Ransomware: Wie Erpresser in Netzwerke kommen.

Der Hollywood-Hacker, der sich in Sekunden “durchbricht”, hat mit der Realität wenig zu tun. Typische Ransomware-Angriffe sind Fließbandarbeit in vier Phasen:

1. Der Einstieg: Eine Phishing-Mail mit präpariertem Anhang, ein erratenes oder gestohlenes Passwort für einen Fernzugang, eine ungepatchte Sicherheitslücke in einem von außen erreichbaren System. Unspektakulär, aber es reicht.

Auffällig dabei: Alle drei Wege sind seit Jahren dieselben, und alle drei sind mit Standard-Maßnahmen zu schließen. Ransomware-Gruppen arbeiten wirtschaftlich, sie nehmen die offene Tür, nicht die Wand. 2. Das Umsehen: Die Angreifer bewegen sich oft tage- oder wochenlang unbemerkt durchs Netz, sammeln Zugangsdaten, verschaffen sich Administratorrechte und suchen gezielt: Wo liegen die wichtigen Daten, und wo liegen die Backups? 3. Der Datenabfluss: Bevor verschlüsselt wird, werden Daten kopiert. Die Drohung mit Veröffentlichung ist das zweite Erpressungsmittel, falls das Opfer aus Sicherungen wiederherstellen kann. 4. Der Schlag: Meist nachts oder am Wochenende wird verschlüsselt, inklusive aller erreichbaren Sicherungen. Am Morgen steht auf jedem Bildschirm die Forderung.

Angreifer löschen zuerst die Backups, dann verschlüsseln sie. Wer seine Sicherung im selben Netz mit denselben Zugangsdaten betreibt, hat in dieser Rechnung keine Sicherung.

Die Zahlen sprechen eine klare Sprache, und sie widerlegen den beliebtesten Irrtum der IT-Sicherheit: “Wir sind zu klein, um interessant zu sein.” Das Gegenteil stimmt. Kleine Betriebe und Verwaltungen sind interessant, gerade weil dort seltener jemand hauptamtlich auf die IT schaut, Systeme länger ungepatcht laufen und der Druck im Ernstfall enorm ist: Ein Betrieb, dessen Aufträge stehen, und ein Rathaus, das keine Bürgerdienste mehr leisten kann, sollen schnell zahlen.

Der Sophos-Report “State of Ransomware 2025” zeigt die Folgen: Weltweit zahlten 46 Prozent der betroffenen Unternehmen Lösegeld, in Deutschland sogar 63 Prozent. Die durchschnittlichen Wiederherstellungskosten lagen hierzulande bei rund 1,5 Millionen US-Dollar, und das ohne Garantie, dass nach der Zahlung alles zurückkommt. Bemerkenswert ist eine zweite Zahl aus demselben Report: Nur 59 Prozent der deutschen Betroffenen stellten ihre Daten aus Backups wieder her, der niedrigste Wert seit Jahren. Anders gesagt: Vier von zehn hatten im Ernstfall keine brauchbare Sicherung.

Gegen ein Fließband hilft kein einzelnes Wundermittel, sondern mehrere Schichten, von denen jede einen Teil der Angriffe stoppt:

• E-Mail-Filterung mit Sandbox: Der häufigste Einstieg wird entschärft, bevor jemand klicken kann. Wie das funktioniert, steht im Beitrag über E-Mail-Sicherheit gegen Phishing.
• Eine gepflegte Firewall mit Angriffserkennung und ohne vergessene Fernzugänge, siehe Was eine moderne Firewall können muss.
• Updates mit System: Das BSI registriert im Schnitt 119 neue Sicherheitslücken pro Tag. Patchen ist keine Kür, sondern Wettlauf.
• Getrennte Netze und sparsame Rechte: Wer nicht alles darf, kann nicht alles verschlüsseln. Segmentierung begrenzt den Schaden.
• Backups nach der 3-2-1-Regel: drei Kopien, zwei Medien, eine außer Haus, davon eine unveränderbar. Und regelmäßig geprobt, sonst ist sie nur eine Hoffnung.

Genau dieses Schichtenmodell bauen wir mit unserer Leistung Backup & IT-Sicherheit für Betriebe und Kommunen der Region auf, abgestuft nach dem, was die Umgebung wirklich braucht.

Zwischen Einstieg und Verschlüsselung liegen oft Tage bis Wochen, und genau dieses Fenster ist die Chance der Verteidiger. Warnzeichen, die ernst genommen gehören:

• Der Virenschutz meldet sich ab: Deaktivierte Schutzsoftware auf einzelnen Rechnern ist ein Alarmsignal erster Güte. Angreifer räumen vor dem Schlag die Wachen aus dem Weg.
• Neue Administrator-Konten, die niemand angelegt haben will, oder Anmeldungen zu unüblichen Zeiten von unüblichen Orten.
• Gelöschte Schattenkopien und Sicherungspunkte: Ein häufiger Vorbereitungsschritt, der im Alltag niemandem auffällt, im Monitoring aber sofort sichtbar ist.
• Ungewöhnlicher Datenverkehr nach außen, etwa nachts, wenn der Datenabfluss läuft.

Einzeln kann jedes dieser Zeichen harmlos sein. Zusammen erzählen sie eine Geschichte, und wer sein Netz überwachen lässt, bekommt diese Geschichte erzählt, bevor sie ihr Finale erreicht. Genau das leistet Monitoring im Wartungsvertrag: Es macht aus dem stillen Wochen-Fenster der Angreifer ein Frühwarnsystem für den Verteidiger.

Ein paar Grundsätze für den Fall der Fälle: Betroffene Systeme vom Netz trennen, aber nicht ausschalten (Spuren!), Fachleute und je nach Lage die Polizei einschalten, nicht vorschnell zahlen und nichts überstürzt neu installieren, bevor der Einstiegsweg gefunden ist, sonst steht der Angreifer nächste Woche wieder im Netz. Und weil bei fast jedem Ransomware-Fall auch personenbezogene Daten betroffen sind, läuft parallel die 72-Stunden-Uhr der DSGVO-Meldepflicht, mehr dazu im Beitrag Datenpanne: Die ersten 72 Stunden.

Der beste Zeitpunkt, sich mit Ransomware zu beschäftigen, ist vor dem Vorfall. Wir prüfen Ihre Schutzschichten und Ihre Wiederherstellung, ehrlich und ohne Panikverkauf. Erstgespräch anfragen.

Übrigens verlangen inzwischen auch Cyber-Versicherer genau diese Hausaufgaben: Wer eine Police abschließen oder bezahlbar halten will, muss getrennte Backups, Zwei-Faktor-Anmeldung und gepflegte Systeme nachweisen. Die Schutzschichten gegen Ransomware sind damit doppelt wertvoll, sie senken das Risiko und die Prämie.