte dies erfasst werden?

Die Lösegeldzahlung sollte als Aufwand zum beizulegenden Zeitwert der Kryptowährung am Zahltag erfasst werden. Wenn Kryptowährung speziell für die Zahlung erworben und nicht bereits als digitaler Vermögenswert gehalten wurde, kann der Erwerb und die Veräußerung je nach Jurisdiktion selbst ein steuerpflichtiges Ereignis sein. Die Zahlung kann auch eine gesonderte Offenlegung im Jahresabschluss erfordern, wenn sie wesentlich ist, und Rechtsberatung sollte zu etwaigen Meldepflichten gegenüber Strafverfolgungsbehörden oder Regulierungsstellen eingeholt werden.

Werden die neuen Attributionsdaten Compliance-Screening-Tools automatisch aktualisieren?

Nicht automatisch. Compliance-Teams müssen die Update-Frequenz ihrer Screening-Anbieter bestätigen und sicherstellen, dass neu attribuierte Wallet-Adressen aus Berichten wie dem ThreatLabz 2026 Ransomware Report zeitnah integriert werden. Ein verteidigungsfähiges AML-Programm erfordert dokumentierte Prozesse dafür, wie externe Intelligence-Feeds überprüft und auf Transaktionsmonitoring-Regeln angewendet werden.

Quelle: TRM Labs