Wenn nichts mehr zu retten ist: Wie Wiper-Malware Unternehmen digital auslöscht

Stellen Sie sich vor, Sie kommen zur Arbeit und stellen fest, dass alle Systeme in Ihrer IT-Umgebung verschwunden sind. Nicht verschlüsselt. Nicht durch eine Lösegeldforderung gesperrt. Einfach weg. Keine Dateien, kein Einblick in den Betriebsablauf und kein einfacher Weg zurück. Das ist die Realität eines Wiper-Angriffs: Wir reden von einer destruktiver Malware, die darauf ausgelegt ist, Daten und Systeme zu löschen, zu beschädigen oder zu überschreiben, sodass Unternehmen oft verzweifelt versuchen, den Schaden zu beheben.

Lässt sich dagegen etwas unternehmen? Natürlich. Ist das für ein kleines oder mittleres Unternehmen einfach genug, oder erfordert es eine Ausfallsicherheit auf Unternehmensniveau? Es ist kompliziert. Lesen Sie weiter, um mehr zu erfahren.

Kernpunkte dieses Artikels:

• Wiper-Malware ist darauf ausgelegt, Daten und Systeme zu zerstören, was die Wiederherstellung erheblich erschwert.
• Diese Angriffe stehen häufig im Zusammenhang mit geopolitischen Konflikten und Störungen kritischer Infrastrukturen. Doch auch private Unternehmen können zu Kollateralschäden werden.
• Wiper-Angriffe erfordern oft wochen- oder monatelange Vorbereitungen, bevor die Angreifer die zerstörerische Nutzlast einsetzen.
• Eine frühzeitige Erkennung ist entscheidend, da Warnzeichen bereits lange vor der tatsächlichen Löschung der Systeme auftreten können.
• Die Wiederherstellung hängt weniger von der nachträglichen Reaktion auf den Vorfall ab als vielmehr von Resilienzmaßnahmen wie getesteten Backups, Segmentierung und Transparenz in der gesamten Umgebung.
• Unternehmen jeder Größe können ihr Risiko durch mehrschichtige Sicherheitskontrollen, starken Identitätsschutz und moderne Erkennungstechnologien verringern.

Was genau ist Wiper-Malware?

Ein Wiper ist auf eine einzige Aufgabe ausgelegt: Daten zu löschen und damit unbrauchbar zu machen. Zudem kann er Systeme, auf denen sich diese Daten befinden, außer Betrieb setzen und zwar dauerhaft. Es handelt sich um eine bösartige Art von Malware, die meist von staatlich unterstützten Angreifern eingesetzt wird, um kritische Infrastrukturen zu sabotieren. Die Auswirkungen können jedoch über dieses primäre Ziel hinausgehen.

Wiper können wirkungsvolle Mittel sein, um Unternehmen und Regierungen in eine wirtschaftlich und gesellschaftlich schwierige Lage zu drängen, beispielsweise durch die erzwungene Abschaltung von Kraftwerken.

Aus diesem Grund sind Wiper-Angriffe sehr zielgerichtet und sorgfältig geplant. Ihre Durchführung dauert in der Regel Monate, um tiefgreifende Auswirkungen zu erzielen. Die Bereitstellung erfolgt zwar wesentlich schneller, doch da die Ausführung fortgeschrittene Fähigkeiten erfordert, könnten Verteidiger von der Meisterschaft der Angreifer überrascht werden. Dies gilt insbesondere, wenn kleinere kritische Einrichtungen betroffen sind.

Im Vergleich zu Ransomware

Der Unterschied zwischen Wipern und Ransomware liegt in der Absicht. Während bei Ransomware die Wahrscheinlichkeit einer schnelleren Wiederherstellung besteht (durch den Erhalt eines Entschlüsselungsprogramms, die Zahlung eines Lösegelds usw.), gibt es bei einem Wiper-Angriff nichts zu verhandeln. Sofern ein Unternehmen also nicht über eine solide Backup-Strategie verfügt, ist es wahrscheinlich, dass Wiper-Angriffe die Geschäftskontinuität auch nach dem Angriff vollständig lahmlegen.

