Was ist Ransomware und wie schütze ich mich?

Ransomware – auf Deutsch Erpressungstrojaner – ist Schadsoftware, die Dateien auf Rechnern und Servern verschlüsselt. Die Angreifer verlangen anschließend Lösegeld für den Entschlüsselungsschlüssel. Was früher vor allem Privatanwender traf, ist längst ein Industriezweig: Professionelle Gruppen suchen automatisiert nach offenen Türen im Internet, und sie finden sie bei Unternehmen jeder Größe. Wer glaubt, eine Firma mit zwanzig Mitarbeitern sei zu unbedeutend, liegt falsch. Die Angriffe laufen automatisiert; niemand prüft vorher, wie bekannt das Opfer ist.

Wie Ransomware ins Unternehmen gelangt

Die drei häufigsten Einfallstore sind seit Jahren dieselben.

Erstens E-Mail: Ein Mitarbeiter öffnet einen präparierten Anhang oder klickt auf einen Link, der Schadsoftware nachlädt. Die Mails wirken zunehmend seriös, oft als Bewerbung, Rechnung oder Paketbenachrichtigung getarnt.

Zweitens Fernzugänge: Offen erreichbare Remote-Desktop-Verbindungen oder VPN-Zugänge mit schwachen Passwörtern und ohne zusätzliche Absicherung sind ein direkter Weg hinein.

Drittens Sicherheitslücken: Firewalls, VPN-Gateways und Server mit bekannten Schwachstellen, für die längst Updates existieren, werden automatisiert gescannt und ausgenutzt. Wer Wochen mit dem Einspielen von Updates wartet, gibt den Angreifern Zeit.

Was bei einem Angriff passiert

Die Verschlüsselung läuft meist nachts oder am Wochenende, wenn niemand hinschaut. Betroffen sind häufig nicht nur einzelne Rechner, sondern Dateiserver, Datenbanken und – wenn sie vom Netz aus erreichbar sind – auch die Sicherungskopien. Viele Gruppen kopieren die Daten zusätzlich vor der Verschlüsselung und drohen mit deren Veröffentlichung. Aus einem Verfügbarkeitsproblem wird so auch ein Datenschutzproblem. Die Folge: Der Betrieb steht, oft für Tage, manchmal für Wochen. Und selbst wer zahlt, hat keine Garantie, funktionierende Schlüssel zu erhalten – die Kopie der Daten besitzen die Angreifer ohnehin weiter.

Die wirksamsten Schutzmaßnahmen

Backups, die ein Angriff nicht erreicht

Die wichtigste Frage lautet nicht, ob Sie sichern, sondern ob die Sicherung vom Produktivnetz aus erreichbar ist. Alles, was ein kompromittiertes Administratorkonto löschen oder mitverschlüsseln kann, ist im Ernstfall verloren. Bewährt hat sich die 3-2-1-Regel: drei Kopien der Daten, auf zwei unterschiedlichen Medien, eine davon getrennt vom Netz oder außer Haus. Mindestens genauso wichtig: Testen Sie die Wiederherstellung regelmäßig. Ein Backup, dessen Rücksicherung nie geübt wurde, ist eine Hoffnung, keine Absicherung.

Updates ohne Aufschub

Sicherheitsupdates für internetseitig erreichbare Systeme gehören zu den ersten Aufgaben, nicht zur Kategorie „bei Gelegenheit“. Definieren Sie, wer prüft, wann Updates eingespielt werden und wie das kontrolliert wird. Systeme, die vom Hersteller nicht mehr mit Updates versorgt werden, müssen ersetzt oder zumindest konsequent abgeschottet werden.

Zugänge absichern

Jeder Fernzugang, jedes E-Mail-Konto und jedes Administratorkonto braucht eine Mehr-Faktor-Authentifizierung. Niemand sollte im Tagesgeschäft mit Administratorrechten arbeiten; administrative Aufgaben laufen über separate Konten. So bleibt ein geklickter Phishing-Link ein ärgerlicher Vorfall und wird nicht zum Totalausfall.

E-Mail und Mitarbeiter

Ein Filter vor dem Mailpostfach hält den größten Teil der Schadmails ab, gefährliche Anhangstypen lassen sich ganz sperren. Schulen Sie Ihre Mitarbeiter regelmäßig und kurz statt einmalig und ausführlich: Woran erkenne ich eine Phishing-Mail, wohin melde ich sie? Wichtig ist die Fehlerkultur: Wer aus Versehen geklickt hat und es sofort meldet, rettet womöglich das Unternehmen. Wer aus Angst schweigt, gibt der Schadsoftware Zeit.

