Wie man Ransomware verhindert und was zu tun ist, wenn man Opfer wird

Stellen Sie sich vor, Sie kommen eines Tages zur Arbeit, schalten den Computer ein und sehen statt des Zugriffs auf Firmendokumente die Nachricht: „Ihre Dateien wurden verschlüsselt. Wenn Sie sie zurückhaben möchten, zahlen Sie ein Lösegeld.“ Die Arbeit steht still, Kunden warten, die Nervosität im Team wächst. Das ist kein Filmszenario, sondern die Realität, die Tausende von Unternehmen weltweit erleben.

Was ist Ransomware?

Ransomware ist eine Art schädlicher Software, die Unternehmenscomputer infiziert, Daten verschlüsselt und ein Lösegeld für deren Wiederherstellung fordert. Cyberkriminelle verlangen oft eine Zahlung in Kryptowährung, um nicht zurückverfolgt werden zu können. Wenn ein Unternehmen nicht zahlt, riskiert es, alle seine Daten zu verlieren. Selbst wenn es zahlt, ist nicht garantiert, dass die Daten zurückgegeben werden – manche Angreifer verschwinden einfach nach der Zahlung.

Wie oft passiert das?

Wenn Sie glauben, solche Angriffe beträfen nur große Konzerne, liegen Sie falsch. Ransomware greift kleine und mittlere Unternehmen genauso an wie große Firmen. Warum? Weil kleinere Unternehmen oft eine schwächere Sicherheitsinfrastruktur und weniger Ressourcen zur Abwehr von Cyberbedrohungen haben.

• Alle 11 Sekunden findet irgendwo auf der Welt ein Ransomware-Angriff statt.
• 60 % der kleinen und mittleren Unternehmen gehen innerhalb von sechs Monaten nach einem schweren Cyberangriff in Konkurs.
• Die durchschnittliche Lösegeldforderung liegt zwischen Zehntausenden und Millionen Euro.

Welche Folgen hat Ransomware?

Cyberkriminelle greifen Schwachstellen in Unternehmen an, und die Folgen können katastrophal sein:

• Datenverlust – Unternehmensdokumente, Verträge, Kundendaten, Rechnungen – alles kann verschlüsselt und unzugänglich werden.
• Finanzielle Verluste – Neben dem Lösegeld verliert das Unternehmen Einnahmen, da Mitarbeiter nicht arbeiten können. Die Kosten für die Wiederherstellung der IT-Infrastruktur können enorm sein.
• Reputationsschäden – Wenn sensible Kundendaten an die Öffentlichkeit gelangen, kann das Vertrauen der Kunden dauerhaft verloren gehen. Niemand möchte mit einem Unternehmen Geschäfte machen, das seine Daten nicht schützen kann.

Reale Fälle, die die Auswirkungen auf Unternehmen zeigen

Ransomware ist so weit verbreitet, dass sie nicht nur IT-Giganten bedroht, sondern auch Krankenhäuser, Anwaltskanzleien und Logistikunternehmen – mit potenziell katastrophalen Folgen. Im Jahr 2021 legte ein Angriff auf Colonial Pipeline in den USA eine der größten Öl-Infrastrukturen lahm, verursachte massive Treibstoffengpässe und zwang das Unternehmen, den Hackern ein Lösegeld von 4,4 Millionen Dollar zu zahlen.
Ein Jahr zuvor wurde das britische Finanzunternehmen Travelex Opfer eines Ransomware-Angriffs. Nach wochenlangem Ausfall verlor es Millionen Pfund und musste schließlich Insolvenz anmelden. In Deutschland lähmte im Jahr 2020 ein Ransomware-Angriff Krankenhaussysteme, blockierte den Zugriff auf Patientendaten und verhinderte Notoperationen – mit tragischem Ausgang: Eine Patientin verstarb, weil sie in ein anderes Krankenhaus verlegt werden musste.

Wie funktioniert Ransomware und welche Varianten gibt es?

Ransomware ist nicht nur eine einzige Art von Schadsoftware – Cyberkriminelle entwickeln ständig neue Methoden, um Firmendaten zu verschlüsseln, Geschäftsabläufe zu lähmen und Opfer zur Zahlung zu zwingen. Einige Varianten sind einfach, andere hochkomplex. Hier sind die vier häufigsten Arten von Ransomware, mit denen Unternehmen konfrontiert werden können.

