Ein verschlüsselter Rechner, ein gesperrtes NAS oder plötzlich nicht mehr erreichbare Fotos sind kein abstraktes IT-Problem. Ransomware kann Privathaushalte, kleine Betriebe und öffentliche Einrichtungen treffen, wobei nicht nur Dateien verschlüsselt, sondern oft auch Daten gestohlen und mit ihrer Veröffentlichung gedroht wird. Ich zeige, wie diese Schadsoftware arbeitet, woran man einen Angriff erkennt und welche Maßnahmen in Deutschland wirklich helfen.
Die wichtigsten Fakten zu Ransomware auf Deutsch
- Ransomware verschlüsselt Daten oder blockiert Systeme, um Lösegeld zu erpressen.
- Phishing, gestohlene Zugangsdaten und ungepatchte Software gehören zu den häufigsten Eintrittswegen.
- Im Jahr 2025 wurden in Deutschland 1.041 Ransomware-Angriffe angezeigt, 10 Prozent mehr als im Vorjahr.
- Ein getestetes Offline- oder unveränderbares Backup ist der wichtigste Schutz gegen dauerhaften Datenverlust.
- Bei einem Befall gilt zuerst isolieren, Beweise sichern und Fachleute informieren, nicht spontan das Lösegeld überweisen.
Was Ransomware eigentlich macht
Ransomware ist eine Form von Schadsoftware, die Dateien verschlüsselt, Zugänge sperrt oder ganze IT-Systeme unbrauchbar macht. Anschließend verlangen die Angreifer Geld für einen Entschlüsselungsschlüssel. Moderne Gruppen kombinieren diese Methode häufig mit Datendiebstahl und drohen zusätzlich mit der Veröffentlichung vertraulicher Informationen.
Der Begriff „Ransom“ bedeutet Lösegeld. Die technische Vorgehensweise kann aber sehr unterschiedlich aussehen. Manche Varianten greifen vor allem Dokumente und Datenbanken an, andere breiten sich über Netzlaufwerke aus oder verschlüsseln auch Sicherungssysteme. Ein bekanntes Beispiel ist WannaCry, das sich teilweise selbstständig wie ein Wurm verbreitete und dadurch besonders schnell viele Windows-Rechner erreichen konnte.
Die Bedrohung bleibt in Deutschland hoch. Laut Bundesregierung wurden 2025 1.041 angezeigte Ransomware-Angriffe registriert, ein Anstieg um 10 Prozent gegenüber 2024. Die gemeldeten Lösegeldzahlungen summierten sich auf rund 15,5 Millionen US-Dollar. Diese Zahlen zeigen allerdings nur das Hellfeld, weil viele Unternehmen Vorfälle aus Angst vor Imageschäden oder Betriebsunterbrechungen nicht melden.
Für mich ist der wichtigste Punkt dabei die Unterscheidung zwischen einer einfachen Bildschirmsperre und einem professionellen Angriff. Bei einer Bildschirmsperre lässt sich der Rechner manchmal relativ leicht bereinigen. Bei einer gezielten Attacke können dagegen Backups, Benutzerkonten, Server und Cloud-Zugänge gleichzeitig betroffen sein.
Wie ein Ransomware-Angriff typischerweise abläuft
Die Verschlüsselung ist meist nicht der Anfang, sondern der sichtbarste Teil eines längeren Einbruchs. Angreifer versuchen zunächst, einen Zugang zu erhalten, sich im Netzwerk umzusehen und höhere Rechte zu erlangen. Erst wenn sie wichtige Systeme identifiziert haben, starten sie die eigentliche Erpressung.
