Ein unbedachter Klick auf einen E-Mail-Anhang kann genügen, damit plötzlich Fotos, Dokumente oder ganze Arbeitsabläufe unzugänglich sind. Ich erkläre, was Ransomware ist, wie diese Schadsoftware in private Netzwerke und Unternehmen gelangt, woran man einen Angriff erkennt und welche Schutzmaßnahmen im Alltag tatsächlich helfen.
Ransomware verschlüsselt Daten und macht daraus ein Erpressungsmittel
- Ransomware ist Schadsoftware, die Dateien verschlüsselt oder den Zugriff auf Systeme blockiert.
- Angreifer verlangen meist Lösegeld, eine Zahlung garantiert die Datenrettung jedoch nicht.
- Typische Eintrittswege sind Phishing, gestohlene Passwörter und ungepatchte Software.
- Der wirksamste Schutz besteht aus getrennten, getesteten Backups, Updates und Mehr-Faktor-Authentisierung.
- Bei einem Verdacht sollte man das Gerät sofort vom Netzwerk trennen und Anzeige erstatten.
Was Ransomware genau macht
Ransomware ist eine Form von Malware, also von schädlicher Software. Sie schränkt den Zugriff auf Dateien, Geräte oder ganze IT-Systeme ein und verlangt für die Freigabe eine Zahlung. Besonders häufig verschlüsselt sie Dokumente, Bilder, Datenbanken und Sicherungskopien mit einem kryptografischen Verfahren.
Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, beschreibt Ransomware als digitale Erpressung. Diese Bezeichnung trifft den Kern ziemlich gut: Nicht der Computer selbst ist das eigentliche Ziel, sondern die Verfügbarkeit wichtiger Daten. Ohne zugängliche Kundenakten, Rechnungen oder Familienfotos entsteht sofort Druck.
Die wichtigsten Varianten
| Variante | Wirkung | Typisches Ziel |
|---|---|---|
| Dateiverschlüsselung | Dateien lassen sich ohne Schlüssel nicht mehr öffnen. | Computer, Server, NAS-Systeme |
| Sperrbildschirm | Die Nutzung des Geräts wird blockiert. | Privatrechner und Smartphones |
| Doppelte Erpressung | Daten werden gestohlen und zusätzlich verschlüsselt. | Unternehmen und Behörden |
| Ransomware-as-a-Service | Kriminelle vermieten fertige Angriffswerkzeuge. | Organisationen mit lukrativen Daten |
Bei der heute besonders problematischen doppelten Erpressung drohen Täter nicht nur mit dem Verlust der Daten. Sie behaupten zusätzlich, gestohlene Informationen zu veröffentlichen. Selbst ein funktionierendes Backup löst dann zwar das Verschlüsselungsproblem, aber nicht automatisch die Folgen eines möglichen Datenabflusses.
Wie ein Angriff typischerweise abläuft
Ransomware erscheint selten einfach aus dem Nichts. Meist beginnt der Angriff mit einem Zugang, der auf den ersten Blick harmlos wirkt. Dazu gehören eine gefälschte Rechnung, ein manipuliertes Dokument, ein gestohlenes Microsoft-365-Passwort oder ein ungepatchter Fernzugang.
- Zugang verschaffen: Die Täter nutzen Phishing, Sicherheitslücken, kompromittierte Konten oder schlecht abgesicherte Fernwartung.
- Rechte ausweiten: Schadsoftware versucht, Administratorrechte zu erlangen und weitere Geräte zu erreichen.
- Netzwerk erkunden: Server, Freigaben, NAS-Geräte und Backups werden gesucht.
- Daten stehlen oder zerstören: Besonders wertvolle Informationen können kopiert und Sicherungen gelöscht werden.
- Verschlüsseln und erpressen: Dateien werden unbrauchbar gemacht, anschließend erscheint eine Lösegeldforderung.
Ich halte den ersten Zugang für den am meisten unterschätzten Teil des Problems. Viele konzentrieren sich auf den Virenscanner, obwohl ein wiederverwendetes Passwort oder ein offener Fernzugang den Angreifern oft den Weg ebnet.
