Ransomware-Beispiele - Was WannaCry und LockBit lehren

Ein einziger infizierter Rechner kann heute ausreichen, um Dateien zu verschlüsseln, Backups zu löschen und einen ganzen Betrieb lahmzulegen. Die bekanntesten Ransomware-Beispiele zeigen, wie unterschiedlich solche Angriffe ablaufen können: vom selbstverbreitenden Schadprogramm bis zur gezielten Erpressung großer Unternehmen. Ich ordne die wichtigsten Fälle ein, erkläre die verschiedenen Varianten und zeige, was private Nutzer, Selbstständige und Unternehmen daraus lernen können.

Was Ransomware eigentlich verschlüsselt und warum sie so gefährlich ist

Ransomware ist Schadsoftware, die den Zugriff auf Dateien oder ganze Systeme blockiert und anschließend Lösegeld verlangt. Meist werden Dokumente, Datenbanken und Netzlaufwerke verschlüsselt. Manche Varianten sperren zusätzlich den Bildschirm, verändern Systemeinstellungen oder löschen Wiederherstellungspunkte.

Gefährlich ist nicht nur die Verschlüsselung selbst. Moderne Gruppen stehlen Daten oft schon vor dem eigentlichen Angriff und drohen danach mit deren Veröffentlichung. Dadurch entsteht ein doppelter Druck aus Betriebsstillstand und möglichem Datenschutz- oder Reputationsschaden.

Ein Angriff beginnt häufig mit einer Phishing-Mail, einem gestohlenen Zugang zu einem Fernwartungsdienst oder einer ungepatchten Software. Danach versuchen die Angreifer, sich seitlich im Netzwerk auszubreiten. Genau diese Kombination macht Ransomware für Unternehmen gefährlicher als einen einzelnen infizierten Heim-PC.

WannaCry zeigt, wie schnell sich ein Angriff ausbreiten kann

WannaCry gehört zu den eindrucksvollsten Beispielen, weil sich die Schadsoftware im Mai 2017 wie ein Computerwurm selbstständig verbreitete. Betroffen waren Windows-Systeme in mehr als 150 Ländern, darunter auch Einrichtungen des britischen Gesundheitsdienstes.

Die Malware nutzte eine Sicherheitslücke im Windows-Netzwerkprotokoll SMB aus. Für diese Lücke hatte Microsoft bereits Wochen zuvor ein Sicherheitsupdate veröffentlicht. Die Lehre ist deshalb ungewöhnlich klar: Ein verspätetes Update kann nicht nur ein einzelnes Gerät, sondern ganze Netzwerke gefährden.

WannaCry war außerdem ein Sonderfall, weil Nutzer nicht zwingend auf einen schädlichen Anhang klicken mussten. Sobald ein verwundbares System im erreichbaren Netzwerk gefunden wurde, konnte sich die Schadsoftware weiterverbreiten. Für mich ist dieser Fall ein gutes Gegenmittel gegen die verbreitete Annahme, Ransomware sei ausschließlich ein Problem unvorsichtiger E-Mail-Empfänger.

Was private Nutzer daraus lernen können

Ein aktuelles Betriebssystem, aktivierte automatische Updates und ein separates Backup sind die wichtigsten Schutzmaßnahmen. Das Backup sollte nicht dauerhaft am Computer angeschlossen sein, weil Ransomware auch USB-Laufwerke und synchronisierte Ordner verschlüsseln kann.

Bei einem privaten Gerät ist ein regelmäßiges Backup auf einer getrennten Festplatte oft sinnvoller als ein vermeintlich perfektes Sicherheitsprodukt. Cloud-Speicher kann helfen, ersetzt aber keine Prüfung der Versionshistorie und Wiederherstellbarkeit.

CryptoLocker und Locky machten Verschlüsselung zum Massenmodell

CryptoLocker trat ab 2013 großflächig in Erscheinung und verschlüsselte nicht nur lokale Dateien, sondern teilweise auch Daten auf angebundenen Netzlaufwerken. Der Fall gilt als wichtiger Entwicklungsschritt, weil er zeigte, dass Kriminelle mit automatisierter Verschlüsselung sehr viele Opfer gleichzeitig erreichen können.

Locky setzte dieses Muster in Deutschland und anderen Ländern fort. Die Schadsoftware wurde häufig über E-Mail-Anhänge und gefälschte Rechnungen verbreitet. Ein Klick auf ein scheinbar harmloses Office-Dokument oder eine ZIP-Datei konnte ausreichen, um den Schadcode nachzuladen.

Diese Fälle sind besonders lehrreich, weil die technische Komplexität anfangs gar nicht entscheidend war. Den größten Unterschied machten Social Engineering, also die gezielte Täuschung von Menschen, und schlecht kontrollierte Makros oder Skripte. Eine gute Sicherheitsunterweisung muss deshalb konkrete Beispiele zeigen und darf sich nicht auf allgemeine Warnungen beschränken.