| Phase | Was passiert | Was dabei hilft |
|---|---|---|
| Erstzugang | Phishing-Mail, gestohlenes Passwort, Sicherheitslücke oder kompromittierter Fernzugang | MFA, Updates, sichere Passwörter und Schulungen |
| Ausbreitung | Die Angreifer übernehmen weitere Geräte, Konten und Netzwerkfreigaben | Netzwerksegmentierung und minimale Benutzerrechte |
| Datendiebstahl | Sensible Dateien werden kopiert und für eine spätere Drohung vorbereitet | Protokollierung, Verschlüsselung und Zugriffsüberwachung |
| Verschlüsselung | Dateien, Server oder Backups werden blockiert | Getrennte, getestete und unveränderbare Sicherungen |
| Erpressung | Lösegeldforderung mit Frist und teilweise Veröffentlichung der Daten | Notfallplan, Forensik und Anzeige bei den Behörden |
Die häufigsten Einfallstore
Bei Privatpersonen beginnt der Angriff oft mit einem manipulierten Anhang, einem gefälschten Paketdienst oder einer angeblichen Rechnung. Im Unternehmen kommen gestohlene VPN- und Cloud-Zugangsdaten hinzu. Besonders gefährlich sind Konten ohne Mehrfaktor-Authentifizierung, weil ein einziges geleaktes Passwort dann den Zugang zu vielen Diensten öffnen kann.
Auch veraltete Router, NAS-Systeme, Kameras und Smart-Home-Zentralen dürfen nicht übersehen werden. Sie sind zwar nicht immer das Hauptziel, können aber als Einstieg in das Heimnetz dienen. Ich empfehle deshalb, IoT-Geräte in ein eigenes Gastnetz oder VLAN zu verschieben und den Fernzugriff nur dann zu aktivieren, wenn er wirklich benötigt wird.
Woran man eine Infektion erkennt
Ein einzelnes Warnfenster beweist noch keinen Ransomware-Befall. Verdächtig wird es, wenn mehrere Anzeichen gleichzeitig auftreten. Dazu gehören unlesbare Dateinamen, neue Endungen, ungewöhnlich hohe Festplattenaktivität und Dateien mit Lösegeldnotizen in vielen Ordnern.
- Dokumente, Bilder oder Datenbanken lassen sich plötzlich nicht mehr öffnen.
- Der Rechner oder Server arbeitet dauerhaft ungewöhnlich langsam.
- Antivirenprogramme werden deaktiviert oder Sicherheitsdienste beendet.
- Benutzerkonten melden sich nicht mehr an oder Passwörter funktionieren nicht.
- Auf mehreren Geräten erscheinen gleichzeitig neue Dateien mit Zahlungsforderungen.
- Ein Angreifer droht mit der Veröffentlichung gestohlener Daten.
Auch ein scheinbar normaler Computer kann bereits kompromittiert sein. Manche Täter bleiben Tage oder Wochen unbemerkt im Netzwerk, bevor sie verschlüsseln. Daher sollte ein ungewöhnlicher Login, ein unbekanntes Administratorkonto oder ein verdächtiger Fernzugriff nicht als Kleinigkeit abgetan werden.
Wer ein Unternehmen betreibt, sollte zentrale Protokolle sammeln und Warnungen für ungewöhnliche Anmeldungen, große Datenübertragungen und Zugriffe auf Backup-Verzeichnisse einrichten. Der Begriff „Canary File“ bezeichnet dabei eine absichtlich überwachte Datei, deren Veränderung oder Verschlüsselung frühzeitig Alarm auslösen kann.
Was bei einem Angriff sofort zu tun ist
Die ersten Minuten entscheiden nicht immer über die Rettung, aber sie können den Schaden deutlich begrenzen. Trenne das betroffene Gerät möglichst sofort vom Netzwerk, indem du das Netzwerkkabel ziehst oder WLAN deaktivierst. Bei einem Firmenvorfall sollten Mitarbeitende zusätzlich die interne Notfallnummer nutzen und nicht eigenständig weitere Systeme untersuchen.
- Verbindung trennen und betroffene Geräte von LAN, WLAN, VPN und externen Datenträgern isolieren.
- Keine Dateien löschen, keine Lösegeldnotiz verändern und keine dubiosen Entschlüsselungstools installieren.
- Uhrzeit, sichtbare Meldungen, Dateiendungen und betroffene Geräte dokumentieren.
- Passwörter von einem nachweislich sauberen Gerät ändern, besonders für E-Mail, Cloud, VPN und Administratorenkonten.
