Ransomware-Readiness: Zehn Fragen, die Ihre IT-Leitung beantworten muss

Die meisten Geschäftsführungen wissen, dass Ransomware eine Bedrohung ist. Deutlich weniger wissen, wie ihr Unternehmen am Tag nach einem Angriff dastünde: Welche Systeme wären in 48 Stunden wieder da, welche in zwei Wochen, welche nie? Wer entscheidet über eine Lösegeldzahlung, wer ruft die Aufsichtsbehörde an, wer die Kunden? Diese Fragen werden in der Regel erst beantwortet, wenn die Bildschirme schwarz sind.

Die Zahlen rechtfertigen den Aufwand, sie vorher zu beantworten. Laut Verizon Data Breach Investigations Report 2025 war Ransomware an 44 Prozent aller untersuchten Sicherheitsverletzungen beteiligt, bei kleinen und mittleren Organisationen sogar an 88 Prozent. Das BSI bezeichnet Ransomware im Lagebericht 2025 als größte Bedrohung für Wirtschaft und Verwaltung; das BKA verzeichnete 950 angezeigte Angriffe, die Dunkelziffer liegt erfahrungsgemäß deutlich höher. Laut Bitkom Wirtschaftsschutz 2025 war ein Drittel der befragten Unternehmen von Ransomware betroffen.

Dieser Beitrag stellt zehn Fragen, die eine Geschäftsführung ihrer IT-Leitung stellen sollte, und erläutert, woran sich eine belastbare Antwort von einer beruhigenden unterscheidet. Am Ende steht, wie eine Ransomware-Simulation diese Fragen nicht theoretisch, sondern praktisch beantwortet.

Warum die Fragen vor dem Vorfall gestellt werden müssen

Ein Ransomware-Angriff ist heute selten ein spontanes Ereignis. Laut Mandiant M-Trends 2026 stammen 30 Prozent der Ransomware-Vorfälle aus einer vorherigen Kompromittierung, die über Initial Access Broker weiterverkauft wurde. Die Angreifer befinden sich im Median 14 Tage im Netz, bevor sie erkannt werden. In dieser Zeit kartieren sie Backups, sammeln Zugangsdaten und exfiltrieren Daten für die doppelte Erpressung. Die Verschlüsselung ist der letzte Schritt, nicht der erste.

Das hat eine Konsequenz für die Vorbereitung: Readiness bedeutet nicht nur, nach der Verschlüsselung wiederherstellen zu können. Es bedeutet, die vorbereitenden Schritte zu erkennen und zu unterbrechen, bevor der Angreifer seine Position ausgebaut hat. Die zehn Fragen decken deshalb beide Seiten ab: Prävention und Erkennung ebenso wie Wiederanlauf und Krisenführung.

Die zehn Fragen

1. Sind unsere Backups offline, unveränderlich und getestet? Die Antwort „Wir haben Backups“ genügt nicht. Entscheidend ist, ob mindestens eine Kopie so gespeichert ist, dass ein Angreifer mit Domänenadministrator-Rechten sie weder löschen noch verschlüsseln kann, etwa durch Unveränderlichkeit (Immutability) oder physische Trennung. Und ob in den vergangenen sechs Monaten eine vollständige Wiederherstellung eines Kernsystems tatsächlich durchgespielt wurde, nicht nur eine Datei. Die 3-2-1-Regel ist das Minimum; in Red-Team-Einsätzen finden wir regelmäßig Backup-Server, die mit denselben Zugangsdaten verwaltet werden wie die Produktion.

2. Wie weit kommt ein Angreifer von einem einzelnen infizierten Arbeitsplatz? Diese Frage zielt auf Netzwerksegmentierung. In einem flachen Netz erreicht ein kompromittierter Client jeden Server. In einem segmentierten Netz braucht der Angreifer mehrere Schritte, jeder davon eine Chance zur Erkennung. Fragen Sie konkret: Kann ein Büroarbeitsplatz direkt auf die Backup-Infrastruktur, die Domänencontroller und die OT-Systeme zugreifen?

