Was ist Ransomware? Bedeutung und Definition
Kurzgefasst:
Wie funktioniert ein Ransomware-Angriff?
Ein Ransomware-Angriff läuft in der Regel in mehreren Phasen ab. Das Verständnis dieser Phasen ist sehr wichtig, denn in jeder Phase gibt es Möglichkeiten, den Angriff zu stoppen:
- Infektion: Der Angreifer schleust die Ransomware auf das Zielsystem ein, meist über eine E-Mail mit infiziertem Anhang, einen präparierten Link, eine Sicherheitslücke in veralteter Software oder gestohlene Zugangsdaten.
- Ausbreitung: Sobald die Ransomware aktiv ist, verbreitet sie sich still im Netzwerk. Sie sucht gezielt nach weiteren Systemen, Netzwerklaufwerken und Backups. Dieser Schritt kann Stunden oder sogar Wochen dauern, oft ohne dass jemand es bemerkt.
- Verschlüsslung: Die Ransomware beginnt, Dateien mit einem starken Verschlüsselungsalgorithmus zu sperren. Dokumente, Datenbanken, Bilder, E-Mails, alles wird unlesbar.
- Lösegeld-Forderung: Eine Meldung erscheint auf dem Bildschirm. Die Angreifer fordern Lösegeld, meist in Kryptowährung und setzen eine Frist. Oft drohen sie zusätzlich damit, gestohlene Daten zu veröffentlichen.
- Entscheidung: Zahlen oder nicht zahlen? Beide Wege sind schmerzhaft. Mehr dazu weiter unten.
Wichtig:
Wie infiziert man sich mit Ransomware?
Die häufigsten Einfallstore in Unternehmen:
E-Mails
Ungepatchte Sicherheitslücken
Gestohlene Zugangsdaten
Infizierte Downloads und USB-Geräte
Schwachstellen im Active Directory
Warum gibt es Ransomware überhaupt?
Die ehrliche Antwort: weil es funktioniert. Und weil es profitabel ist.
| Warum Ransomware boomt | Konsequenz |
|---|---|
| Hohe Lösegeld-Zahlungen (oft 6-stellig) | Enorm profitables Geschäftsmodell für Kriminelle |
| Kryptowährungen ermöglichen anonyme Zahlungen | Täterspur fast nicht verfolgbar |
| Ransomware-as-a-Service senkt Einstiegshürde | Immer mehr Angreifer, immer mehr Angriffe |
| Viele Unternehmen haben schlechte Backups | Hohe Bereitschaft zur Zahlung |
| Homeoffice und Cloud erweitern Angriffsvektoren | Mehr Einfallstore als je zuvor |
Wie gefährlich ist Ransomware für Unternehmen?
Sehr. Die Zahlen sprechen für sich:
- Laut BSI ist Ransomware seit Jahren die Bedrohung Nummer 1 für Unternehmen in Deutschland
- Durchschnittliche Ausfallzeit nach einem Angriff: 21 Tage
- Durchschnittlicher Gesamtschaden (inkl. Ausfallzeit, Wiederherstellung, Reputationsverlust): mehrere hunderttausend Euro
- Viele KMU überleben einen schweren Ransomware-Angriff wirtschaftlich nicht
- Auch nach Lösegeld-Zahlung erhalten nur ca. 65 % der Opfer ihre Daten vollständig zurück
Besonders treffsicher sind Angriffe auf kritische Infrastruktur, Gesundheitswesen, produzierende Betriebe und Logistik, überall dort, wo ein Ausfall unmittelbare Konsequenzen hat und der Druck zu zahlen besonders groß ist.
Zahlen oder nicht zahlen?
Wie lange dauert ein Ransomware-Angriff?
Das hängt stark von der Art des Angriffs ab:
| Phase | Typische Dauer |
|---|---|
| Infektion bis Entdeckung | Stunden bis mehrere Wochen (Durchschnitt: 11 Tage) |
| Aktive Verschlüsslung | Stunden bis Wochen |
| Erste Reaktion & Eindämmung | Stunden bis Tage |
| Forensische Untersuchung | Tage bis Wochen |
| Vollständige Wiederherstellung | Tage bis mehrere Monate |
| Gesamte Ausfallzeit | Durchschnittlich 21 Tage |
Die größte Gefahr liegt in der langen Zeitspanne zwischen Infektion und Entdeckung. In dieser Zeit können Angreifer Daten stehlen, Backups sabotieren und sich Admin-Rechte verschaffen. An einer digitale forensische Untersuchung nach einem Angriff kommt man dann auch nicht mehr vorbei. Solch eine Untersuchen hilft dabei zu klären was genau eigentlich passiert ist und wie es dazu kommen konnte.
