Ein einziger ungepatchter Windows-Rechner konnte 2017 ganze Netzwerke lahmlegen. Hinter der Bezeichnung wannacry virus steckt eine besonders aggressive Form von Ransomware, die sich selbstständig verbreitete, Dateien verschlüsselte und Lösegeld verlangte. Ich erkläre, wie der Angriff funktionierte, welche Folgen er in Deutschland hatte und welche Schutzmaßnahmen auch 2026 noch den größten Unterschied machen.
Die wichtigsten Lehren aus dem globalen Ransomware-Ausbruch
- WannaCry war eine Kombination aus Ransomware und Computerwurm.
- Ausgenutzt wurde eine SMBv1-Sicherheitslücke in älteren Windows-Systemen.
- Der Angriff betraf innerhalb weniger Tage mehr als 200.000 Rechner in über 150 Ländern.
- Ein aktueller Patch, deaktiviertes SMBv1 und eine getrennte Datensicherung hätten viele Schäden verhindert.
- Bei einem Verdacht sollte man das Gerät sofort vom Netzwerk trennen und kein Lösegeld überweisen.
Was WannaCry so gefährlich machte
WannaCry war keine gewöhnliche Schadsoftware, die nur durch einen unbedachten Klick auf einen E-Mail-Anhang aktiv wurde. Das Programm kombinierte Ransomware, also Erpressungssoftware, mit einem Computerwurm, der verwundbare Systeme automatisch im Netzwerk suchte.
Nach der Infektion verschlüsselte die Malware zahlreiche Dateien und zeigte eine Lösegeldforderung an. Bezahlt werden sollte meist in Bitcoin. Eine Zahlung versprach allerdings weder eine funktionierende Entschlüsselung noch die Rückkehr zu einem sicheren System.
Der entscheidende Unterschied zu vielen späteren Angriffen lag in der schnellen Ausbreitung. Ein betroffener Rechner konnte weitere Windows-Systeme angreifen, ohne dass dort jemand eine Datei öffnen musste. Genau deshalb waren auch Krankenhäuser, Produktionsanlagen, Transportunternehmen und Anzeigesysteme gefährdet.
Die Zahlen zur Ausbreitung unterscheiden sich je nach Zählweise. Seriöse Behörden sprechen von mehr als 200.000 betroffenen Windows-Rechnern in über 150 Ländern. Für mich ist dabei weniger die exakte Zahl entscheidend als die Ursache dahinter: Ein längst verfügbares Sicherheitsupdate war auf vielen Systemen nicht installiert.
Wie der Angriff technisch ablief
Die Schwachstelle in SMBv1
WannaCry nutzte eine Sicherheitslücke im alten Windows-Protokoll SMBv1. SMB steht für Server Message Block und wird unter Windows unter anderem für Datei- und Druckerfreigaben verwendet. Das Problem entstand, wenn ein verwundbarer SMB-Dienst von außen oder aus einem unsicheren internen Netzwerk erreichbar war.
Der dafür verwendete Exploit wurde unter dem Namen EternalBlue bekannt. Microsoft hatte die Sicherheitslücke bereits mit dem Bulletin MS17-010 geschlossen, doch viele Organisationen hatten den Patch nicht rechtzeitig getestet oder eingespielt. Veraltete Systeme, komplizierte Freigabeprozesse und fehlende Inventarlisten verstärkten das Problem.
Vom ersten Rechner zum ganzen Netzwerk
Nach dem Eindringen suchte die Malware nach weiteren Systemen mit offenem oder erreichbarem SMB-Dienst. Verwundbare Rechner konnten dadurch ohne Benutzerinteraktion infiziert werden. In einem schlecht segmentierten Firmennetz wurde aus einem einzelnen Vorfall schnell ein flächendeckender Ausfall.
Ein Internetanschluss allein machte ein Gerät nicht automatisch schutzlos. Kritisch wurde es, wenn der entsprechende Dienst direkt aus dem Internet erreichbar war oder sich bereits ein infizierter Rechner im lokalen Netzwerk befand. Ein Router kann eingehende Verbindungen filtern, aber er ersetzt weder Updates noch eine saubere Netzwerktrennung.
