Ein Klick genügt. Dann sind alle Dateien verschlüsselt, die Produktion steht, und am Bildschirm erscheint eine Lösegeldforderung. Genau das richtet Ransomware an. Der Begriff meint Schadsoftware, die Ihre Daten sperrt und Geld für die Freigabe verlangt. Für ein KMU ist das kein IT-Problem am Rand. Vielmehr ist es eine akute Bedrohung fürs Geschäft. Denn ein einziger Angriff kann tagelangen Stillstand bedeuten.
Dieser Beitrag erklärt Ransomware von Grund auf. Zunächst zeigt er, wie ein Angriff technisch abläuft. Danach geht es um die Kosten für ein Unternehmen. Zum Schluss um konkrete Schutzmaßnahmen und das richtige Verhalten im Ernstfall. Das Ziel ist ein klarer Plan statt Bauchgefühl. Also eine Grundlage, mit der Sie Ihr Unternehmen absichern können.
Was Ransomware ist und wie sie wirkt
Ransomware ist Schadsoftware. Sie verschlüsselt Daten und verlangt für die Freigabe Geld. Der Name kommt aus dem Englischen. "ransom" heißt Lösegeld, "software" die Software. Deshalb spricht man auch von einem Erpressungstrojaner. Zunächst dringt das Programm ins Netzwerk ein. Danach verschlüsselt es Dateien und oft ganze Server. Am Ende steht eine Forderung. Meist in einer Kryptowährung.
Das Prinzip ist alt, die Wucht ist neu. Rund 95 Prozent der Angriffe zielen auf Unternehmen. Das zeigt die Initiative onlinesicherheit.gv.at. Privatpersonen sind seltener das Ziel. Der Grund ist einfach. Betriebe können mehr zahlen und hängen stärker von ihren Daten ab. Somit macht sie das zu lohnenden Zielen.
Ein Alltagsbeispiel
Stellen Sie sich einen Montagmorgen vor. Eine Mitarbeiterin öffnet eine Rechnung im Anhang. Die sieht echt aus, kommt aber von Kriminellen. Mit dem Klick startet die Schadsoftware im Hintergrund. Bis Mittag sind dann die Fileserver verschlüsselt. Aufträge und Kundendaten sind gesperrt. Der Betrieb steht still. So beginnt ein typischer Vorfall in einem KMU.
Verwandt, aber nicht dasselbe
Ransomware ist eine Unterart von Schadsoftware. Sie gehört zur großen Familie der Malware und ihrer Arten. Verwandt sind etwa Trojaner, die Türen öffnen. Ebenso zählt eine versteckte Backdoor für späteren Zugriff dazu. Oft arbeiten diese Werkzeuge zusammen. Ein Trojaner schleust die Erpressungssoftware ein. Deshalb hilft nur ein Schutz, der die gesamte Kette betrachtet. Zudem greifen die Werkzeuge oft ineinander. Wie das gelingt, klären wir in unserer Cybersicherheit für KMU.
Wie ein Ransomware-Angriff abläuft
Ein Ransomware-Angriff folgt fast immer demselben Muster. Er besteht aus drei Phasen. Zunächst der Initialzugang. Danach die Ausbreitung und Verschlüsselung. Zum Schluss die Erpressung. Wer die Phasen kennt, erkennt die Ansatzpunkte für Abwehr. Denn jede Phase bietet eine Chance, den Angriff zu stoppen.
Phase eins: der Initialzugang
Am Anfang steht der Einbruch ins Netzwerk. Der häufigste Weg ist eine Phishing-Mail mit Anhang oder Link. Ebenso gefährlich sind gestohlene Zugangsdaten. Kriminelle kaufen solche Daten. Ebenso erraten sie schwache Passwörter per Brute-Force-Angriff. Zudem dienen ungepatchte Systeme als Tür. Immer öfter kommen Angreifer ganz ohne Schadcode aus. Sie melden sich einfach mit gültigen Daten an.
Phase zwei: Ausbreitung und Verschlüsselung
Nach dem Einbruch bewegen sich die Täter durchs Netz. Zudem suchen sie hohe Rechte und wertvolle Daten. Oft bleiben sie tagelang unbemerkt. Dabei stehlen sie zuerst eine Kopie der Daten. Erst danach startet die Verschlüsselung. Meist nachts oder am Wochenende. So bleibt wenig Zeit zum Eingreifen. Am Morgen sind Server und Backups betroffen. Zumindest, wenn diese erreichbar waren.
