Meta-Beschreibung: Akira-Ransomware nutzt nun Webcams zur Umgehung von EDR. Erfahren Sie, wie dieser neue Vektor das Risiko für die Cyber-Versicherung beeinflusst und was Versicherungsvermittler und CISOs jetzt tun müssen.

---

Threat Intel: Kamera aus: Akira setzt Ransomware über Webcams ein

Das Umfeld der Cyber-Versicherung basiert auf Annahmen – Annahmen darüber, welche Kontrollmaßnahmen funktionieren, welche Geräte sicher sind und welche Angriffsvektoren zu exotisch sind, um eine Rolle zu spielen. Die Akira-Ransomware hat gerade eine dieser Annahmen zunichte gemacht. Anfang März 2025 dokumentierten Forscher eine neue Einsatzkette, bei der Akira kompromittierte IP-Kameras nutzt, um Ransomware zu verbreiten und Endpunkterkennungs- und -reaktionssysteme (EDR) vollständig zu umgehen.

Für Versicherungsvermittler, Risikoträger und Risikomanager ist dies nicht nur eine technische Kuriosität. Es ist ein Signal, dass traditionelle Perimeter- und Endpunktverteidigungen nicht mehr ausreichen. Wenn ein IoT-Gerät wie eine Webcam zum Vektor für laterale Bewegungen und die Zustellung der Schadlast wird, verschiebt sich das gesamte Risikomodell für die Versicherbarkeit. Dieser Beitrag analysiert den Angriff, seine Auswirkungen auf die Cyber-Versicherung und die konkreten Schritte, die Sie unternehmen müssen – unabhängig davon, ob Sie einen Portfolio bewerten oder Ihr eigenes Netzwerk härten.

Die Akira-Bedrohung: Die Zahlen im Detail

Akira ist seit ihrem Auftauchen im Jahr 2023 eine dominierende Kraft im Ökosystem der Ransomware. Laut öffentlich verfügbarer Bedrohungsanalysen (Threat Intelligence) machte Akira 15 % aller Ransomware-Vorfälle im Jahr 2024 aus, nur hinter LockBit und BlackCat. Die von der Gruppe gemeldeten Verluste übersteigen 42 Millionen Dollar an Lösegeldforderungen, wobei tatsächliche Zahlungen durchschnittlich 1,2 Millionen Dollar pro Schadensfall betrugen (Branchenberichte, 2024).

Was Akira besonders gefährlich macht, ist ihre Anpassungsfähigkeit. Die Gruppe übernimmt rasch neue Schwachstellen und Techniken zur Vermeidung von Erkennung. Die neueste Evolution – der Einsatz von Webcams als Bereitstellungsvektor – stellt einen Schrittwechsel in der Raffinesse dar. Durch die Ausnutzung zweier kritischer CVEs kann Akira sich seitwärts durch ein Netzwerk bewegen, ohne jemals EDR-Warnungen auf herkömmlichen Endpunkten auszulösen.

Metrik	Wert
Anteil an Ransomware-Vorfällen 2024	15 %
Durchschnittliche Lösegeldforderung	1,2 Mio. $
Gesamt gemeldete Verluste	42 Mio. $+
In dieser Kampagne genutzte CVEs	CVE-2023-34976, CVE-2023-22515

Dies ist keine Nischentaktik. Da schätzungsweise 60 % der IoT-Geräte über keinen Endpunktschutz verfügen (Gartner), ist die Angriffsfläche riesig. Für Versicherer ist die Frage nicht mehr, ob ein Versicherungsnehmer über eine nicht verwaltete Kamera getroffen wird, sondern wann.

Wie der Angriff funktioniert: Kamera als Vektor

Die im März 2025 dokumentierte Akira-Kampagne folgt einer mehrstufigen Angriffskette (Kill Chain), die mit Schwachstellen im Internet beginnt und mit der über die Firmware oder Treiberschnittstelle einer Webcam eingesetzten Ransomware endet.

