„Wir haben doch einen Virenschutz“: Warum Ransomware-Gruppen den Endpoint-Schutz zuerst abschalten

Ransomware-Gruppen schalten Sicherheitssoftware gezielt ab, bevor sie Daten stehlen oder verschlüsseln. Die Werkzeuge dafür werden inzwischen gehandelt wie Software. Dieser Beitrag erklärt, was hinter sogenannten EDR-Killern steckt, warum das Thema jeden Hersteller betrifft und mit welchen acht Fragen Sie Ihre eigene Absicherung prüfen können.

Das Abschalten des Schutzes gehört zum Standardrepertoire

„Wir haben doch einen Virenschutz.“ Dieser Satz fällt oft, wenn es darum geht, wie gut ein Unternehmen gegen Ransomware aufgestellt ist. Eine Sicherheitslösung auf jedem Rechner ist eine wichtige Grundlage. Professionelle Angreifergruppen rechnen allerdings genau damit und planen das Abschalten dieses Schutzes fest in ihren Ablauf ein.

Wie häufig das gelingt, zeigt der Jahresbericht 2024 von Cisco Talos: Ransomware-Akteure konnten in 48 Prozent ihrer Angriffe Sicherheitslösungen erfolgreich deaktivieren. Die Zahl stammt aus den Incident-Response-Einsätzen von Talos, also aus Fällen, in denen ein Angriff bereits stattgefunden hat. Als Wahrscheinlichkeit für ein einzelnes Unternehmen taugt sie deshalb nicht. Sie zeigt aber, dass das Abschalten des Schutzes zum Standardrepertoire gehört.

Eine aktuelle Analyse von SentinelOne vom 5. Oktober 2026 zeichnet nach, wie aus einzelnen Werkzeugen dafür ein regelrechter Markt entstanden ist. Das Thema betrifft alle Endpoint-Lösungen, unabhängig vom Hersteller.

BYOVD: Ein gültig signierter Treiber öffnet die Tür

EDR steht für Endpoint Detection and Response: Sicherheitssoftware, die auf Rechnern und Servern verdächtiges Verhalten erkennt und darauf reagiert. Ein EDR-Killer ist ein Werkzeug, das diese Software gezielt außer Gefecht setzt.

Die verbreitetste Methode heißt BYOVD, kurz für „Bring Your Own Vulnerable Driver“. Die Angreifenden bringen einen echten, gültig signierten Gerätetreiber mit, der eine bekannte Schwachstelle hat, etwa aus älterer Diagnose- oder Hardware-Software. Weil die Signatur gültig ist, lädt Windows den Treiber. Über dessen Schwachstelle erhalten die Angreifenden Zugriff auf den Kern des Betriebssystems und beenden von dort aus die Prozesse der Sicherheitssoftware.

Manche Varianten gehen noch unauffälliger vor. Sie kappen die Verbindungen, über die die Sicherheitssoftware im Systemkern informiert wird. Der Agent läuft dann weiter und meldet einen gesunden Zustand, bekommt aber keine Daten mehr.

Um einen Treiber zu laden, brauchen Angreifende in der Regel bereits Administratorrechte. Die verschaffen sie sich häufig über gestohlene Zugangsdaten: Laut Talos nutzten Ransomware-Akteure 2024 in fast 70 Prozent der Fälle gültige Konten für den Erstzugriff. Der EDR-Killer kommt also mitten im Angriff zum Einsatz und sorgt dafür, dass die folgenden Schritte unbemerkt bleiben.

Vom Einzelwerkzeug zur gehandelten Ware

Die SentinelOne-Analyse beschreibt die Entwicklung über vier Jahre. 2023 bot ein Akteur das Werkzeug Terminator für 300 bis 3.000 US-Dollar an. Ein weiteres Werkzeug, AvNeutralizer (auch AuKill genannt), ordnete SentinelLABS der Gruppe FIN7 zu, die es in Untergrundforen für 4.000 bis 15.000 US-Dollar verkaufte. Eingesetzt wurde es anschließend von mehreren konkurrierenden Ransomware-Gruppen, darunter Black Basta und LockBit.