Der sogenannte Kill Switch
Eine frühe Version von WannaCry prüfte beim Start, ob eine bestimmte Domain erreichbar war. Ein Sicherheitsforscher registrierte diese Domain, woraufhin sich die Ausbreitung der bekannten Variante deutlich verlangsamte. Dieser Mechanismus wird oft als Kill Switch bezeichnet.
Das war jedoch keine allgemeine Entschärfung. Andere Varianten konnten die Prüfung verändern oder entfernen. Wer daraus ableitet, dass WannaCry durch eine einzelne Domain dauerhaft besiegt wurde, unterschätzt das eigentliche Risiko. Entscheidend waren und bleiben geschlossene Sicherheitslücken und eine schnelle Reaktion.
Welche Folgen der Ausbruch in Deutschland hatte
Deutschland blieb nicht verschont. Öffentlich sichtbar wurden unter anderem Störungen bei Anzeigetafeln der Deutschen Bahn. Die betroffenen Systeme zeigten teilweise die Erpressermeldung, während der eigentliche Bahnbetrieb nicht überall gleichermaßen beeinträchtigt war.
International waren die Folgen deutlich schwerwiegender. Im britischen Gesundheitswesen mussten Termine und Operationen abgesagt werden, weil Computersysteme und medizinische Abläufe nicht zuverlässig verfügbar waren. Auch Produktionsunternehmen und Telekommunikationsanbieter waren betroffen.
Der Vorfall zeigte eine Schwäche, die ich bei Sicherheitsvorfällen immer wieder als besonders kritisch bewerte: Organisationen schützen oft die wichtigsten Server, vergessen aber alte Arbeitsplätze, Steuerungsrechner oder Spezialgeräte. Gerade solche Systeme laufen häufig mit veralteten Windows-Versionen, weil ein Austausch teuer ist oder die darauf installierte Fachsoftware keine moderne Umgebung unterstützt.
| Bereich | Typisches Risiko | Praktische Lehre |
|---|---|---|
| Privathaushalt | Veralteter PC, ungesicherte Dateien | Updates und getrennte Backups einrichten |
| Kleine Unternehmen | Flaches Netzwerk ohne Trennung | Arbeitsplätze, Server und Gastgeräte segmentieren |
| Industrie und Medizin | Legacy-Systeme mit langen Austauschzyklen | Virtuelle Patches, Zugriffsbeschränkungen und Notfallpläne nutzen |
| Öffentliche Einrichtungen | Viele Systeme und uneinheitliche Patchstände | Inventar, Verantwortlichkeiten und regelmäßige Tests festlegen |
Was 2026 gegen ähnliche Angriffe schützt
Der ursprüngliche WannaCry-Ausbruch ist ein historisches Ereignis, aber die zugrunde liegenden Fehler sind nicht verschwunden. Auch 2026 können ungepatchte oder schlecht abgesicherte Systeme zum Einstiegspunkt für Ransomware werden. Moderne Angriffe nutzen oft andere Wege, doch das Grundmuster bleibt ähnlich.
Updates konsequent organisieren
Windows, Browser, Router, NAS-Systeme und Sicherheitssoftware sollten automatisch oder nach einem festen Wartungsplan aktualisiert werden. In Unternehmen genügt es nicht, auf einzelnen Rechnern nachzusehen. Ich würde einen zentralen Patch-Überblick führen, der auch Geräte erfasst, die selten genutzt werden oder nicht direkt am Arbeitsplatz stehen.
SMBv1 sollte deaktiviert werden, sofern es nicht ausnahmsweise für eine alte Anwendung benötigt wird. Besteht eine solche Abhängigkeit, sollte das Gerät zumindest isoliert und nicht direkt aus dem Internet erreichbar sein. Eine Übergangslösung ist kein Ersatz für die Ablösung des veralteten Systems.
Backups richtig aufbauen
Eine Datensicherung hilft nur, wenn sie während des Angriffs nicht ebenfalls verschlüsselt wird. Sinnvoll ist die 3-2-1-Regel mit drei Kopien, zwei unterschiedlichen Speichermedien und mindestens einer Kopie außerhalb des laufenden Netzwerks.
