Ransomware ist eine Art von Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und anschließend ein Lösegeld verlangt, um den Zugang wiederherzustellen. Betroffen sind Unternehmen jeder Größe, Behörden, Krankenhäuser und Privatpersonen gleichermaßen. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Ransomware-Angriffe, deren Verbreitung und wirksame Schutzmaßnahmen.
Ein Ransomware-Angriff läuft in mehreren Phasen ab: Die Schadsoftware gelangt zunächst auf ein System, verschafft sich dort Persistenz, verschlüsselt anschließend Dateien mit einem kryptografischen Schlüssel und zeigt dann eine Lösegeldforderung an. Der Entschlüsselungsschlüssel wird erst nach Zahlung versprochen, wobei keine Garantie besteht, dass er tatsächlich geliefert wird.
Technisch gesehen nutzen moderne Ransomware-Varianten häufig asymmetrische Verschlüsselungsverfahren wie RSA in Kombination mit symmetrischen Algorithmen wie AES. Der öffentliche Schlüssel liegt auf dem infizierten System, der private Schlüssel verbleibt beim Angreifer. Ohne diesen privaten Schlüssel ist eine Entschlüsselung in der Regel nicht möglich.
Viele Ransomware-Varianten führen vor der eigentlichen Verschlüsselung weitere Aktionen durch: Sie deaktivieren Sicherheitssoftware, löschen Schattenkopien und lokale Backups, breiten sich lateral im Netzwerk aus und exfiltrieren sensible Daten. Letzteres ermöglicht eine doppelte Erpressung, bei der Angreifer zusätzlich mit der Veröffentlichung der gestohlenen Daten drohen.
Ransomware verbreitet sich in Unternehmensnetzwerken vor allem über Phishing-E-Mails, kompromittierte Remote-Desktop-Verbindungen (RDP), ungepatchte Schwachstellen in Software und Betriebssystemen sowie über infizierte Wechseldatenträger oder kompromittierte Software-Lieferketten. Einmal im Netzwerk bewegt sich die Schadsoftware lateral weiter, um möglichst viele Systeme zu erfassen.
Phishing bleibt der häufigste Einstiegsvektor: Nutzer öffnen einen manipulierten E-Mail-Anhang oder klicken auf einen schädlichen Link, was die Erstinfektion auslöst. Von dort aus nutzt Ransomware legitime Werkzeuge wie PowerShell, Windows Management Instrumentation (WMI) oder Remote-Verwaltungsprotokolle, um sich unbemerkt weiterzubewegen. Dieser Ansatz, bekannt als „Living off the Land“, erschwert die Erkennung erheblich.
Besonders kritisch sind Angriffe über die Software-Lieferkette, bei denen legitime Updates oder Drittanbieter-Software als Verbreitungsweg missbraucht werden. Unternehmen mit schlecht segmentierten Netzwerken sind besonders gefährdet, da sich Ransomware dort ungehindert ausbreiten kann. Eine konsequente Netzwerksegmentierung ist daher ein zentrales Schutzprinzip.
Es gibt mehrere grundlegende Arten von Ransomware, die sich in ihrer Wirkungsweise unterscheiden: Crypto-Ransomware verschlüsselt Dateien, Locker-Ransomware sperrt den Zugang zum gesamten System, Doxware droht mit der Veröffentlichung sensibler Daten, und Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell, bei dem Angreifer Ransomware-Kits mieten.
Crypto-Ransomware ist heute die am weitesten verbreitete Form. Sie verschlüsselt gezielt Dateien wie Dokumente, Datenbanken und Backups, lässt das Betriebssystem jedoch funktionsfähig, damit die Lösegeldforderung angezeigt werden kann. Locker-Ransomware hingegen sperrt den gesamten Bildschirm oder das System und verhindert jegliche Nutzung, ohne notwendigerweise Dateien zu verschlüsseln.
Das RaaS-Modell hat die Bedrohungslandschaft grundlegend verändert. Technisch weniger versierte Angreifer können dabei fertige Ransomware-Pakete von spezialisierten Entwicklergruppen lizenzieren und eigene Kampagnen durchführen. Die Gewinne werden zwischen Entwicklern und sogenannten Affiliates aufgeteilt. Dieses Modell hat die Zahl der Ransomware-Angriffe erheblich erhöht und die Einstiegshürde für Cyberkriminelle gesenkt.
Ransomware-Angriffe richten sich gegen Organisationen, bei denen der Druck zur schnellen Zahlung besonders hoch ist oder bei denen wertvolle Daten vorhanden sind. Dazu gehören Krankenhäuser und Gesundheitseinrichtungen, produzierende Unternehmen, öffentliche Verwaltungen, Bildungseinrichtungen sowie mittelständische Unternehmen mit begrenzten IT-Sicherheitsressourcen.
