Ransomware ist Schadsoftware, die Daten oder ganze Systeme verschlüsselt oder sperrt, um für deren Freigabe ein Lösegeld zu erpressen. Moderne Ransomware-Angriffe kombinieren die Verschlüsselung regelmäßig mit dem vorherigen Diebstahl der Daten und drohen zusätzlich mit deren Veröffentlichung. Ransomware zählt zu den wirtschaftlich folgenreichsten Bedrohungen für Unternehmen, Kliniken, Kommunen und Betreiber kritischer Infrastrukturen.

Was ist Ransomware?

Ransomware bezeichnet Schadsoftware, deren Geschäftsmodell die Erpressung ist. Der Name leitet sich vom englischen Wort ransom für Lösegeld ab. Anders als Spionagesoftware, die möglichst lange unbemerkt bleiben will, macht sich Ransomware am Ende ihres Wirkens absichtlich sichtbar: Sie hinterlässt eine Lösegeldforderung, oft verbunden mit einer Frist und einer Kontaktadresse im Darknet.

Diese Sichtbarkeit täuscht allerdings über den zeitlichen Ablauf hinweg. Der Moment, in dem die Verschlüsselung startet, ist nicht der Beginn des Angriffs, sondern dessen Abschluss. Zwischen dem ersten Zugriff auf das Netzwerk und der Verschlüsselung liegen häufig Tage bis Wochen, in denen sich Angreifer im Netzwerk ausbreiten, Rechte ausweiten, Daten abziehen und gezielt die Wiederherstellungsfähigkeit zerstören. Wer Ransomware als reines Verschlüsselungsproblem betrachtet, verkennt deshalb die eigentliche Angriffsstruktur.

Ein weiterer Punkt hat sich grundlegend verändert. Frühe Ransomware wurde breit gestreut und traf zufällige Opfer. Heute dominieren gezielte Angriffe auf Organisationen, bei denen die Höhe der Forderung an die vermutete Zahlungsfähigkeit angepasst wird und Angreifer vor der Verschlüsselung prüfen, welche Systeme geschäftskritisch sind. Kliniken, Kommunen, Stadtwerke und mittelständische Industriebetriebe stehen dabei besonders im Fokus, weil bei ihnen der Druck zur schnellen Wiederherstellung hoch und die Sicherheitsausstattung häufig begrenzt ist.

Wie gelangt Ransomware in ein Netzwerk?

Ransomware gelangt fast nie direkt ins Netzwerk, sondern über einen vorgelagerten Erstzugang, der oft von spezialisierten Akteuren beschafft und weiterverkauft wird. Die wichtigsten Einfallstore sind:

Phishing und Social Engineering: präparierte Anhänge, Links auf gefälschte Anmeldeseiten, Anrufe mit Fernwartungsaufforderung
Kompromittierte Zugangsdaten: aus früheren Datenlecks, per Credential Stuffing oder über Infostealer-Schadsoftware auf privaten Geräten
Ungepatchte, aus dem Internet erreichbare Systeme: VPN-Gateways, Firewalls, Fernwartungszugänge, Mail- und Dateiserver
Ungesicherter Fernzugriff: Remote-Desktop-Zugänge ohne Multi-Faktor-Authentifizierung oder Zugriffsbeschränkung
Lieferkette und Dienstleister: kompromittierte Managed-Service-Provider, Software-Updates oder Fernwartungsverbindungen
Fehlkonfigurationen in Cloud-Umgebungen: offene Speicher, überprivilegierte Dienstkonten, fehlende Protokollierung

Auffällig ist, dass keiner dieser Wege besonders raffiniert ist. Die überwiegende Zahl erfolgreicher Angriffe nutzt bekannte Schwachstellen, für die Aktualisierungen verfügbar sind, oder gültige Zugangsdaten, die schlicht nicht durch einen zweiten Faktor geschützt waren. Genau darin liegt eine gute Nachricht: Die wirksamsten Gegenmaßnahmen sind nicht exotisch, sondern konsequente Grundhygiene.

Wie läuft ein Ransomware-Angriff ab?

Ein Ransomware-Angriff folgt in der Regel einer festen Abfolge, die sich über mehrere Tage erstreckt und in der die Verschlüsselung erst am Schluss steht.