Verschlüsselnde Ransomware (Crypto Ransomware)

Dies ist die häufigste und gefährlichste Art von Ransomware. Nach der Infektion verschlüsselt sie Dateien so, dass sie ohne Entschlüsselungsschlüssel nicht wiederhergestellt werden können. Opfer sehen eine Warnmeldung mit einer Lösegeldforderung – meist in Kryptowährung, um die Anonymität der Täter zu wahren.

Wie gelangt sie ins Unternehmen?
Am häufigsten über gefälschte E-Mails, infizierte Anhänge oder schädliche Websites. Ein Mitarbeiter lädt beispielsweise eine Datei mit dem Namen „Rechnung_dringend.pdf“ herunter, die Ransomware aktiviert und sofort Firmendaten verschlüsselt.

Wie kann sie schaden?
Im Jahr 2017 verbreitete sich die Ransomware WannaCry weltweit und infizierte über 200.000 Computer in 150 Ländern. Sie verursachte Ausfälle in Krankenhäusern, Fabriken und Banken – alles wegen einer einzigen Sicherheitslücke in Windows-Systemen.

Locker-Ransomware

Im Gegensatz zur verschlüsselnden Ransomware blockiert sie nicht einzelne Dateien, sondern das gesamte System. Der Computer wird unbenutzbar, Mitarbeiter können sich nicht anmelden und nicht arbeiten. Meist erscheint eine Nachricht wie:

„Ihr Computer wurde gesperrt. Kontaktieren Sie uns und zahlen Sie eine Gebühr, um ihn wieder verwenden zu können.“

Wie gelangt sie ins Unternehmen?
Am häufigsten über infizierte Softwarepakete oder Websites. Es reicht, wenn jemand im Team ein unsicheres Programm oder eine Raubkopie herunterlädt, die Schadcode enthält.

Wie kann sie schaden?
Im Jahr 2016 griff die Ransomware Petya große Konzerne an. Die Angreifer gaben vor, klassische Verschlüsselungsransomware einzusetzen, zerstörten jedoch einfach alle Daten – selbst Opfer, die zahlten, erhielten ihre Dateien nie zurück.

Doppelte Erpressung (Double Extortion Ransomware)

Einige Angreifer gehen noch weiter – sie verschlüsseln nicht nur Daten, sondern drohen auch, sie zu veröffentlichen. Das bedeutet: Selbst wenn ein Unternehmen Backups hat und die Zahlung verweigert, riskiert es, dass sensible Informationen im Internet landen.

Warum ist das gefährlich?
Selbst bei guten Backups kann ein Datenleck zu Folgendem führen:

• Rechtlichen Problemen – Der Verlust personenbezogener Daten kann gegen die DSGVO verstoßen und zu hohen Strafen führen.
• Reputationsschäden – Wenn Geschäftsgeheimnisse oder Kundendaten online auftauchen, verliert das Unternehmen das Vertrauen seiner Kunden.

Wie kann sie schaden?
Die Ransomware Maze war eine der ersten, die Datenverschlüsselung mit der Drohung der Veröffentlichung kombinierte. 2020 griff sie mehrere große Unternehmen an, darunter Anwaltskanzleien und Technologieunternehmen. Die Angreifer veröffentlichten Teile der gestohlenen Daten als Beweis für ihre Ernsthaftigkeit.

Ransomware-as-a-Service (RaaS)

Ähnlich wie Unternehmen Cloud-Dienste mieten, bieten Cyberkriminelle Ransomware „zur Miete“ an. RaaS ermöglicht es auch weniger erfahrenen Hackern, Angriffe durchzuführen, ohne selbst Schadsoftware programmieren zu müssen.

Wie funktioniert das?
Professionelle Cyberkriminelle entwickeln Ransomware und bieten sie im Darknet zum Verkauf oder zur Miete an. Interessenten können sie für eigene Angriffe nutzen, und die Einnahmen aus dem Lösegeld werden zwischen Entwicklern und Angreifern geteilt.

