CISA, FBI und HHS haben ihre gemeinsame Warnung zur Medusa-Ransomware am 18. August 2026 aktualisiert. Nach Erkenntnissen aus FBI-Ermittlungen bis April 2026 trafen Medusa-Akteure mehr als 500 Opfer in mehreren Bereichen der kritischen Infrastruktur. Genannt werden Gesundheitswesen und öffentliche Gesundheit, Rüstungsindustrie, kritische Fertigung, staatliche Dienste und Einrichtungen, Informationstechnik sowie Finanzdienstleistungen. Weitere Angriffe betrafen unter anderem Bildung, Versicherungen, Rechtswesen, Medizin, Technologie und Fertigung.
Die Behörden melden damit einen deutlichen Anstieg gegenüber der vorherigen Warnung aus März 2025. Damals lag die Zahl bei mehr als 300 Betroffenen. Die aktualisierte Fassung trägt weiterhin den Code AA25-071A und ergänzt neue Angriffstechniken, technische Indikatoren sowie Abwehrmaßnahmen. Schnelle Patches, abgesicherte Fernzugriffe und Netzsegmentierung gehören dabei zu den zentralen Maßnahmen rund um Software und IT-Sicherheit in Unternehmensnetzen.
Medusa nutzt neue Schwachstellen teils innerhalb von 24 Stunden
Medusa wurde erstmals im Juni 2021 identifiziert und arbeitet inzwischen als Ransomware-as-a-Service-Modell. Die Angreifer kombinieren Datendiebstahl mit Verschlüsselung. Nach erfolgreichem Zugriff werden sensible Informationen aus dem Netzwerk kopiert. Anschließend verschlüsseln die Täter Systeme und drohen mit der Veröffentlichung gestohlener Daten. Dieses Double-Extortion-Modell erhöht den Druck auf betroffene Unternehmen und Behörden.
Besonders auffällig ist die Geschwindigkeit bei neuen Sicherheitslücken. CISA beschreibt Medusa-Angriffe mit frisch veröffentlichten Exploits bereits innerhalb von 24 Stunden nach Bekanntgabe einer Schwachstelle. In einzelnen Fällen beobachteten Ermittler eine Ausnutzung sogar bis zu einer Woche vor der öffentlichen Veröffentlichung. Als aktuelles Beispiel nennt CISA unter anderem CVE-2026-1731 in BeyondTrust-Produkten.
Die August-Aktualisierung ergänzt außerdem neue Techniken gegen virtualisierte Infrastrukturen. Medusa-Akteure missbrauchen laut CISA Verwaltungsdienste von VMware ESXi und verändern Root-Passwörter auf Linux-Systemen. Die Angreifer setzen dabei von ihnen kontrollierte Kennwörter. Dadurch können Administratoren den Zugriff auf wichtige Systeme verlieren. Solche Eingriffe erschweren zugleich Wiederherstellung und Incident Response.
Medusa-Akteure versuchen außerdem, Sicherheitstools außer Betrieb zu setzen und sich innerhalb kompromittierter Netzwerke weiterzubewegen. Der Angriff endet deshalb nicht mit dem ersten infizierten Rechner. Zugangsdaten, interne Fernzugriffe und unzureichend getrennte Netzwerkbereiche können weitere Systeme erreichbar machen.
CISA, FBI und HHS empfehlen Patches, MFA und Netzsegmentierung
Die drei US-Behörden fordern Unternehmen zu einer schnellen Behebung bekannter Schwachstellen in Betriebssystemen, Software und Firmware auf. Besonders wichtig sind öffentlich erreichbare Systeme. Medusa-Akteure reagieren laut der aktualisierten Analyse sehr schnell auf neue Exploit-Möglichkeiten. Verzögerungen beim Patchen können das Angriffsfenster deshalb erheblich vergrößern.
CISA empfiehlt zusätzlich eine konsequente Netzsegmentierung. Eine erfolgreiche Kompromittierung soll dadurch nicht automatisch den Zugriff auf weitere interne Bereiche ermöglichen. Netzwerkfilter sollten außerdem unbekannten oder nicht vertrauenswürdigen Quellen den direkten Zugriff auf interne Remote-Dienste verwehren.
Für Webmail, VPN-Zugänge und andere externe Dienste empfehlen die Behörden phishing-resistente Multi-Faktor-Authentifizierung. Lange Passwörter bleiben ebenfalls Teil der Empfehlungen. Häufig erzwungene Passwortwechsel ohne konkreten Sicherheitsgrund bewertet CISA dagegen kritisch. Solche Regeln können schwächere Kennwörter fördern.
Das Gesundheitswesen spielt in der neuen Warnung eine besondere Rolle. HHS ist an der aktuellen Fassung beteiligt, und Healthcare and Public Health gehört ausdrücklich zu den genannten kritischen Sektoren. Einrichtungen aus diesem Bereich sollen Vorfälle an FBI oder CISA melden. Für den Gesundheitssektor steht zusätzlich der Kontakt zu HHS zur Verfügung.
Mit mehr als 500 bekannten Opfern bleibt Medusa-Ransomware eine aktive Gefahr für große Unternehmensnetze und kritische Einrichtungen. Die aktualisierte Warnung zeigt vor allem eine kürzere Reaktionszeit der Angreifer auf neue Schwachstellen. Für Administratoren gewinnen deshalb schnelles Patch-Management, abgesicherte Fernzugriffe, MFA und klar getrennte Netzwerkbereiche weiter an Bedeutung.