Phase drei: die doppelte Erpressung
Moderne Ransomware setzt auf doppelte Erpressung. Zunächst fordern die Täter Geld für den Entschlüsselungsschlüssel. Danach drohen sie, die gestohlenen Daten zu veröffentlichen. Diese Masche ist heute die Regel. Laut Auswertungen trifft sie auf rund 88 Prozent der Fälle zu. Der Druck steigt damit enorm. Denn selbst ein sauberes Backup schützt nicht vor der Veröffentlichung. Folglich reicht Vorsorge allein am Speicher nicht aus. Genau deshalb ist Vorsorge so wichtig. Wie ein Vorfall abläuft, zeigt zudem unser Beitrag zu den Arten von Cyber-Angriffen.
Ein Wort zum Geschäftsmodell dahinter. Ransomware wird heute als Dienst angeboten. Kriminelle mieten die Software und teilen die Beute. Man nennt das Ransomware-as-a-Service. Dadurch können auch technisch schwache Täter angreifen. Die Zahl der Angriffe steigt entsprechend. Der europäische Threat Landscape der ENISA zählt Ransomware seit Jahren zur Top-Bedrohung.
Auffällig ist die Arbeitsteilung dahinter. Sogenannte Zugangs-Broker brechen ein und verkaufen den Zugang weiter. Andere Gruppen kümmern sich um die Verschlüsselung und die Erpressung. Somit werden die Angriffe schneller und professioneller. Zudem verschiebt sich das Zeitfenster. Zwischen Einbruch und Angriff liegen oft nur Stunden statt Tage. Deshalb zählt eine frühe Erkennung so viel. Wer verdächtige Anmeldungen sofort bemerkt, kann den Angriff noch stoppen. Genau hier setzt eine gute Überwachung an.
Was ein Angriff ein KMU kostet
Ein Ransomware-Angriff kostet ein KMU weit mehr als das Lösegeld allein. Der Schaden setzt sich aus vier Blöcken zusammen. Nämlich Stillstand, Wiederaufbau, Datenverlust und Rufschaden. Jeder davon trifft anders. Jeder Block trifft anders. Zusammen aber können sie existenzbedrohend sein. Deshalb hilft ein nüchterner Blick auf die Zahlen. Deshalb lohnt der nüchterne Blick auf die Zahlen.
Betriebsstillstand als größter Posten
Der teuerste Faktor ist meist der Stillstand. Die Ausfallzeit nach einem Angriff liegt im Schnitt bei 24 Tagen. So lange ruht oft der Kernbetrieb. Für einen Produktionsbetrieb heißt das: Die Maschinen stehen still. Ein Dienstleister wiederum kann keine Aufträge abwickeln. Jeder dieser Tage kostet Umsatz und Vertrauen. Ein solider Notfallmanagement- und BCM-Ansatz verkürzt genau diese Zeit.
Lösegeld und Wiederaufbau
Die Lösegeldforderungen sind hoch. Für kleine Betriebe reichen sie von einigen tausend bis in die Millionen. Doch selbst wer zahlt, ist nicht am Ende. Denn danach folgt der Wiederaufbau der Systeme. Man setzt Server neu auf. Zudem prüft man Daten und schließt Lücken. Diese Kosten übersteigen oft das Lösegeld selbst. In Österreich zahlt laut Studien rund jedes vierte betroffene Unternehmen. Das ist ein hoher Anteil.
| Kostenblock | Was dahintersteckt | Wirkung auf ein KMU |
|---|---|---|
| Betriebsstillstand | Produktion und Auftragsabwicklung ruhen. Im Schnitt rund 24 Tage. | Höchster Einzelposten. Direkter Umsatzverlust. |
| Lösegeld | Forderung für den Schlüssel zum Entsperren. | Von wenigen tausend bis in Millionenhöhe. |
| Wiederaufbau | Neuaufbau der Systeme. Analyse und Absicherung. | Übersteigt oft das Lösegeld selbst. |
| Datenveröffentlichung | Leak gestohlener Kunden- und Geschäftsdaten. | DSGVO-Meldepflicht. Rufschaden. Kundenverlust. |
Datenschutz und Rufschaden
Bei einer doppelten Erpressung kommt der Datenschutz ins Spiel. Werden personenbezogene Daten gestohlen, greift die DSGVO. Dann müssen Sie den Vorfall binnen 72 Stunden melden. Wie das geht, lesen Sie im Beitrag zur Datenpanne-Meldung in 72 Stunden. Hinzu kommt der Rufschaden. Kunden verlieren Vertrauen, wenn ihre Daten im Netz landen. Dieser Schaden wirkt lange nach. Eine Cyberversicherung deckt einen Teil der Kosten ab, ersetzt aber keine Vorsorge.
