Ransomware: Wenn Ihre Daten Geisel werden
Es beginnt oft harmlos: eine E-Mail mit einem angeblichen Rechnungsanhang, ein verlockender Download oder ein kompromittiertes Passwort. Wenige Stunden später sind Unternehmensdaten verschlüsselt und auf dem Bildschirm erscheint die Botschaft der Angreifer:
„Zahlen Sie – oder Ihre Daten sind verloren."
Was in diesem Moment zählt, ist nicht Panik, sondern ein kühler Kopf und ein klarer Plan.
Was ist Ransomware?
Ransomware ist Schadsoftware, die Dateien und Systeme verschlüsselt und erst gegen Zahlung eines Lösegelds – meist in Kryptowährung – freigibt. Wie eine digitale Geiselnahme: Die eigenen Daten bleiben zwar da, sind aber ohne den passenden Schlüssel unbrauchbar.
Moderne Angriffe folgen häufig dem Prinzip „Double Extortion" (doppelte Erpressung):
- Verschlüsseln – die Systeme werden lahmgelegt
- Stehlen & Drohen – die Daten werden vorab kopiert, bei Nichtzahlung droht deren Veröffentlichung
Wie gelangen Angreifer ins System?
| Angriffsvektor | Typisches Szenario |
|---|---|
| Phishing-E-Mails | „Bitte prüfen Sie die angehängte Rechnung“ – ein Klick genügt |
| Gestohlene Zugangsdaten | Schwache oder geleakte Passwörter |
| Veraltete Software | Bekannte Sicherheitslücken, die nie geschlossen wurden |
| Ungepatchte Systeme | Fehlende Updates |
Fun Fact mit ernstem Hintergrund: Der Mensch ist die häufigste Einfalltür – keine Software-Schwäche wird so oft ausgenutzt wie ein unaufmerksamer Klick.
Warum Zahlen keine gute Idee ist
Selbst nach einer Zahlung gibt es keine Garantie für die Entschlüsselung – und wer einmal zahlt, gilt als zahlungsbereites Opfer. Hinzu kommen:
- Mögliche rechtliche Folgen und Datenschutzverstöße
- Vertrauensverlust bei Kunden und Partnern
- Die Wahrscheinlichkeit, ein zweites Mal angegriffen zu werden
Die meisten Cyber-Versicherungen und Sicherheitsexperten raten: Erst beraten lassen, dann entscheiden.
Prävention: Die beste Verteidigung
- Regelmäßige, getrennte Backups – nach der 3-2-1-Regel: 3 Kopien, 2 verschiedene Medien, 1 extern/offline
- Virenschutz und Firewall – aktuell gehalten und zentral verwaltet
- Multifaktor-Authentifizierung für alle Zugänge
- Zeitnahe Sicherheitsupdates für Betriebssysteme und Anwendungen
- Mitarbeitersensibilisierung – der Mensch ist die häufigste Einfalltür
- Least Privilege – jeder erhält nur die Rechte, die er wirklich braucht
Das richtige Vorgehen im Ernstfall
Wenn der Ernstfall eintritt, hilft ein strukturiertes Vorgehen in vier Phasen:
Phase 1: Erkennen & Dokumentieren
- Vorfall bestätigen und Uhrzeit sowie erste Beobachtungen festhalten
- Screenshots der Lösegeldforderung machen – sie enthalten oft Hinweise auf die Tätergruppe>
- Ausmaß abschätzen: Welche Systeme, Abteilungen, Standorte sind betroffen?
Phase 2: Eindämmen
- Betroffene Geräte vom Netzwerk trennen (Kabel ziehen, WLAN abschalten) – aber nicht einfach ausschalten, der Speicherzustand kann für die Forensik wichtig sein
- Backups isolieren und vor Verschlüsselung schützen
- Zugänge und Passwörter zurücksetzen, Remote-Zugänge sperren
Phase 3: Informieren & Entscheiden
- Notfallplan aktivieren
- IT-Abteilung und/oder IT-Betreuer und ggf. die Cyber-Versicherung einschalten
- Behörden kontaktieren und Meldepflichten prüfen (z. B. Datenschutz bei betroffenen Personendaten)
- Kommunikation vorbereiten – intern für Mitarbeitende, extern für Kunden und Behörden
Phase 4: Wiederherstellen & Lernen
- Systeme nur auf sauberen, neu aufgesetzten Umgebungen wiederherstellen
- Ransomware-Varianten bestimmen lassen – für manche existieren kostenlose Entschlüsselungstools
- Einbruchslücke analysieren, Schwachstellen schließen, Notfallplan anpassen
- Erkenntnisse im Team teilen – ein Vorfall ist auch eine Chance, widerstandsfähiger zu werden
Notfall-Checkliste bei einem Ransomware-Angriff
- Netzwerk trennen: betroffene Geräte vom LAN/WLAN nehmen, im Zweifel Switch/Router abstecken
- Nichts löschen, nichts neu installieren
- Kein Lösegeld zahlen – auch nicht „nur zur Sicherheit“ Kontakt aufnehmen
- IT-Partner anrufen
- Backups prüfen lassen: erreichbar? sauber? Stand?
- Vorfall dokumentieren: was, wann, wer – von Beginn an schriftlich
- DSGVO prüfen: personenbezogene Daten betroffen? 72-Stunden-Meldung an die Datenschutzbehörde wenn erforderlich
- Team, Kunden und Lieferanten informieren
- Erst Lücke schließen, dann wiederherstellen – nie umgekehrt
Fazit: Ransomware ist kein Schicksal, sondern eine Frage der Vorbereitung. Wer Backups pflegt, Mitarbeitende schult und einen Notfallplan in der Schublade hat, verhandelt nicht mit Kriminellen – sondern stellt einfach das System wieder her.
Wir erstellen mit Ihnen einen Notfallplan, der zu Ihrem Betrieb passt: mit sauberer Backup-Strategie, klaren Zuständigkeiten, Notfallkontakten und einer Übung, damit der Plan im Ernstfall nicht zum ersten Mal gelesen wird. Am besten reden wir darüber, solange alle Bildschirme noch das zeigen, was sie sollen.
