Microsoft Threat Intelligence beschreibt DeadLock als eine seit Juli 2025 beobachtete Ransomware-Operation, die Verschlüsselung, Datendiebstahl und eine besonders robuste Wiederherstellungs- und Leak-Infrastruktur kombiniert. Der neue Microsoft-Bericht ist für Unternehmen relevant, die ihre Windows-Arbeitsplätze mit Microsoft Defender und Defender XDR schützen: Microsoft nennt nicht nur technische Details, sondern auch konkrete Einstellungen, mit denen sich die Wirkung solcher Angriffe begrenzen lässt. Damit eignet sich das Thema für eine nüchterne Sicherheitsprüfung, nicht für Panik: Welche Schutzfunktionen sind bereits aktiv, welche laufen nur im Audit-Modus, und welche Endpunkte fallen aus der Verwaltung heraus?
Was Microsoft zu DeadLock beobachtet
Nach Microsofts Analyse wurde DeadLock von mehreren Gruppen eingesetzt, darunter ein Affiliate aus den Lynx- und INC-Ransomware-Ökosystemen. Bis Juli 2026 veröffentlichte die Gruppe mehr als 80 kompromittierte Organisationen auf ihrer Leak-Seite; mehr als die Hälfte der genannten Opfer lag in Europa. Betroffen waren unter anderem IT, Fertigung, Logistik, Gastgewerbe und Konsumgüter. Das macht DeadLock nicht zu einem Spezialfall für Großkonzerne, sondern zu einem Szenario, das auch mittelständische Umgebungen treffen kann.
Der untersuchte Encryptor versucht zunächst, höhere Rechte zu erhalten, Sicherheits- und Backup-Dienste zu stoppen, Ereignisprotokolle zu löschen und Wiederherstellungswege zu erschweren. Microsoft dokumentiert außerdem, dass die Malware Prozesse von Sicherheitswerkzeugen, Backup- und Synchronisationsanwendungen sowie Remote-Access-Tools beenden kann. Für Administratoren ist deshalb entscheidend, Schutzfunktionen nicht erst während eines Vorfalls einzuschalten.
Warum die Infrastruktur auffällt
Besonders auffällig ist die Wiederherstellungsumgebung der Täter. DeadLock nutzt nach Microsofts Beschreibung eine lokale HTML-Anwendung, die Chat, Leak-Blog und Dateibrowser enthält. Konfigurationsdaten liegen teilweise auf der Polygon-Blockchain, die Kommunikation läuft über das Session-Netzwerk, und gestohlene Daten können über Wasabi-Speicher bereitgestellt werden. Microsoft bewertet dieses Modell als widerstandsfähiger gegen klassische Takedown-Maßnahmen, weil einzelne Domains oder Server nicht mehr der einzige Angriffspunkt sind.
Für Verteidiger bedeutet das: Eine reine Blockliste einzelner Domains reicht nicht aus. Wichtiger sind gehärtete Endpunkte, schnelle Erkennung, kontrollierte Eindämmung und ein getesteter Ablauf für den Umgang mit Verschlüsselung und Datenabfluss.
Welche Schutzmaßnahmen Microsoft nennt
Microsoft empfiehlt mehrere Maßnahmen, die sich direkt in Defender-Umgebungen prüfen lassen. Sie ersetzen kein vollständiges Incident-Response-Konzept, bilden aber eine sinnvolle technische Basis für kleine IT-Teams.
- Cloudbasierte Schutzfunktionen in Microsoft Defender Antivirus aktivieren, damit neue Varianten schneller blockiert werden.
- Defender for Endpoint mit EDR im Blockmodus betreiben, wenn ein anderes Antivirenprodukt primär aktiv ist.
- Tamper Protection und Always-on Protection so konfigurieren, dass Angreifer Sicherheitsdienste nicht einfach abschalten können.
- Automatische Untersuchung und Bereinigung sowie automatische Angriffseindämmung in Defender XDR vorbereiten.
- Controlled Folder Access und Attack-Surface-Reduction-Regeln zuerst im Audit-Modus bewerten und dann gezielt härten.
Was kleine IT-Teams jetzt prüfen sollten
Der Bericht enthält viele technische Details, aber der erste Schritt ist pragmatisch: Prüfen Sie, ob die vorhandene Microsoft-Security-Konfiguration überhaupt konsequent greift. Gerade in Unternehmen mit 10 bis 250 Arbeitsplätzen entstehen Lücken oft durch Ausnahmen, Altgeräte oder nur teilweise verwaltete Endpunkte.
- Kontrollieren Sie, ob alle produktiven Windows-Geräte in Defender for Endpoint eingebunden sind.
- Vergleichen Sie aktive Richtlinien mit Microsofts Empfehlungen zu EDR im Blockmodus, ASR-Regeln und automatischer Angriffseindämmung.
- Testen Sie, welche ASR-Regeln ohne Störung in den Blockmodus wechseln können.
- Ergänzen Sie das Incident-Response-Playbook um Verschlüsselung, Datenabfluss, Geräteisolation und Wiederanbindung.
Fristen und Priorität: sofort prüfen, keine fixe Deadline
Microsoft nennt für DeadLock keine Umstellungsfrist und kein Produkt-Enddatum. Die Priorität entsteht aus der aktiven Bedrohungslage: Die Operation ist seit 2025 beobachtet, hatte bis Juli 2026 bereits zahlreiche Opfer veröffentlicht und enthält Techniken, die Wiederherstellung und Forensik erschweren. Deshalb sollte die Prüfung nicht auf den nächsten größeren Security-Rollout warten. Ein sinnvoller Zeitrahmen ist eine kurzfristige Bestandsaufnahme, danach ein kontrollierter Test von ASR-Regeln, EDR im Blockmodus und automatischer Eindämmung auf repräsentativen Geräten. Wichtig ist dabei, Änderungen nachvollziehbar zu dokumentieren: Wer eine Regel nur testet, sollte Audit-Ergebnisse auswerten; wer sie scharf schaltet, braucht einen Rückweg für geschäftskritische Anwendungen.
Offizielle Microsoft-Quellen
- Microsoft Security Blog: DeadLock ransomware
- Microsoft Learn: Automatische Angriffseindämmung in Defender XDR konfigurieren
- Microsoft Learn: Attack Surface Reduction Rules
Wenn Sie wissen möchten, welche Defender-Einstellungen in Ihrem Tenant bereits greifen und wo DeadLock-ähnliche Angriffe noch zu viel Spielraum hätten, prüfen wir das in einem Microsoft Security Assessment – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