Cloud-Synchronisation ist nicht automatisch ein Backup. Werden verschlüsselte Dateien synchronisiert, können sie sich auch in der Cloud verbreiten. Deshalb sollten wichtige Sicherungen versioniert, zugriffsgeschützt und regelmäßig durch eine echte Wiederherstellung getestet werden.
Lesen Sie auch: Rootkits erkennen und entfernen: Was bei Verdacht hilft
Netzwerke und Zugriffe begrenzen
Ein Heimnetz sollte IoT-Geräte, Gäste und wichtige Computer möglichst getrennt behandeln. Im Unternehmen gehören Server, Arbeitsplätze, Backup-Systeme und Administrationskonten nicht in denselben frei erreichbaren Netzwerkbereich.
- Port 445 nicht unnötig aus dem Internet erreichbar machen.
- Administrationsrechte nur vergeben, wenn sie wirklich benötigt werden.
- Mehrfaktor-Authentifizierung für wichtige Konten aktivieren.
- Backups mit eigenen Zugangsdaten und möglichst getrennten Berechtigungen schützen.
- Alte Windows-Systeme inventarisieren und ihre Ablösung verbindlich planen.
Antivirensoftware bleibt sinnvoll, aber ich verlasse mich nicht allein darauf. Sie kann bekannte Varianten erkennen und verdächtige Prozesse stoppen, doch ein ungeschütztes System mit einer offenen Schwachstelle bleibt grundsätzlich ein unnötiges Risiko.
Was bei einem Verdacht sofort zu tun ist
Wenn Dateien plötzlich unlesbar sind, eine Lösegeldforderung erscheint oder mehrere Rechner gleichzeitig auffällig werden, zählt zuerst die Eindämmung. Das betroffene Gerät sollte sofort vom Netzwerk getrennt werden, also per Netzwerkkabel, WLAN und gegebenenfalls über den Switch.
- Betroffene Rechner isolieren und Freigaben vorübergehend sperren.
- Keine verdächtigen Dateien öffnen und keine Lösegeldzahlung veranlassen.
- IT-Verantwortliche, Datenschutzstelle oder einen spezialisierten Incident-Response-Dienst informieren.
- Logs, Erpressernachricht und verdächtige Dateien sichern, sofern dies ohne weitere Schäden möglich ist.
- Anzeige bei der Polizei erstatten und die Wiederherstellung erst nach der Ursachenanalyse beginnen.
Ein vorschneller Neustart oder das wahllose Löschen von Dateien kann forensische Spuren beseitigen. Privatnutzer sollten deshalb nicht stundenlang selbst experimentieren, wenn wichtige persönliche Daten betroffen sind. Besser ist es, das Gerät zu isolieren und fachkundige Hilfe einzuschalten.
Vom Bezahlen rate ich ab. Bei WannaCry war die Zahlungs- und Entschlüsselungslogik teilweise fehlerhaft, und auch bei moderner Ransomware gibt es keine verlässliche Garantie, dass Kriminelle tatsächlich einen funktionierenden Schlüssel liefern. Selbst nach einer Entschlüsselung bleibt unklar, ob das System noch manipuliert ist.
Was von WannaCry im Jahr 2026 bleibt
WannaCry war nicht deshalb so erfolgreich, weil jede Sicherheitsmaßnahme versagt hätte. Der Angriff traf vor allem auf ungepatchte, erreichbare und schlecht segmentierte Systeme. Genau diese Kombination sollten private Haushalte, Unternehmen und öffentliche Einrichtungen heute regelmäßig überprüfen.
Meine wichtigste Empfehlung ist deshalb schlicht, aber wirkungsvoll. Halten Sie Systeme aktuell, deaktivieren Sie alte Protokolle, trennen Sie kritische Geräte voneinander und testen Sie Ihre Backups. Ein schneller Internetanschluss schützt nicht vor Ransomware, ein gut gepflegtes Netzwerk mit vorbereiteter Wiederherstellung dagegen sehr viel besser.