Wie funktionieren Wiper-Angriffe?

Die Vorbereitungsphase ist vielleicht die wichtigste. Da der Fokus darauf liegt, eine weitreichende Wirkung zu erzielen, wäre es ideal, die Phase des Erstzugangs zu überspringen. Fortgeschrittene Angreifer können dies erreichen, indem sie:

1. Erwerb von Erstzugängen bei Brokern
2. Phishing oder den Kauf gestohlener Zugangsdaten im Dark Web
3. den Zugriff per Brute-Force-Angriff erzwingen

Die Sicherheit kritischer Infrastrukturen ist jedoch in der Regel streng. Netzwerke können segmentiert sein, Zero-Trust-Verifizierungsrichtlinien können gelten und es kann ein Air-Gap eingesetzt werden. Keine dieser Maßnahmen bzw. Ansätze ist jedoch absolut sicher. Es hängt alles davon ab, inwieweit Organisationen ihre Modelle zur mehrschichtigen Verteidigung umsetzen.

Ein typischer Lebenszyklus eines Wiper-Angriffs

Die meisten Wiper-Angriffe folgen einem erkennbaren Muster. Angreifer verschaffen sich zunächst Zugriff, erweitern dann ihre Berechtigungen, bewegen sich lateral, identifizieren hochwertige Systeme und versuchen, Abwehrmaßnahmen oder Wiederherstellungsmöglichkeiten zu schwächen, bevor sie die zerstörerische Nutzlast einsetzen. Die letzte Phase besteht in der Regel aus Wiederherstellung und Wiederaufbau, was weitaus länger dauern kann als der Angriff selbst, wenn Backups, Segmentierung und Pläne zur Reaktion auf Vorfälle nicht im Voraus getestet wurden.

Was ist „Defense in Depth“?

„Defense in Depth“, mit anderen Worten mehrschichtige Sicherheit, ist eine Cyberabwehrstrategie, die darauf abzielt, Angriffe durch mehrschichtige Kontrollen über das gesamte Unternehmensnetzwerk hinweg zu verhindern.

Arten von Wiper-Malware

Zwar verfolgen alle Wiper dasselbe Endziel, doch erreichen nicht alle dies auf dieselbe Weise. Einige überschreiben Dateien und Ordner direkt, andere beschädigen den Master Boot Record (MBR) oder Partitionstabellen und verhindern so den Systemstart. Ausgefeiltere Varianten kombinieren möglicherweise mehrere Techniken und zielen gleichzeitig auf Backups, Netzwerkfreigaben und Wiederherstellungsmechanismen ab, um den Schaden zu maximieren.

In den letzten Jahren haben Angreifer zudem Wiper-Funktionalitäten mit Spionage- und Sabotageoperationen kombiniert, insbesondere in geopolitischen Konflikten, an denen kritische Infrastrukturen und Regierungsorganisationen beteiligt sind.

Wiper-Angriffe in der Praxis

Nehmen wir an, Sie haben ein Kernkraftwerk, das zentral von einem angeschlossenen Büro aus überwacht wird und dessen Fernüberwachung von Experten erfolgt. Außerdem gibt es ein nachgelagertes Verteilungsnetz, das Energie umwandelt, speichert und an Haushalte weiterleitet. Dies entspricht im Wesentlichen einer Lieferkette, die an verschiedenen Stellen von IT-Geräten und Menschen durchzogen ist, wobei die betrieblich am nächsten gelegenen OT-Überwachungssysteme die nächstgelegenen sind.

Nun ist es nicht einfach, in diese meist „air-gapped“ (isolierten) und segmentierten Umgebungen einzudringen, aber auch nicht unmöglich. Verfügt man über einen ersten Zugriff, kann man sich auch dauerhaft in einer Umgebung etablieren, einige offene Ports scannen, anfällige Geräte aufspüren und sich lateral bewegen, bis man einen Punkt erreicht, an dem man ein Konto mit weitreichenden Berechtigungen kompromittiert hat.