Warum ist das eine Bedrohung?
Dieses Modell führt dazu, dass sich Ransomware schneller und aggressiver verbreitet. Früher war sie nur Experten vorbehalten – heute kann sie jeder einsetzen, der genug Geld hat, um sie zu erwerben.

Wie kann sie schaden?
Die Ransomware REvil wurde als RaaS angeboten und verursachte weltweit enorme Schäden. Sie wurde für Angriffe auf IT-Unternehmen, Anwaltskanzleien und Gesundheitsdienstleister eingesetzt.

 

Wie können sich Unternehmen vor Ransomware schützen?

Ransomware ist eine ernsthafte Bedrohung für Unternehmen jeder Größe, aber es gibt konkrete Maßnahmen, die das Risiko eines Angriffs erheblich reduzieren können. Prävention ist immer günstiger und weniger schmerzhaft als die Bewältigung der Folgen eines Ransomware-Angriffs.
Der Schutz vor dieser Art von Cyberangriff basiert auf einer Kombination aus technischen Maßnahmen, einer gut organisierten IT-Infrastruktur und Mitarbeiterschulungen. Ein wichtiger Bestandteil sollte ein sogenannter Disaster-Recovery-Plan sein – also ein Plan zur Wiederherstellung des Geschäftsbetriebs.

Datensicherung: Die erste Verteidigungslinie

Der effektivste Schutz vor Ransomware besteht darin, aktuelle und sichere Backups zu haben. Wenn Daten regelmäßig gesichert und sicher gespeichert werden, kann sich ein Unternehmen auch nach einem Angriff erholen – ohne ein Lösegeld zahlen zu müssen.

Wie oft sollten Backups durchgeführt werden?

• Mindestens einmal täglich – idealerweise automatisiert, um menschliche Fehler zu vermeiden.
• Bei kritischen Daten kann es sinnvoll sein, in kürzeren Intervallen zu sichern.

Wo sollten Backups aufbewahrt werden?

• Offline-Backups (sogenanntes Air-Gapped Storage) – Speicherung von Backups auf physischen Datenträgern, die nicht mit dem Internet oder dem Firmennetzwerk verbunden sind. Das verhindert, dass sie bei einem Ransomware-Angriff infiziert werden.
• Cloud-Lösungen – Backups in der Cloud bieten Flexibilität und Schutz vor physischen Schäden (z. B. Feuer oder Diebstahl von Servern). Wichtig ist, dass der Cloud-Speicher Dateiversionierung unterstützt, damit Daten auf einen Zeitpunkt vor dem Angriff zurückgesetzt werden können.
• 3-2-1-Backup-Regel – Empfohlener Standard: drei Kopien der Daten, gespeichert auf zwei unterschiedlichen Arten von Speichermedien, wobei mindestens eine Sicherung offline ist.

Netzsegmentierung und Zugriffskontrolle

Viele Unternehmen speichern alle Daten und Systeme auf einem zentralen Speicher – das stellt ein erhebliches Sicherheitsrisiko dar. Wenn Ransomware in das Netzwerk eindringt, kann sie sich unkontrolliert verbreiten und den gesamten Betrieb lahmlegen.

Warum ist es gefährlich, alle Unternehmensdaten an einem Ort zu speichern?

• Wenn ein Angreifer Zugriff auf das Netzwerk erhält, kann Ransomware ohne Segmentierung alle Dateien gleichzeitig verschlüsseln.
• Die Aufteilung von Daten in separate, voneinander isolierte Segmente reduziert das Risiko eines vollständigen Datenverlusts bei einem Angriff.

Wie sollte der Zugriff der Mitarbeiter auf notwendige Daten eingeschränkt werden?

• Prinzip der minimalen Berechtigungen (Least Privilege Access) – Mitarbeiter sollten nur Zugriff auf die Daten und Systeme haben, die sie für ihre Arbeit benötigen.
• Mehrstufige Authentifizierung (Multi-Factor Authentication, MFA) – Sensible Daten sollten mit mehr als nur einem Passwort geschützt werden, idealerweise durch eine Kombination aus Passwort und Biometrie oder Einmalcodes.
• Überwachung und Protokollierung von Zugriffen – Die IT-Abteilung sollte regelmäßig Zugriffe auf kritische Systeme überprüfen und verdächtiges Verhalten identifizieren.