Erstzugang. Angreifer verschaffen sich Zugriff über eines der genannten Einfallstore, häufig eingekauft bei einem spezialisierten Zugangshändler.
Persistenz und Erkundung. Sie richten dauerhafte Zugänge ein, legen Konten an und verschaffen sich einen Überblick über Netzwerkstruktur, Sicherungssysteme, Sicherheitssoftware und geschäftskritische Anwendungen.
Rechteausweitung. Ziel sind privilegierte Konten, insbesondere Administratorenrechte im Verzeichnisdienst. Wer die Domäne kontrolliert, kontrolliert praktisch jedes angebundene System.
Seitliche Bewegung. Von einem Ausgangspunkt aus werden weitere Systeme übernommen, meist mit legitimen Bordmitteln des Betriebssystems, was die Erkennung erschwert.
Datenabfluss. Vor der Verschlüsselung werden große Datenmengen exfiltriert – die Grundlage für die spätere Drohung mit Veröffentlichung.
Zerstörung der Wiederherstellungsfähigkeit. Schattenkopien werden gelöscht, Sicherungssysteme verschlüsselt oder deren Aufbewahrungsfristen manipuliert, Wiederherstellungspunkte entfernt.
Verschlüsselung und Erpressung. Die eigentliche Verschlüsselung wird zentral ausgerollt, meist außerhalb der Geschäftszeiten, gefolgt von der Lösegeldforderung.

Die Reihenfolge erklärt, warum Angriffe so häufig an Wochenenden oder Feiertagen sichtbar werden: Angreifer wählen den Zeitpunkt, zu dem die geringste Bereitschaft im Haus ist. Und sie erklärt, warum die Zerstörung der Sicherungen kein Nebeneffekt, sondern ein geplanter Schritt ist.

Welche Arten von Ransomware und Erpressungsmodellen gibt es?

Ransomware unterscheidet sich nach der technischen Wirkung und nach dem Erpressungsmodell, das Angreifer darauf aufbauen.

Variante	Wirkung	Bedeutung für die Betroffenen
Krypto-Ransomware	Verschlüsselt Dateien, Datenbanken und teils ganze Datenträger	Häufigste Form; Wiederherstellung nur über Sicherungen oder Schlüssel
Locker-Ransomware	Sperrt den Zugang zum System, ohne Daten zu verschlüsseln	Meist geringerer Schaden, Daten bleiben intakt
Leakware	Verzichtet auf Verschlüsselung, droht allein mit Veröffentlichung	Sicherungen helfen nicht; der Schaden liegt in der Offenlegung
Wiper	Zerstört Daten unwiederbringlich, tarnt sich als Ransomware	Zahlung sinnlos, da kein funktionierender Schlüssel existiert
Einfache Erpressung	Verschlüsselung mit Lösegeldforderung	Wiederherstellung aus Sicherungen beendet die Lage weitgehend
Doppelte Erpressung	Verschlüsselung plus vorheriger Datendiebstahl	Auch nach erfolgreicher Wiederherstellung bleibt der Veröffentlichungsdruck
Dreifache Erpressung	Zusätzlicher Druck durch Überlastungsangriffe oder direkte Ansprache Betroffener	Kunden, Patienten, Aufsicht und Presse werden aktiv einbezogen

Der Übergang zur doppelten Erpressung hat die Bedrohungslage grundlegend verändert. Solange Ransomware nur verschlüsselte, war eine belastbare Sicherungsstrategie die vollständige Antwort. Mit dem vorgelagerten Datendiebstahl entsteht daneben ein Datenschutzvorfall, der unabhängig von der technischen Wiederherstellung fortbesteht – mit Melde- und Benachrichtigungspflichten, möglichen Schadensersatzansprüchen und dauerhafter Veröffentlichung auf Leak-Seiten im Darknet.

Was ist Ransomware-as-a-Service?

Ransomware-as-a-Service (RaaS) bezeichnet die arbeitsteilige Organisation der Ransomware-Kriminalität nach dem Vorbild legaler Software-Geschäftsmodelle. Eine Gruppe entwickelt und pflegt die Schadsoftware, betreibt die Zahlungsabwicklung, die Leak-Seite und die Verhandlungsinfrastruktur. Andere Akteure – die sogenannten Partner – führen die eigentlichen Angriffe durch und teilen sich die Erlöse mit den Betreibern.