Ein Rechenbeispiel macht die Größenordnung greifbar. Ein Handwerksbetrieb mit 40 Beschäftigten steht zehn Tage still. Bei einem Tagesumsatz von 20.000 Euro sind das allein 200.000 Euro Ausfall. Dazu kommen Überstunden, externe IT-Hilfe und der Neuaufbau. Somit summiert sich der Schaden rasch. Am Ende sprengt er oft die Rücklagen. Deshalb sprechen Fachleute bei Ransomware von einem existenzbedrohenden Risiko. Für einen kleinen Betrieb kann ein einziger Angriff das Aus bedeuten. Deshalb lohnt sich jeder Euro in die Vorsorge.
So schützen Sie Ihr Unternehmen
Der beste Schutz vor Ransomware ist eine Kombination weniger Maßnahmen. Kein Einzelwerkzeug reicht aus. Zusammen jedoch senken fünf Bausteine das Risiko drastisch. Nämlich Backup, Patch-Management, Zugangsschutz, Segmentierung und Awareness. Wer diese fünf umsetzt, macht sich zum unattraktiven Ziel. Denn Kriminelle suchen den leichten Weg. Stattdessen ziehen sie zur nächsten, schlechter geschützten Firma weiter.
Backup nach der 3-2-1-Regel
Ein gutes Backup ist die wichtigste Versicherung. Die 3-2-1-Regel gibt den Rahmen vor. Halten Sie zunächst drei Kopien Ihrer Daten. Zudem speichern Sie diese auf zwei Medien. Ebenso bewahren Sie eine Kopie außer Haus und offline auf. Genau diese offline Kopie rettet Sie. Denn Ransomware kann nur verschlüsseln, was sie erreicht. Somit bleibt die getrennte Sicherung unberührt. Testen Sie zudem die Wiederherstellung regelmäßig. Andernfalls ist ein Backup, das sich nicht zurückspielen lässt, im Ernstfall wertlos.
Patchen, MFA und Segmentierung
Schließen Sie bekannte Lücken schnell. Denn ein zügiges Patch-Management nimmt Angreifern die einfachste Tür. Aktivieren Sie zudem einen zweiten Faktor beim Login. Eine Zwei-Faktor-Authentifizierung stoppt gestohlene Passwörter. Außerdem trennen Sie Ihr Netz in Zonen. Diese Netzwerksegmentierung verhindert, dass sich ein Angriff frei ausbreitet. Somit bleibt ein Vorfall auf einen Bereich beschränkt. Weitere Schritte finden Sie in unserem Beitrag zur IT-Härtung.
Der Faktor Mensch
Viele Angriffe starten mit einer E-Mail. Deshalb ist geschultes Personal ein zentraler Schutz. Awareness-Trainings helfen, Phishing zu erkennen. Zudem lernt Ihr Team, verdächtige Anhänge zu hinterfragen. Wie Angreifer den Menschen ausnutzen, erklärt der Beitrag zum Faktor Mensch. Regelmäßige Security-Awareness-Maßnahmen halten das Wissen frisch. Andernfalls verpufft eine einmalige Schulung schnell. Konkrete Empfehlungen zum Schutz liefert auch das deutsche BSI. Ob die Maßnahmen greifen, prüft ein IT-Security-Audit.
Erkennen, bevor es zu spät ist
Neben der Abwehr zählt die frühe Erkennung. Denn kein Schutz hält jeden Angriff ab. Achten Sie zudem auf Warnzeichen im Betrieb. Dazu zählen ungewöhnliche Anmeldungen zu untypischen Zeiten. Ebenso plötzlich langsame Systeme oder deaktivierte Virenschutz-Dienste. Auch neue, unbekannte Konten mit hohen Rechten sind ein Alarm. Eine zentrale Protokollierung macht solche Muster sichtbar. Somit bemerken Sie einen Angriff in der Ausbreitungsphase. Genau dort lässt er sich noch aufhalten. Also bevor die Verschlüsselung startet.
