Ransomware

Ransomware ist Schadsoftware, die Daten verschlüsselt oder stiehlt und für Entschlüsselung oder Nichtveröffentlichung Lösegeld fordert – heute meist als mehrstufiger, manuell gesteuerter Angriff.

Ransomware ist Schadsoftware, die den Zugriff auf Daten oder Systeme blockiert – meist durch Verschlüsselung – und für die Freigabe ein Lösegeld („ransom“) verlangt. Was vor zehn Jahren ein automatisierter Massenangriff per E-Mail-Anhang war, ist heute ein arbeitsteiliges Geschäftsmodell: Gruppen entwickeln die Software, bieten sie als Dienstleistung an (Ransomware-as-a-Service), kaufen Zugänge bei Initial Access Brokern ein und verhandeln über eigene Portale mit den Betroffenen.

Die Zahlen belegen die Relevanz: Der BSI-Lagebericht 2025 nennt Ransomware die größte Bedrohung für Unternehmen und Behörden. Laut Verizon DBIR 2026 war Ransomware an 48 Prozent der untersuchten Sicherheitsverletzungen beteiligt; laut Bitkom Wirtschaftsschutz 2026 meldeten 25 Prozent der deutschen Unternehmen einen Ransomware-Angriff. In MITRE ATT&CK gehört die Verschlüsselung zur Taktik Impact („Data Encrypted for Impact“, T1486), häufig kombiniert mit dem Unbrauchbarmachen von Wiederherstellungsoptionen („Inhibit System Recovery“, T1490).

So funktioniert es

Ein moderner Ransomware-Angriff ist kein einzelnes Ereignis, sondern eine Kette über Tage oder Wochen. Für Verteidiger ist das die gute Nachricht: Jede Stufe bietet eine Chance zur Erkennung.

1. Erstzugriff: Über Phishing, ungepatchte Fernzugänge, gestohlene Zugangsdaten oder gekaufte Zugänge. Laut Mandiant M-Trends 2026 gingen 30 Prozent der Ransomware-Fälle auf eine vorherige Kompromittierung durch Dritte zurück.
2. Ausbreitung: Rechteausweitung und Lateral Movement bis zu administrativen Rechten; Backup-Systeme und zentrale Dateiablagen werden identifiziert.
3. Datenabfluss: Vertrauliche Daten werden kopiert, um zusätzlich mit Veröffentlichung drohen zu können („Double Extortion“). Manche Gruppen verzichten inzwischen ganz auf Verschlüsselung.
4. Verschlüsselung und Erpressung: Breit und zeitgleich, oft außerhalb der Arbeitszeiten; es folgen Lösegeldforderung, Verhandlung und Druck über Leak-Seiten.

Bedeutung für Unternehmen

Ransomware ist das Szenario, in dem sich alle Schwächen einer Organisation gleichzeitig zeigen: flache Netze, zu viele Admin-Rechte, ungetestete Backups, fehlende Erkennung und ein Notfallplan, der nur auf dem Papier existiert. Der Schaden entsteht weniger durch das Lösegeld als durch Betriebsstillstand, Wiederherstellung und Meldepflichten nach NIS2 und DSGVO.

Der häufigste Fehler, den wir sehen: Unternehmen investieren in Prävention am Perimeter, prüfen aber nie, was passiert, wenn ein Angreifer bereits im Netz ist. Eine Ransomware-Simulation spielt diese Kette kontrolliert durch – bis zur simulierten Verschlüsselung auf einem Testsystem – und zeigt, an welcher Stelle Erkennung und Reaktion gegriffen hätten.

Schutz und Prüfung

• Backups, die den Angriff überleben: 3-2-1-Regel, eine unveränderliche oder offline gelagerte Kopie, regelmäßige Wiederherstellungstests mit gemessener Dauer.
• Admin-Rechte begrenzen: Getrennte Admin-Konten, keine hochprivilegierte Anmeldung an Arbeitsplätzen, Tiering-Modell im Active Directory.
• Segmentierung: Backup-Infrastruktur, OT und zentrale Server in eigenen Zonen, damit sich ein Vorfall nicht automatisch auf das gesamte Netz ausweitet.
• Erkennung der Vorstufen: Alarme auf Massenlöschung von Schattenkopien, ungewöhnliche Datenabflüsse und Admin-Anmeldungen außerhalb der Arbeitszeit – die Verschlüsselung ist der letzte Schritt, nicht der erste.
• Notfallplan üben: Entscheidungswege, Kommunikation ohne E-Mail, Kontakte zu Behörden und Forensik. Unser Ratgeber Ransomware-Readiness in zehn Fragen hilft bei der Selbsteinschätzung.