Mitarbeiterschulungen: Prävention beginnt beim Menschen

Eine der häufigsten Ursachen für das Eindringen von Ransomware in Unternehmen ist menschliches Versagen. Unvorsichtiges Klicken auf eine schädliche E-Mail oder das Herunterladen einer infizierten Datei kann zur Infektion des gesamten Firmennetzwerks führen.

Wie erkennt man betrügerische E-Mails (Phishing) und öffnet keine verdächtigen Anhänge?

• Absenderadresse überprüfen – Betrüger imitieren oft vertrauenswürdige Kontakte, aber ihre E-Mail-Adressen enthalten häufig kleine Tippfehler oder ungewöhnliche Domains.
• Unerwartete Anhänge nicht öffnen – besonders solche mit den Endungen .exe, .zip, .rar, .js, .docm.
• Vorsicht bei dringenden Nachrichten – Betrüger nutzen häufig psychologischen Druck, z. B. „Ihre Rechnung ist fehlerhaft, öffnen Sie den Anhang sofort“.

Wie vermeidet man gefährliche Websites?

• Mitarbeiter sollten gefährliche Websites erkennen können – etwa Seiten ohne sichere Verbindung (HTTPS), mit vielen Rechtschreibfehlern oder „zu guten“ Angeboten.
• Die Nutzung eines Unternehmens-VPN und das Blockieren verdächtiger Domains über die Firewall können zufällige Besuche schädlicher Websites verhindern.

Sicherheitsmaßnahmen der IT-Infrastruktur

Technische Maßnahmen sind die Grundlage der Prävention gegen Ransomware-Angriffe. Unternehmen sollten ihre IT-Infrastruktur regelmäßig überprüfen und aktualisieren, um Schwachstellen zu minimieren, die Angreifer ausnutzen könnten.

Regelmäßige Software- und Systemupdates

• Viele Ransomware-Angriffe nutzen Schwachstellen in veralteter Software aus. Durch regelmäßige Updates minimiert ein Unternehmen das Risiko eines Angriffs.
• Automatische Updates stellen sicher, dass alle Geräte die neuesten Sicherheits-Patches verwenden.

Verwendung starker Passwörter und Mehrfaktor-Authentifizierung (MFA)

• Mitarbeiter sollten lange, eindeutige Passwörter verwenden und diese niemals weitergeben.
• Mehrfaktor-Authentifizierung fügt eine zusätzliche Schutzebene hinzu und reduziert das Risiko unbefugten Zugriffs auf Systeme.

Antivirus-Lösungen und EDR-Systeme (Endpoint Detection and Response)

• Moderne Sicherheitslösungen können Ransomware rechtzeitig erkennen und stoppen, bevor sie Schaden anrichtet.
• EDR-Systeme überwachen verdächtige Aktivitäten auf Geräten und können Bedrohungen in Echtzeit identifizieren und isolieren.

Was tun, wenn Ihr Unternehmen Opfer eines Ransomware-Angriffs wird?

Selbst bei sorgfältiger Prävention kann es passieren, dass ein Unternehmen Opfer eines Ransomware-Angriffs wird. Wenn das System durch eine Warnmeldung blockiert wird, die zur Zahlung eines Lösegelds auffordert, ist es entscheidend, einen kühlen Kopf zu bewahren und systematisch vorzugehen. Eine schnelle und richtige Reaktion kann den Schaden minimieren und helfen, den Geschäftsbetrieb so bald wie möglich wiederherzustellen.

Erste Schritte nach einer Ransomware-Infektion

Wenn ein Unternehmen feststellt, dass ein Ransomware-Angriff stattgefunden hat, muss es sofort handeln. Je früher die richtigen Maßnahmen ergriffen werden, desto größer ist die Chance, die weitere Ausbreitung zu stoppen und Daten wiederherzustellen.

Trennung des infizierten Geräts vom Netzwerk

• Wenn sich die Ransomware noch in einem frühen Stadium befindet, kann das Trennen des infizierten Geräts vom Netzwerk verhindern, dass sich der Angriff auf andere Systeme ausbreitet.
• Es ist wichtig, nicht nur das Internet, sondern auch das Unternehmens-WLAN, Bluetooth sowie alle externen Laufwerke oder USB-Geräte zu trennen, die Backups oder sensible Daten enthalten könnten.