Was tun, wenn man betroffen ist?
Die ersten Minuten entscheiden. Wer richtig reagiert, begrenzt den Schaden:
- Systeme sofort vom Netzwerk trennen aber NICHT ausschalten. Speicher enthält forensisch wertvolle Daten.
- Keine eigenen Entschlüsselung- oder Bereinigungsversuche. Jeder Eingriff kann Beweise vernichten.
- IT-Sicherheitsexperten und IT-Forensiker sofort kontaktieren.
- Vorfall dokumentieren, Screenshots, Fehlermeldungen, betroffene Systeme.
- Je nach Größe: Strafanzeige erstatten und Datenschutzbehörde informieren (DSGVO-Meldepflicht bei Datenverlust innerhalb 72h).
- Versicherung informieren, falls eine Cyberversicherung besteht.
Lesen Sie unseren Artikel Ransomware erkennen, entfernen und sich erholen für mehr Informationen.
Wie kann man sich vor Ransomware schützen?
Die gute Nachricht: Ransomware ist nicht unvermeidbar. Mit den richtigen Maßnahmen lässt sich das Risiko drastisch reduzieren.
- Regelmäßige Datensicherung nach dem 3-2-1-Prinzip und Backups offline oder unveränderbar speichern
- Alle Systeme und Software aktuell halten, Patches und Updates zeitnah einspielen
- Multi-Faktor-Authentifizierung (MFA) für alle Zugänge, insbesondere Remote-Zugänge
- Mitarbeiter regelmäßig schulen, der Mensch ist das größte Einfallstor
- Netzwerk segmentieren, damit sich Ransomware nicht ungehindert ausbreiten kann
- Regelmäßige Sicherheitsaudits und Penetrationstests durchführen
Weiterführende Artikel:
Häufig gestellte Fragen (FAQ)
Ransomware ist eine Schadsoftware (auch Erpressungstrojaner genannt), die Dateien auf einem Computer oder Netzwerk verschlüsselt und danach Lösegeld fordert, um die Daten wieder freizugeben. Ohne den Entschlüsselung-Key sind die betroffenen Daten praktisch verloren. Ransomware trifft Unternehmen jeder Größe und ist laut BSI die gefährlichste Cyberbedrohung in Deutschland.
Typische Anzeichen sind: Dateien können plötzlich nicht mehr geöffnet werden, Dateinamen haben sich verändert oder haben eine neue Endung, eine Lösegeld-Forderung erscheint auf dem Bildschirm, der Computer läuft ungewöhnlich langsam oder Festplattenaktivität ist unerklärlich hoch. Oft bemerkt man den Angriff aber erst, wenn die Verschlüsslung bereits abgeschlossen ist. Einen detaillierten Leitfaden finden Sie in unserem Artikel über Ransomware erkennen und bekämpfen.
Nein, das ist die offizielle Empfehlung von BSI, BKA und internationalen Sicherheitsbehörden. Es gibt keine Garantie, dass die Daten nach Zahlung wirklich entschlüsselt werden. Laut Statistiken erhalten nur etwa 65 % der zahlenden Opfer ihre Daten vollständig zurück. Außerdem finanziert die Zahlung weitere Angriffe und macht Ihr Unternehmen zum wiederholten Ziel. Stattdessen: sofort IT-Sicherheitsexperten und IT-Forensiker hinzuziehen.
Im Durchschnitt sind betroffene Unternehmen 21 Tage lang eingeschränkt handlungsfähig. Die vollständige Wiederherstellung aller Systeme kann Wochen bis Monate dauern, abhängig davon, wie gut die Backups sind, wie tief der Angreifer ins System eingedrungen ist und wie schnell forensische Untersuchungen abgeschlossen werden können. Unternehmen mit professionellen, geprüften Backups erholen sich deutlich schneller.
Ja und häufig sogar besonders attraktive Ziele. KMU haben oft weniger IT-Sicherheitsressourcen, schlechtere Backups und keine dedizierten IT-Sicherheitsteams. Gleichzeitig sind sie oft Teil von Lieferketten größerer Unternehmen, was sie als Einfallstor für größere Angriffe interessant macht. Moderne Ransomware-Gruppen setzen gezielt automatisierte Scans ein, um genau solche Ziele zu finden.
