Was ist Ransomware?

Ransomware einfach erklärt

Das Wort setzt sich aus dem englischen „ransom“ (Lösegeld) und „Software“ zusammen. Im Deutschen spricht man auch von Erpressungstrojanern. Ransomware ist eine besonders folgenreiche Form von Malware, also Schadsoftware.

Stellen Sie sich vor, jemand bricht nachts in Ihr Büro ein und versieht sämtliche Aktenschränke mit neuen Schlössern. Auf dem Schreibtisch liegt ein Zettel: Den Schlüssel gibt es gegen Bezahlung. Damit Sie auch wirklich zahlen, hat der Einbrecher vorher Kopien wichtiger Akten mitgenommen und droht, sie zu veröffentlichen. So funktioniert Ransomware – nur digital und oft für das gesamte Firmennetz auf einmal. Fachleute nennen die Kombination aus Verschlüsselung und Datendiebstahl doppelte Erpressung.

Hinter den Angriffen stehen meist organisierte Gruppen, die arbeitsteilig vorgehen. Beim Modell „Ransomware as a Service“ vermieten Entwickler ihre Schadsoftware an Komplizen, die die eigentlichen Angriffe durchführen und die Beute mit ihnen teilen. Was im Ernstfall zu tun ist, erklärt unsere Seite Ransomware-Notfallhilfe.

So läuft ein Ransomware-Angriff ab

Viele Angriffe folgen einem ähnlichen Muster:

1. Erstzugriff: Die Täter verschaffen sich Zugang – etwa über eine Phishing-Mail mit verseuchtem Anhang, über gestohlene Zugangsdaten oder über eine nicht geschlossene Sicherheitslücke in einem VPN-Zugang, über den Beschäftigte von unterwegs ins Firmennetz gelangen.
2. Ausbreitung: Sie weiten ihre Rechte aus (Privilege Escalation) und bewegen sich von Rechner zu Rechner (Lateral Movement) – oft über Tage oder Wochen und lange unbemerkt.
3. Datendiebstahl: Vertrauliche Daten werden abgezogen, etwa Kundendaten, Verträge, Personalakten oder Konstruktionspläne.
4. Wiederherstellung sabotieren: Die Täter suchen Datensicherungen, löschen oder verschlüsseln sie und schalten Schutzprogramme ab.
5. Verschlüsselung: Häufig nachts oder am Wochenende verschlüsseln sie möglichst viele Systeme gleichzeitig.
6. Erpressung: Auf den Bildschirmen erscheint eine Lösegeldforderung, meist zahlbar in Kryptowährung und mit knapper Frist.

Ein Beispiel aus der Praxis

Ein erfundenes, aber typisches Szenario: Montagmorgen bei einem Maschinenbauer mit mehreren Standorten. Kein Rechner startet normal, auf den Bildschirmen steht eine Lösegeldforderung. Auch die Server für die Fertigungsplanung sind verschlüsselt, die Produktion steht still. Später zeigt sich: Die Täter waren Wochen zuvor über ein VPN-Gateway eingedrungen, für das seit Längerem ein Sicherheitsupdate bereitstand.

Glück im Unglück: Eine Datensicherung lag getrennt vom Netzwerk und blieb unversehrt. Eine forensische Untersuchung klärt, wie die Täter eingedrungen sind und welche Daten abgeflossen sind. Das ist die Voraussetzung, um die Systeme sicher wiederaufzubauen und zu bewerten, welche Meldepflichten bestehen. Das Unternehmen zahlt kein Lösegeld, braucht für den Neustart aber dennoch mehrere Tage.

Warum ist das für Unternehmen wichtig?

Das BSI bewertet Ransomware in seinen Lageberichten seit Jahren als eine der größten Bedrohungen für Unternehmen und Organisationen in Deutschland. Betroffen sind keineswegs nur große Konzerne: Viele Täter suchen automatisiert nach verwundbaren Systemen – unabhängig von Größe oder Branche.

Die Folgen reichen weit über die IT hinaus: Stillstand im Betrieb, Kosten für Wiederherstellung und Aufarbeitung, Vertrauensverlust bei Kunden. Sind personenbezogene Daten betroffen, muss in aller Regel die Datenschutzaufsicht informiert werden – nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden. Unternehmen, die unter NIS2 fallen, müssen erhebliche Sicherheitsvorfälle zusätzlich innerhalb fester Fristen an die gemeinsame Meldestelle von BSI und BBK melden.

Und das Lösegeld? Eine Zahlung garantiert weder funktionierende Schlüssel noch die Löschung gestohlener Daten – und sie finanziert weitere Angriffe. Das BSI rät deshalb davon ab und empfiehlt stattdessen, unverzüglich Anzeige bei der Polizei zu erstatten.

So schützen Sie sich

• Datensicherung richtig aufbauen: Sichern Sie regelmäßig, halten Sie mindestens eine Kopie getrennt vom Netzwerk oder unveränderbar vor und testen Sie die Wiederherstellung.
• Einfallstore schließen: Spielen Sie Sicherheitsupdates zeitnah ein, vor allem für Systeme, die aus dem Internet erreichbar sind. Ein geregeltes Patch-Management hilft dabei.
• Fernzugänge absichern: Schützen Sie VPN, E-Mail und Cloud-Dienste mit Multi-Faktor-Authentifizierung.
• Netz aufteilen: Eine wirksame Segmentierung trennt das Netz in abgeschottete Zonen und verhindert, dass sich Angreifer ungehindert ausbreiten.
• Rechte begrenzen: Nutzen Sie getrennte Administratorkonten und vergeben Sie nur die nötigsten Rechte.
• Angriffe früh erkennen: Überwachen Sie Endgeräte und Protokolle, damit Auffälligkeiten nicht erst bei der Verschlüsselung bemerkt werden.
• Notfallplan bereithalten: Legen Sie fest, wer im Ernstfall entscheidet und wen Sie anrufen – und bewahren Sie die Kontaktliste auch offline auf.

Wie Rootsektor unterstützt

Im Ernstfall unterstützt Sie unsere Ransomware-Notfallhilfe remote und vor Ort. Die IT-Forensik klärt, wie die Täter eingedrungen sind, welche Systeme und Daten betroffen sind und was für einen sicheren Wiederaufbau nötig ist; Umfang und Vorgehen stimmen wir individuell mit Ihnen ab. Sofortmaßnahmen und ein Meldeformular finden Sie unter Notfall melden. Vorbeugend zeigt ein Penetrationstest, welche Einfallstore Angreifer bei Ihnen nutzen könnten; Ihren Prüfumfang beschreiben Sie im Pentest-Angebot.