NightSpire ist eine im März 2025 aufgetauchte Ransomware-Operation, die innerhalb von rund anderthalb Jahren über 300 Opfer auf ihrer Leak-Site gelistet hat. Die Gruppe arbeitet nach dem Double-Extortion-Prinzip: Daten abziehen, Systeme verschlüsseln, Veröffentlichung androhen. Auffällig sind die extrem kurzen Fristen – teils nur zwei Tage bis zur Veröffentlichung – und ein aggressiver, öffentlich geführter Umgang mit nicht zahlenden Opfern.
Der Einstieg erfolgt typischerweise über verwundbare Perimeter-Systeme, insbesondere ungepatchte Firewalls und VPN-Zugänge, sowie über offen erreichbares RDP. Das Ziel ist bewusst der Mittelstand: Rund drei Viertel der Opfer sind Unternehmen mit weniger als 1.000 Beschäftigten, mit einem Schwerpunkt auf Fertigung. In Deutschland listet die Gruppe bereits eine zweistellige Zahl von Opfern.
Aktiv
Ransomware-as-a-Service mit Double Extortion und eigener Tor-Leak-Site inklusive öffentlicher Anprangerung nicht zahlender Opfer
NightSpire, Night Spire
März 2025
Mit hoher Wahrscheinlichkeit eine Umbenennung der Gruppe RBFS – überlappende Opfer und gemeinsame Betreiber legen das nahe (Analyse S-RM).
Nicht eindeutig zugeordnet
Fertigung (Schwerpunkt, rund ein Drittel), Handel und E-Commerce, Gesundheitswesen, Finanzdienstleistungen, Bildung, Bau und professionelle Dienstleistungen.
Weltweit, mit Schwerpunkt USA; zahlreiche Opfer in Europa – darunter eine zweistellige Zahl in <strong>Deutschland</strong> – sowie in Frankreich, Indien, Taiwan und Japan.
Nicht öffentlich beziffert; verhandelt wird individuell, mit ungewöhnlich kurzen Fristen von teils nur 48 Stunden bis zur angedrohten Veröffentlichung.
313 gelistete Opfer (Stand: 3. August 2026), davon rund 11 in der DACH-Region
.nspire
readme.txt (in Analysen auch als _nightspire_readme.txt dokumentiert) mit einer eindeutigen Opfer-Kennung und Kontaktwegen über ein Tor-Portal sowie den Messenger qTox
NightSpire arbeitet überwiegend mit legitimen Werkzeugen. Zur Datenausleitung kommen WinSCP, MEGAcmd und 7-Zip zum Einsatz, für Zugriff und Persistenz gängige Fernwartungssoftware sowie RDP. Für die Erkundung genügen Netzwerk-Scanner und Bordmittel – ein Vorgehen, das signaturbasierte Erkennung weitgehend ins Leere laufen lässt.
Der Verschlüsseler hängt die Endung .nspire an und legt eine Erpressernotiz in den betroffenen Verzeichnissen ab. Eine Besonderheit betrifft Cloud-Speicher: Auch in OneDrive synchronisierte Dateien werden verschlüsselt, teils ohne sichtbare Änderung des Dateinamens – Betroffene bemerken den Schaden dort deshalb häufig erst verspätet. Analysten beschreiben das technische Niveau der Gruppe insgesamt als eher niedrig; gefährlich ist sie vor allem durch Geschwindigkeit, Masse und Druck.
Der wirksamste Hebel gegen NightSpire liegt vor dem Angriff: Das Cyber Defense Center von Argos Security behält Ihre von außen erreichbaren Systeme im Blick und meldet ungepatchte oder unsicher konfigurierte Fernzugänge, bevor sie ausgenutzt werden. Rund um die Uhr (24/7) überwachen wir Ihre Umgebung auf die Muster, die dieser Gruppe vorausgehen: verdächtige Anmeldungen an VPN und RDP, Netzwerk-Erkundung, ungewöhnliche Datenausleitungen und neu auftauchende Fernwartungsagenten. Kommt es zum Ernstfall, greift unser Incident-Response-Team kurzfristig per Fernzugriff ein, dämmt die Ausbreitung ein und koordiniert Forensik, Wiederherstellung und Meldepflichten – gerade bei den kurzen Fristen dieser Gruppe zählt jede Stunde.