Ein Virenscanner allein hätte solche Angriffe nicht zuverlässig verhindert. Er kann bekannte Dateien erkennen, aber keine gestohlenen Zugangsdaten zurückholen und keinen Mitarbeiter daran hindern, eine überzeugend gefälschte Rechnung zu öffnen. Sinnvoller ist ein Zusammenspiel aus E-Mail-Filter, eingeschränkten Benutzerrechten, aktuellem Virenschutz und regelmäßigen Schulungen.

Ryuk und Conti stehen für gezielte Angriffe auf Unternehmen

Während WannaCry möglichst viele Systeme automatisch suchte, gingen Ryuk und später Conti deutlich gezielter vor. Die Angreifer drangen oft zunächst über andere Schadsoftware wie TrickBot oder über gestohlene Zugangsdaten ein. Erst nachdem sie sich im Netzwerk orientiert und wichtige Systeme identifiziert hatten, starteten sie die Verschlüsselung.

Besonders attraktiv waren Server, zentrale Dateifreigaben und Backup-Systeme. Dadurch konnte ein einziger Angriff die Warenwirtschaft, Produktion, Verwaltung oder Patientenversorgung beeinträchtigen. Das BSI beschreibt solche Kampagnen als fortgeschrittene Angriffe, bei denen die Täter nicht nur Dateien verschlüsseln, sondern sich vorher längere Zeit im Netzwerk bewegen.

Conti ist heute vor allem als Beispiel für ein professionell organisiertes Cybercrime-Modell relevant. Die Gruppe arbeitete arbeitsteilig, setzte Verhandlungsteams ein und nutzte verschiedene Zugangswege. Auch wenn einzelne Namen verschwinden, bleibt das Muster bestehen: Die Infrastruktur wird ausgetauscht, die Methode bleibt.

Lesen Sie auch: Emotet erkennen - Warnzeichen und richtig reagieren

Warum ein Backup nicht automatisch genügt

Ein Backup schützt nur dann, wenn es erreichbar, vollständig und getestet ist. Liegt die Sicherung dauerhaft im selben Netzwerk, kann sie zusammen mit den Produktivdaten verschlüsselt oder gelöscht werden.

Ich halte deshalb die einfache 3-2-1-Regel weiterhin für eine gute Grundlage. Dabei existieren mindestens drei Kopien der Daten auf zwei unterschiedlichen Medien, von denen eine Kopie außerhalb des normalen Netzwerks liegt. Für besonders wichtige Systeme sollte zusätzlich regelmäßig ein Wiederanlauf getestet werden.

LockBit und Black Basta zeigen die Entwicklung zu Ransomware-as-a-Service

LockBit wurde zu einem bekannten Beispiel für Ransomware-as-a-Service, kurz RaaS. Dabei entwickelt und betreibt eine Gruppe die Schadsoftware, während sogenannte Affiliates für den eigentlichen Einbruch verantwortlich sind. Die Beute wird anschließend nach einem vereinbarten Schlüssel verteilt.

Dieses Geschäftsmodell senkt die Einstiegshürde für Kriminelle. Ein Angreifer muss nicht jede technische Komponente selbst entwickeln, sondern kann Zugänge, Schadsoftware und Erpressungsplattformen kombinieren. LockBit wurde vom BSI im Lagebericht für 2024 als besonders aktive Ransomware-Gruppe beschrieben.

Black Basta tauchte 2022 als eigenständige Bedrohung auf und wurde in der öffentlichen Berichterstattung teilweise mit dem Umfeld von Conti in Verbindung gebracht. Entscheidend ist weniger die Namensfrage als die Vorgehensweise. Solche Gruppen stehlen Daten, verschlüsseln Systeme und erhöhen den Druck durch Leak-Seiten, auf denen sie mit einer Veröffentlichung drohen.

Ein Unternehmen kann deshalb nicht allein nach Dateiendungen oder dem Namen einer Malware suchen. Wichtiger sind Verhaltenssignale wie ungewöhnliche Anmeldungen, das Auslesen von Zugangsdaten, das Deaktivieren von Schutzsoftware oder massenhafte Dateiänderungen. Frühe Erkennung vor der Verschlüsselung ist meist wertvoller als die Suche nach einem bestimmten Familiennamen.

NotPetya zeigt, dass nicht jeder Angriff nur Geld verdienen will

NotPetya wird häufig gemeinsam mit Ransomware genannt, obwohl die Schadsoftware technisch und wirtschaftlich nicht wie ein gewöhnlicher Erpressungstrojaner funktionierte. Sie verbreitete sich 2017 über eine kompromittierte Software-Lieferkette und verursachte weltweit massive Betriebsstörungen.

Viele betroffene Systeme konnten selbst nach einer Zahlung nicht einfach wiederhergestellt werden. Deshalb gilt NotPetya als Beispiel dafür, dass Malware auch zur Sabotage und Zerstörung eingesetzt werden kann. Der sichtbare Lösegeldhinweis sagt allein nichts über die tatsächlichen Ziele der Angreifer aus.