3. Wer hat Administratorrechte, und wo werden sie benutzt? Ransomware-Gruppen brauchen für die flächendeckende Verschlüsselung hohe Rechte. Je mehr Konten Domain-Admin-Rechte haben und je häufiger diese Konten auf normalen Arbeitsplätzen angemeldet sind, desto schneller gelangen Angreifer ans Ziel. Eine belastbare Antwort nennt die Zahl der privilegierten Konten, bestätigt getrennte Admin-Arbeitsplätze und beschreibt, wie Least Privilege durchgesetzt wird.

4. Wie vollständig ist unsere EDR-Abdeckung, und wer sieht die Alarme? Eine EDR-Lösung erkennt die typischen Vorbereitungsschritte eines Ransomware-Angriffs, aber nur auf Systemen, auf denen sie installiert ist und läuft. Fragen Sie nach dem Anteil der Server und Clients mit aktivem Agenten, nach Legacy-Systemen ohne Abdeckung und danach, wer außerhalb der Bürozeiten auf einen kritischen Alarm reagiert. Die CISA-Fallstudie AA23-059A zeigt, was passiert, wenn EDR-Alarme ausgelöst, aber nicht bearbeitet werden: Das Red Team erreichte Domain-Admin-Rechte, ohne dass jemand reagierte.

5. Gibt es einen Notfallplan, der ohne das Firmennetz funktioniert? Ein Notfallplan, der auf einem verschlüsselten Fileserver liegt, ist keiner. Prüfen Sie, ob der Plan ausgedruckt oder auf unabhängigen Geräten verfügbar ist, ob er Kontaktdaten enthält, die ohne Outlook erreichbar sind, und ob er in den vergangenen zwölf Monaten in einer Übung durchgespielt wurde.

6. Wie kommunizieren wir intern und extern, wenn E-Mail und Telefonanlage ausgefallen sind? Viele Unternehmen stellen am ersten Tag fest, dass ihr Krisenstab nicht zusammenkommt, weil Kalender, Mail und Teams nicht funktionieren. Eine belastbare Antwort nennt einen alternativen Kanal, vorbereitete Textbausteine für Kunden, Mitarbeitende und Presse sowie eine Person, die für die Kommunikation verantwortlich ist.

7. Kennen wir unsere Verhandlungsposition, bevor wir sie brauchen? Ob ein Unternehmen zahlt, hängt davon ab, was es ohne Zahlung wiederherstellen kann und welche Daten abgeflossen sind. Diese Bewertung sollte vorab existieren: Welche Systeme sind in welcher Zeit aus Backups wiederherstellbar, welche Daten wären bei Veröffentlichung existenzbedrohend? Hinzu kommen Grundsatzentscheidungen über Verhandlungsdienstleister und Sanktionsprüfungen, die unter Zeitdruck nicht mehr sauber getroffen werden.

8. Was deckt unsere Cyberversicherung tatsächlich ab, und welche Obliegenheiten gelten? Policen enthalten Bedingungen: MFA auf allen Fernzugängen, Patch-Fristen, Backup-Anforderungen. Wer sie nicht erfüllt, riskiert den Versicherungsschutz. Fragen Sie nach der Deckungssumme für Betriebsunterbrechung, nach der Meldefrist an den Versicherer und danach, ob der Versicherer eigene Incident-Response-Dienstleister vorschreibt.

9. Welche Meldepflichten treffen uns, und wer löst sie innerhalb der Fristen aus? Unter der DSGVO gilt eine Frist von 72 Stunden an die Datenschutzaufsicht, sobald personenbezogene Daten betroffen sein können. Für Einrichtungen im Anwendungsbereich von NIS2 gilt seit Dezember 2025 die dreistufige Meldung an das BSI: Erstmeldung binnen 24 Stunden, Aktualisierung binnen 72 Stunden, Abschlussbericht binnen eines Monats. Finanzunternehmen unterliegen zusätzlich den Meldepflichten nach DORA. Eine belastbare Antwort benennt, wer die Meldung vorbereitet, wer sie freigibt und wo die Formulare liegen.

10. Wie lange dauert der Wiederanlauf wirklich? Fast jedes Unternehmen hat eine angestrebte Wiederanlaufzeit (RTO) dokumentiert. Fast keines hat sie unter Realbedingungen gemessen. Die Frage lautet nicht, was im Business-Continuity-Plan steht, sondern wie lange die letzte vollständige Wiederherstellung eines Kernsystems inklusive Neuaufbau der Domäne gedauert hat. Wer Domänencontroller, Virtualisierung und Backup-Server gleichzeitig verloren hat, braucht oft Wochen, nicht Tage.