Ermittlung des Schadensausmaßes

• Die IT-Abteilung oder externe Experten sollten schnell feststellen, welche Geräte und Dateien verschlüsselt wurden und ob die Ransomware nur den lokalen Computer oder auch Server und Cloud-Speicher betroffen hat.
• Wichtig ist auch herauszufinden, ob Daten abgeflossen sind, da manche Ransomware-Varianten (z. B. bei doppelter Erpressung) nicht nur verschlüsseln, sondern auch mit einer Veröffentlichung der Daten drohen.

Benachrichtigung des IT-Teams oder externer Experten

• Wenn das Unternehmen kein eigenes Cybersecurity-Team hat, sollte es sofort Fachleute kontaktieren, die Erfahrung mit der Bewältigung von Ransomware-Angriffen haben.
• In manchen Fällen kann der spezifische Ransomware-Typ identifiziert und ein Entschlüsselungstool gefunden werden, das eine Wiederherstellung der Daten ohne Lösegeldzahlung ermöglicht.

Lösegeld zahlen oder nicht zahlen?

Die Angreifer fordern ein Lösegeld mit dem Versprechen, nach Zahlung den Entschlüsselungsschlüssel bereitzustellen. Viele Unternehmer erwägen in ihrer Verzweiflung die Zahlung, um den Betrieb so schnell wie möglich wieder aufzunehmen. Doch das ist eine riskante Entscheidung mit mehreren negativen Folgen.

Risiken der Lösegeldzahlung

• Keine Garantie für Datenwiederherstellung – Angreifer können nach der Zahlung verschwinden, ohne den Schlüssel bereitzustellen. Statistiken zeigen, dass Unternehmen in manchen Fällen gezahlt haben, die Daten jedoch nie entschlüsselt wurden.
• Unterstützung der Cyberkriminalität – Jede gezahlte Lösegeldforderung motiviert Angreifer, weitere Unternehmen ins Visier zu nehmen.
• Risiko erneuter Angriffe – Unternehmen, die zahlen, werden oft erneut attackiert, da Angreifer sie als „zahlungsbereit“ betrachten.

Alternativen zur Lösegeldzahlung

Wenn das Unternehmen Sicherheitsmaßnahmen befolgt, bestehen mehrere Möglichkeiten, Daten ohne Zahlung wiederherzustellen:

• Nutzung von Backups – Wenn regelmäßig Offline-Backups erstellt wurden, kann das System schnell wiederhergestellt werden, vorausgesetzt, es existiert ein durchdachter Wiederherstellungsplan (Disaster-Recovery-Plan).
• Verwendung von Entschlüsselungstools – Einige Ransomware-Angriffe sind bekannt, und es existieren kostenlose Entschlüsselungstools, um Daten wiederherzustellen. Solche Tools werden beispielsweise von Europol oder Sicherheitsfirmen bereitgestellt.
• Forensische Analyse des Angriffs – IT-Spezialisten können den Angriff untersuchen und Schwachstellen identifizieren, über die der Angreifer in das System gelangte, um zukünftige Angriffe zu verhindern.

Kontakt zu Experten und Rechtsberatern

Nicht alle Ransomware-Fälle sollten intern behandelt werden. In bestimmten Situationen ist es wichtig, Strafverfolgungsbehörden und juristische Fachleute einzuschalten.

Wann sollte man die Polizei oder CERT kontaktieren?

• Wenn Angreifer mit der Veröffentlichung sensibler Unternehmens- oder Kundendaten drohen.
• Wenn es sich um einen groß angelegten Angriff handelt, der kritische Infrastrukturen betrifft (z. B. Gesundheitswesen, Energie, Finanzsektor).
• Wenn das Unternehmen vermutet, dass Angreifer mehrere Firmen derselben Branche ins Visier genommen haben.

Spezialisierte Cybersecurity-Einheiten (z. B. CERT-UK oder nationale Computer-Notfallteams) können wertvolle Ratschläge geben und in manchen Fällen technische Unterstützung leisten.