Für Unternehmen ergibt sich daraus eine wichtige Einschränkung. Ein Wiederherstellungsplan darf nicht nur vorsehen, einen Entschlüsselungsschlüssel einzugeben. Er muss auch den Neuaufbau kompromittierter Systeme, die Prüfung von Software-Lieferanten und die sichere Rückkehr in den Normalbetrieb abdecken.

Was bei einem Ransomware-Verdacht sofort zählt

Wenn Dateien plötzlich umbenannt werden, Warnhinweise erscheinen oder mehrere Systeme gleichzeitig ausfallen, sollte man nicht erst lange nach der genauen Variante suchen. Das betroffene Gerät muss möglichst schnell vom Netzwerk getrennt werden, ohne es unnötig zu verändern. Bei Servern und größeren Umgebungen sollte die Reaktion durch das IT-Sicherheitsteam oder einen spezialisierten Dienstleister koordiniert werden.

1. Netzwerkverbindung trennen, um eine weitere Ausbreitung zu bremsen.
2. Keine Dateien löschen und betroffene Systeme nicht vorschnell neu installieren.
3. Beweise sichern, etwa Erpressernachrichten, Zeitpunkte, Logdateien und verdächtige E-Mails.
4. Backups prüfen, bevor eine Wiederherstellung gestartet wird.
5. Polizei, Datenschutzstelle und gegebenenfalls das BSI einbeziehen.

Eine Lösegeldzahlung ist keine verlässliche Lösung. Sie garantiert weder die Entschlüsselung noch die Löschung gestohlener Daten und kann weitere kriminelle Aktivitäten finanzieren. Ob eine Organisation im Einzelfall überhaupt verhandelt, sollte nicht spontan am ersten Tag entschieden werden, sondern nach rechtlicher, technischer und geschäftlicher Prüfung.

Auch kleine Betriebe sollten einen Notfallplan mit festen Zuständigkeiten vorbereiten. Darin gehören mindestens die Kontaktdaten des IT-Dienstleisters, eine Übersicht kritischer Systeme, die Backup-Standorte und eine Regel für die interne Kommunikation. Vorbereitung kostet Stunden, ein ungeplanter Stillstand kann dagegen Tage oder Wochen dauern.

Aus diesen Fällen lässt sich ein realistischer Schutzplan ableiten

Die Beispiele unterscheiden sich technisch, wiederholen aber einige Grundmuster. Ransomware gelangt über Schwachstellen, Phishing, Fernzugänge oder gestohlene Konten hinein und richtet den größten Schaden an, wenn sie sich unbemerkt im Netzwerk bewegen kann.

• Betriebssysteme, Router, VPN-Zugänge und Anwendungen zeitnah aktualisieren.
• Mehrfaktor-Authentifizierung für E-Mail, Cloud-Dienste und Fernzugänge aktivieren.
• Administratorkonten sparsam verwenden und getrennte Konten für Alltagsaufgaben einsetzen.
• Backups offline oder unveränderbar speichern und die Wiederherstellung regelmäßig testen.
• Netzwerke in Bereiche aufteilen, damit ein infizierter Rechner nicht überall zugreifen kann.
• Mitarbeiter mit realistischen Beispielen zu Rechnungsbetrug, gefälschten Bewerbungen und Login-Seiten schulen.

Nach meiner Einschätzung wird der Nutzen teurer Spezialsoftware oft überschätzt, wenn die Grundlagen fehlen. Ein gut getestetes Backup, abgeschaltete Altprotokolle und abgesicherte Fernzugänge bringen vielen kleinen Unternehmen zunächst mehr als ein weiteres Dashboard mit unklaren Alarmen.

Für private Haushalte gilt ein ähnlicher Grundsatz. Ein aktueller Router, sichere Passwörter, automatische Updates und eine getrennte Kopie wichtiger Fotos und Dokumente bilden ein solides Fundament. Smart-Home-Geräte sollten nicht mit denselben Zugangsdaten wie E-Mail oder Online-Banking betrieben werden, weil ein schwaches Gerät sonst zum Einstiegspunkt ins Heimnetz werden kann.

Der wichtigste Unterschied liegt nicht im Namen der Malware

Ob WannaCry, Locky, Conti, LockBit oder Black Basta auf dem Erpresserbrief steht, ist für die erste Reaktion weniger wichtig als die Frage, welche Systeme betroffen sind, ob Daten abgeflossen sind und ob eine saubere Sicherung existiert.

Wer die bekannten Fälle als Muster versteht, erkennt die entscheidenden Warnzeichen früher. Regelmäßige Updates, getrennte Backups, starke Zugänge und ein eingeübter Notfallplan nehmen einem Angriff nicht jede Wirkung, können aber aus einer existenziellen Krise einen begrenzten Sicherheitsvorfall machen.