Belastbare und beruhigende Antworten unterscheiden

Wie eine Ransomware-Simulation die Fragen praktisch beantwortet

Die Fragen lassen sich mit Dokumenten und Interviews teilweise beantworten. Ob die Antworten stimmen, zeigt sich erst, wenn jemand den Angriff tatsächlich nachstellt. Eine Ransomware-Simulation ist ein zielgerichtetes Red Teaming, das die Vorgehensweise aktueller Ransomware-Gruppen nachbildet, bis zu dem Punkt, an dem die Verschlüsselung beginnen würde, ohne sie auszulösen. Konkret läuft das so ab:

• Start als Assumed Breach: Wir beginnen mit einem kompromittierten Arbeitsplatz oder Benutzerkonto, so wie es nach einem erfolgreichen Phishing der Fall wäre. Das spart Zeit und konzentriert den Test auf die Fragen 2 bis 4.
• Weg zu den Kronjuwelen: Wir versuchen, Domänenrechte zu erlangen, die Backup-Infrastruktur zu erreichen und Daten in einem vereinbarten Umfang zu exfiltrieren. Jeder Schritt wird mit Zeitstempel dokumentiert. Die zentrale Frage: Hätten wir die Backups löschen können?
• Simulierte Verschlüsselung: Auf einem vereinbarten Testsystem legen wir eine Markierungsdatei ab oder führen eine harmlose Verschlüsselung durch. Das zeigt, ob EDR und SOC den Moment erkennen, der im Ernstfall der letzte wäre.
• Übung des Krisenstabs: Optional übergeben wir das Szenario an den Krisenstab, der mit den realen Befunden arbeiten muss: Diese Systeme sind betroffen, diese Daten sind abgeflossen, diese Meldefristen laufen. Das beantwortet die Fragen 5 bis 9 unter realistischem Druck. Wie Sie einen Incident-Response-Plan so testen, beschreibt unser Beitrag Incident-Response-Plan unter Realbedingungen testen.
• Wiederanlauf messen: Für Frage 10 begleiten wir auf Wunsch eine Wiederherstellungsübung aus den Backups und stoppen die Zeit.

Das Ergebnis ist eine Zeitleiste vom ersten Zugriff bis zur simulierten Verschlüsselung, eine Liste der Punkte, an denen der Angriff hätte gestoppt werden können, und eine Bewertung, welche der zehn Fragen die Organisation tatsächlich mit Ja beantworten kann. Die technischen Befunde zu Active Directory, die wir dabei fast immer vorfinden, haben wir im Beitrag Active Directory: typische Fehler zusammengefasst.

Fazit

Ransomware ist laut BSI und Verizon die dominierende Bedrohung, und sie trifft kleine und mittlere Organisationen überproportional. Die zehn Fragen helfen, den Abstand zwischen Annahme und Realität zu erkennen, bevor ein Angreifer es tut. Entscheidend ist, Belege statt Bestätigungen einzufordern. Eine Ransomware-Simulation liefert diese Belege unter kontrollierten Bedingungen und zeigt zugleich, ob Erkennung und Krisenstab funktionieren. Unsere Leistung Ransomware-Simulation beschreibt den Ablauf im Detail; für ein erstes Gespräch erreichen Sie uns über Kontakt.

Quellen

• Verizon, Data Breach Investigations Report 2025: Ransomware in 44 % aller Breaches, 88 % bei kleinen und mittleren Organisationen; medianes Lösegeld 115.000 USD.
• BSI, Die Lage der IT-Sicherheit in Deutschland 2025: Ransomware als größte Bedrohung, 950 angezeigte Angriffe laut BKA, bsi.bund.de.
• Mandiant, M-Trends 2026: mediane Dwell Time 14 Tage; 30 % der Ransomware-Vorfälle aus vorheriger Kompromittierung.
• Bitkom, Wirtschaftsschutz 2025: 34 % der Unternehmen von Ransomware betroffen.
• CISA, Cybersecurity Advisory AA23-059A (2023): Red-Team-Assessment bei einer Organisation mit kritischer Infrastruktur, cisa.gov.

Häufige Fragen zum Thema