- IT-Forensik oder einen spezialisierten Incident-Response-Dienst einschalten.
- Den Vorfall bei Polizei und, je nach Organisation und Meldepflicht, den zuständigen Stellen anzeigen.
Ein häufiger Fehler ist das hektische Zurücksetzen aller Geräte. Dadurch können wichtige Spuren verloren gehen und ein noch aktiver Angreifer bleibt möglicherweise unentdeckt. Auch das bloße Wiederherstellen eines Backups genügt nicht, wenn der ursprüngliche Zugang nicht geschlossen wurde.
Ob ein Gerät ausgeschaltet werden sollte, hängt von der Situation ab. Wenn gerade sichtbar Dateien verschlüsselt werden, hat die schnelle Netztrennung Priorität. Bei einem größeren Vorfall sollte man das weitere Vorgehen mit Fachleuten abstimmen, damit Arbeitsspeicher, Protokolle und andere forensische Hinweise nicht unnötig verloren gehen.
Warum Lösegeld selten eine gute erste Entscheidung ist
Eine Zahlung garantiert weder einen funktionierenden Entschlüsselungsschlüssel noch die Löschung gestohlener Daten. Außerdem bleibt unklar, ob die Täter nach der ersten Zahlung weitere Forderungen stellen. Das Geld kann den kriminellen Betrieb finanzieren und macht das Opfer nicht automatisch vor einem zweiten Angriff sicher.
Das bedeutet nicht, dass jede Organisation dieselbe Entscheidung treffen muss. Bei lebenswichtigen Diensten, fehlenden Backups und hohem Betriebsdruck können rechtliche, wirtschaftliche und operative Fragen eine Rolle spielen. Eine mögliche Zahlung sollte deshalb nur nach einer rechtlichen Prüfung, Risikoanalyse und Abstimmung mit Versicherern erfolgen.
Vor einer Entscheidung sollten Fachleute prüfen, ob ein passender Entschlüsselungsweg existiert. Das Projekt No More Ransom stellt für einige bekannte Varianten kostenlose Werkzeuge bereit. Sie funktionieren jedoch nur bei bestimmten Schadsoftware-Versionen und ersetzen keine professionelle Untersuchung.
Privatpersonen sollten außerdem ihre Bank oder den Zahlungsdienstleister informieren, wenn bereits Geld überwiesen wurde. Bei gestohlenen personenbezogenen Daten können zusätzliche Schritte notwendig sein, etwa die Sicherung von Konten, eine Anzeige und die Information betroffener Geschäftspartner.
Wie sich Haushalte und Unternehmen wirksam schützen
Die beste Verteidigung ist kein einzelnes Sicherheitsprogramm, sondern eine Kombination aus Technik, Verhalten und Vorbereitung. Für Privathaushalte ist ein aktuelles Betriebssystem mit automatischen Updates eine solide Grundlage. Ebenso wichtig sind einzigartige Passwörter, Mehrfaktor-Anmeldung und ein separates Backup für Fotos, Dokumente und wichtige Unterlagen.
Backups richtig aufbauen
Die oft genannte 3-2-1-Regel ist ein guter Start. Sie bedeutet drei Kopien der Daten, auf mindestens zwei unterschiedlichen Medien und eine Kopie getrennt vom laufenden Netzwerk. Für besonders wichtige Daten sollte diese letzte Sicherung zusätzlich offline oder unveränderbar sein. Unveränderbar bedeutet, dass ein Angreifer sie nicht einfach löschen oder überschreiben kann.
Ein Backup ist erst dann zuverlässig, wenn die Wiederherstellung getestet wurde. Ich würde mindestens einmal pro Quartal eine Stichprobe zurückspielen und prüfen, ob sich die Dateien tatsächlich öffnen lassen. Ein Backup, das nur „erfolgreich abgeschlossen“ meldet, aber nie getestet wurde, ist eher eine Hoffnung als ein Notfallplan.
Heimnetz und Smart Home absichern
- Router, Mesh-System, NAS und Smart-Home-Zentrale regelmäßig aktualisieren.
- Standardpasswörter ändern und, wenn möglich, MFA aktivieren.