Ergänzt wird dieses Ökosystem durch weitere Spezialisierungen: Zugangshändler beschaffen und verkaufen Erstzugänge, Dienstleister übernehmen Verhandlungen, wieder andere den Datenabfluss. Für Verteidiger folgen daraus zwei praktische Konsequenzen. Erstens sinkt die technische Einstiegshürde erheblich, sodass die Zahl der Akteure unabhängig von deren Fähigkeiten wächst. Zweitens variiert das Vorgehen selbst innerhalb derselben Ransomware-Familie stark, weil unterschiedliche Partner unterschiedlich arbeiten – Erkennungsregeln, die auf ein festes Angriffsmuster setzen, greifen dadurch nur begrenzt.

Welchen Schaden richtet Ransomware an?

Der unmittelbare Schaden eines Ransomware-Angriffs ist der Ausfall: verschlüsselte Systeme, stillstehende Produktion, nicht erreichbare Fachverfahren. Die eigentlichen Kosten entstehen jedoch in den Folgewirkungen und über einen deutlich längeren Zeitraum, als die technische Wiederherstellung dauert.

Betriebsunterbrechungen ziehen sich bei größeren Vorfällen über Wochen, in Einzelfällen über Monate, weil nicht bereinigt, sondern neu aufgebaut werden muss. Parallel entsteht durch den Datenabfluss ein Datenschutzvorfall mit Melde- und Benachrichtigungspflichten sowie erheblichem Aufwand für die Rekonstruktion der betroffenen Datenbestände. Hinzu kommen Kosten für externe Forensik, Rechtsberatung, Krisenkommunikation und temporäre Ersatzverfahren, die die reinen IT-Kosten häufig übersteigen.

Deutsche Beispiele zeigen die Bandbreite der Betroffenheit. Ein Angriff auf ein Universitätsklinikum führte 2020 zur Abmeldung von der Notfallversorgung. Ein Landkreis in Sachsen-Anhalt rief 2021 als erste Gebietskörperschaft in Deutschland wegen eines Cyberangriffs den Katastrophenfall aus, weil Sozialleistungen, Kfz-Zulassung und weitere Pflichtaufgaben über Monate eingeschränkt waren. Ein Angriff auf einen kommunalen IT-Dienstleister legte 2023 die Verwaltungen mehrerer Dutzend Kommunen gleichzeitig lahm – ein Konzentrationsrisiko, das bei ausgelagerter IT strukturell besteht.

Bemerkenswert an diesen Fällen ist weniger die technische Seite als die Dauer. Der Wiederaufbau ganzer Verzeichnisdienste, Fachverfahren und Schnittstellen ist kein IT-Projekt von Tagen, und die Organisation muss in dieser Zeit arbeitsfähig bleiben.

Wie schützen sich Organisationen vor Ransomware?

Wirksamer Ransomware-Schutz setzt an drei Punkten der Angriffskette an: Erstzugang verhindern, Ausbreitung begrenzen, Wiederherstellung sichern. Keine einzelne Maßnahme genügt, aber wenige konsequent umgesetzte Maßnahmen wirken überproportional.

Erstzugang verhindern

Dazu gehören Multi-Faktor-Authentifizierung für alle extern erreichbaren Zugänge, vorzugsweise in phishing-resistenter Form, ein belastbares Patch-Management mit kurzen Fristen für internetexponierte Systeme, die Reduktion der Angriffsfläche durch Abschalten nicht benötigter Fernzugänge, E-Mail-Sicherheit mit Anhangsprüfung und Linkanalyse sowie deaktivierte Makros aus dem Internet.

Ausbreitung begrenzen

Wirksam sind Netzwerksegmentierung zwischen Verwaltung, Produktion und Verwaltungsnetzen, ein Berechtigungskonzept nach dem Prinzip der minimalen Rechte, getrennte administrative Konten ohne E-Mail- und Internetzugriff, ein gestuftes Administrationsmodell für den Verzeichnisdienst sowie eine Endpoint-Erkennung, die auffälliges Verhalten meldet statt nur bekannte Signaturen zu prüfen. Diese Prinzipien fasst der Zero-Trust-Ansatz zusammen.

Wiederherstellung sichern

Die Sicherungsstrategie orientiert sich an der 3-2-1-Regel: drei Kopien der Daten auf zwei unterschiedlichen Medien, davon eine an einem getrennten Ort. Entscheidend ergänzt wird sie durch unveränderliche oder physisch getrennte Sicherungen, die auch mit Administratorrechten nicht gelöscht oder verändert werden können, sowie durch regelmäßig geübte Rückspielungen. Ein Managementsystem nach ISO 27001 und ein funktionierendes Business Continuity Management liefern dafür den methodischen Rahmen.