Woran man Ransomware erkennen kann
Ein typisches Anzeichen sind plötzlich veränderte Dateinamen oder Dateiendungen. Bilder, Tabellen und Textdokumente lassen sich nicht mehr öffnen, während in mehreren Ordnern eine Lösegeldnotiz auftaucht. Auch ungewöhnlich hohe Festplattenaktivität, deaktivierte Sicherheitsprogramme oder unerklärliche Anmeldungen können Warnsignale sein.
Eine einzelne Fehlermeldung beweist noch keinen Angriff. Treten jedoch mehrere dieser Anzeichen gleichzeitig auf, sollte man nicht weiter experimentieren und keinesfalls die Lösegelddatei öffnen oder mit den Tätern verhandeln.
Wen Ransomware trifft und welche Schäden entstehen
Betroffen sein können Privathaushalte, Arztpraxen, Handwerksbetriebe, Kommunen und große Konzerne. Kleine Unternehmen sind keineswegs zu unbedeutend. Sie verfügen oft über wertvolle Kundendaten, haben aber weniger Personal für Überwachung und Wiederherstellung.
Nach Angaben der Bundesregierung wurden in Deutschland im Jahr 2025 1.041 Ransomware-Angriffe angezeigt, rund 10 Prozent mehr als im Vorjahr. Diese Zahl erfasst nur gemeldete Fälle und unterschätzt das tatsächliche Ausmaß, weil manche Opfer aus Scham, Unwissenheit oder Angst vor Imageschäden keine Anzeige erstatten.
Die Folgen reichen über verschlüsselte Dateien hinaus
- Betriebsunterbrechung: Aufträge, Zahlungen oder Produktionsprozesse können tagelang ausfallen.
- Datenverlust: Ohne brauchbare Sicherung sind Dateien möglicherweise dauerhaft verloren.
- Datenschutzprobleme: Bei gestohlenen personenbezogenen Daten können Melde- und Informationspflichten entstehen.
- Wiederherstellungskosten: Forensik, neue Hardware, externe IT-Hilfe und Arbeitsausfälle summieren sich schnell.
- Vertrauensverlust: Kunden und Geschäftspartner reagieren empfindlich, wenn vertrauliche Daten veröffentlicht werden.
Auch im Smart Home sollte man die Umgebung nicht isoliert betrachten. Ein intelligenter Lautsprecher wird normalerweise nicht zum klassischen Ransomware-Ziel, aber Computer, Router und NAS im selben Heimnetz können miteinander verbunden sein. Besonders ein ständig erreichbares NAS mit schwachem Passwort ist für persönliche Fotos und Dokumente ein unnötiges Risiko.
Was gegen Ransomware wirklich schützt
Es gibt keinen einzelnen Schalter, der Ransomware zuverlässig verhindert. Gute Sicherheit entsteht durch mehrere Schutzschichten, die zusammen die Wahrscheinlichkeit eines erfolgreichen Angriffs senken und den Schaden begrenzen.
Backups richtig anlegen
Das wichtigste Gegenmittel ist ein Backup, das Angreifer nicht ebenfalls verschlüsseln oder löschen können. Ich empfehle das 3-2-1-Prinzip: drei Kopien der Daten, auf zwei unterschiedlichen Medien, davon eine Kopie räumlich oder technisch getrennt.
Eine USB-Festplatte, die dauerhaft am Computer hängt, ist kein vollständiger Schutz. Sie kann bei einem Angriff genauso betroffen sein. Besser ist eine regelmäßig angeschlossene und danach getrennte Sicherung oder ein Backup mit unveränderbaren beziehungsweise offline gespeicherten Versionen.
Mindestens ebenso wichtig wie das Anlegen ist das Wiederherstellen. Ein Backup, das nie getestet wurde, ist zunächst nur eine Hoffnung. Prüfen Sie deshalb regelmäßig, ob sich einzelne Dateien und bei Bedarf ein komplettes System tatsächlich zurückholen lassen.
Konten, Geräte und Netzwerk absichern
- Updates zeitnah installieren, besonders für Betriebssysteme, Router, VPN-Zugänge, NAS-Geräte und Browser.