Seitdem ist das Angebot breiter geworden. Ab 2024 stellte die Gruppe RansomHub ihren Partnern ein eigenes Werkzeug bereit. 2025 kombinierten Akira-Partner zwei Treiber, um den in Windows integrierten Virenschutz abzuschalten, und 2026 beobachteten Forschende dieselbe Technik bei Qilin. In der öffentlichen Bedrohungsforschung gilt das Abschalten des Schutzes laut SentinelOne inzwischen als feste Phase eines Ransomware-Angriffs.

Hinzu kommt das Tempo. SentinelOne berichtet in seinem Annual Threat Report von einem Fall, in dem zwischen dem ersten Download und einem dauerhaft eingerichteten Dienst auf dem System nur 49 Sekunden lagen. Das ist eine Herstellermessung und kein Durchschnittswert. In dieser Zeit kann kein Mensch eingreifen. Umso wichtiger ist, dass das Abschalten selbst bemerkt wird.

Deutschland: 276 Prozent mehr Ransomware-Angriffe

Laut der Pressemitteilung zum Microsoft Digital Defense Report 2026 war Deutschland im ersten Halbjahr 2026 das EU-Land, in dem Microsoft-Kunden am häufigsten von Cyberbedrohungen betroffen waren. Die Zahl der bekanntgewordenen Ransomware-Angriffe in Deutschland stieg in den zwölf Monaten bis Juni 2026 um 276 Prozent. Die Werte beruhen auf Microsofts eigener Beobachtung und sind keine Gesamtstatistik für Deutschland.

Weil jede Endpoint-Lösung Ziel solcher Methoden sein kann, rücken for die Absicherung zwei Fragen in den Vordergrund, die unabhängig vom eingesetzten Produkt gelten.

Ausfälle des Schutzes erkennen

Ein abgeschalteter Agent löst keinen Alarm aus, er verstummt. SentinelOne empfiehlt deshalb, gezielt auf das Fehlen erwarteter Signale zu achten: einen ausbleibenden Statusbericht des Agenten, eine Lücke in einem sonst gleichmäßigen Datenstrom, einen abgestürzten Sicherheitsdienst. Windows protokolliert solche Abstürze etwa mit der Ereignis-ID 7031, die in einer gesunden Umgebung selten vorkommt.

Weil manche Varianten den Agenten scheinbar gesund weiterlaufen lassen, gewinnen Daten aus Netzwerk, Identitäten und Cloud an Bedeutung. Sie bleiben auch dann verfügbar, wenn der Endpunkt nichts mehr meldet. Auch die Cyber Security Agency of Singapore beschreibt EDR-Killer-Aktivität als erkennbar, über überwachte Treiberladevorgänge, auffällige Prozessbeendigungen und ausbleibende Telemetrie.

Die gute Nachricht: Zwischen dem Abschalten des Schutzes und der Verschlüsselung liegt laut SentinelOne ein Zeitfenster, in dem sich der Angriff noch stoppen lässt. Dieses Fenster nützt allerdings nur, wenn die Hinweise rund um die Uhr jemand sieht und darauf reagiert, ob ein eigenes Team oder ein Managed-Detection-and-Response-Dienst (MDR).

Datensicherungen getrennt halten

Wer Administratorrechte im Netz hat, erreicht auch Sicherungen, die im selben Netz liegen und mit denselben Konten verwaltet werden. Backups gehören deshalb vom Produktivnetz und von den alltäglichen Admin-Konten getrennt, idealerweise unveränderbar (immutable) oder physisch getrennt (Air-Gap) gespeichert. Ebenso wichtig ist ein regelmäßiger Wiederherstellungstest. Erst er zeigt, wie schnell der Betrieb im Ernstfall tatsächlich wieder läuft.

Planbare Kosten statt offenem Ausfallrisiko

Für die Geschäftsführung ist das auch eine wirtschaftliche Frage. Ein eigenes Team, das Sicherheitsmeldungen rund um die Uhr auswertet, ist für die meisten mittelständischen Unternehmen schwer abzubilden. Ein überwachter Betrieb als Dienstleistung und eine durchdachte Backup-Architektur sind planbare laufende Kosten, die Folgen eines mehrwöchigen Betriebsausfalls dagegen kaum kalkulierbar.

Acht Prüffragen für Ihre IT

Diese Fragen helfen bei der Standortbestimmung, intern oder gemeinsam mit Ihrem IT-Dienstleister.