Warum reichen Backups allein gegen Ransomware nicht aus?

Backups sind gegen Ransomware unverzichtbar, aber aus drei Gründen keine vollständige Antwort. Erstens sind sie selbst ein Angriffsziel: Angreifer suchen gezielt nach Sicherungssystemen, weil deren Zerstörung den Zahlungsdruck erzeugt. Sicherungen, die über dieselben administrativen Konten erreichbar sind wie die Produktivumgebung, fallen mit dieser zusammen.

Zweitens lösen Sicherungen das Problem des Datenabflusses nicht. Bei doppelter Erpressung besteht die Drohung mit Veröffentlichung fort, auch wenn alle Systeme sauber wiederhergestellt wurden – der Datenschutzvorfall bleibt bestehen und ist meldepflichtig.

Drittens unterschätzen viele Organisationen die Zeit, die eine vollständige Wiederherstellung beansprucht. Eine funktionierende Sicherung sagt nichts über die Wiederanlaufdauer aus, wenn Hunderte Server, Verzeichnisdienste, Datenbanken und Schnittstellen in korrekter Reihenfolge und ohne Rückkehr der Schadsoftware neu aufgebaut werden müssen. Verlässliche Aussagen dazu liefern nur geübte Rückspielungen einschließlich der Wiederanlaufreihenfolge – nicht der grüne Haken im Sicherungsprotokoll.

Was ist nach einem Ransomware-Angriff zu tun?

Nach einem Ransomware-Angriff entscheidet die Reihenfolge über den Schaden: Ausbreitung stoppen, Spuren sichern, dann erst wiederherstellen. Die ersten Schritte umfassen die Isolation betroffener Systeme und Netzsegmente, das Trennen der Sicherungsinfrastruktur vom Produktivnetz, die Einberufung des Krisenstabs und die Einbindung spezialisierter Forensik. Wichtig ist, betroffene Systeme nicht vorschnell auszuschalten oder zu bereinigen, da damit Beweismittel und Hinweise auf den Angriffsweg verloren gehen.

Für den Wiederaufbau gilt der Grundsatz, dass kompromittierte Umgebungen neu errichtet und nicht bereinigt werden. Solange nicht geklärt ist, wie Angreifer eingedrungen sind und welche Zugänge sie hinterlassen haben, führt eine Rückspielung in dieselbe Umgebung regelmäßig zu einem zweiten Vorfall. Dazu gehören ein vollständiger Austausch privilegierter Zugangsdaten, die Prüfung angelegter Konten und Aufgaben sowie die Bereinigung des Verzeichnisdienstes. Parallel laufen die Meldewege an – und die Ansprache von Kunden, Partnern und, je nach Betroffenheit, der Öffentlichkeit.

Genau hier zeigt sich eine Abhängigkeit, die in Notfallplänen häufig fehlt. Bei einem Ransomware-Angriff gilt die gesamte Domäne als kompromittiert: Verzeichnisdienst, E-Mail, Telefonie über die IT-Infrastruktur, Dateiablagen und Kollaborationsplattform stehen entweder nicht zur Verfügung oder dürfen nicht mehr als vertrauenswürdig gelten. Damit entfallen zugleich die dort gespeicherten Kontaktlisten, Eskalationspläne und Notfalldokumente. Organisationen halten deshalb vorab freigegebene Kommunikationskanäle bereit, die unabhängig von der betroffenen Infrastruktur funktionieren, Entscheidungen nachvollziehbar dokumentieren und in Übungen zur Krisenkommunikation regelmäßig mitgeprüft werden. Fehlt ein solcher Kanal, weichen Beteiligte auf private Geräte und Consumer-Messenger aus – mit Folgen für Vertraulichkeit, DSGVO-Konformität und die spätere Aufarbeitung.

Wie sich ein von der regulären IT unabhängiger Kanal für Krisenstabsarbeit, Alarmierung und Abstimmung mit externen Beteiligten abbilden lässt, zeigt Teamwire in einer Demo oder im kostenlosen Test.

Sollte bei Ransomware Lösegeld gezahlt werden?

Das Bundesamt für Sicherheit in der Informationstechnik und die Strafverfolgungsbehörden raten von Lösegeldzahlungen ab. Die Gründe sind sachlich und nicht nur grundsätzlicher Natur: Eine Zahlung garantiert weder einen funktionierenden Entschlüsselungsschlüssel noch eine vollständige Wiederherstellung, und sie beseitigt den Datenabfluss nicht – gestohlene Daten bleiben in fremder Hand, unabhängig von jeder Zusage.