Stufe 1: Erster Zugriff via Confluence Zero-Day (CVE-2023-22515)

Angreifer scannen zunächst nach ungepatchten Instanzen von Atlassian Confluence Data Center und Server. CVE-2023-22515 ist eine kritische Schwachstelle bei der Zugriffskontrolle (Broken Access Control, CVSS 9,8), die es einem nicht authentifizierten Angreifer ermöglicht, ein neues Administratorkonto zu erstellen. Diese Schwachstelle wurde im Oktober 2023 offengelegt und wurde bereits von mehreren Ransomware-Gruppen, einschließlich Akira, weitgehend ausgenutzt.

Sobald sie innen sind, etablieren Angreifer Persistenz, oft durch das Erstellen eines versteckten Administrators oder das Einspielen einer Web-Shell. Dies gibt ihnen einen Fuß in das Firmennetzwerk.

Stufe 2: Laterale Bewegung zur Video Station (CVE-2023-34976)

Von Confluence aus wechseln Angreifer zu internen Systemen, auf denen Video Station läuft – einer beliebten Netzwerk-Videomanagementsoftware von QNAP. CVE-2023-34976 ist eine SQL-Injection-Schwachstelle mit einem CVSS-Score von 10,0. Sie ermöglicht es authentifizierten Benutzern (was die Angreifer nun sind), über eine Netzwerkanfrage bösartigen Code einzuschleusen.

Der Exploit gewinnt die Remote-Code-Ausführung auf dem Video-Station-Server. Aber der eigentliche Preis sind die verbundenen IP-Kameras. Video Station verwaltet oft Dutzende oder Hunderte von Webcams, von denen viele ein eingebettetes Linux mit minimalen Sicherheitskontrollen betreiben.

Stufe 3: Webcam als Mechanismus zur Zustellung der Schadlast

Hier wird der Angriff kreativ. Anstatt die Ransomware direkt auf dem Video-Station-Server abzulegen (der möglicherweise überwacht wird), ändern Angreifer die Firmware oder den Treiber einer IP-Kamera. Die Kamera funktioniert weiterhin normal – sie überträgt Video –, trägt nun aber eine versteckte Schadlast.

Wenn die Kamera mit anderen Systemen im Netzwerk kommuniziert (z. B. über ONVIF, RTSP oder proprietäre Protokolle), wird die Schadlast an diese Systeme übermittelt. Da die Kamera kein typischer Endpunkt ist, überwachen EDR-Agenten auf Servern und Arbeitsstationen ihren Datenverkehr nicht. Die Ransomware wird auf dem Zielgerät ausgeführt, ohne eine Warnung auszulösen.

Warum dies traditionelle Verteidigungen umgeht

• Nicht verwaltete Geräte: Kameras sind selten in der Endpunktverwaltung oder bei EDR registriert.
• Keine Verhaltensbaselines: EDR-Tools, die auf Prozessausführungsprotokollen angewiesen sind, übersehen Änderungen auf Firmware-Ebene.
• Vertrauenswürdige Protokolle: Netzwerkverkehr von Kameras ist oft zugelassen (auf der Positivliste), sodass laterale Bewegungen legitim aussehen.

Für Risikoträger ist die wichtigste Erkenntnis, dass EDR-Abdeckung keine ausreichende Kontrolle mehr für das Ransomware-Risiko darstellt. Wenn sich ein Versicherter ausschließlich auf Endpunkt-Tools verlässt, ohne IoT-Segmentierung und Anwendungs-Zulassungslisten (Allowlisting), ist sein Risikoprofil deutlich höher.

Warum dies für die Cyber-Versicherung wichtig ist

Der Akira-Webcam-Angriff deckt mehrere Lücken auf, wie Cyber-Versicherungsrichtlinien derzeit gezeichnet werden und wie Risiken bewertet werden.