1. Wer wird benachrichtigt, wenn auf einem Server oder Client der Sicherheitsagent ausfällt oder sich nicht mehr meldet, und wie schnell, auch nachts und am Wochenende?
2. Ist die Microsoft-Sperrliste für anfällige Treiber auf allen Windows-Systemen aktiv? Seit dem Windows-11-Update 2022 ist sie standardmäßig eingeschaltet. Ergänzend empfiehlt Microsoft eine Regel zur Verringerung der Angriffsfläche, die das Ablegen missbrauchter signierter Treiber blockiert.
3. Werden Treiberladevorgänge protokolliert und gegen bekannte verwundbare Treiber geprüft, zum Beispiel mit dem öffentlichen Katalog LOLDrivers?
4. Ist ein Alarm für abgestürzte Sicherheitsdienste eingerichtet, etwa auf die Windows-Ereignis-ID 7031?
5. Ist der Manipulationsschutz Ihrer Endpoint-Lösung aktiv, sodass der Agent nicht ohne Freigabe deinstalliert, herabgestuft oder beendet werden kann?
6. Werten Sie neben den Endpunkten auch Netzwerk-, Identitäts- und Cloud-Daten aus? Wie sieht es mit Remote-Endpunkten aus, die nicht dauerhaft verbunden sind?
7. Sind Ihre Backups vom Produktivnetz getrennt, unveränderbar gespeichert und mit eigenen, nicht im Alltag genutzten Konten geschützt? Und wann haben Sie zuletzt eine vollständige Wiederherstellung getestet?
8. Wie viele Konten haben dauerhafte Administratorrechte, und sind diese mit mehrstufiger Anmeldung geschützt?

Bleiben bei mehr als zwei dieser Fragen Unsicherheiten, lohnt ein genauerer Blick.

Häufige Fragen zu EDR-Killern

Vier kurze Antworten auf die Fragen, die im Zusammenhang mit EDR-Killern am häufigsten gestellt werden.

Was ist ein EDR-Killer?

Ein Werkzeug, mit dem Angreifende Sicherheitssoftware auf Rechnern und Servern abschalten oder blind machen, bevor sie Daten stehlen oder verschlüsseln. Solche Werkzeuge werden inzwischen verkauft und von mehreren Ransomware-Gruppen genutzt.

Was bedeutet BYOVD?

„Bring Your Own Vulnerable Driver“: Die Angreifenden bringen einen gültig signierten, aber verwundbaren Treiber mit, den Windows lädt. Über die Schwachstelle erhalten sie Zugriff auf den Systemkern und können von dort Schutzprozesse beenden.

Betrifft das nur bestimmte Sicherheitsprodukte?

Nein. Die bekannten Werkzeuge richten sich gegen eine Vielzahl von Endpoint-Lösungen unterschiedlicher Hersteller. Entscheidend ist deshalb, Ausfälle des Schutzes zu erkennen und Backups unabhängig abzusichern.

Woran erkenne ich, dass der Schutz abgeschaltet wurde?

An fehlenden Signalen: Der Agent meldet sich nicht mehr, Protokolldaten brechen ab oder ein Sicherheitsdienst stürzt ab, unter Windows etwa sichtbar an der Ereignis-ID 7031. Diese Hinweise müssen rund um die Uhr ausgewertet werden.

Unterstützung durch enthus

enthus arbeitet herstellerübergreifend und setzt bei Ihrer bestehenden Umgebung an. Mit Managed Endpoint Protection auf Basis von SentinelOne übernehmen unsere Spezialist:innen Überwachung und Wartung Ihrer Endpoint-Sicherheit, der MDR-Service in Kooperation mit Arctic Wolf überwacht Netzwerke, Endgeräte und Cloud-Umgebungen rund um die Uhr. Das Backup Assessment und der Recovery Ready Check aus den Checks & Workshops prüfen Ransomware-Schutz und Wiederherstellbarkeit Ihrer Sicherungen inklusive Wiederherstellungstests, mit enthus cloud stehen unveränderbare, ausgelagerte Backups aus deutschen Rechenzentren zur Verfügung.

Sprechen Sie uns an: Wir gehen die acht Prüffragen mit Ihnen durch und zeigen, wo Sie in Ihrer Umgebung zuerst ansetzen sollten.

Jetzt Kontakt aufnehmen →

← Alle Beiträge