Rechtliche Konsequenzen und Meldepflichten

• Wenn personenbezogene Daten von Kunden oder Mitarbeitern betroffen sind, kann das Unternehmen verpflichtet sein, den Vorfall gemäß der DSGVO der Datenschutzbehörde zu melden.
• Manche Unternehmen sind vertraglich verpflichtet, Geschäftspartner oder Kunden über einen Cyberangriff zu informieren.
• Die Rechtsabteilung sollte die potenziellen Risiken bewerten und die Kommunikation mit den betroffenen Parteien koordinieren.

Mitarbeiter sind die erste Verteidigungslinie

Selbst die beste Sicherheitssoftware hilft nicht, wenn Mitarbeiter auf eine betrügerische E-Mail klicken oder eine schädliche Datei herunterladen. Deshalb ist die Schulung des Personals einer der wichtigsten Bausteine der Cybersicherheit.

Unternehmen sollten einführen:

• Regelmäßige Schulungen zur Erkennung von Phishing-Angriffen: Mitarbeiter sollten in der Lage sein, verdächtige E-Mails, gefälschte Links und schädliche Anhänge zu erkennen.
• Simulierte Cyberangriffe: Durch das Testen von Mitarbeitern mit gefälschten Phishing-Kampagnen lassen sich Schwachstellen innerhalb der Organisation aufdecken.
• Sicherheitsrichtlinien für den Umgang mit Daten: Klare Regeln, wie mit sensiblen Informationen umzugehen ist, welche Schritte bei einem Verdacht auf einen Angriff einzuleiten sind und wie die Daten vollständig überwacht werden (z. B. durch DLP – Data Loss Prevention).

Mitarbeiter sind oft das erste Ziel von Angreifern – ihre Schulung kann das Risiko eines erfolgreichen Angriffs erheblich verringern.

Regelmäßige Backups und Sicherheitsrichtlinien können einem Unternehmen nicht nur Geld, sondern auch die Existenz retten

Kein Unternehmen ist vollständig immun gegen Ransomware-Angriffe.
Der entscheidende Unterschied zwischen Unternehmen, die einen Angriff ohne größere Verluste überstehen, und solchen, die in existenzielle Schwierigkeiten geraten, liegt in richtig konfigurierten Backups, Sicherheitsmaßnahmen und einem durchdachten Wiederherstellungsplan (Disaster-Recovery-Plan).

Jedes Unternehmen sollte eingeführt haben:

1. Automatisierte Backups – Daten sollten regelmäßig auf mehreren unabhängigen Speichern gesichert werden, einschließlich Offline-Backups, die nicht mit dem Netzwerk verbunden sind.
2. Regelmäßige Wiederherstellungstests – Es reicht nicht aus, Backups zu haben; es muss regelmäßig überprüft werden, ob sie tatsächlich zur Systemwiederherstellung geeignet sind.
3. Sicherheitsstrategie für den Datenzugriff – Strenge Regeln, die den Zugriff auf sensible Dateien nur auf unbedingt notwendige Personen beschränken.
4. Disaster-Recovery- und Business-Continuity-Plan – Ein detailliertes Vorgehen, das festlegt, was im Falle eines Cyberangriffs zu tun ist, wer welche Verantwortung trägt und wie Schäden minimiert werden können.

Unternehmen, die diese Grundsätze befolgen, haben eine deutlich höhere Chance, einen Angriff ohne katastrophale Folgen zu überstehen.

Am Ende sollte betont werden, dass selbst die besten Strategien und Technologien ohne die Menschen, die sie verwalten, nicht funktionieren.
Teams, die für Infrastruktur und Sicherheit verantwortlich sind, sind in Unternehmen oft unterbesetzt – gerade weil ihre Arbeit unsichtbar bleibt, solange alles reibungslos funktioniert.

Cybersicherheit ist jedoch keine „unsichtbare Dienstleistung“, sondern eine entscheidende Investition in das reibungslose Funktionieren eines Unternehmens.
Die Stärkung und angemessene personelle Ausstattung dieser Teams kann der entscheidende Faktor sein, der bestimmt, ob ein Unternehmen einen Angriff übersteht – und mit welchem finanziellen, datenbezogenen oder betrieblichen Schaden.