Der Ernstfall: richtig reagieren
Trifft es Sie trotz Vorsorge, zählt jede Minute. Falsche Schritte machen den Schaden größer. Deshalb sollten Sie den Ablauf vorher kennen. Zunächst hilft ein klarer Notfallplan. Ein Notfallplan gibt die Reihenfolge vor. Somit unterscheidet er einen kontrollierten Vorfall von einer Panik. Genau darum gehört er in jedes KMU.
Die ersten Schritte
Trennen Sie betroffene Geräte zuerst vom Netz. Somit stoppen Sie die Ausbreitung. Fahren Sie die Systeme aber nicht vorschnell herunter. Andernfalls gehen wichtige Spuren verloren. Danach informieren Sie die Geschäftsführung und Ihr IT-Team. Dokumentieren Sie zudem alles, was Sie sehen. Ziehen Sie früh externe Hilfe hinzu. Die genaue Reihenfolge steht in unserem Leitfaden Cyberangriff: Was Sie in den ersten Stunden tun müssen.
Nicht zahlen und CERT.at einschalten
Zahlen Sie das Lösegeld nach Möglichkeit nicht. Dafür gibt es drei klare Gründe. Erstens gibt es keine Garantie für einen funktionierenden Schlüssel. Zweitens finanziert jede Zahlung das nächste Verbrechen. Drittens bleiben Sie ein bekanntes, zahlungswilliges Ziel. Melden Sie den Vorfall stattdessen der zuständigen Stelle. In Österreich ist CERT.at die zentrale Anlaufstelle für Unternehmen. Ebenso hilft die Cyber-Security-Hotline der Wirtschaftskammer im akuten Fall. Zudem geben diese Stellen rasche, herstellerunabhängige Orientierung.
Vorbereitung entscheidet
Wer im Ernstfall improvisiert, verliert Zeit. Deshalb lohnt sich eine gezielte Vorbereitung. Zunächst klären Sie Rollen und Abläufe. Wie Sie Ihr Unternehmen konkret aufstellen, zeigt unser Beitrag zur Ransomware Readiness in fünf Schritten. Dort geht es um Rollen, Abläufe und einen getesteten Wiederanlauf. Ergänzend hilft ein IT-Notfallplan mit klaren Zuständigkeiten. So wird aus einem chaotischen Vorfall ein geübter Ablauf.
Ransomware im Gesamtbild der Sicherheit
Ransomware ist kein isoliertes Problem. Sie ist der sichtbare Höhepunkt vieler kleiner Lücken. Deshalb wirkt punktueller Schutz selten dauerhaft. Vielmehr hilft nur ein geordnetes System dauerhaft. Genau das leistet ein Informationssicherheits-Managementsystem. Es bündelt Technik, Prozesse und Menschen zu einem Ganzen.
Vom Einzelschutz zum System
Ein ISMS nach ISO 27001 ordnet die Schutzmaßnahmen. Es sorgt dafür, dass Backups laufen. Zudem stimmen die Rechte und Vorfälle werden gemeldet. Der Abwehrschirm gegen Ransomware entsteht so nicht zufällig. Stattdessen wird er geplant, geprüft und verbessert. Damit deckt ein ISMS zugleich viele Pflichten aus NIS2 ab. Wer beides zusammendenkt, spart Aufwand.
Wie SecTec dabei unterstützt
SecTec begleitet KMU auf diesem Weg als herstellerunabhängige Beratung. Zuerst prüfen wir Ihre Lage in einem IT-Security-Audit. Dabei finden wir die Lücken. Genau diese nutzt Ransomware aus. Danach priorisieren wir gemeinsam die Maßnahmen. Somit investieren Sie zuerst dort, wo der Schutz am meisten bringt. Zudem helfen wir beim Aufbau der Backups. Ebenso bei Segmentierung und Notfallplänen.