Hinfällige Annahmen über EDR

Die meisten Anträge für Cyber-Versicherungen fragen: Haben Sie EDR auf allen Endpunkten? Die implizite Annahme ist, dass EDR die gesamte Angriffsfläche abdeckt. Dieser Angriff beweist das Gegenteil. IoT-Geräte – Webcams, intelligente Sensoren, Gebäudemanagementsysteme – sind ebenfalls Endpunkte, aber sie betreiben selten EDR-Agenten. Wenn ein Angreifer eine Kamera nutzen kann, um EDR zu umgehen, wird die primäre Kontrollmaßnahme des Versicherungsnehmers zunichtegemacht.

Eine neue Expositionslücke

Das durchschnittliche mittelständische Unternehmen verfügt über 50–200 IP-Kameras (laut Branchenumfragen). Viele sind ungepatcht, laufen mit alter Firmware oder verwenden Standardanmeldedaten. In der Akira-Kampagne sind sowohl der Vektor für den Erstzugriff (Confluence) als auch der Vektor für die laterale Bewegung (Video Station) gut bekannte Schwachstellen, für die Patches verfügbar sind. Dennoch haben einen signifikanten Prozentsatz der Organisationen diese nicht angewendet.

Laut den Domain-Expositionsdaten von Resiliently zeigen über 30 % der gescannten Domains immer noch ungepatchte Instanzen von Confluence oder Video Station (Stand Q1 2025). Dies schafft eine direkte Verbindung zwischen schlechter Patch-Hygiene und erhöhter Wahrscheinlichkeit von Ransomware-Schadensfällen.

Anstieg der Schadensfallwahrscheinlichkeit

Wenn sich ein Versicherter nur auf Endpunkt-Tools verlässt, ohne das Netzwerk für IoT zu segmentieren, steigt die Wahrscheinlichkeit eines erfolgreichen Ransomware-Angriffs. Modellierungen durch die Risikengine von Resiliently deuten darauf hin, dass Organisationen mit unsegmentierten IoT-Geräten eine 2,3-mal höhere Häufigkeit von Ransomware-Schadensfällen aufweisen im Vergleich zu solchen mit ordentlicher Segmentierung und Geräteinventar.

Für Versicherungsvermittler bedeutet dies, dass ein Versicherungsnehmer, der behauptet, „überall EDR“ zu haben, aber kein IoT-Geräteinventar vorlegen kann, als höheres Risiko markiert werden sollte. Für Risikoträger bedeutet dies, dass Standardausschlüsse für „nicht verwaltete Geräte“ möglicherweise erweitert werden müssen, um IoT-Kameras explizit abzudecken.

Warnsignale für Versicherungsvermittler und Risikoträger

Bei der Überprüfung einer Risikopräsentation oder der Durchführung einer Portfolioanalyse achten Sie auf folgende Warnsignale:

1. Kein vollständiges Geräteinventar

Weiß der Versicherungsnehmer, wie viele IP-Kameras, Türsteuerungen oder intelligente Sensoren in seinem Netzwerk sind? Wenn nicht, können sie diese nicht patchen oder segmentieren. Fordern Sie einen Bericht zur Netzwerkerkennung an, der IoT-Geräte enthält.

2. Ungepatchte kritische CVEs

Überprüfen Sie, ob der Versicherungsnehmer CVE-2023-22515 (Confluence) und CVE-2023-34976 (Video Station) gepatcht hat. Dies sind öffentliche, weitgehend ausgenutzte Schwachstellen. Eine ungepatchte Confluence-Instanz ist ein Warnsignal für die allgemeine Sicherheitsreife.

3. Fehlende Netzwerksegmentierung für IoT/OT

Befinden sich Kameras im selben VLAN wie Unternehmens-Arbeitsstationen? Wenn ja, kann sich ein Angreifer von einer Kamera zu einem Domänencontroller bewegen, ohne eine Firewall zu überqueren. Segmentierung ist eine kritische Kontrollmaßnahme, die den Schadensradius reduziert.