Wiper gelangen in der Regel über Phishing (bösartige Anhänge als Übertragungsvektoren) oder  beispielsweise über bösartige USB-Sticks ins System, wie in der „GoldenJackal“-Studie von ESET detailliert beschrieben, in der diese zur Überbrückung von Airgaps eingesetzt wurden.

Mit ausreichenden Berechtigungen ist es an der Zeit, den entscheidenden Schlag zu führen. In dieser Phase können Wiper verbreitet werden, um Server, Arbeitsplätze und Geschäftssysteme digital auszulöschen. Da die Logik des IT-Systems des Kraftwerks nicht mehr vorhanden ist, wird es kaum noch effizient funktionieren. Es sei denn, das Kraftwerk verfügt über automatische industrielle Steuerungssysteme (ICS). In jedem Fall würde dies bedeuten, dass die Betreiber möglicherweise nicht mehr sehen können, was in ihren eigenen Systemen vor sich geht.

Eine kleine Nuance: Wiper als zerstörerische Malware

Wiper machen Systeme unbootfähig und Daten unwiederherstellbar. Sie verursachen keine physischen Schäden. Die Hardware sollte intakt bleiben. Doch in Umgebungen, in denen digitale Systeme physische Prozesse steuern, kann der Verlust von Transparenz und Kontrolle zu unsicheren Zuständen führen.

In komplexeren Betriebsabläufen kann Wiper-Malware zusammen mit Tools eingesetzt werden, die zur Manipulation industrieller Systeme entwickelt wurden (wie Industroyer oder Stuxnet), wodurch die Gesamtauswirkungen über den digitalen Bereich hinaus verstärkt werden.

Dennoch gibt es zahlreiche Sicherheitsvorkehrungen. Im Bereich der Stromerzeugung kann ein Verlust der zentralen Kontrolle jedoch vorsorgliche Abschaltungen auslösen, und anhaltende Störungen könnten leicht zu Betriebsverzögerungen und einer verminderten Stromerzeugung führen. Nicht zuletzt würde der Wiederaufbau der Systeme einige Zeit in Anspruch nehmen, da Wiper diese vollständig löschen.

Beispiele für echte Wiper-Angriffe

Allein in Europa hat ESET mehrere Fälle von Wipern entdeckt, die gegen kritische Infrastrukturen in der Ukraine, insbesondere im Energiesektor, eingesetzt wurden. Dazu gehören „WhisperGate“, das sich als Ransomware tarnte, sowie „HermeticWiper“ und „IsaacWiper“, die nur wenige Stunden vor dem russischen Einmarsch eingesetzt wurden und auf Regierungsnetzwerke und -organisationen abzielten. Andere Kampagnen, darunter „CaddyWiper“, folgten derselben zerstörerischen Logik: Wiper tauchen dort auf, wo Angreifer Störungen verursachen, die Wiederherstellung erschweren und den Druck auf das Opfer erhöhen wollen.

Seitdem hat ESET weitere Wiper-Aktivitäten gegen ukrainische Ziele beobachtet, darunter ZEROLOT und SwiftSlicer. Ende 2025 wurde der Energiesektor Polens, das an die Ukraine grenzt, mit DynoWiper angegriffen, was ESET mit mittlerer Sicherheit der russlandnahen Sandworm-Gruppe zuschrieb.

Die Sache ist die: Während Wiper in der Bedrohungslandschaft im Vergleich zu Ransomware oder Extortionware sicherlich weniger verbreitet sind, sind ihre Auswirkungen weitaus schwerwiegender und haben verheerende Folgen. Wäre der DynoWiper-Angriff beispielsweise fortgesetzt worden, hätte wahrscheinlich ein gesamtes Kraft-Wärme-Kopplungswerk^¹ abgeschaltet werden müssen, was die Energieversorgung mehrerer dicht besiedelter Gebiete beeinträchtigt hätte.

Lesen Sie unseren Forschungsblog für weitere Informationen zu DynoWiper und Sandworm.