- Für wichtige Konten Mehr-Faktor-Authentisierung aktivieren.
- Für jeden Dienst ein eigenes, langes Passwort verwenden, idealerweise mit einem Passwortmanager.
- Administratorkonten nur für Wartungsaufgaben nutzen und im Alltag mit einem normalen Konto arbeiten.
- Fernzugänge nicht ungeschützt ins Internet stellen und nicht benötigte Dienste deaktivieren.
- Private IoT-Geräte nach Möglichkeit in ein eigenes Gast- oder VLAN-Netz verschieben.
Virenschutz und Firewall gehören ebenfalls dazu, sind aber keine Ausrede für fehlende Backups. Sie können bekannte Schadsoftware blockieren, doch gegen einen neuartigen Angriff, ein gestohlenes Konto oder einen menschlichen Fehlklick sind sie nicht immer ausreichend.
Lesen Sie auch: iPhone auf Viren prüfen - diese Schritte helfen wirklich
Phishing besser erkennen
Misstrauen ist besonders bei unerwarteten Rechnungen, angeblichen Kontosperrungen und dringenden Zahlungsaufforderungen angebracht. Prüfen Sie den Absender nicht nur anhand des Anzeigenamens, sondern auch anhand der vollständigen Adresse. Öffnen Sie Anhänge lieber erst, wenn Sie die Nachricht über einen separaten Kontaktweg bestätigt haben.
Viele Angriffe funktionieren, weil eine E-Mail professionell aussieht und Zeitdruck erzeugt. Genau dieser Druck ist ein Warnsignal. Ein seriöser Anbieter verlangt normalerweise nicht, dass Sie unter großer Eile Makros aktivieren, Sicherheitsfunktionen abschalten oder Zugangsdaten in einem Link eingeben.
Was bei einem Verdacht sofort zu tun ist
Wenn Dateien gerade umbenannt werden oder eine Lösegeldforderung erscheint, trennen Sie das betroffene Gerät sofort vom Netzwerk. Ziehen Sie das Netzwerkkabel ab und deaktivieren Sie WLAN. Bei mehreren Geräten sollten Sie auch Freigaben und zentrale Netzwerkspeicher isolieren, damit sich die Schadsoftware nicht weiter ausbreitet.
- Gerät vom Netzwerk trennen, aber nicht vorschnell löschen oder neu installieren.
- Lösegeldnotiz, Dateinamen und auffällige Nachrichten sichern.
- Weitere Geräte und Backups auf verdächtige Aktivitäten prüfen lassen.
- Anzeige bei der Polizei erstatten und bei Unternehmen den IT-Dienstleister oder das Incident-Response-Team einschalten.
- Passwörter von einem nachweislich sauberen Gerät aus ändern und Sitzungen abmelden.
- Systeme erst nach Ursachenanalyse und Bereinigung aus Backups wiederherstellen.
Von einer Zahlung rate ich grundsätzlich ab. Sie garantiert weder einen funktionierenden Entschlüsselungsschlüssel noch die Löschung gestohlener Daten und finanziert das Geschäftsmodell der Täter. Außerdem können manipulierte Entschlüsselungsprogramme zusätzlichen Schaden anrichten.
Vor einer teuren Datenrettung lohnt sich eine Prüfung bei No More Ransom. Das Projekt stellt für einige bekannte Schadsoftware-Familien kostenlose Entschlüsselungswerkzeuge bereit. Eine Garantie gibt es nicht, aber die Suche kann sich lohnen, bevor man auf Forderungen eingeht.
Der wichtigste Schutz ist eine geübte Wiederherstellung
Ransomware ist keine mysteriöse Spezialgefahr, sondern eine besonders folgenreiche Form von Malware. Sie nutzt technische Schwachstellen, gestohlene Zugangsdaten und menschliche Unachtsamkeit, um Daten zur Verhandlungsmasse zu machen.
Meine klare Priorität lautet deshalb Backup, Mehr-Faktor-Authentisierung und zeitnahe Updates. Wer zusätzlich weiß, wie Geräte isoliert und Daten sauber wiederhergestellt werden, nimmt einem Angriff den größten Teil seiner Erpressungsmacht.
