Initial Access Broker sind Kriminelle, die kompromittierte Zugänge zu Unternehmensnetzen beschaffen und an Ransomware-Gruppen oder andere Angreifer verkaufen – Arbeitsteilung im Cybercrime.
Initial Access Broker (IAB) sind Spezialisten der Untergrundökonomie, die sich auf einen einzigen Schritt der Angriffskette konzentrieren: den ersten Zugang zu einem Unternehmensnetz. Sie knacken VPN-Konten, kompromittieren Fernwartungszugänge, phishen Zugangsdaten oder nutzen Schwachstellen in exponierten Systemen aus. Den eigentlichen Angriff führen sie nicht durch. Stattdessen verkaufen sie den Zugang in einschlägigen Foren oder direkt an Ransomware-Gruppen, die damit innerhalb weniger Tage das gesamte Netz verschlüsseln.
Dieses Geschäftsmodell hat die Bedrohungslage verändert. Der Erstzugriff und der Angriff auf die Organisation sind zeitlich und personell getrennt. Zwischen dem Verlust eines Passworts und dem Ransomware-Angriff können Wochen liegen, in denen der Zugang unbemerkt zum Verkauf steht.
Geschäftsmodell und Vorgehen
- Beschaffung: massenhaftes Credential Stuffing und Password Spraying gegen VPN- und Webmail-Portale, Infostealer-Malware auf privaten und dienstlichen Geräten, Ausnutzung bekannter Schwachstellen in Firewalls und VPN-Gateways, Phishing-Kampagnen.
- Validierung: Der Broker prüft, ob der Zugang funktioniert, welche Rechte er bietet und wie groß das Unternehmen ist. Umsatz, Branche und Mitarbeiterzahl bestimmen den Preis.
- Verkauf: Das Angebot nennt typischerweise Zugangstyp (VPN, RDP, Domänenkonto), Berechtigungsstufe, Land, Branche und Umsatz, aber nicht den Namen des Unternehmens. Preise reichen von wenigen hundert bis zu mehreren zehntausend US-Dollar.
- Übergabe: Der Käufer, oft ein Affiliate einer Ransomware-Gruppe, übernimmt und beginnt mit Aufklärung, Rechteausweitung und Verschlüsselung.
Laut Mandiant M-Trends 2026 gingen 30 Prozent der untersuchten Ransomware-Vorfälle auf eine vorherige Kompromittierung zurück, bei der der Zugang bereits vor dem eigentlichen Angriff bestand.
Bedeutung für Unternehmen
Für Entscheider verändert das Modell zwei Annahmen. Erstens: Ein kompromittiertes Konto ist kein isoliertes Ereignis, sondern ein Produkt, das gehandelt wird. Wer ein Passwort zurücksetzt, ohne die Ursache zu klären, hat möglicherweise nur eines von mehreren gestohlenen Konten geschlossen. Zweitens: Die Zeit zwischen Erstzugriff und Angriff ist ein Fenster, in dem Erkennung möglich wäre. Ein VPN-Login aus einem ungewöhnlichen Land, eine Anmeldung zu untypischer Zeit, ein Konto, das plötzlich Netzlaufwerke durchsucht: Das sind die Spuren, die ein Broker bei der Validierung hinterlässt.
Red Teams nutzen genau dieses Szenario als Ausgangspunkt. Beim Assumed Breach starten wir mit einem gewöhnlichen Domänenkonto oder einem kompromittierten Client und zeigen, wie weit ein Käufer damit kommt und ob das SOC den Weg bemerkt.
Praxis-Hinweise
- Sichern Sie alle extern erreichbaren Anmeldungen mit MFA, insbesondere VPN, Webmail, Cloud-Portale und Fernwartung. Ohne MFA ist jedes gephishte Passwort ein verkaufsfertiger Zugang.
- Patchen Sie Perimetergeräte mit Priorität. Schwachstellen in VPN-Gateways und Firewalls sind die bevorzugte Beschaffungsquelle der Broker.
- Überwachen Sie Anmeldeanomalien und reagieren Sie auf sie: unmögliche Reisen, neue Geräte, Anmeldungen außerhalb der Arbeitszeit.
- Prüfen Sie, ob Zugangsdaten Ihrer Domain in bekannten Leaks auftauchen, und erzwingen Sie Passwortwechsel bei Treffern.
- Testen Sie mit einem Assumed-Breach-Szenario, was ein Käufer mit einem gewöhnlichen Konto in Ihrem Netz erreichen würde.