Gesundheitseinrichtungen sind besonders attraktive Ziele, da ein Ausfall der IT-Systeme direkte Auswirkungen auf die Patientenversorgung hat und der Druck zur Wiederherstellung entsprechend hoch ist. Ähnlich verhält es sich mit kritischer Infrastruktur und produzierenden Betrieben, bei denen Produktionsausfälle unmittelbar zu finanziellen Verlusten führen.
Mittelständische Unternehmen geraten zunehmend ins Visier, weil sie oft über wertvollere Daten verfügen als Privatpersonen, aber nicht über die gleichen Sicherheitsressourcen wie Großkonzerne. Angreifer setzen dabei auf automatisierte Scans, um verwundbare Systeme zu identifizieren, und wählen ihre Ziele häufig opportunistisch aus.
Wirksamer Ransomware-Schutz basiert auf mehreren Sicherheitsebenen: regelmäßige Datensicherungen nach der 3-2-1-Regel, konsequentes Patch-Management, Schulung der Mitarbeitenden zur Erkennung von Phishing, Netzwerksegmentierung, Endpoint-Detection-and-Response-Lösungen sowie die Einschränkung von Benutzerrechten nach dem Prinzip der minimalen Rechtevergabe.
Die 3-2-1-Backup-Regel empfiehlt, mindestens drei Kopien der Daten auf zwei unterschiedlichen Medientypen aufzubewahren, wobei eine Kopie extern oder offline gelagert wird. Offline-Backups, die nicht mit dem Netzwerk verbunden sind, können von Ransomware nicht verschlüsselt werden und sind daher entscheidend für eine schnelle Wiederherstellung. Die Wiederherstellbarkeit der Backups sollte regelmäßig getestet werden.
Patch-Management reduziert die Angriffsfläche erheblich, da viele Ransomware-Varianten bekannte Schwachstellen ausnutzen. Multi-Faktor-Authentifizierung schützt Remote-Zugänge vor unbefugtem Zugriff. Endpoint-Detection-and-Response-Lösungen (EDR) erkennen verdächtiges Verhalten auf Endgeräten frühzeitig. Ergänzend helfen E-Mail-Filter und Sandboxing-Technologien dabei, schadhafte Anhänge zu identifizieren, bevor sie beim Nutzer ankommen. Eine durchdachte IT-Sicherheitsstrategie bildet dabei das Fundament, auf dem alle technischen und organisatorischen Maßnahmen aufbauen. Informationen zu umfassenden Sicherheitslösungen für Netzwerke können bei der Auswahl geeigneter Maßnahmen helfen.
Wenn ein Ransomware-Angriff festgestellt wird, sollten betroffene Systeme sofort vom Netzwerk isoliert werden, um eine weitere Ausbreitung zu verhindern. Anschließend sind Behörden zu informieren, Backups zu prüfen und forensische Untersuchungen einzuleiten. Von einer Lösegeldzahlung wird in der Regel abgeraten, da sie keine Garantie für die Datenwiederherstellung bietet.
Die ersten Stunden nach einem Angriff sind entscheidend. Konkret empfehlen sich folgende Schritte:
Ob das Lösegeld gezahlt werden sollte, ist eine komplexe Entscheidung. Behörden wie das BSI empfehlen grundsätzlich, nicht zu zahlen, da dies kriminelle Strukturen finanziert und keine Garantie für die Entschlüsselung bietet. In manchen Situationen, etwa wenn keine Backups vorhanden sind und kritische Daten betroffen sind, wägen Unternehmen dennoch ab. Diese Entscheidung sollte stets in Absprache mit Rechts- und Sicherheitsexperten getroffen werden.
Wir bei der Concat AG unterstützen Unternehmen dabei, sich umfassend gegen Ransomware-Angriffe zu wappnen und im Ernstfall handlungsfähig zu bleiben. Als erfahrenes IT-Systemhaus bieten wir ein breites Spektrum an Leistungen rund um IT-Sicherheit und Managed Services, das auf die individuellen Anforderungen Ihres Unternehmens abgestimmt wird.
Unser Leistungsangebot im Bereich Ransomware-Schutz umfasst unter anderem:
Unsere Rechenzentren in Deutschland sind nach ISO 9001 und ISO 27001 zertifiziert, und unser Managed Service arbeitet nach ITIL-Standards. Damit schaffen wir eine verlässliche Grundlage für Ihre IT-Sicherheit. Möchten Sie erfahren, wie wir Ihr Unternehmen konkret schützen können? Nehmen Sie jetzt Kontakt mit uns auf und sprechen Sie mit unseren Sicherheitsexperten.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von Turnstile laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr Informationen