Was ist Ransomware? Definition, Funktionsweise und warum sie so gefährlich ist

Mai 1, 2026

Stellen Sie sich vor: Sie kommen morgens ins Büro, starten Ihren Computer und statt Ihrer Dateien erscheint eine Nachricht: „Ihre Daten wurden verschlüsselt. Zahlen Sie innerhalb von 48 Stunden, sonst sind sie weg.“ Was wie ein Film klingt, ist für Tausende Unternehmen in Deutschland bittere Realität. Ransomware ist heute eine der gefährlichsten Cyberbedrohungen weltweit – und sie trifft längst nicht mehr nur Großkonzerne.

Was ist Ransomware? Bedeutung und Definition

Der Begriff Ransomware setzt sich aus den englischen Wörtern „Ransom“ (Lösegeld) und „Software“ zusammen. In Deutschland nennt man diese Art von Schadsoftware auch Erpressungstrojaner. Die Software befällt Systeme, verschlüsselt Daten und fordert anschließend Lösegeld für die Entschlüsselung.

Die Auswirkungen eines Ransomware-Angriffs sind enorm: Systeme sind nicht mehr nutzbar, Produktionsprozesse stehen still, sensible Daten können gestohlen sein und der Druck durch eine tickende Frist verschärft die Lage.

Kurzgefasst

Ransomware = Schadsoftware, die Dateien verschlüsselt und Lösegeld fordert. Im Deutschen auch als Erpressungstrojaner bezeichnet. Sie trifft Unternehmen jeder Größe.

Wie funktioniert ein Ransomware-Angriff?

Infektion: Die Schadsoftware gelangt meist über Phishing-Mails, präparierte Links, Sicherheitslücken oder gestohlene Zugangsdaten ins System.
Ausbreitung: Die Ransomware bewegt sich unbemerkt im Netzwerk und sucht weitere Systeme, Netzlaufwerke und Backups.
Verschlüsselung: Dateien, Datenbanken, Bilder und E-Mails werden mit starken Algorithmen unlesbar gemacht.
Lösegeldforderung: Die Angreifer verlangen meist Kryptowährung und setzen eine Frist. Häufig drohen sie zusätzlich mit der Veröffentlichung gestohlener Daten.
Entscheidung: Das Unternehmen muss zwischen Zahlung, Wiederherstellung und forensischer Aufarbeitung entscheiden.

Wichtig

Zwischen Infektion und Verschlüsselung können Tage oder Wochen liegen. Angreifer nutzen diese Zeit, um sich tief im System zu verankern und Backups zu sabotieren.

Wie infiziert man sich mit Ransomware?

E-Mails

Der häufigste Angriffsweg. Eine E-Mail sieht aus wie eine Rechnung, Bewerbung oder Nachricht vom Chef und enthält einen infizierten Anhang oder Link. Ein einziger Klick kann ausreichen.

Ungepatchte Sicherheitslücken

Veraltete Software, fehlende Windows-Updates oder Sicherheitslücken in Firewalls und VPN-Zugängen sind beliebte Einfallstore. Angreifer scannen das Internet automatisiert nach bekannten Schwachstellen.

Gestohlene Zugangsdaten

Schwache Passwörter, fehlende Multi-Faktor-Authentifizierung oder kompromittierte Konten eröffnen Angreifern direkten Zugang. Besonders gefährdet sind schlecht gesicherte RDP-Zugänge.

Infizierte Downloads und USB-Geräte

Schadsoftware kann auch über gefälschte Software-Downloads, präparierte Websites oder physische Datenträger ins Unternehmen gelangen.

Schwachstellen im Active Directory

Fehlerhafte Konfigurationen im Active Directory ermöglichen es Angreifern, sich nach der ersten Infektion mit Admin-Rechten im gesamten Netzwerk auszubreiten.

Warum gibt es Ransomware überhaupt?

Die ehrliche Antwort: weil es funktioniert und profitabel ist. Ransomware-Gruppen sind professionell organisierte kriminelle Unternehmen. Über „Ransomware as a Service“ vermieten Entwickler ihre Schadsoftware an andere Kriminelle und werden an den Lösegeld-Einnahmen beteiligt.

Warum Ransomware boomt	Konsequenz
Hohe Lösegeldzahlungen	Profitables Geschäftsmodell
Kryptowährungen	Täterspuren schwer verfolgbar
Ransomware as a Service	Niedrige Einstiegshürde für Angreifer
Schlechte Backups	Hohe Zahlungsbereitschaft
Homeoffice und Cloud	Mehr Einfallstore

Wie gefährlich ist Ransomware für Unternehmen?

