Leistung · Ransomware-Simulation
Ransomware-Simulation: Der Ernstfall, bevor er eintritt
Laut Verizon DBIR 2025 war Ransomware an 44 Prozent aller untersuchten Sicherheitsverletzungen beteiligt, bei kleineren Unternehmen an 88 Prozent. Wir spielen den kompletten Ablauf einer Erpressergruppe durch – vom Erstzugang über Backups bis zur Verschlüsselung auf einem Testsystem – und zeigen, wo Sie den Angriff gestoppt hätten und wo nicht.
Worum es geht
Ransomware folgt einem Drehbuch – wir kennen es
Das BSI nennt Ransomware im Lagebericht 2025 die größte Bedrohung für Unternehmen und Verwaltung. Die Angriffe sind kein Zufall, sondern arbeitsteilige Dienstleistung: Initial Access Broker verkaufen Zugänge, Affiliates breiten sich aus, Verhandler erpressen. Laut Mandiant M-Trends 2026 stammen 30 Prozent der Ransomware-Vorfälle aus einer früheren, unentdeckten Kompromittierung.
Genau dieses Drehbuch spielen wir durch: Wir verschaffen uns Zugang (oder starten als Assumed Breach), weiten Rechte aus, suchen Backups und Domänencontroller, prüfen, ob sich Schutzlösungen abschalten lassen, testen den Datenabfluss mit markierten Dateien – und demonstrieren die Verschlüsselung ausschließlich auf einem Testsystem. Parallel beobachten wir, was Ihr Team davon mitbekommt.
Das Ergebnis ist eine konkrete Antwort auf die Frage, die jede Geschäftsführung stellt: Wären wir morgen erpressbar – und wie lange stünde der Betrieb still?
Das prüfen wir
- ErstzugangPhishing, exponierte Dienste, VPN ohne MFA, gestohlene Zugangsdaten – die typischen Wege von Initial Access Brokern.
- Rechteausweitung und AusbreitungDer Weg zum Domänen-Administrator und zu allen Systemen gleichzeitig – so, wie Affiliates ihn gehen.
- SchutzmechanismenLassen sich EDR, Antivirus, Logging und Backups mit erlangten Rechten abschalten oder umgehen?
- BackupsErreichbarkeit, Veränderbarkeit, Offline-Kopien, Wiederherstellungszeit – aus Angreifersicht und im Restore-Test.
- ExfiltrationKönnten große Datenmengen unbemerkt abfließen (Double Extortion)? Mit markierten Testdateien.
- Erkennung und ReaktionWann hätte Ihr Team den Angriff bemerkt, und wäre der Notfallplan angelaufen?
Ablauf
Vom Zugang bis zur Verschlüsselung – ohne Schaden
- 01ErstzugangPhishing, Schwachstelle oder Assumed Breach
- 02ErkundungDomäne, Backups, Schutzlösungen, Kronjuwelen
- 03RechteLokaler Admin, Dienstkonten, Domänen-Admin
- 04VorbereitungSchutz abschalten? Backups erreichbar? Verteilung möglich?
- 05ExfiltrationMarkierte Testdaten, Erkennung prüfen
- 06NachweisVerschlüsselung nur auf Testsystem, Bericht, Replay
Ergebnis
Antworten für Geschäftsführung, IT und Versicherer
Der Bericht übersetzt die technischen Ergebnisse in die Fragen, die im Ernstfall zählen.
- ErpressbarkeitHätte der Angriff Produktivsysteme und Backups gleichzeitig getroffen? Wie viele Systeme wären betroffen gewesen?
- AusfallzeitRealistische Einschätzung der Wiederanlaufzeit auf Basis des Restore-Tests.
- ErkennungszeitpunktIn welcher Phase hätte Ihr Team den Angriff bemerkt – und wie viel Zeit wäre geblieben?
- Zehn SofortmaßnahmenPriorisiert nach Wirkung: Was in vier Wochen die Erpressbarkeit am stärksten senkt.
- Nachweis für VersichererDokumentation der geprüften Kontrollen – hilfreich bei Abschluss oder Verlängerung einer Cyberversicherung.
Häufige Fragen
Zur Ransomware-Simulation
Wird wirklich etwas verschlüsselt?
Nur auf einem von Ihnen bereitgestellten Testsystem mit Testdaten – und nur, wenn Sie das im Scope wünschen. Auf Produktivsystemen weisen wir lediglich nach, dass die Voraussetzungen für eine Verschlüsselung erfüllt wären: erreichte Rechte, erreichbare Systeme, abschaltbare Schutzmechanismen. Der Nachweis genügt, der Schaden bleibt aus.
Testen Sie auch unsere Backups?
Ja, das ist ein Kernbestandteil. Wir prüfen, ob Backups aus der Perspektive eines Angreifers mit Administratorrechten erreichbar, veränderbar oder löschbar wären, ob Offline- oder unveränderliche Kopien existieren und – gemeinsam mit Ihrem Team – ob eine Wiederherstellung in der erwarteten Zeit gelingt.
Wie unterscheidet sich das von einem Red Teaming?
Die Ransomware-Simulation ist ein Red Teaming mit festem Szenario: Wir folgen dem dokumentierten Ablauf aktueller Erpressergruppen vom Erstzugang bis zur Verschlüsselung und Exfiltration. Das macht den Test fokussierter und oft kürzer – und beantwortet die Frage, die viele Geschäftsführungen am meisten umtreibt.
Was ist mit Datenabfluss (Double Extortion)?
Moderne Gruppen stehlen Daten, bevor sie verschlüsseln. Wir prüfen, ob große Datenmengen unbemerkt abfließen könnten – mit markierten Testdateien, nie mit echten Daten – und ob Ihre Erkennung ungewöhnliche Übertragungen bemerkt.
Weitere Leistungen
Passende Ergänzungen
Red Teaming
Realistische Angriffssimulation gegen Ihr gesamtes Unternehmen – Technik, Menschen und Gebäude.
02Penetrationstest
Systematische Schwachstellenprüfung für Netzwerke, Webanwendungen, APIs und Cloud.
03Assumed Breach
Der Angreifer ist schon drin: Wie weit kommt er von einem kompromittierten Arbeitsplatz?
04Purple Teaming
Angriff und Verteidigung am selben Tisch – Erkennung messbar verbessern.
05Social Engineering & Phishing
Phishing, Vishing, Pretexting: Wie widerstandsfähig sind Ihre Mitarbeitenden?
06Physical Red Teaming
Zutritt, Zugang, Zugriff: Wir testen Gebäude, Schleusen und Empfang.
07TIBER-EU & DORA TLPT
Bedrohungsgeleitete Tests nach TIBER-EU und DORA für Finanzunternehmen.
09Active Directory & Cloud
Identitäten, Berechtigungen, Entra ID, AWS und Azure im Fokus.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.