Fehlt intern das Know-how, springen wir ein. Als externer CISO steuern wir Ihre Sicherheit dauerhaft. Zudem stärken wir Ihr Team mit Awareness-Maßnahmen gegen Phishing. Unser Ziel ist ein Schutz, den Sie auch nach dem Projekt selbst tragen. Zunächst klärt ein erstes Gespräch Ihren Bedarf. Nehmen Sie dazu einfach Kontakt mit uns auf. So machen Sie den ersten Schritt weg vom Zufallsschutz.
Häufig gestellte Fragen
Was ist Ransomware einfach erklärt?
Ransomware ist Schadsoftware, die Ihre Daten verschlüsselt und für die Freigabe Geld verlangt. Oft nennt man sie Erpressungstrojaner. Somit sperrt der Angriff Dateien und Server. Erst gegen ein Lösegeld sollen Sie den Schlüssel bekommen. Eine Garantie dafür gibt es jedoch nicht.
Sollte man das Lösegeld bei Ransomware zahlen?
Zahlen Sie nach Möglichkeit nicht. Es gibt keine Garantie für einen funktionierenden Schlüssel. Zudem finanziert jede Zahlung neue Angriffe. Ebenso markiert sie Sie als lohnendes Ziel. Melden Sie den Vorfall stattdessen bei CERT.at und ziehen Sie Fachleute hinzu.
Wie kommt Ransomware ins Unternehmen?
Der häufigste Weg ist eine Phishing-Mail mit Anhang oder Link. Ebenso gefährlich sind gestohlene oder schwache Passwörter. Zudem dienen ungepatchte Systeme als Tür. Immer öfter melden sich Täter einfach mit gültigen Zugangsdaten an, ganz ohne Schadcode.
Was kostet ein Ransomware-Angriff ein KMU?
Der größte Posten ist meist der Stillstand mit durchschnittlich rund 24 Tagen Ausfall. Hinzu kommen Lösegeld, Wiederaufbau und Rufschaden. Zudem reichen Forderungen für kleine Betriebe von einigen tausend bis in Millionenhöhe. Somit übersteigt der Gesamtschaden oft das Lösegeld.
Wie schützt ein Backup vor Ransomware?
Ein Offline-Backup nach der 3-2-1-Regel rettet Ihre Daten. Also drei Kopien, zwei Medien, eine davon außer Haus und getrennt vom Netz. Denn Ransomware kann nur verschlüsseln, was sie erreicht. Testen Sie die Wiederherstellung regelmäßig, sonst ist das Backup im Ernstfall wertlos.
Was ist doppelte Erpressung bei Ransomware?
Bei doppelter Erpressung fordern die Täter zweimal. Zunächst Geld für den Entschlüsselungsschlüssel. Danach drohen sie, die vorher gestohlenen Daten zu veröffentlichen. Zudem ist diese Masche heute die Regel. Deshalb schützt selbst ein sauberes Backup nicht vor dem Leak.
Muss ich einen Ransomware-Angriff melden?
Wenn personenbezogene Daten betroffen sind, greift die DSGVO. Dann melden Sie die Datenpanne binnen 72 Stunden der Datenschutzbehörde. Zudem ist CERT.at die technische Anlaufstelle. Betroffene NIS2-Einrichtungen haben eigene, kürzere Meldefristen zu beachten.
Fazit: Vorsorge schlägt Lösegeld
Ransomware trifft heute vor allem Unternehmen, und zunehmend auch KMU. Ein Angriff verschlüsselt Daten, erpresst Lösegeld und droht mit Veröffentlichung. Der Schaden reicht von tagelangem Stillstand bis zum Rufverlust. Dennoch ist die Bedrohung beherrschbar. Wer Backups, Patches, MFA, Segmentierung und Awareness kombiniert, senkt sein Risiko drastisch. Im Ernstfall gilt: Geräte trennen, nicht vorschnell zahlen und CERT.at einschalten.
Der beste Zeitpunkt für Vorsorge ist vor dem Angriff. Denn nach dem Angriff sind die Optionen teuer und knapp. Somit zahlt sich jeder frühe Schritt aus. SecTec unterstützt Sie dabei, die richtigen Maßnahmen in der richtigen Reihenfolge umzusetzen. Vereinbaren Sie ein unverbindliches Erstgespräch und machen Sie Ihr Unternehmen widerstandsfähig gegen Ransomware.
SecTec begleitet Sie dabei. Herstellerunabhängig und mit Blick auf das Ganze. Jetzt Erstgespräch vereinbaren