Ransomware ist heute das profitabelste Modell der Computerkriminalität — deshalb sind die Ziele längst nicht mehr Konzerne, sondern kleine und mittlere Unternehmen: Sie haben Geld, Kundendaten und schwächere Abwehr. Das typische Szenario sieht nicht aus wie ein Hackerfilm. Es sieht aus wie ein Montag, an dem die Buchhaltung ihre Dateien nicht öffnen kann und auf dem Bildschirm eine Zahlungsanleitung steht.
Nachfolgend zerlegen wir den Angriff in Etappen, zeigen fünf Schutzschichten in der Reihenfolge ihrer Wirtschaftlichkeit und geben einen Reaktionsplan für die ersten 24 Stunden.
Wie ein Angriff wirklich abläuft
Moderne Ransomware ist ein Prozess, kein einzelner Klick. Die typische Kette: Einstieg (Phishing, gestohlenes Passwort ohne MFA, ungepatchtes System) → stille Erkundung (Tage, manchmal Wochen der Bewegung im Netzwerk und Rechteausweitung) → Datendiebstahl (Exfiltration vor der Verschlüsselung) → Verschlüsselung im ungünstigsten Moment, oft in der Nacht auf Samstag. Die Kernerkenntnis: Zwischen Einstieg und Verschlüsselung vergeht meist viel Zeit — gut konfiguriertes Monitoring erkennt den Angriff in der Erkundungsphase, bevor irgendetwas verschlüsselt wird.
Fünf Schutzschichten — nach Wirtschaftlichkeit geordnet
- MFA auf allen Konten — ohne Ausnahmen für die Geschäftsführung (die am häufigsten angegriffenen Konten). Das beste Kosten-Nutzen-Verhältnis der gesamten Cybersicherheit; schneidet die meisten Angriffe mit gestohlenen Passwörtern ab.
- EDR statt klassischem Antivirus — erkennt Verhalten (massenhafte Dateiverschlüsselung, verdächtige Bewegungen im Netz), nicht nur bekannte Signaturen. EDR fängt den Angriff in der Erkundungsphase ab.
- Diszipliniertes Patching — kritische Updates für Systeme und Edge-Geräte (Firewall, VPN) binnen 14 Tagen nach Erscheinen. Ein großer Teil der Einbrüche nutzt Lücken, die Monate zuvor geschlossen wurden.
- Minimale Rechte und Segmentierung — Mitarbeiter brauchen keine Admin-Rechte zum Arbeiten, und die Buchhaltung muss den Produktionsserver nicht „sehen“. Segmentierung macht aus einem Brand im ganzen Netz einen Brand in einem Raum.
- Schulungen mit Phishing-Simulationen — mindestens quartalsweise. Nicht um Klicker zu bestrafen, sondern um die Meldezeit verdächtiger Mails von Tagen auf Minuten zu verkürzen.
Die Rechnung ist brutal einfach: Die Kosten dieser fünf Schichten für ein 30-Personen-Unternehmen sind ein Bruchteil der Kosten eines erfolgreichen Angriffs — inklusive Stillstand (im Schnitt 2–3 Wochen bis zur vollen Arbeitsfähigkeit), Wiederaufbau der Umgebung, DSGVO-Rechtsberatung und verlorenem Kundenvertrauen.
Backup — die letzte Verteidigungslinie, wenn richtig gebaut
Moderne Ransomware sucht zuerst nach Backups und verschlüsselt oder löscht sie, bevor sie den Rest angreift. Ein Backup im selben Netz, auf demselben NAS, erreichbar mit denselben Admin-Konten — für den Angreifer nur ein weiterer Ordner. Mindestbedingungen: Datenkopien an mehreren Orten, mindestens eine unveränderliche (immutable) oder Offline-Kopie und regelmäßige Wiederherstellungstests.
Reaktionsplan: die ersten 24 Stunden
- Isolieren, nicht ausschalten — infizierte Maschinen vom Netz trennen (Kabel, WLAN), aber die Stromversorgung nicht kappen: Im Speicher können Spuren und Schlüssel für die Forensik liegen.
- IT-Team / Anbieter alarmieren — sofort, auch nachts. Jede Stunde Verzögerung bedeutet weitere verschlüsselte Ressourcen.
- Zugänge kappen — Admin- und VPN-Passwörter von einem sauberen Gerät zurücksetzen, Dienstkonten sperren, Sitzungen beenden.
- Vorfall melden — an das zuständige CSIRT (in Polen: CSIRT NASK, incydent.cert.pl) und bei personenbezogenen Daten binnen 72 Stunden an die Datenschutzbehörde. Die Meldung ist Pflicht — und Zugang zu Unterstützung.
- Beweise sichern und Umfang bewerten — was wurde verschlüsselt, was könnte abgeflossen sein, welche Kopie ist sauber. Erst danach die Entscheidung über den Wiederherstellungsweg.
- Bewusst kommunizieren — eine verantwortliche Person für Team, Kunden und ggf. Medien; keine Verhandlungen mit Kriminellen auf eigene Faust.
Lösegeld zahlen?
Die kurze Antwort: ein letzter Ausweg, der meist enttäuscht. Die Zahlung garantiert nichts: Ein Teil der zahlenden Firmen erhält nie alle Daten zurück (Entschlüsselungstools sind oft fehlerhaft), und die gestohlenen Daten bleiben ohnehin in den Händen der Täter. Zahler landen zudem auf Listen „zahlungswilliger Kunden“ — das Risiko eines erneuten Angriffs steigt. Dazu kommt das rechtliche Risiko: Eine Überweisung an eine sanktionierte Gruppe kann selbst ein Gesetzesverstoß sein. Die einzige Situation, in der das Thema überhaupt auf den Tisch kommt, ist das Fehlen jeder sauberen Kopie überlebenswichtiger Daten — und genau deshalb läuft die gesamte Verteidigungsstrategie darauf hinaus, nie an diesen Punkt zu gelangen.
Das Wichtigste in Kürze
- Zwischen Einbruch und Verschlüsselung vergehen meist Tage oder Wochen — EDR und Monitoring erkennen den Angriff in der Erkundungsphase, bevor Schaden entsteht.
- MFA überall, EDR, Patching, minimale Rechte und Schulungen — fünf Schichten, deren Gesamtkosten ein Bruchteil eines erfolgreichen Angriffs sind.
- Ein Backup schützt nur mit Immutable-/Offline-Kopie und bestandenen Wiederherstellungstests — Ransomware verschlüsselt Backups zuerst.
Häufig gestellte Fragen
Prüfen Sie die Widerstandsfähigkeit Ihres Unternehmens, bevor es jemand anderes tut
Kostenlose Sicherheitsberatung: Wir gehen die Checkliste der Schlüsselbereiche durch (MFA, EDR, Backup, Segmentierung, Schulungen) und setzen Prioritäten für das nächste Quartal.