Ransomware: Vorbereiten, erkennen, im Ernstfall handeln

Ein Montagmorgen, die Bildschirme zeigen eine Lösegeldforderung, die Produktion steht. Ransomware gehört zu den Szenarien, die Geschäftsführungen zu Recht den Schlaf rauben. Das BSI nennt professionell organisierte Erpressergruppen in seinem Lagebericht 2025 die größte Bedrohung – und rund 80 Prozent der gemeldeten Angriffe trafen kleine und mittlere Unternehmen. Nicht Konzerne. Der Grund ist nicht Bosheit, sondern Ökonomie: Dort fehlen Ressourcen und Fachwissen zur Selbstverteidigung.

Was sich gerade verschiebt – und warum das Ihre Planung ändert

Jahrelang war die Rechnung einfach: Wer gute Backups hat, zahlt nicht. Das stimmt so nicht mehr.

Der BSI-Lagebericht 2025 beschreibt eine deutliche Verlagerung. Die Zahlungsbereitschaft bei reiner Verschlüsselung ist gesunken – Unternehmen haben gelernt, wiederherzustellen. Angreifer haben darauf reagiert und erpressen zunehmend mit abgeflossenen Daten: Zahle, sonst veröffentlichen wir. Für exfiltrierte Daten wurde im Mittel fast dreimal so viel gezahlt wie für verschlüsselte. Weltweit flossen rund 1,1 Milliarden US-Dollar an Lösegeld, bei vermutlich hoher Dunkelziffer.

Die praktische Folge ist unbequem: Ein Backup stellt Ihre Systeme wieder her, aber es macht eine Veröffentlichung nicht rückgängig. Wer sich allein auf Wiederherstellung verlässt, ist gegen die Hälfte des Erpressungshebels ungeschützt. Gegen Datenabfluss helfen andere Dinge – Zugriffsbeschränkung, Verschlüsselung ruhender Daten, Segmentierung und vor allem: den Abfluss überhaupt bemerken.

Wie die Angriffe typischerweise ablaufen

Am Anfang steht selten die Verschlüsselung. Der übliche Ablauf:

1. Einstieg – eine Phishing-Mail, ein schlecht gesicherter Fernzugang oder eine ungepatchte, aus dem Internet erreichbare Komponente. Firewalls, VPN-Gateways und Dateiaustausch-Server sind beliebte Ziele, weil sie per Definition offen sein müssen.
2. Umsehen – Tage bis Wochen unauffällige Bewegung durchs Netz. Welche Systeme gibt es, wo liegen die wertvollen Daten, wo ist die Datensicherung?
3. Rechte ausweiten – bis zu einem Konto mit Zugriff auf alles. Häufig ein vergessenes Dienstkonto ohne Zwei-Faktor-Schutz.
4. Backups ausschalten – ein geübter Angreifer löscht oder verschlüsselt die Sicherungen zuerst. Deshalb ist „offline oder unveränderbar" keine Formalität.
5. Daten abziehen – oft über Wochen und in kleinen Portionen, damit es nicht auffällt.
6. Verschlüsseln – zuletzt, meist nachts oder am Wochenende.

Die Phase davor ist Ihre Chance. Wer sie bemerkt, verwandelt eine Katastrophe in einen Zwischenfall.

Vorbereitung, die wirklich hilft

Wenige Maßnahmen machen den größten Unterschied:

Backups, die ein Angreifer nicht erreicht. Die 3-2-1-Regel als Untergrenze: drei Kopien, zwei verschiedene Medien, eine außer Haus – und mindestens eine offline oder unveränderbar (immutable). Entscheidend ist der Teil, den fast alle auslassen: die Wiederherstellung testen, mit Zeitmessung. Ein Backup, das Sie nie zurückgespielt haben, ist eine Hoffnung, kein Plan.

Multi-Faktor-Authentifizierung an allen Fernzugängen und für alle privilegierten Konten. Ohne Ausnahme für Dienstkonten und Dienstleister – dort sitzen die Lücken.

Zeitnahes Patchen von allem, was aus dem Internet erreichbar ist. Was innen steht, hat Zeit; was außen steht, nicht.

Netzsegmentierung, damit ein kompromittiertes Konto nicht das ganze Haus öffnet.

Minimale Rechte. Der häufigste Verstoß ist keine Fehlkonfiguration, sondern Geschichte: über Jahre gewachsene Zugriffe, die niemand zurückgenommen hat.

Erkennen, bevor verschlüsselt wird

Die stille Phase hinterlässt Spuren: ungewöhnliche Anmeldezeiten, neue Administratorkonten, Rechteausweitungen, große Datenbewegungen zu Zeiten, in denen niemand arbeitet, Zugriffe auf die Sicherungsinfrastruktur. Einzeln ist nichts davon auffällig – zusammengenommen erzählen sie eine Geschichte.

Genau das leistet ein zentrales Monitoring beziehungsweise ein Managed SIEM: Es korreliert, was in einzelnen Logdateien harmlos aussieht. Auch für Unternehmen ohne eigenes Sicherheitsteam.

Der Ernstfall gehört geübt

Ein Notfallplan, der ungelesen im Ordner liegt, hilft im Krisenmoment wenig. Klären Sie vorher:

• Wer entscheidet? Namen, nicht Rollen. Und wer entscheidet, wenn diese Person im Urlaub ist?
• Wie kommunizieren wir, wenn die eigene IT steht? Wenn Telefonliste und Mailserver mitverschlüsselt sind, brauchen Sie einen Weg daneben – ausgedruckt.
• Wer wird wann informiert? Das NIS2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025 und verlangt von betroffenen Einrichtungen eine Erstmeldung binnen 24 Stunden. Sind personenbezogene Daten betroffen, kommt die Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden hinzu. Beide Fristen laufen ab Kenntnis, nicht ab Feierabend.
• Wen rufen wir an? Zentrale Ansprechstelle Cybercrime der Polizei, Versicherung, Forensik-Dienstleister – die Nummern gehören auf denselben Ausdruck.
• Funktioniert die Wiederherstellung wirklich? Und wie lange dauert sie? Wer „drei Tage" schätzt und sieben braucht, plant falsch.

Diese Fragen einmal in Ruhe durchzuspielen, ist die günstigste Versicherung, die es gibt. Eine Tischübung von zwei Stunden bringt mehr als ein dreißigseitiger Plan.

Zahlen oder nicht zahlen

Vom Zahlen ist abzuraten, und zwar nicht nur aus Prinzip. Sie finanzieren das Geschäftsmodell, das Sie gerade getroffen hat. Sie haben keine Garantie: Entschlüsselungswerkzeuge funktionieren oft schlecht oder unvollständig. Und bei Datenabfluss kaufen Sie bestenfalls ein Versprechen – dass jemand Daten wirklich gelöscht hat, kann Ihnen niemand nachweisen. Wer einmal gezahlt hat, gilt zudem als zahlungsbereit.

Die ehrliche Einschränkung: In einer existenzbedrohenden Lage ist das eine Abwägung der Geschäftsführung, nicht der IT. Genau deshalb sollte sie vorher getroffen werden, schriftlich, und nicht um vier Uhr nachts unter Druck.

Stand: August 2026. Zahlen nach dem BSI-Lagebericht „Die Lage der IT-Sicherheit in Deutschland 2025" (Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025).

Weiterführend: GUARDIANVIEW – Managed SIEM · Schwachstellenmanagement · Systemhärtung mit CIS Benchmarks · IT-Forensik