Ein verschlüsselter Ordner, eine plötzlich unlesbare NAS-Freigabe oder eine Lösegeldforderung auf dem Bildschirm sind typische Anzeichen für Ransomware. Ich ordne bekannte Ransomware-Namen ein, zeige die Unterschiede zwischen den wichtigsten Familien und erkläre, was Betroffene in Deutschland sofort tun sollten.
Die wichtigsten Ransomware-Familien auf einen Blick
- LockBit, Black Basta, Akira und Play gehören zu den bekannten Namen moderner Erpressungsangriffe.
- WannaCry und CryptoLocker sind historische Beispiele, deren Methoden die Entwicklung heutiger Schadprogramme geprägt haben.
- Ein Name allein beweist noch nicht, welche Variante ein System befallen hat. Dateiendung, Erpressernachricht und technische Analyse müssen zusammen betrachtet werden.
- Bei einem Verdacht gilt zuerst Netzwerk trennen, nichts löschen und Beweise sichern.
- Der wirksamste Schutz besteht aus getrennten Backups, Updates, MFA und gut geschützten Zugangsdaten.
Was Ransomware von anderer Malware unterscheidet
Ransomware ist Schadsoftware, die Daten verschlüsselt oder den Zugriff auf Systeme blockiert und anschließend Geld für die Freigabe verlangt. Moderne Varianten stehlen oft zusätzlich Dateien und drohen mit deren Veröffentlichung. Diese Methode wird meist als doppelte Erpressung bezeichnet.
Ich unterscheide bei der Einordnung drei grundlegende Formen. Verschlüsselungs-Ransomware sperrt Dokumente, Fotos, Datenbanken oder Netzlaufwerke. Locker-Ransomware blockiert eher den gesamten Rechner, während sogenannte Leakware vor allem mit gestohlenen Daten Druck ausübt. In der Praxis treten diese Methoden häufig gemeinsam auf.
Der Angriff beginnt nicht immer mit einer verdächtigen Datei. Häufig nutzen Kriminelle gestohlene VPN-Zugangsdaten, ungepatchte Server, Phishing-Mails oder Fernwartungssoftware. In Unternehmen verschaffen sich Angreifer oft zunächst Zugang, bewegen sich unbemerkt durch das Netzwerk und starten die Verschlüsselung erst später.
Bekannte Ransomware-Namen und was sie kennzeichnet
Die folgende Übersicht hilft bei der Orientierung. Ein wichtiger Unterschied ist, dass manche Bezeichnungen eine konkrete Schadsoftware meinen, andere dagegen eine kriminelle Gruppe oder ein Geschäftsmodell. Die Grenzen sind nicht immer sauber, weil Betreiber ihre Infrastruktur wechseln oder Quellcode weiterverkaufen.
| Name | Einordnung | Was daran wichtig ist |
|---|---|---|
| CryptoLocker | Historische Ransomware | Prägte das Bild moderner Dateiverschlüsselung und griff unter anderem auf Netzlaufwerke zu. |
| WannaCry | Wurmähnliche Ransomware | Verbreitete sich 2017 besonders schnell über ungepatchte Windows-Systeme. |
| Ryuk | Gezielte Unternehmensangriffe | Wurde mit sorgfältig vorbereiteten Attacken auf größere Organisationen verbunden. |
| REvil beziehungsweise Sodinokibi | Ransomware-as-a-Service | Zeigt, wie Schadsoftware von verschiedenen Partnern gegen Beteiligung eingesetzt werden kann. |
| LockBit | Ransomware-as-a-Service | Bekannt für hohe Automatisierung, Datendiebstahl und die Veröffentlichung von Opfern auf Leak-Seiten. |
| Black Basta | Moderne Erpressungsgruppe | Wurde mit Angriffen auf Unternehmen und der Kombination aus Verschlüsselung und Datenexfiltration in Verbindung gebracht. |
| ALPHV beziehungsweise BlackCat | Ransomware-Familie | Fiel durch professionelle Affiliate-Strukturen und technisch flexible Varianten auf. |
| Akira und Play | Neuere Familien und Gruppen | Sie werden häufig im Zusammenhang mit Angriffen auf Unternehmen, Behörden und mittelständische Organisationen genannt. |
Das BSI nennt Ransomware eine der größten operativen Gefahren für die IT-Sicherheit. Für Privathaushalte ist dabei nicht entscheidend, ob der Angriff einem bekannten Namen zugeordnet werden kann. Entscheidend ist, wie viele Geräte, Backups und Online-Konten betroffen sind.
Warum die Namen oft für Verwirrung sorgen
Ein und dieselbe Ransomware kann je nach Sicherheitsanbieter unterschiedliche Namen tragen. Außerdem verwenden Kriminelle Varianten mit neuen Dateiendungen, geänderten Erpresserbriefen oder leicht veränderter Verschlüsselungslogik. Eine Datei mit der Endung .lock, .crypt oder .encrypted reicht deshalb nicht als sichere Identifikation.