Im Jahr 2025 entdeckte ESET außerdem² eine Kampagne eines noch nicht namentlich genannten Akteurs, der in Go geschriebene Wiper einsetzte und Opfer im israelischen Energie- und Ingenieurssektor ins Visier nahm.

Können legitime Admin-Tools wie Wiper missbraucht werden?

Wiper sind nicht die einzigen mit der Fähigkeit, Systeme zurückzusetzen. Im März 2026 erlitt ein großes US-amerikanisches Medizintechnikunternehmen einen schweren Cyberangriff, der einem mit dem Iran in Verbindung stehenden Angreifer zugeschrieben wurde. Öffentlichen Berichten zufolge verschafften sich die Angreifer vermutlich privilegierten Zugriff auf die Microsoft-Umgebung des Unternehmens und nutzten anschließend Microsoft Intune, um eine große Anzahl registrierter Geräte aus der Ferne zu löschen und auf die Werkseinstellungen zurückzusetzen.

Anstatt also herkömmliche Wiper-Malware einzusetzen, scheinen die Angreifer die unternehmenseigene Infrastruktur zur Geräteverwaltung in ein zerstörerisches Werkzeug verwandelt zu haben.

Woran erkennt man, dass gerade ein Wiper-Angriff stattfindet?

Im Gegensatz zu Ransomware geben Wiper oft kaum Vorwarnung, bevor sie Schaden anrichten. Unternehmen können jedoch bereits in der Vorbereitungsphase eines Angriffs einige entscheidende Anzeichen beobachten. Dazu gehören unter anderem ungewöhnliche Privilegienerweiterungen, unbefugte Kontoaktivitäten, verdächtige laterale Bewegungen zwischen Systemen, Versuche, Sicherheitskontrollen zu deaktivieren (beispielsweise mit einem EDR-Killer) sowie unerwarteter Zugriff auf die Backup-Infrastruktur.

Sobald die zerstörerische Phase beginnt, können Anzeichen wie weitreichende Dateibeschädigungen, nicht mehr bootfähige Systeme oder der gleichzeitige Ausfall mehrerer Endpunkte auftreten.

Da ausgeklügelte Wiper-Operationen häufig wochen- oder monatelange Vorbereitungen erfordern, ist die Erkennung von Angreiferaktivitäten vor dem Einsatz oft die beste Gelegenheit für Verteidiger, weitreichende Störungen zu verhindern. Hier können zentralisierte Transparenz, Threat Hunting und Technologien wie XDR und MDR eine wichtige Rolle spielen.

Welchen Schaden kann „Wiper“-Malware anrichten?

Für Unternehmen geht der Schaden durch Wiper-Malware weit über den Verlust von Dateien hinaus. Sobald kritische Systeme gelöscht oder unbootfähig gemacht werden, kann der Betrieb zum Erliegen kommen. Mitarbeiter verlieren den Zugriff auf wichtige Tools, Produktionslinien können verlangsamt werden oder stillstehen, kundenorientierte Dienste können offline gehen, und Sicherheitsteams verfügen möglicherweise nicht mehr über die Protokolle und Telemetriedaten, die erforderlich sind, um zu verstehen, was geschehen ist.

Die finanziellen und rufschädigenden Auswirkungen können schnell eskalieren, da sich Ausfallzeiten, Notfallwiederherstellung, der Wiederaufbau der Infrastruktur, Kundenkommunikation, rechtliche Unterstützung und behördliche Überprüfungen gleichzeitig häufen. In Branchen wie der Fertigungsindustrie, dem Gesundheitswesen, der Energiewirtschaft, der Logistik oder dem öffentlichen Dienst können die Folgen zudem die Sicherheit oder die Bereitstellung wesentlicher Dienstleistungen beeinträchtigen. Die Wiederherstellung hängt daher nicht nur davon ab, dass Backups vorhanden sind. Diese müssen sauber, isoliert, vollständig und vor einem Angriff getestet sein.