- NAS-Ordner nicht dauerhaft mit allen Geräten beschreibbar machen.
- Smart-Home-Geräte in ein separates Netzwerk verschieben.
- Fernzugriff, UPnP und unnötige Portfreigaben deaktivieren.
- Backups nicht dauerhaft am Computer oder NAS angeschlossen lassen.
Die Trennung des Heimnetzes wird häufig überschätzt. Sie verhindert nicht jeden Angriff, begrenzt aber die Reichweite eines kompromittierten Geräts. Ein Fernseher oder eine Kamera kann dann nicht ohne Weiteres auf Arbeitsdateien oder das Backup-Laufwerk zugreifen.
Lesen Sie auch: Rootkits erkennen und entfernen: Was bei Verdacht hilft
Unternehmen brauchen zusätzlich Prozesse
Unternehmen sollten ihre wichtigsten Systeme und Abhängigkeiten schriftlich erfassen. Dazu gehören E-Mail, Identitätsverwaltung, Fileserver, Warenwirtschaft, Telefonie, Produktionssysteme und Datensicherungen. Der Wiederanlauf sollte nach Priorität geplant werden, damit nicht alle Systeme gleichzeitig und unkontrolliert online gehen.
Technisch besonders wirksam sind Netzwerksegmentierung, Endpoint Detection and Response, zentrale Protokollierung und konsequentes Patch-Management. EDR überwacht Endgeräte auf verdächtige Vorgänge und kann beispielsweise massenhafte Dateiänderungen oder ungewöhnliche Verschlüsselungsprozesse erkennen.
Schulungen dürfen dabei nicht bei einer einmaligen Präsentation enden. Kurze, realistische Übungen mit gefälschten Rechnungen, Cloud-Anmeldungen oder Lieferantenmails zeigen besser als Theorie, worauf Mitarbeitende achten müssen. Trotzdem sollte die Verantwortung nicht allein beim Menschen liegen, denn gute Sicherheitsarchitektur fängt auch einen einzelnen Fehler ab.
Welche Schutzmaßnahme den größten Unterschied macht
Wenn nur wenig Zeit oder Geld vorhanden ist, würde ich zuerst drei Dinge umsetzen: MFA für alle wichtigen Konten, automatische Sicherheitsupdates und ein getestetes, vom Netzwerk getrenntes Backup. Diese Kombination reduziert sowohl die Wahrscheinlichkeit eines erfolgreichen Eindringens als auch den Schaden, falls eine Schutzschicht versagt.
Antivirensoftware bleibt sinnvoll, ist aber kein vollständiger Schutz. Sie kann bekannte Muster blockieren und verdächtige Prozesse erkennen, doch ein gestohlenes Passwort oder eine neue Angriffstechnik kann an ihr vorbeikommen. Wer sich allein auf ein Symbol im Sicherheitsprogramm verlässt, unterschätzt das eigentliche Risiko.
Für Unternehmen lohnt sich außerdem ein schriftlicher Notfallplan mit Zuständigkeiten, Telefonnummern und Entscheidungsregeln. Darin sollte feststehen, wer Systeme isolieren darf, wer die Geschäftsleitung informiert, wer mit Behörden spricht und wie Kunden oder Partner benachrichtigt werden. Im Ernstfall spart ein solcher Plan wertvolle Stunden, in denen sonst Unsicherheit und Fehlentscheidungen dominieren.
Ein sicherer Umgang mit Ransomware beginnt vor dem Vorfall
Ransomware lässt sich nicht mit einer einzigen Maßnahme aus der Welt schaffen. Wer jedoch Zugänge absichert, Geräte aktuell hält, sein Netzwerk sinnvoll trennt und Wiederherstellungen regelmäßig testet, macht einen Angriff deutlich weniger zerstörerisch.
Mein praktischer Rat lautet deshalb, heute mit dem Backup-Test zu beginnen. Wenn sich eine wichtige Datei innerhalb weniger Minuten aus einer getrennten Sicherung wiederherstellen lässt, ist bereits mehr erreicht als durch viele abstrakte Sicherheitsversprechen.