Ransomware gilt laut Ausgangstext als größte Cyberbedrohung für Unternehmen in Deutschland.
Die durchschnittliche Ausfallzeit liegt bei rund 21 Tagen.
Der Gesamtschaden kann mehrere hunderttausend Euro erreichen.
Viele KMU überleben einen schweren Angriff wirtschaftlich nicht.
Auch nach einer Zahlung erhalten laut Ausgangstext nur etwa 65 % der Opfer ihre Daten vollständig zurück.

Zahlen oder nicht zahlen?

Die offizielle Empfehlung von Sicherheitsbehörden lautet: nicht zahlen. Es gibt keine Garantie, dass Daten nach der Zahlung entschlüsselt werden. Die Zahlung finanziert weitere Angriffe und kann das Unternehmen zum erneuten Ziel machen. Stattdessen sollten sofort IT-Sicherheitsexperten und IT-Forensiker eingebunden werden.

Wie lange dauert ein Ransomware-Angriff?

Phase	Typische Dauer
Infektion bis Entdeckung	Stunden bis mehrere Wochen
Aktive Verschlüsselung	Stunden bis Wochen
Erste Reaktion und Eindämmung	Stunden bis Tage
Forensische Untersuchung	Tage bis Wochen
Vollständige Wiederherstellung	Tage bis mehrere Monate

Was tun, wenn man betroffen ist?

Systeme sofort vom Netzwerk trennen, aber nicht ausschalten.
Keine eigenen Entschlüsselungs- oder Bereinigungsversuche starten.
IT-Sicherheitsexperten und IT-Forensiker sofort kontaktieren.
Vorfall dokumentieren: Screenshots, Fehlermeldungen und betroffene Systeme festhalten.
Je nach Umfang Strafanzeige erstatten und Datenschutzbehörden informieren.
Cyberversicherung informieren, falls vorhanden.

Wie kann man sich vor Ransomware schützen?

Regelmäßige Datensicherung nach dem 3-2-1-Prinzip
Backups offline oder unveränderbar speichern
Systeme und Software aktuell halten
Multi-Faktor-Authentifizierung für alle Zugänge einsetzen
Mitarbeiter regelmäßig schulen
Netzwerke segmentieren
Regelmäßige Sicherheitsaudits und Penetrationstests durchführen

Häufig gestellte Fragen (FAQ)

Was ist Ransomware einfach erklärt?

Ransomware ist eine Schadsoftware, auch Erpressungstrojaner genannt, die Dateien auf einem Computer oder Netzwerk verschlüsselt und anschließend Lösegeld fordert. Ohne den Entschlüsselungsschlüssel sind die betroffenen Daten praktisch nicht nutzbar.

Wie bemerke ich einen Ransomware-Angriff?

Typische Anzeichen sind Dateien, die sich nicht mehr öffnen lassen, veränderte Dateinamen oder Endungen, eine Lösegeldforderung auf dem Bildschirm, ungewöhnlich langsame Systeme oder auffällig hohe Festplattenaktivität. Häufig wird der Angriff jedoch erst bemerkt, wenn die Verschlüsselung bereits abgeschlossen ist.

Soll ich Lösegeld zahlen?

Nein. Es gibt keine Garantie, dass die Daten nach einer Zahlung wirklich entschlüsselt werden. Außerdem finanziert die Zahlung weitere Angriffe und kann dazu führen, dass Ihr Unternehmen erneut ins Visier gerät. Stattdessen sollten sofort IT-Sicherheitsexperten und IT-Forensiker hinzugezogen werden.

Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff?

Im Durchschnitt sind betroffene Unternehmen laut Ausgangstext etwa 21 Tage eingeschränkt handlungsfähig. Die vollständige Wiederherstellung kann Wochen bis Monate dauern, abhängig von Backup-Qualität, Angriffstiefe und Geschwindigkeit der forensischen Untersuchung.

Sind kleine Unternehmen auch Ziele von Ransomware?

Ja, häufig sogar besonders attraktive Ziele. Kleine und mittlere Unternehmen verfügen oft über weniger IT-Sicherheitsressourcen, schlechtere Backups und keine eigenen Sicherheitsteams. Automatisierte Scans helfen Angreifern, genau solche Ziele zu finden.