Bester Schutz ist eine Kombination aus aktuellen Backups, MFA, Schulung und schneller Erkennung. Niemals ungeprüft zahlen.
Wie läuft ein Ransomware-Angriff ab?
Ransomware gelangt meist über einen der drei klassischen Wege ins Netz: eine Phishing-Mail mit präpariertem Anhang, eine ungepatchte, aus dem Internet erreichbare Schwachstelle, oder gestohlene Zugangsdaten für einen Fernzugriff. Nach dem ersten Zugriff bewegen sich Angreifer oft Tage oder Wochen unbemerkt im Netz, sichern sich weitere Rechte und suchen gezielt nach Backups und zentralen Servern, bevor sie Daten verschlüsseln und zusätzlich stehlen.
Diese Kombination aus Verschlüsselung und Datendiebstahl, auch doppelte Erpressung genannt, ist inzwischen der Regelfall: Selbst wer aus eigenen Backups wiederherstellen kann, muss mit der Drohung rechnen, gestohlene Daten zu veröffentlichen. Laut BSI-Lagebericht 2025 gingen im Berichtszeitraum Juli 2024 bis Juni 2025 beim Bundeskriminalamt 950 Anzeigen wegen Ransomware-Angriffen ein, davon waren 72 Prozent mit einem Datenleak verbunden.
Wen trifft Ransomware in der Praxis?
Rund 80 Prozent der beim BSI angezeigten Angriffe richteten sich laut Lagebericht 2025 gegen kleine und mittlere Unternehmen, nicht gegen Konzerne. KMU sind attraktive Ziele, weil sie oft wertvolle Daten verarbeiten, aber seltener ein gehärtetes Netz, getrennte Backups und einen geübten Notfallplan haben.
Besonders gefährdet sind Unternehmen mit veralteten, aus dem Internet erreichbaren Systemen, mit einem einzigen, ständig verbundenen Backup-System, und mit wenig Erfahrung im Umgang mit einem laufenden Vorfall. In regulierten Branchen kommt die Pflicht hinzu, einen Ransomware-Vorfall fristgerecht zu melden: nach NIS2 an die Behörde, nach DORA an die Finanzaufsicht, nach DSGVO an die Datenschutzbehörde, sobald personenbezogene Daten betroffen sind.
Was tun Sie konkret gegen Ransomware?
Der wirksamste Schutz ist eine Kombination aus Prävention, Erkennung und Wiederherstellung. Ein Backup mit mindestens einer unveränderlichen, vom Netz getrennten Kopie verhindert, dass Ransomware auch die Sicherung selbst verschlüsselt. Ergänzend braucht es eine zeitnahe Update- und Patch-Routine, eine Segmentierung des Netzes, damit sich ein Angriff nicht ungehindert ausbreitet, und ein Monitoring, das ungewöhnliches Verhalten frühzeitig erkennt.
Ebenso wichtig ist ein geübter Incident-Response-Plan: Wer im Ernstfall zum ersten Mal überlegt, wen er anruft, verliert wertvolle Stunden.
- Backup mit unveränderlicher Kopie und regelmässigem Restore-Test
- Zeitnahes Patchen bekannter Schwachstellen
- Netzsegmentierung statt eines flachen Netzes
- Monitoring auf ungewöhnliches Verhalten
- Geübter, dokumentierter Incident-Response-Plan
Typische Fehler im Umgang mit Ransomware
Der schwerste Fehler ist ein Backup, das nie wiederhergestellt wurde: Ob eine Sicherung im Ernstfall wirklich funktioniert, zeigt sich nur im getesteten Restore, nicht in einem grünen Häkchen der Software. Ebenso riskant ist ein Backup, das dauerhaft mit dem Produktivnetz verbunden ist, denn dann verschlüsselt Ransomware häufig auch die Sicherung mit.
Viele Unternehmen zahlen zudem vorschnell Lösegeld, obwohl das BSI ausdrücklich davon abrät: Eine Zahlung garantiert weder die Entschlüsselung noch verhindert sie die Veröffentlichung gestohlener Daten. Und nicht zuletzt fehlt oft ein Kommunikationsplan für Kunden, Behörden und Mitarbeitende, sodass im Ernstfall improvisiert werden muss.
Aufwand und Kostentreiber bei der Ransomware-Vorsorge
Der Aufwand hängt vor allem von vier Faktoren ab: der Menge und Kritikalität der zu sichernden Daten, dem gewünschten Wiederherstellungsziel, also wie viel Datenverlust und Ausfallzeit tragbar sind, der Anzahl der Systeme, die segmentiert und überwacht werden müssen, und der Reife der bestehenden Notfallplanung.
Ein Unternehmen, das RPO und RTO bereits kennt und ein getestetes Backup hat, muss vor allem in Monitoring und Übung investieren. Ein Unternehmen, das bei null beginnt, braucht zunächst eine Bestandsaufnahme der kritischen Systeme, bevor sich der weitere Aufwand seriös schätzen lässt.
Zusammenhang mit anderen Normen
Ransomware-Vorsorge ist ein zentraler Baustein von ISO 27001, von NIS2 mit seiner Meldepflicht und seinen Mindestmassnahmen für Risikomanagement, und von DORA für den Finanzsektor mit seinen IKT-Resilienztests. Ein erfolgreicher Ransomware-Angriff mit Datenverschlüsselung und Datendiebstahl berührt fast immer auch die DSGVO oder das nDSG, weil personenbezogene Daten betroffen sein können und dann eine Meldung an die Aufsichtsbehörde fällig wird.
Häufige Fragen
Sollte man bei einem Ransomware-Angriff Lösegeld zahlen?
Das BSI rät ausdrücklich davon ab. Eine Zahlung garantiert weder eine funktionierende Entschlüsselung noch verhindert sie die Veröffentlichung bereits gestohlener Daten, und sie finanziert weitere Angriffe.
Reicht ein normales Backup als Schutz gegen Ransomware?
Nur, wenn mindestens eine Kopie unveränderlich und vom Netz getrennt ist. Ein ständig verbundenes Backup wird bei einem Angriff häufig ebenfalls verschlüsselt.
Wie schnell muss ein Ransomware-Vorfall gemeldet werden?
Für Unternehmen unter NIS2 gilt eine Frühwarnung binnen 24 Stunden und eine ausführliche Meldung binnen 72 Stunden. Sind personenbezogene Daten betroffen, gilt zusätzlich die 72-Stunden-Frist der DSGVO.
Was ist doppelte Erpressung (double extortion)?
Angreifer verschlüsseln nicht nur Daten, sondern stehlen sie vorher und drohen mit der Veröffentlichung, selbst wenn die Verschlüsselung durch ein Backup umgangen werden kann.
Wie unterscheidet sich Ransomware von gewöhnlicher Schadsoftware?
Ransomware verschlüsselt gezielt Daten und fordert Lösegeld, während andere Schadsoftware oft andere Ziele wie Datendiebstahl oder Fernsteuerung verfolgt.
Quellen
- Die Lage der IT-Sicherheit in Deutschland 2025, Bundesamt für Sicherheit in der Informationstechnik (BSI), Daten zu Anzeigen: Bundeskriminalamt, 2025
- CON.3 Datensicherungskonzept, IT-Grundschutz-Kompendium, Bundesamt für Sicherheit in der Informationstechnik (BSI), 2023