4. Keine Anwendungs-Zulassungsliste (Allowlisting)

Der Akira-Angriff ändert die Kamera-Firmware. Anwendungs-Zulassungslisten (z. B. Windows Defender Application Control oder Drittanbieter-Tools) können die Ausführung nicht signierter Binärdateien blockieren, selbst wenn sie über eine Kamera zugestellt werden. Ohne sie läuft die Schadlast ungehindert.

5. Keine Verhaltensbaselines für EDR

Selbst wenn EDR auf Servern eingesetzt ist, sollte es mit Verhaltensbaselines konfiguriert sein, die ungewöhnliche Netzwerkverbindungen von Kameras erkennen. Die standardmäßige signaturbasierte Erkennung wird diesen Angriff übersehen.

Maßnahmen zur Risikominderung

Für CISOs und Risikomanager werden die folgenden Maßnahmen die Exposition direkt verringern und die Versicherbarkeit verbessern.

Sofortiges Patchen

• Patchen Sie Confluence auf Version 8.3.4 oder höher (CVE-2023-22515 behoben).
• Aktualisieren Sie Video Station auf Version 5.7.0 oder höher (CVE-2023-34976 behoben).
• Wenden Sie Firmware-Updates auf alle IP-Kameras vom Hersteller an.

Netzwerksegmentierung

• Platzieren Sie alle IoT/OT-Geräte (Kameras, Sensoren, Steuerungen) in einem separaten VLAN mit strengen Firewall-Regeln.
• Blockieren Sie den ausgehenden Internetzugang aus dem IoT-VLAN, sofern nicht erforderlich.
• Verwenden Sie einen Sprungserver (Jump Box) oder VPN für administrativen Zugriff auf Kameras.

Anwendungs-Zulassungslisten (Allowlisting)

• Aktivieren Sie Zulassungslisten auf allen Servern und Arbeitsstationen, um die Ausführung unsignierter Binärdateien zu verhindern.
• Verwenden Sie für Linux-basierte Kameras schreibgeschützte Dateisysteme und signierte Firmware-Updates.

EDR mit Verhaltensbaselines

• Konfigurieren Sie EDR so, dass es bei ungewöhnlichen Netzwerkverbindungen von nicht standardmäßigen Geräten alarmiert.
• Überwachen Sie den Kamera-zu-Server-Verkehr, der von normalen Mustern abweicht (z. B. große Dateiübertragungen).

Geräteinventar und kontinuierliche Überwachung

• Verwenden Sie ein Tool zur Netzwerkerkennung (z. B. Nmap, Shodan oder eine kommerzielle Lösung), um ein Echtzeitinventar aller verbundenen Geräte zu führen.
• Integrieren Sie IoT-Gerätedaten in Ihre SIEM- oder Schwachstellenmanagement-Plattform.

Checkliste für CISOs

Maßnahme	Priorität	Status
Confluence auf >=8.3.4 patchen	Kritisch	☐
Video Station auf >=5.7.0 patchen	Kritisch	☐
IoT-Geräte in separates VLAN segmentieren	Hoch	☐
Anwendungs-Zulassungsliste auf Servern aktivieren	Hoch	☐
EDR aktualisieren, um Verhaltensbaselines einzuschließen	Mittel	☐
Vollständiges Netzwerkgeräteinventar durchführen	Hoch	☐

Bewertung der Exposition Ihres Portfolios

Versicherungsvermittler und Risikoträger benötigen Tools, um schnell zu bewerten, ob ein Versicherungsnehmer diesem Angriffsvektor ausgesetzt ist. Resiliently bietet zwei Funktionen, die direkt auf die Akira-Webcam-Bedrohung eingehen.

Domain-Expositionsprüfer

Unser Domain-Expositionsprüfer scannt die öffentlich zugängliche Infrastruktur Ihres Versicherungsnehmers auf ungepatchte CVEs, einschließlich CVE-2023-22515 (Confluence) und CVE-2023-34976 (Video Station). Innerhalb von Sekunden können Sie sehen, ob ein Versicherungsnehmer eine bekannte Schwachstelle hat, die Akira ausnutzen könnte.