Hinzu kommen rechtliche Risiken. Zahlungen an sanktionierte Personen, Gruppen oder Staaten können gegen Sanktionsrecht verstoßen, was sich vor einer Zahlung kaum sicher ausschließen lässt. Auch versicherungsrechtlich ist die Erstattung nicht selbstverständlich, da Policen Lösegeldzahlungen unterschiedlich behandeln. Und ökonomisch finanziert jede Zahlung das Geschäftsmodell weiter, das den nächsten Angriff ermöglicht.

Praktisch sollte die Frage deshalb nicht im Ereignisfall erstmals gestellt werden. Eine vorab getroffene, dokumentierte Grundsatzentscheidung der Leitung – zusammen mit der Einbindung von Strafverfolgung, spezialisierten Dienstleistern und gegebenenfalls der Versicherung – verhindert Entscheidungen unter maximalem Druck. Erste Anlaufstellen sind die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter; für einen Teil bekannter Ransomware-Familien stellt die Initiative No More Ransom zudem kostenfreie Entschlüsselungswerkzeuge bereit.

Welche Meldepflichten gelten nach einem Ransomware-Angriff?

Ein Ransomware-Angriff löst regelmäßig mehrere Meldepflichten gleichzeitig aus, die nebeneinander bestehen und unterschiedliche Fristen und Adressaten haben.

Rechtsgrundlage	Betroffene	Kern der Pflicht
Art. 33 und 34 DSGVO	Alle Verantwortlichen	Meldung an die Aufsichtsbehörde binnen 72 Stunden, Benachrichtigung Betroffener bei hohem Risiko
NIS-2	Wesentliche und wichtige Einrichtungen	Gestufte Meldung mit Frühwarnung, Folgemeldung und Abschlussbericht
DORA	Finanzunternehmen	Dreistufige Meldung schwerwiegender IKT-Vorfälle an die zuständige Behörde
BSI-Gesetz	Betreiber kritischer Infrastrukturen	Meldung erheblicher Störungen an das BSI
Strafrecht	Alle Betroffenen	Strafanzeige möglich; Einbindung der Zentralen Ansprechstelle Cybercrime empfohlen

Da die Fristen kurz und die Adressaten verschieden sind, gehören Zuständigkeiten, Vorlagen und Zugänge zu den Meldeportalen zur Vorbereitung und nicht in die Ereignisphase. Die genauen Fristen und Zuständigkeiten hängen von Sektor, Größe und nationaler Umsetzung ab und sollten organisationsspezifisch festgelegt werden.

Zusammenfassung: Wichtige Punkte zu Ransomware

Ransomware ist Schadsoftware, die Daten oder Systeme verschlüsselt oder sperrt, um Lösegeld zu erpressen – heute fast immer verbunden mit vorherigem Datendiebstahl.
Die Verschlüsselung steht am Ende des Angriffs, nicht am Anfang; davor liegen Tage bis Wochen mit Erkundung, Rechteausweitung und Datenabfluss.
Die häufigsten Einfallstore sind Phishing, kompromittierte Zugangsdaten, ungepatchte internetexponierte Systeme und ungesicherter Fernzugriff – selten etwas Exotisches.
Bei doppelter Erpressung bleibt der Veröffentlichungsdruck bestehen, auch wenn alle Systeme erfolgreich wiederhergestellt wurden.
Ransomware-as-a-Service senkt die Einstiegshürde und macht das Vorgehen innerhalb derselben Familie uneinheitlich.
Die Zerstörung von Sicherungen ist ein geplanter Angriffsschritt; unveränderliche oder physisch getrennte Backups sind deshalb entscheidend.
Backups allein genügen nicht: Sie lösen weder den Datenabfluss noch die Frage der Wiederanlaufdauer, die nur geübte Rückspielungen beantworten.
Nach einem Angriff gilt die Reihenfolge isolieren – Spuren sichern – neu aufbauen statt bereinigen; Systeme nicht vorschnell abschalten.
Von Lösegeldzahlungen wird behördlich abgeraten: Sie garantieren keine Wiederherstellung, beseitigen den Datenabfluss nicht und bergen sanktionsrechtliche Risiken.
Ein Angriff löst mehrere Meldepflichten gleichzeitig aus – nach DSGVO, je nach Sektor zusätzlich nach NIS-2, DORA oder BSI-Gesetz.