Tipps zum Schutz vor Wiper-Angriffen

Wie bei anderen Arten von Cyberbedrohungen ist eine Abwehr möglich. Es gibt jedoch einige wichtige Überlegungen, die von der Unternehmensgröße abhängen:

Großunternehmen

Die Abwehrmaßnahmen sollten auf die kritischsten Ressourcen und Wiederherstellungsanforderungen des Unternehmens zugeschnitten sein

Da Wiper darauf abzielen, den Geschäftsbetrieb zu stören, sollte der Schwerpunkt auf der Identifizierung und dem Schutz wesentlicher Systeme liegen, wobei die Sicherheitsmaßnahmen auf diese zugeschnitten werden sollten.

Halten Sie Offline-Backups kritischer Systeme und Daten bereit, die unveränderbar sind und regelmäßig getestet werden

Wiper-Malware ist darauf ausgelegt, Daten zu zerstören oder zu beschädigen, weshalb zuverlässige Wiederherstellungsmöglichkeiten eine der wirksamsten Abwehrmaßnahmen gegen Betriebsstörungen darstellen.

Segmentieren Sie kritische Systeme oder trennen Sie sie durch einen Airgap und beschränken Sie den privilegierten Zugriff

Durch die Einschränkung der lateralen Bewegung kann verhindert werden, dass sich ein Wiper in der gesamten Umgebung ausbreitet und hochwertige Ressourcen erreicht. Dies ist besonders wichtig für Unternehmen, die in kritischen Infrastrukturen tätig sind.

Mittelständische Unternehmen

Priorisieren Sie schnelle Patches und starke Identitätssicherheit, einschließlich MFA

Viele Wiper-Angriffe beginnen durch kompromittierte Anmeldedaten oder die Ausnutzung bekannter Schwachstellen, weshalb diese Maßnahmen äußerst wirksam und kosteneffizient sind.

Entwickeln und testen Sie regelmäßig Verfahren zur Reaktion auf Vorfälle und zur Wiederherstellung

Eine schnelle Eindämmung und Wiederherstellung kann Ausfallzeiten erheblich reduzieren, falls zerstörerische Malware eingesetzt wird. Die Reaktion auf Vorfälle muss jedoch gründlich getestet und geplant werden, da man dem Unbekannten nicht begegnen kann, ohne zumindest eine Vorstellung davon zu haben, ob die eigenen Systeme überhaupt widerstandsfähig sind.

Das fehlende Glied

Bevor wir fortfahren, gibt es etwas, das in den Gesprächen zwischen Großunternehmen und mittelständischen Firmen bisher außer Acht gelassen wurde:Extended Detection and Response (XDR). Da XDR Aktivitäten über mehrere Sicherheitsdomänen hinweg korrelieren kann, hilft es effektiv dabei, Wiper-Malware zu identifizieren und einzudämmen, bevor sie sich in der gesamten Umgebung weit verbreitet. In Verbindung mit einer KI-gestützten Erkennungs-Engine ist es potenziell in der Lage, böswilliges Verhalten zu erkennen, noch bevor ein Sicherheitsanalyst dies tun würde.

Kleine Unternehmen

Sichere Offline-Backups pflegen und die Wiederherstellung regelmäßig überprüfen

Für kleinere Unternehmen bietet die Möglichkeit, Daten schnell wiederherzustellen, oft den größten Ertrag aus Sicherheitsinvestitionen im Kampf gegen zerstörerische Malware. Dies geschieht entweder über tatsächliche Backups oder über automatische Wiederherstellungstechnologien, mit denen ein Sicherheitsprodukt selbstständig schnelle Backups erstellen kann.

Endgeräteschutz einsetzen und Systeme auf dem neuesten Stand halten

Grundlegende Sicherheitsmaßnahmen können dabei helfen, böswillige Aktivitäten frühzeitig zu erkennen und gängige Einfallstore zu blockieren, die von Malware-Betreibern genutzt werden. Allerdings gleicht kein Endpunkt-Produkt dem anderen, und Sie können sich nicht nur auf Ihre Computer konzentrieren, wenn auch Firmenhandys und sogar Server im Einsatz sind. Suchen Sie nach einem Angebot, das all diese Geräte auf einmal abdeckt, um alle potenziellen Lücken zu schließen.

