Ein unbedachter Klick auf einen Mail-Anhang, ein ungepatchtes VPN-Gateway, ein gestohlenes Passwort – häufig genügt eines davon, um einen Ransomware-Angriff ins Rollen zu bringen. Wenige Tage später stehen zentrale Systeme still, und auf den Bildschirmen erscheint eine Lösegeldforderung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) führt Ransomware seit Jahren unter den größten Cyberbedrohungen für Unternehmen und Behörden in Deutschland.
Relevant ist das Thema für jede Organisation: Angreifer suchen selten prominente Namen, sondern erreichbare Schwachstellen. Wer den Ablauf eines Angriffs kennt, kann Prävention, Eindämmung und Wiederanlauf gezielt planen und budgetieren.
Was ist Ransomware?
Ransomware ist Schadsoftware, die Daten oder komplette Systeme verschlüsselt und für die Entschlüsselung ein Lösegeld verlangt – der Name leitet sich vom englischen „ransom“ für Lösegeld ab. Nach einem erfolgreichen Angriff sind Dateien, Datenbanken und Anwendungen unbrauchbar, oft einschließlich der vom Netzwerk aus erreichbaren Backups. Betroffen sind Windows- wie Linux-Systeme und ebenso virtualisierte Umgebungen. Die Täter hinterlassen eine Erpressernachricht mit Zahlungsanweisungen, üblicherweise in Kryptowährung.
Dahinter stehen arbeitsteilig organisierte Gruppen. Im Modell „Ransomware as a Service“ stellen Entwickler ihre Werkzeuge kriminellen Partnern bereit und kassieren eine Erlösbeteiligung. Das senkt die Einstiegshürde und treibt die Zahl der Angriffe spürbar nach oben. Zur Professionalisierung zählen Verhandlungsportale, Leak-Seiten für gestohlene Daten und gestaffelte Fristen, die den Druck auf Betroffene erhöhen.
Moderne Kampagnen setzen zusätzlich auf Datendiebstahl: Vor der Verschlüsselung kopieren die Angreifer sensible Informationen und drohen mit deren Veröffentlichung. Diese doppelte Erpressung verfängt selbst dann, wenn sich die Systeme aus Backups wiederherstellen lassen.
Die Angriffskette in sieben Phasen
Ein Ransomware-Vorfall ist der Schlusspunkt einer längeren Kette. Zwischen Erstzugang und Verschlüsselung liegen oft Tage bis Wochen, in denen sich die Täter unbemerkt im Netzwerk bewegen – und jede Phase bietet eine Gelegenheit, den Angriff zu erkennen und zu unterbrechen:
- Erstzugang: Der Einstieg gelingt über Phishing-Mails, gestohlene Zugangsdaten, ungepatchte Schwachstellen in VPN- oder Remote-Desktop-Diensten oder über kompromittierte Dienstleister.
- Verankerung: Hintertüren und zusätzlich angelegte Konten sichern den Zugriff, auch wenn Passwörter geändert oder Systeme neu gestartet werden.
- Ausbreitung: Vom ersten System aus bewegen sich die Täter seitlich durch das Netzwerk (Laterale Bewegung), übernehmen weitere Server und suchen gezielt Domänencontroller, Datenbanken und Backup-Systeme.
- Rechteausweitung: Erbeutete Administratorkonten verschaffen weitreichende Berechtigungen, mit denen sich Sicherheitssoftware abschalten und Schutzmechanismen aushebeln lassen.
- Datenabfluss: Bevor die Verschlüsselung startet, exfiltrieren viele Gruppen Vertrags-, Kunden- und Personaldaten als zusätzliches Druckmittel.
- Verschlüsselung: Auf ein Kommando hin verschlüsselt die Ransomware möglichst viele Systeme gleichzeitig – bevorzugt nachts oder am Wochenende, wenn Reaktionszeiten lang sind.
- Erpressung: Am Ende steht die Lösegeldforderung. Bei der Doppel-Erpressung drohen die Täter zusätzlich mit der Veröffentlichung der gestohlenen Daten, teils auch mit Meldungen an Kunden, Presse oder Aufsichtsbehörden.
Warum das Thema wichtig ist
Ransomware trifft alle Branchen und Größenklassen, und die Folgen reichen weit über die IT hinaus:
- Betriebsstillstand: Verschlüsselte Server legen Produktion, Logistik und Verwaltung lahm, im Ernstfall über Wochen.
- Hohe Folgekosten: Zum möglichen Lösegeld kommen Forensik, Wiederaufbau, Vertragsstrafen und entgangener Umsatz.
- Rechtliche Pflichten: Fließen personenbezogene Daten ab, greifen Meldepflichten nach DSGVO; für viele Unternehmen kommen Vorgaben aus NIS-2 hinzu.
- Reputationsschäden: Veröffentlichte Kundendaten und lange Ausfälle untergraben das Vertrauen von Kunden und Geschäftspartnern.
- Lieferkettenrisiko: Der Angriff auf einen Dienstleister oder Zulieferer kann die eigene Organisation unmittelbar treffen.
- Zahlung ohne Gewähr: Auch nach gezahltem Lösegeld bleiben Entschlüsselung und Löschung der gestohlenen Daten ungewiss.