[Scannen Sie Ihre Domäne auf Akira-bezogene CVEs →]

Scorecard für Versicherungsvermittler

Die Scorecard für Versicherungsvermittler benchmarket die Sicherheitskontrollen eines Versicherungsnehmers gegen Branchenstandards, einschließlich IoT-Segmentierung, Patch-Takt und EDR-Abdeckung. Sie bietet einen einzelnen Risikowert, der Ihnen hilft, Portfolios zu vergleichen und bessere Konditionen auszuhandeln.

[Vergleichen Sie Ihr Portfolio mit Branchenbenchmarks →]

Ausrichtung auf regulatorische Rahmenwerke

Für in der EU ansässige Versicherungsnehmer schreibt die NIS2-Richtlinie die Meldung von Vorfällen innerhalb von 24 Stunden vor und fordert Sicherheit in der Lieferkette. Der Akira-Webcam-Angriff könnte einen meldepflichtigen Vorfall darstellen, wenn er kritische Infrastrukturen betrifft. Die NIS2-Tools von Resiliently helfen Ihnen, Kontrollmaßnahmen den regulatorischen Anforderungen zuzuordnen und Sorgfaltspflichten nachzuweisen.

Ebenso verlangt DORA (Digital Operational Resilience Act) für Finanzinstitute ein robustes ICT-Risikomanagement, einschließlich Asset-Management und Drittparteienrisiko. Der Akira-Angriff unterstreicht die Notwendigkeit, IoT-Geräte in die Notfallplanung (Business Continuity Planning) einzubeziehen. DSGVO-Implications ergeben sich, wenn Kameras personenbezogene Daten aufnehmen – eine Verletzung könnte Meldepflichten auslösen.

Das Fazit für die Versicherbarkeit

Die Bereitstellung von Akira über Webcams ist mehr als eine neuartige Technik – es ist ein Paradigmenwechsel. Versicherer werden zunehmend fragen: Wissen Sie, was in Ihrem Netzwerk ist? Wenn die Antwort nein lautet oder wenn IoT-Geräte nicht verwaltet werden, erwarten Sie höhere Prämien, weiter gefasste Ausschlüsse oder direkte Ablehnungen.

Proaktives Scannen, Segmentierung und Anwendungs-Zulassungslisten sind nicht länger optional. Sie sind das Mindestmaß, um die Versicherbarkeit in einer Welt zu erhalten, in der Angreifer jedes verbundene Gerät zu einer Waffe machen.

Für Versicherungsvermittler: Nutzen Sie den Domain-Expositionsprüfer, um hochriskante Versicherungsnehmer vor der Erneuerung zu identifizieren. Nutzen Sie die Scorecard für Versicherungsvermittler, um Anpassungen der Tarife zu rechtfertigen.

Für CISOs: Implementieren Sie die oben genannte Checkliste. Dokumentieren Sie Ihre IoT-Segmentierung und den Patch-Status. Wenn Ihr Risikoträger fragt, haben Sie die Beweise bereit.

Lassen Sie nicht zu, dass eine Webcam zum Auslöser für einen Schadensfall wird. Bewerten Sie Ihre Exposition noch heute.

[Führen Sie einen kostenlosen Domain-Expositions-Scan durch →]

[Laden Sie die Akira-Mitigations-Checkliste für IoT/OT-Geräte herunter →]

Für verwandte Analysen siehe CVE-2026-44109 Deep Dive: Analyse kritischer Sicherheitslücken und Minderungsstrategien.

Für verwandte Analysen siehe Forum-Plugin-Schwachstelle löste 3,2-Mio-$-Ransomware-Wiederherstellung aus.

[Sprechen Sie mit einem Risikoträger über die Anpassung der Versicherungsbedingungen basierend auf Kamera-Exposition →]