Wo dedizierte Sicherheitsressourcen begrenzt sind, können KI, Automatisierung und menschliche Überwachung die Erkennung und Reaktion verbessern

Die frühzeitige Erkennung verdächtiger Aktivitäten kann eine entscheidende Chance bieten, einen Wiper einzudämmen, bevor weitreichender Schaden entsteht. Viele Cybersicherheitsanbieter und MSPs bieten mittlerweile auch für kleinste Kunden Managed Security an, wodurch sich die durchschnittliche Zeit bis zur Erkennung und Reaktion oft auf nur sechs Minuten verkürzt.

Fazit

Wiper-Angriffe machen deutlich, dass nicht jeder Cyberkriminelle auf finanzielle Beute aus ist. Manche Akteure wollen vielmehr Störungen verursachen und Zerstörung anrichten. Ob im Rahmen geopolitischer Operationen, bei Angriffen auf kritische Infrastruktur oder als ausgefeilte Kampagnen gegen Unternehmen – Wiper lassen kaum Raum für zweite Chancen.

Wenn es also um Wiper geht, gewinnt die Widerstandsfähigkeit. Die beste Verteidigung besteht darin, Ihre Risiken zu verstehen, bevor es die Angreifer tun. Denn wenn zerstörerische Malware zuschlägt, sind Backups, Transparenz und erprobte Pläne zur Reaktion auf Vorfälle möglicherweise das Einzige, was zwischen der Aufrechterhaltung des Geschäftsbetriebs und dem Ende des Unternehmens steht.

FAQ: Wiper

Was ist Wiper-Malware?

Wiper-Malware ist zerstörerische Malware, die darauf ausgelegt ist, Daten und Systeme zu löschen, zu überschreiben oder zu beschädigen, sodass sie unbrauchbar werden. Im Gegensatz zu gewinnorientierter Malware besteht ihr Hauptziel in Störung, Sabotage oder betrieblichen Schäden.

Wie unterscheiden sich Wiper von Ransomware?

Ransomware verschlüsselt Daten, um die Opfer zur Zahlung zu zwingen; Wiper hingegen sind darauf ausgelegt, Daten zu zerstören oder zu beschädigen. Eine Wiederherstellung ist in der Regel nur möglich, wenn das Unternehmen über saubere, isolierte und getestete Backups verfügt.

Wer ist typischerweise das Ziel von Wipern?

Wiper-Malware wird oft mit geopolitischen Konflikten und Angriffen auf Regierungen, kritische Infrastruktur, den Energiesektor, die Logistik oder andere Sektoren mit großer Tragweite in Verbindung gebracht. Auch private Organisationen können als direkte Ziele, durch Kollateralschäden oder über kompromittierte Partner und Tools betroffen sein.

Was sind einige Beispiele für Wiper-Angriffe aus der Praxis?

Zu den bekannten Beispielen zählen WhisperGate, HermeticWiper, IsaacWiper, CaddyWiper, KillDisk und DynoWiper. Einige davon wurden bei Angriffen eingesetzt, die mit geopolitischen Operationen und der Störung kritischer Infrastrukturen in Verbindung standen.

Wie können sich Organisationen gegen Wiper-Angriffe schützen?

Unternehmen können das Risiko verringern, indem sie saubere Offline-Backups, Netzwerksegmentierung, starke Identitätssicherheit, schnelle Patches, Endgeräteschutz und Erkennungsfunktionen wie XDR oder MDR kombinieren. Das Ziel ist es, die Aktivitäten der Angreifer zu erkennen, bevor die zerstörerische Nutzlast eingesetzt wird.

Weitere Quellen:
_{[1] CERT Polska. (2025). CERT Polska-Vorfallbericht zum Energiesektor – 29. Dezember (S. 12–21). https://cert.pl/uploads/docs/CERT_Polska_Energy_Sector_Incident_Report_2025.pdf. Abgerufen am: 02.07.2026.
[2] ESET Research. (2025). ESET-Bericht über APT-Aktivitäten, 2. Quartal 2025–3. Quartal 2025 (S. 12). ESET.}