Netzsegmentierung und Schutzsoftware

Trennen Sie das Netz in Bereiche, etwa Büro, Server und Produktion. Dann breitet sich eine Infektion nicht automatisch überallhin aus. Moderne Schutzsoftware auf den Endgeräten erkennt auffälliges Verhalten und kann Rechner isolieren – vorausgesetzt, jemand sieht die Alarme auch. Ein Werkzeug, dessen Warnungen niemand liest, schützt nicht.

Wer im Unternehmen zuständig ist

Die Verantwortung liegt bei der Geschäftsführung; sie lässt sich nicht an einen externen Dienstleister delegieren. Konkret heißt das: Es braucht eine benannte Person, die für IT-Sicherheit zuständig ist – intern oder extern –, ein Budget und Prioritäten von oben. Jeder Mitarbeiter ist für den Umgang mit verdächtigen Mails verantwortlich. Und es braucht einen schriftlichen Notfallplan: Wer entscheidet über eine Abschaltung, wen informiert man zuerst, wer spricht mit Kunden?

Woran Sie erkennen, dass etwas schiefläuft

Warnsignale im Vorfeld: Backups laufen seit Tagen fehlerhaft, und niemand merkt es. Updates werden auf „später“ verschoben. Alle arbeiten mit Administratorrechten. Auf die Frage „Wen rufen wir am Wochenende an?“ gibt es keine Antwort. Warnsignale im Angriffsfall: Dateien tragen plötzlich fremde Endungen, lassen sich nicht mehr öffnen, auf dem Desktop liegen Lösegeldforderungen, Server reagieren nicht mehr. Dann zählt jede Stunde.

Was im Ernstfall zu tun ist

Trennen Sie betroffene Systeme sofort vom Netz – Kabel ziehen, WLAN deaktivieren –, fahren Sie sie aber nicht vorschnell herunter; flüchtige Spuren im Arbeitsspeicher helfen bei der Aufklärung. Informieren Sie Ihren IT-Dienstleister oder ein auf IT-Forensik spezialisiertes Unternehmen. Erstatten Sie Anzeige bei der Polizei; auch das Bundesamt für Sicherheit in der Informationstechnik nimmt Meldungen entgegen und hilft mit Handreichungen. Wurden personenbezogene Daten kopiert, besteht eine Meldepflicht gegenüber der Datenschutzaufsicht und gegebenenfalls gegenüber den Betroffenen – die Datenschutz-Grundverordnung verlangt das unverzüglich. Zahlen Sie nicht ohne fachliche Beratung: Eine Zahlung garantiert nichts, finanziert die nächste Angriffswelle und kann rechtliche Probleme nach sich ziehen. Die Wiederherstellung erfolgt aus geprüften Backups – erst, wenn der Eintrittsweg gefunden und geschlossen ist.

Was sich nicht lohnt

Ein eigenes Security Operations Center mit Rund-um-die-Uhr-Besetzung ist für ein Unternehmen mit zwanzig oder fünfzig Mitarbeitern überdimensioniert; ein externer Überwachungsdienst oder klare Alarmwege beim Dienstleister reichen in der Regel. Spezielle „Anti-Ransomware“-Zusatzprodukte ersetzen keine Grundlagen: Wer keine getrennten Backups und keine Mehr-Faktor-Authentifizierung hat, kauft mit weiteren Werkzeugen nur ein gutes Gefühl. Auch eine Cyberversicherung ersetzt keine Maßnahmen – Versicherer verlangen Mindeststandards ohnehin und prüfen im Schadenfall genau nach. Sie ergänzt die Absicherung, sie ist kein Ersatz.

Fragen, die Sie Ihrem IT-Dienstleister stellen sollten

Sind unsere Backups vom Produktivnetz getrennt, und wann wurde die letzte Rücksicherung getestet? Wie schnell werden kritische Updates eingespielt, und wer kontrolliert das? Ist die Mehr-Faktor-Authentifizierung auf allen Fernzugängen und Mailkonten aktiv? Wer bekommt nachts einen Alarm, wenn die Schutzsoftware anschlägt – und was passiert dann? Gibt es einen schriftlichen Notfallplan, und kennen alle Beteiligten ihn?

Fazit

Ransomware ist kein Schicksal. Die Kombination aus getrennten Backups, aktuellen Systemen, abgesicherten Zugängen und aufmerksamen Mitarbeitern stoppt den weit überwiegenden Teil der Angriffe, bevor Schaden entsteht. Wer die genannten Punkte ehrlich prüft, weiß, wo sein Unternehmen steht – und wo es nachbessern muss.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.