Ransomware-Affiliate-Rekrutierung: Der Arbeitsmarkt hinter den RaaS-Brands
Wenn eine neue Ransomware-Marke auftaucht, ist der Verschlüsselungscode selten die Nachricht. Was eine Marke zuerst braucht, sind Affiliates: Operateure, die eigene Intrusionen in Unternehmensnetzwerke mitbringen, ihre eigenen Verhandlungen führen und der Marke einen Anteil an jedem Lösegeld abgeben. Die Rekrutierungsspuren, die diese Marken hinterlassen - angepinnte Forumsthreads, Regelseiten, Telegram-Kanäle - gehören zu den besser dokumentierten Teilen des Ökosystems, und sie lesen sich weniger wie Malware-Vertrieb denn wie ein Arbeitsmarkt.
Wo die Anzeigen laufen
Die Hauptbühne sind eine Handvoll russischsprachiger Foren: Exploit, XSS und RAMP. Über Ransomware darf auf den Top-Foren offiziell nicht gesprochen werden, daher greifen Inserenten auf Chiffrensprache zurück. Flashpoint hat dieses Muster 2021 dokumentiert: Nutzer, die anboten, VPN-, Citrix- und RDP-Zugänge „für einen Prozentsatz des Gewinns“ zu kaufen, während sie sich als „ein Team erfahrener Pentester“ beschrieben; einer verwies auf frühere Arbeit mit DarkSide als Referenz. ReliaQuests Studie zum Rekrutierungstrichter von 2022 beschreibt angepinnte RaaS-Threads, in denen das Wort Ransomware auf Exploit und XSS tabu ist - die Gruppen schreiben, sie suchten „Pentester“ -, während RAMP alle Details erlaubt. Als RansomHub an den Start ging, verfolgte Recorded Future die erste Anzeige zurück zu einem Nutzer namens koley, der sie Anfang Februar 2024 auf RAMP schaltete; zum Zeitpunkt der Analyse hatte die Marke 45 Opfer in 18 Ländern für sich beansprucht. Telegram trägt inzwischen einen Großteil desselben Verkehrs. Eine Cyfirma-Analyse vom Februar 2026 beschreibt Ransomware-Kanäle, die „Affiliate-Programme bewerben, Provisionsstrukturen darlegen, Zielbeschränkungen veröffentlichen“ - ausgeschlossene Regionen und Branchen - neben Access-Brokern, die VPN-, RDP- und Cloud-Eingangspunkte verkaufen. Die Zusammenfassung der Arbeitsteilung im Bericht: Foren liefern Sichtbarkeit, Telegram „übernimmt die Ausführung“.Die angebotene Beteiligung
Die beworbenen Aufteilungen geben dem Affiliate die klare Mehrheit. LockBit zahlte 2022 laut ReliaQuest 80 Prozent eines eingetriebenen Lösegelds. Recorded Future bezeichnet RansomHubs 90 Prozent als „am oberen Ende der im RaaS-Markt üblichen Spanne von 80-90 %“ - ein Satz, der „wahrscheinlich erfahrene Affiliates von anderen Plattformen anzieht“. 2025 formalisierte die Marke Anubis drei Modelle: klassisches RaaS mit 80-Prozent-Anteil, einen reinen Datenerpressungsdienst und ein Zugangsmodell, das 50 Prozent des Lösegelds an denjenigen zahlt, der den anfänglichen Zugang lieferte. Der Restanteil des Betreibers finanziert das Paket: Verschlüsseler und Builder, Leak-Site-Hosting, Verhandlungsunterstützung und einen Markennamen, der in Gesprächen mit Opfern zusätzlichen Druck erzeugt. Zusatzleistungen gehören zum Angebot. Recorded Future zufolge führte Qilin Mitte 2025 einen „Call Lawyer“-Service ein, der Affiliates rechtliche Beratung dazu anbietet, wie sie Opfer während Verhandlungen einschüchtern können. LockBit bot in seiner Rekrutierungsoffensive 2022 Forumsnutzern 1.000 Dollar für ein Tattoo des Gruppenlogos; mindestens drei ließen sich stechen.Die Prüfung der Bewerber
Die Rekrutierung ist mehrfach gefiltert. Manche Leak-Sites betreiben ein „Contact Us“-Formular, das ReliaQuest als „das kriminelle Äquivalent eines Anschreibens“ bezeichnet; andere listen nur verschlüsselte Kontakte, was „als vorgeschalteter Eignungstest dienen kann und die unerfahrenen Bewerber aussortiert“. Wer das übersteht, gelangt zu dem, was der Bericht als sehr wahrscheinlich anonymes Interview beschreibt; eine Absage kommt ohne Begründung. LockBit verzichtete auf Anzeigen und veröffentlichte stattdessen eine 2.376 Wörter lange Regelseite für Affiliates mit Targeting-Regeln und Bewerbungsverfahren. Auf der Telegram-Seite, so Cyfirma, suchten Rekrutierer „Pentester oder vertrauenswürdige Partner“ und verlangten teils Forumsruf oder eine Kaution, bevor sie kooperierten.Abwerbung nach Takedowns
Die Affiliate-Listen werden immer dann neu gemischt, wenn die Strafverfolgung zuschlägt. Nach der Beschlagnahme von LockBits Infrastruktur und ALPHVs Exit-Scam Anfang 2024 kollabierte BlackBasta im Februar 2025 nach einem geleakten Chatprotokoll, und RansomHub löste sich Ende März 2025 abrupt auf - in Recorded Futures Darstellung hinterließ die Auflösung „Opfer mitten in den Verhandlungen und die Affiliates in Unordnung“. Die Affiliates zogen irgendwohin: BlackBasta-Mitglieder seien nach Einschätzungen zu Akira gewechselt, mit dem sie bereits Verbindungen hatten; Group-IB hielt es für möglich, dass einige RansomHub-Affiliates zu Qilin wechselten, und verwies auf einen Anstieg der Opfermeldungen; DragonForce behauptete, RansomHubs Infrastruktur und Affiliates unter einem „Kartell“-Modell übernommen zu haben, das Affiliates ihre eigene Marke behalten lässt.„Eine neue Gruppe ersetzt diejenige, die den Betrieb eingestellt hat, und nimmt oft die Mitglieder der Untergegangenen auf.“ - Kasperskys Securelist über den Malware-as-a-Service-Markt, 2023