Storm-Ransomware beansprucht über 50 Opfer in sechs Wochen, doch das KI-Label bleibt unbelegt

2. November 2026, 18:09Quelle: Check Point

Eine neue Ransomware-Operation namens Storm hat in rund sechs Wochen mehr als 50 Opfer für sich reklamiert und vermarktet sich dabei als „erste KI-gestützte, quantenresistente Ransomware“. Forscher von Check Point Exposure Management haben nach eigenen Angaben keine Belege dafür gefunden, dass bei den Angriffen tatsächlich KI zum Einsatz kommt.

Das Wichtigste in Kürze

Storm tauchte im August 2026 auf und reklamierte laut Check Point in etwa sechs Wochen über 50 Opfer.
Affiliates können bis zu 90 Prozent der Erlöse erhalten, die Staffelung beginnt bei 75 Prozent und steigt auf 80 Prozent.
Unternehmensdienstleistungen (13), Finanzwesen (9) und Fertigung (7) führten bei den beobachteten Vorfällen, das Gesundheitswesen kam auf sechs.
Check Point fand keine eindeutigen Belege dafür, dass bei Storms Angriffen KI eingesetzt wird.
Das KI-Branding dient offenbar der Rekrutierung, der Signalisierung von Automatisierung und dem Marketing.

Von Anfang an eine strukturierte Affiliate-Operation

Storm tauchte im August 2026 auf und trat laut Check Point von Beginn an mit der Struktur einer etablierten Ransomware-as-a-Service-Operation (RaaS) auf. Innerhalb von etwa sechs Wochen reklamierte die Gruppe mehr als 50 Opfer in Nordamerika, Europa und Ozeanien. Betroffene Organisationen saßen in den USA, Deutschland, Kanada und Australien.

Der öffentliche Auftritt war eng mit der Anwerbung von Partnern verknüpft. Noch vor der ersten beobachteten Veröffentlichung eines Opfers bewarb ein bekannter Initial Access Broker namens BigBro die neue Operation in einem Darknet-Forum. Später veröffentlichte Storm einen eigenen angepinnten Rekrutierungsbeitrag, der das RaaS-Angebot formalisierte.

Das Angebot liest sich wie ein Servicekatalog. Laut Check Point wirbt Storm mit:

Lockern für Windows, Linux, ESXi und NAS
Verwaltung von Opfer-Chats und Call-Center-Diensten
Unterstützung beim Umgehen von AV und EDR
DDoS-Fähigkeiten und Medienarbeit

Die Gruppe wirbt zudem offen um Initial Access Broker, Datenhändler und Anbieter von Netzwerkzugängen.

Gewinnbeteiligung von bis zu 90 Prozent und eine aufwendig gestaltete Leak-Seite

Storm nutzt sein Auszahlungsmodell als Anreiz zur Rekrutierung. Check Point beschreibt eine gestaffelte Struktur, die bei 75 Prozent beginnt, auf 80 Prozent steigt und bei Erlösen über 750.000 US-Dollar 90 Prozent erreicht.

Auch die Tor-basierte Leak-Seite der Gruppe fällt auf. Sie bietet eine interaktive globale Opferkarte, Branchenfilter, durchsuchbare Opferlisten, Zeitleisten, Vorschauen als Dokumentenbaum und ein eigenes grafisches CAPTCHA. Laut Check Point wirkt die Seite eher wie eine kommerzielle Softwareplattform als wie eine typische Leak-Seite. Die Investition verschaffe Storm eine Infrastruktur zur Verwaltung der Opfer und unterstütze zugleich die Anwerbung von Partnern, die Medienpräsenz und die Markenbekanntheit.

Nach Branchen entfielen 13 beobachtete Vorfälle auf Unternehmensdienstleistungen, gefolgt von Finanzwesen mit neun und Fertigung mit sieben. Einzelhandel und Gesundheitswesen kamen jeweils auf sechs.

Das Gesundheitswesen spielt in der frühen Phase eine große Rolle. Zu den beanspruchten Opfern zählten Krankenhäuser, Gesundheitsnetzwerke, Behandlungsanbieter, Radiologie-Einrichtungen und Hospizdienste. Die Forscher werten diese frühe Konzentration als Hinweis auf gezielte Angriffe auf Organisationen, bei denen Störungen erheblichen Druck zur Zahlung erzeugen können.

Die KI-Behauptung bleibt unbestätigt

Storm bezeichnet sich laut Check Point wiederholt als „erste KI-gestützte, quantenresistente Ransomware“. Die Forscher fanden jedoch keine eindeutigen Belege für den Einsatz von KI bei Einbruch, Verschlüsselung, Erpressung oder in den Workflows zur Unterstützung der Partner.

Stattdessen sieht Check Point drei Funktionen der KI-Erzählung: Rekrutierung, Signalisierung von Automatisierung und Marketing. Das Label helfe Storm, sich in einem überfüllten Ransomware-Ökosystem abzuheben und technologisch fortschrittlich zu wirken. Verweise auf automatisierte Opferverwaltung und Verhandlungen könnten auf Workflow-Automatisierung hindeuten, doch die vorliegenden Belege begründeten keine durch KI verstärkten offensiven Fähigkeiten.

Was das bedeutet

Check Point liest den Fall so: Storm zeigt, wie schnell eine Ransomware-Operation durch strukturierte Partneranwerbung, aufwendige Infrastruktur und aggressives Branding Reichweite gewinnen kann. Für Verteidiger legt der Befund nahe, dass die Bedrohung in der Organisation und der Reichweite der Gruppe liegt und nicht in einer bestätigten KI-Fähigkeit. Check Point hat einen ausführlichen Bericht mit dem Titel „Storm: Ransomware in the Age of AI“ veröffentlicht, der Opferprofil, Affiliate-Modell, Leak-Seite und KI-Behauptungen der Gruppe behandelt.