Prinz-Eugen-Ransomware zielt zuerst auf aktuelle Dateien

Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * gekennzeichnet). Kaufst du über einen dieser Links, erhalte ich eine kleine Provision — für dich ändert sich der Preis nicht.

Es gibt eine neue Erpresser-Software, und sie tickt anders als alles, was du bisher kennst. Sicherheitsforscher haben einen frischen Verschlüsselungs-Trojaner namens „Prinz Eugen“ entdeckt. Das Perfide: Er knöpft sich zuerst die Dateien vor, an denen du gerade arbeitest — und legt nicht mal einen klassischen Erpresserbrief ab.

SO TICKT der neue Schädling

Prinz Eugen ist in der Programmiersprache Go geschrieben. Das macht ihn schlank und plattformunabhängig. Statt blind die ganze Festplatte durchzunudeln, sortiert er die Dateien nach Datum und greift sich die zuletzt geänderten zuerst. Die Logik dahinter ist eiskalt: Was du gerade aktiv bearbeitest, ist dir am wichtigsten — und genau da drückt der Schmerz am meisten.

Technisch setzt der Trojaner auf ChaCha20-Poly1305 mit einem 32-Byte-Hauptschlüssel, einem eigenen Zufallswert pro Datei und einer Schlüssel-Ableitung über Argon2id, SHA-256 und HKDF. Verschlüsselt wird in 1-MB-Häppchen. Kurz gesagt: sauber gebaut und ohne bekannte Schwachstelle, über die man die Dateien einfach zurückholen könnte.

KEIN Erpresserbrief — warum das gefährlich ist

Die meisten Banden hinterlassen eine Textdatei mit Zahlungsanweisung. Prinz Eugen nicht. Die Täter arbeiten hands-on, also direkt per Tastatur auf dem gekaperten System, und verhandeln offenbar individuell. Das erschwert es, den Angriff schnell einzuordnen — und kostet im Ernstfall wertvolle Minuten.

Der Weg ins System führt laut den Forschern meist über geklaute RDP-Zugangsdaten. Danach laden die Angreifer von Hand die eigentliche Schad-Datei servertool.exe nach und nutzen ganz normale Fernwartungs-Tools (RMM), um unter dem Radar zu bleiben — Stichwort Living off the Land.

WER bisher getroffen wurde

Bisher sind mindestens fünf Opfer bekannt. In einem Fall — bei der Standard Bank — forderten die Erpresser 1 Bitcoin und bissen auf Granit: Das Opfer zahlte nicht. Anders als die großen Marktführer tritt Prinz Eugen aktuell nicht als Ransomware-as-a-Service auf, sucht also (noch) keine Partner.

So schützt du dich in 5 SCHRITTEN

1. Offline-Backup ist Pflicht. Eine Sicherung, die physisch getrennt oder unveränderbar (immutable) ist, übersteht jede Verschlüsselung. Wer seine Daten nach der 3-2-1-Regel sichert, kann Erpressern gelassen die kalte Schulter zeigen. Ein einfacher Einstieg für Windows ist eine Backup-Software mit Cloud-Anbindung wie Acronis True Image*.

2. RDP raus aus dem Internet. Remote Desktop gehört hinter ein VPN, nie offen ins Netz. 3. Starke, einzigartige Passwörter plus Zwei-Faktor für jeden Fernzugang. 4. RMM-Tools überwachen — taucht plötzlich ein unbekanntes Fernwartungs-Programm auf, ist das ein Alarmsignal. 5. Updates einspielen, damit Angreifer gar nicht erst reinkommen.

FAZIT: Prinz Eugen ist kein lauter Krawall-Trojaner, sondern ein leiser, gut gebauter Datendieb. Deine beste Versicherung bleibt das langweiligste Werkzeug der Welt: ein sauberes, getrenntes Backup.

Häufige Fragen

Was ist an Prinz Eugen anders als an üblicher Ransomware?

Der Trojaner verschlüsselt gezielt zuerst die zuletzt geänderten Dateien, statt stur die ganze Platte abzuarbeiten. Zudem legt er keinen klassischen Erpresserbrief ab und wird per Hand auf dem System gesteuert. Das erhöht den Druck und erschwert die schnelle Einordnung des Angriffs.

Wie kommt die Schad-Software auf meine Systeme?

Der häufigste Weg sind gestohlene RDP-Zugangsdaten. Anschließend laden die Angreifer die Datei servertool.exe nach und nutzen legitime Fernwartungs-Tools, um unauffällig zu bleiben. Offene Remote-Desktop-Zugänge im Internet sind das größte Einfallstor.

Kann ich verschlüsselte Dateien wiederherstellen?

Eine kostenlose Entschlüsselung gibt es derzeit nicht — die eingesetzte ChaCha20-Poly1305-Verschlüsselung gilt als sicher. Realistisch hilft nur ein Backup, das vom System getrennt war. Genau deshalb ist eine Offline- oder Immutable-Sicherung die wichtigste Schutzmaßnahme.

Bin ich als Privatnutzer auch gefährdet?

Im Fokus stehen Firmen mit offenen RDP-Zugängen, doch das Grundprinzip trifft jeden. Wer Fernzugriff absichert, starke Passwörter mit Zwei-Faktor nutzt und ein getrenntes Backup pflegt, ist gut aufgestellt — egal ob Heimserver oder Firmennetz.

Quellen: BleepingComputer, ThreatDown by Malwarebytes, Rescana, Security Boulevard (Juni 2026).

ALARM! Neue Ransomware „Prinz Eugen“ verschlüsselt JETZT zuerst deine WICHTIGSTEN Dateien — ganz ohne Erpresserbrief