Typische Szenarien
Die folgenden Muster begegnen Einsatzteams bei Vorfällen immer wieder:
- Phishing im Mittelstand: Eine Mitarbeiterin der Buchhaltung öffnet eine vermeintliche Bewerbung. Die enthaltene Schadsoftware lädt weitere Werkzeuge nach; drei Wochen später sind ERP-System und Fileserver verschlüsselt.
- Ungepatchtes VPN-Gateway: Eine bekannte Lücke in der Fernzugriffslösung bleibt wochenlang offen. Angreifer übernehmen ein Administratorkonto und verschlüsseln mehrere Standorte in einer Nacht.
- Flaches Netzwerk: Ein infizierter Arbeitsplatzrechner erreicht Server, Produktionssteuerung und Backups ungehindert, weil interne Übergänge unkontrolliert bleiben. Der Schaden trifft das gesamte Unternehmen statt eines einzelnen Segments.
- Kompromittierte Fernwartung: Über das Konto eines externen Dienstleisters dringen Täter ins Netzwerk ein und nutzen dessen weitreichende Berechtigungen für die Ausbreitung.
Ransomware und andere Malware
Viren, Würmer, Trojaner und Spyware arbeiten überwiegend im Verborgenen: Sie stehlen Rechenleistung, Zugangsdaten oder Geschäftsgeheimnisse und wollen möglichst lange unentdeckt bleiben. Ransomware verfolgt das Gegenteil – am Ende des Angriffs macht sie sich demonstrativ bemerkbar, weil die Täter eine Zahlung erzwingen wollen.
Wichtig für die Einordnung: Ransomware bildet häufig nur den letzten Schritt einer Infektion, die mit anderer Malware beginnt. Ein unauffälliger Loader öffnet die Tür, danach folgen Fernsteuerungswerkzeuge, erst zum Schluss kommt die Verschlüsselung. Wer frühe Stadien erkennt und die Ausbreitung begrenzt, verhindert den eigentlichen Schaden. Abzugrenzen sind außerdem Wiper: Diese Schadprogramme zerstören Daten endgültig – Sabotage statt Erpressung. Für die Verteidigung folgt daraus, dass Erkennung und Eindämmung lange vor der finalen Verschlüsselungsphase greifen müssen.
Einen Erstzugriff kann keine Organisation zuverlässig ausschließen; entscheidend ist deshalb, die anschließende Ausbreitung zu stoppen und den Schaden zu begrenzen. In der Praxis kombinieren Unternehmen dafür Mikrosegmentierung, die laterale Bewegung im Netzwerk eindämmt, mit Zero-Trust-Zugriffen für Standorte und Homeoffice – Planung, Betrieb und Überwachung solcher Schutzschichten übernehmen häufig spezialisierte Managed-Service-Provider.
Häufige Fragen
Sollte das geforderte Lösegeld gezahlt werden?
Sicherheitsbehörden wie das BSI raten davon ab. Es gibt keine Gewähr, dass die Täter funktionierende Schlüssel liefern oder gestohlene Daten tatsächlich löschen. Zahlungen finanzieren außerdem weitere Angriffe und markieren das Unternehmen als zahlungsbereites Ziel. Sinnvoller sind Investitionen in Prävention, Segmentierung und getestete Wiederherstellungsprozesse – und im Ernstfall die Einbindung von Behörden und Forensikern.
Genügen Backups als Schutz vor Ransomware?
Backups sind unverzichtbar, lösen aber zwei Probleme nicht. Erstens greifen moderne Gruppen Sicherungen gezielt an; Kopien müssen deshalb offline oder unveränderbar vorliegen. Zweitens nützt die beste Sicherung wenig, wenn zuvor Daten gestohlen wurden und deren Veröffentlichung droht. Tragfähiger Schutz verbindet Backups mit Prävention, Segmentierung zur Eindämmung und einem geübten Notfallplan.
Über welche Wege gelangt Ransomware am häufigsten ins Unternehmen?
Die drei wichtigsten Einfallstore sind Phishing-Mails mit schädlichen Anhängen oder Links, kompromittierte Zugangsdaten für VPN- und Remote-Desktop-Zugänge sowie ungepatchte Schwachstellen in erreichbaren Systemen. Hinzu kommen Zugänge über Dienstleister und Lieferanten. Multi-Faktor-Authentifizierung, zeitnahes Patchen, geschulte Mitarbeitende und eng begrenzte Zugriffsrechte senken diese Risiken deutlich.
Was ist Doppel-Erpressung?
Dabei kopieren Angreifer vor der Verschlüsselung große Mengen sensibler Daten. Anschließend verlangen sie Lösegeld für die Entschlüsselung und drohen zugleich, die gestohlenen Informationen zu veröffentlichen oder an Dritte zu verkaufen. Der Druck wirkt selbst dann, wenn die Systeme aus Backups wiederherstellbar sind. Manche Gruppen legen mit Anrufen bei Kunden oder gezielten DDoS-Angriffen nach.
Wie hilft Mikrosegmentierung gegen Ransomware?
Mikrosegmentierung teilt das Netzwerk in kleine, kontrollierte Zonen bis hinunter zur einzelnen Arbeitslast. Kompromittiert ein Angreifer ein System, blockieren die Segmentgrenzen die seitliche Ausbreitung zu Servern, Backups und Produktionssystemen. Der Vorfall bleibt lokal begrenzt, der Gesamtschaden sinkt erheblich. Die zugehörigen Verkehrsanalysen machen ungewöhnliche Verbindungen sichtbar, sodass Angriffe früher auffallen.