(aktualisiert am ) · Mehdi Aroui · Cybersecurity · Lesedauer von ca. 3 Min.
Goldeneye Ransomware: Lehren für HR-Sicherheit
Goldeneye traf 2016 gezielt deutsche HR-Abteilungen über gefälschte Bewerbungs-E-Mails. Die Taktik war damals neu. Heute sind Social-Engineering-Angriffe dieser Art Alltag, und die Abwehr ist bekannt.
Was Goldeneye besonders machte
Dieser Beitrag erschien erstmals im Dezember 2016 als aktuelle Warnung. Goldeneye ist heute historisch. Die Angriffstaktik, Schadcode in präparierten Anhängen an Personalabteilungen zu schicken, bleibt ein Thema für die Abwehr.
Im Dezember 2016 verbreitete sich Goldeneye-Ransomware über gefälschte Bewerbungs-E-Mails, adressiert an Personalabteilungen deutscher Unternehmen. Die E-Mails enthielten Excel-Dateianhänge mit eingebetteten Makros. Wer die Datei öffnete und Makros aktivierte, infizierte sein System. Das Lösegeld betrug rund 940 Euro (1,33 Bitcoin).
Goldeneye richtete sich gezielt an HR-Mitarbeitende. Die Absender verwendeten plausible Namen (z.B. rolf.drescher@) und glaubwürdige Bewerbungsschreiben. Der psychologische Druck, Bewerbungen zu öffnen, war für HR-Teams hoch.
Warum der Angriff funktionierte
Makros in Office: Die Infektionskette setzte auf aktivierte Makros in Excel. Viele Unternehmen hatten keine Gruppenrichtlinien, die Makros blockierten.
Fehlende Mitarbeiterschulung: HR-Teams waren 2016 kaum auf Social-Engineering-Angriffe trainiert. Der Reflex, Bewerbungen zu öffnen, war stärker als das Sicherheitsbewusstsein.
Keine Offline-Backups: Wer infiziert war, konnte Daten nur wiederherstellen, wenn Backups auf nicht verbundenen Medien lagen. Backups auf gemappten Laufwerken wurden mitverschlüsselt.
Kein Entschlüsselungswerkzeug zum Zeitpunkt des Angriffs: Betroffene konnten 2016 nur auf spätere Forschungsergebnisse hoffen oder zahlen.
Was KMU 2026 daraus mitnehmen
Die Taktik ist dieselbe geblieben, die Köder sind besser geworden. Das BSI beobachtet, dass Angreifer Sprachmodelle einsetzen, um Texte für Phishing-Nachrichten zu erzeugen (BSI, Die Lage der IT-Sicherheit in Deutschland 2024, Kapitel 7.2, abgerufen am 18.10.2026). Gefälschte Bewerbungen lassen sich damit sprachlich schwerer von echten unterscheiden.
Makros deaktivieren oder per Gruppenrichtlinie beschränken: In Microsoft 365 lassen sich Makros aus dem Internet über Defender for Business und Gruppenrichtlinien blockieren. Interne Makros können über Trusted Locations weiterhin erlaubt werden.
Security-Awareness-Schulung: Mitarbeitende in HR, Buchhaltung und Geschäftsführung sind Hauptziele. Simulierte Phishing-Kampagnen (verfügbar über ESET PROTECT und Microsoft Defender for Business) trainieren den richtigen Umgang mit verdächtigen Anhängen.
Backup nach 3-2-1-Regel: Eine Offsite-Kopie mit Veeam Backup erlaubt die Wiederherstellung nach einem Angriff auf Workstations. Entscheidend sind regelmäßige Wiederherstellungstests.
E-Mail-Filterung: ESET Mail Security und Microsoft Defender for Office 365 analysieren Anhänge in Sandbox-Umgebungen, bevor sie den Posteingang erreichen. Schädliche Excel-Dateien mit Makros werden erkannt und blockiert.
Privilegien beschränken: HR-Mitarbeitende benötigen keinen lokalen Administratorzugriff. Minimale Rechte begrenzen den Schaden einer Infektion auf den befallenen Rechner.
Goldeneye heute: Was aus der Variante wurde
Der ursprüngliche Goldeneye-Masterkey wurde im Juli 2017 vom Entwickler des Vorgängers Petya veröffentlicht. Damit war eine nachträgliche Entschlüsselung theoretisch möglich. Praxis: Wer bis dahin keine Backups hatte, hatte oft bereits gezahlt oder Daten verloren.
Die Goldeneye-Variante ist inaktiv, aber die Nachfolger (NotPetya, REvil, LockBit) nutzen dieselben psychologischen Mechanismen mit technisch ausgefeilteren Methoden.
Fazit
Goldeneye zeigte erstmals, wie effektiv gezielte Angriffe auf nicht-technische Abteilungen sind. HR, Buchhaltung und Empfang sind heute genauso im Fokus wie 2016. Die Abwehr besteht aus drei Säulen: technische Kontrollen (Makro-Sperrung, E-Mail-Filterung, Endpoint-Schutz), getestete Backups und kontinuierliche Mitarbeiterschulung. Netzleiter bündelt diese drei Säulen für Hamburger KMU im laufenden Wartungsvertrag, statt sie als Einzelmaßnahmen zu verkaufen.
Eine Sicherheitsbewertung für Ihre Abteilungen vereinbaren Sie über die Hotline 040 25 499 500.
Häufige Fragen
Ist Goldeneye heute noch eine aktive Bedrohung?
Nein, die Goldeneye-Variante selbst ist inaktiv, seit der zugrunde liegende Masterkey 2017 veröffentlicht wurde. Die dahinterliegende Angriffstaktik, gezielte Bewerbungs-Mails an HR-Abteilungen, wird aber weiterhin von aktuellen Ransomware-Familien genutzt.
Reicht ein Antivirenprogramm gegen solche Angriffe aus?
Nein. Antivirensoftware erkennt bekannte Schadcode-Muster, verhindert aber nicht, dass ein Mitarbeitender eine präparierte Datei öffnet und Makros aktiviert. Wirksamer Schutz kombiniert E-Mail-Filterung, Makro-Sperrung und Mitarbeiterschulung.
Was ist der wichtigste Einzelschritt gegen Ransomware wie Goldeneye?
Ein getestetes Offline- oder Cloud-Backup nach der 3-2-1-Regel. Selbst bei erfolgreicher Infektion lassen sich Daten dann ohne Lösegeldzahlung wiederherstellen.
Wie schnell sollte ein Unternehmen nach einem Ransomware-Verdacht reagieren?
Sofort. Betroffene Systeme gehören umgehend vom Netz getrennt, bevor sich die Verschlüsselung auf gemappte Laufwerke oder Backups ausbreitet. Ein vorbereiteter Incident-Response-Plan spart in dieser Phase entscheidende Minuten.
