Initial Access Broker
Ein Initial Access Broker ist ein Cyberkrimineller, der sich in Firmennetzwerke einhackt und diesen Zugang dann an andere Angreifer verkauft, anstatt selbst einen Angriff durchzuführen. Diese Arbeitsteilung hat dazu beigetragen, dass Ransomware-Angriffe in den letzten Jahren erheblich häufiger und professioneller geworden sind.
Ein Initial Access Broker — auf Deutsch etwa „Erstzugangs-Händler“ — ist ein Krimineller, der sich auf eine einzige Aufgabe spezialisiert hat: Er bricht in ein fremdes Computernetzwerk ein und verkauft diesen Zugang dann an jemand anderen. Er führt selbst keinen weiteren Angriff durch. Stattdessen bietet er den offenen Eingang wie eine Ware an — in der Regel in Untergrundforen im Darknet, also in versteckten Bereichen des Internets, die nicht über normale Browser erreichbar sind. Der Käufer entscheidet dann, was er mit dem Zugang macht. Oft sind das andere Kriminelle, die Daten stehlen oder Erpressungssoftware einschleusen wollen. Der Broker selbst bleibt dabei im Hintergrund.
Warum diese Arbeitsteilung Angriffe gefährlicher macht
Früher musste ein Angreifer alle Schritte selbst beherrschen: einbrechen, sich ausbreiten, Daten verschlüsseln, Lösegeld fordern. Das erforderte viel technisches Wissen. Die Spezialisierung hat das geändert. Heute reicht es, in einem Forum einzukaufen — ähnlich wie man ein Werkzeug bestellt, anstatt es selbst zu bauen.
Das senkt die Einstiegshürde erheblich. Gruppen, die Ransomware — also Erpressungssoftware, die Dateien verschlüsselt und Lösegeld verlangt — betreiben wollen, brauchen keinen eigenen Spezialisten für den Einbruch. Sie kaufen einfach einen fertigen Zugang. Sicherheitsforscher des Unternehmens KELA haben allein im Jahr 2022 über 2.000 solcher Angebote in einschlägigen Foren dokumentiert. Der Durchschnittspreis lag oft zwischen einigen Hundert und einigen Tausend Dollar — gemessen am möglichen Schaden ein Bruchteil.
Die Folge ist eine Art Fließband der Cyberkriminalität. Jede Gruppe macht, was sie am besten kann. Das erhöht die Schlagzahl und Effizienz der Angriffe insgesamt.
Wie ein Broker sich Zugang verschafft
Die häufigste Methode sind gestohlene Zugangsdaten. Benutzernamen und Passwörter werden in großen Mengen aus früheren Datenlecks gesammelt. Viele Menschen verwenden dasselbe Passwort für mehrere Dienste — der Broker probiert diese Kombinationen automatisiert gegen Firmensysteme aus. Das nennt sich Credential Stuffing.
Eine zweite verbreitete Methode sind ungepatchte Sicherheitslücken — also Schwachstellen in Software, für die der Hersteller zwar eine Korrektur veröffentlicht hat, die das betroffene Unternehmen aber noch nicht eingespielt hat. Brokers scannen das Internet systematisch nach solchen veralteten Systemen. Besonders häufig betroffen sind VPN-Zugänge (virtuelle private Netzwerke, die Mitarbeitern sicheren Fernzugang ermöglichen) und Remote-Desktop-Dienste, über die man einen Firmenrechner von außen steuern kann.
Hat der Broker Zugang, prüft er, wie wertvoll das Netzwerk ist — wie groß das Unternehmen, welche Daten dort liegen, wie tief er bereits vorgedrungen ist. Dann setzt er einen Preis und inseriert das Angebot. Er liefert dem Käufer Zugangsdaten oder eine Hintertür im System, kassiert und zieht weiter zum nächsten Ziel.
Initial Access Broker in Nachrichten und Ermittlungen
Der Begriff taucht regelmäßig in Berichten nach großen Ransomware-Angriffen auf. Die Untersuchung des Angriffs auf die Colonial Pipeline in den USA im Jahr 2021 — ein Angriff auf eine Treibstoffpipeline, der an der Ostküste zu Versorgungsengpässen führte — zeigte, dass die Angreifer höchstwahrscheinlich über ein zuvor kompromittiertes VPN-Konto eindrangen. Solche Zugänge werden typischerweise von Brokern vermittelt.
Strafverfolgungsbehörden wie Europol oder das FBI nennen Initial Access Broker ausdrücklich als eigene Tätergruppe in ihren Lageberichten zur Cyberkriminalität. Ermittlungen richten sich deshalb nicht nur gegen die sichtbaren Erpresser, sondern auch gegen die Broker im Hintergrund. Denn ohne den ersten offenen Eingang kommt die gesamte nachfolgende Angriffskette nicht in Gang.
Für Unternehmen bedeutet das: Ein Angriff kann beginnen, bevor überhaupt jemand einen konkreten Angriff plant. Der Zugang zum eigenen Netzwerk liegt möglicherweise schon in einem Forum zum Verkauf — ohne dass die IT-Abteilung davon weiß. Dienste, die solche Foren beobachten und Unternehmen warnen, sind deshalb ein wachsender Bereich in der IT-Sicherheitsbranche.