Auch die Namen von Gruppen und Schadprogrammen werden oft vermischt. LockBit kann die Gruppe, das Erpressungsprogramm oder eine konkrete Kampagne meinen. Bei REvil und Sodinokibi handelt es sich beispielsweise um zwei Bezeichnungen, die häufig für dieselbe Ransomware-Familie verwendet werden.
Wer den Befall genauer bestimmen möchte, sollte die Erpressernachricht, eine verschlüsselte Beispieldatei und die Dateiendung sichern. Das kostenlose Projekt No More Ransom bietet für einige Familien Entschlüsselungswerkzeuge an. Sie funktionieren aber nur bei passenden Varianten und ersetzen kein sauberes Backup.
Ich würde niemals auf Verdacht Programme aus dubiosen Foren installieren oder die Lösegeldforderung beantworten. Falsche Entschlüsselungstools können weitere Malware nachladen, und eine Zahlung garantiert weder einen Schlüssel noch die Löschung gestohlener Daten.
Was Betroffene sofort tun sollten
Bei einem laufenden Angriff zählt zuerst die Begrenzung des Schadens. Ich gehe dabei möglichst geordnet vor, auch wenn die Situation auf den ersten Blick chaotisch wirkt.
- Verbindung trennen. Das betroffene Gerät vom WLAN, Netzwerkkabel und VPN trennen. Bei einem größeren Netzwerk sollten auch verdächtige Server und Freigaben isoliert werden.
- Nichts löschen. Erpressernachricht, Dateiendungen, Logdateien und auffällige E-Mails können für die Analyse wichtig sein.
- Weitere Geräte prüfen. Besonders Computer mit gemeinsamen Netzlaufwerken, NAS-Systeme und Backup-Server müssen kontrolliert werden.
- Vorfall melden. Privatpersonen sollten Anzeige bei der Polizei erstatten. Unternehmen sollten zusätzlich den IT-Dienstleister, die Versicherung und je nach Fall das BSI oder die zuständige Sicherheitsstelle informieren.
- Zugänge absichern. Passwörter erst von einem nachweislich sauberen Gerät aus ändern und Sitzungen sowie Zugriffstoken widerrufen.
- Wiederherstellung planen. Systeme nicht einfach aus dem letzten sichtbaren Backup starten, bevor die Ursache gefunden und der Zugang geschlossen wurde.
Das BSI empfiehlt bei einem Ransomware-Vorfall eine unverzügliche Anzeige. Besonders bei Unternehmen kann eine vorschnelle Neuinstallation die forensische Untersuchung erschweren. Die richtige Reihenfolge lautet deshalb isolieren, dokumentieren, analysieren und erst danach wiederherstellen.
Welche Schutzmaßnahmen im Alltag wirklich helfen
Der wichtigste Schutz ist ein Backup, das Angreifer nicht gleichzeitig verschlüsseln können. Für private Daten funktioniert eine einfache 3-2-1-Regel gut: drei Kopien, auf zwei unterschiedlichen Medien und eine Kopie getrennt vom laufenden Netzwerk.
Eine USB-Festplatte, die dauerhaft am Computer oder NAS steckt, ist kein ausreichend geschütztes Backup. Ich trenne externe Sicherungen nach dem Kopieren physisch und teste regelmäßig, ob sich einzelne Dateien tatsächlich wiederherstellen lassen. Ein Backup, das nie getestet wurde, ist zunächst nur eine Hoffnung.
- Automatische Updates für Betriebssystem, Router, NAS und Smart-Home-Zentrale aktivieren.
- Mehrfaktor-Authentifizierung für E-Mail, Cloud, VPN, Hosting und Administratorkonten einschalten.
- Für wichtige Dienste einzigartige Passwörter verwenden und in einem seriösen Passwortmanager speichern.
- Gastgeräte und Smart-Home-Technik möglichst in ein separates WLAN verschieben.
- Freigaben im Internet deaktivieren, wenn sie nicht zwingend benötigt werden.
- Administratorkonten nur für Wartungsaufgaben nutzen und im Alltag ein Konto mit weniger Rechten verwenden.
Für einen normalen Haushalt ist ein teures Sicherheitssystem nicht immer nötig. Ein aktueller Router, gut geschützte Konten, getrennte Backups und ein gesundes Misstrauen gegenüber unerwarteten Anhängen bringen meist mehr als zusätzliche Software, die nur Warnmeldungen produziert.
Der Name ist hilfreich, aber die Wiederherstellung entscheidet
Bekannte Ransomware-Namen helfen bei der technischen Einordnung, sagen aber wenig über den konkreten Schaden auf einem einzelnen Gerät aus. Auch eine alte Familie kann gefährlich sein, wenn sie auf ein ungepatchtes System oder ein ungeschütztes NAS trifft.
Für mich ist deshalb die wichtigste Unterscheidung nicht LockBit, Black Basta oder WannaCry, sondern die Frage, ob ein System isoliert, sauber analysiert und zuverlässig wiederhergestellt werden kann. Wer Backups getrennt aufbewahrt und seine wichtigsten Zugänge mit MFA schützt, nimmt Erpressern den größten Teil ihrer Macht.
