Montagmorgen, 7:30 Uhr. Die erste Mitarbeiterin fährt ihren Rechner hoch und findet statt des Desktops eine Textnachricht: Alle Dateien wurden verschlüsselt, für die Freigabe wird ein Betrag in Kryptowährung verlangt, eine Frist läuft. Der Server ist nicht erreichbar, die Netzlaufwerke zeigen nur noch unlesbare Dateien mit fremden Endungen, und auch das NAS mit den Sicherungen antwortet nicht mehr. Der Betrieb steht – Angebote, Aufträge, Buchhaltung, alles unzugänglich. Was nach einem Ausnahmeszenario für Konzerne klingt, trifft in der Realität regelmäßig Klein- und Mittelbetriebe: Handwerksbetriebe, Kanzleien, Händler, Arztpraxen. Ransomware ist die derzeit größte einzelne Cyberbedrohung für Unternehmen, und sie ist ein florierendes Geschäftsmodell. In diesem Beitrag erklären wir, wie diese Angriffe wirklich ablaufen, warum gerade KMU im Visier stehen, und – vor allem – welche Schutzmaßnahmen tatsächlich wirken.
Ein Geschäftsmodell, keine Einzeltäter
Das verbreitete Bild vom einsamen Hacker im Kapuzenpulli führt in die Irre. Hinter Ransomware steht eine arbeitsteilige Schattenindustrie: Entwicklergruppen bauen die Schadsoftware und vermieten sie als Dienstleistung – Ransomware-as-a-Service – an „Partner“, die die eigentlichen Angriffe durchführen und die Beute teilen. Spezialisierte Zugangs-Händler verkaufen gestohlene Zugangsdaten und offene Einfallstore im Paket. Es gibt Support-Portale für die Opfer, Verhandlungsführer und professionelle Abläufe. Diese Industrialisierung erklärt zwei Dinge: warum die Angriffe technisch so ausgereift sind – und warum niemand „zu klein“ ist, um Ziel zu werden. Die Angriffe laufen zu großen Teilen automatisiert; gescannt wird das gesamte Internet, und angegriffen wird, wo eine Tür offen steht. Der Fünf-Personen-Betrieb ist kein uninteressantes Ziel – er ist ein leichtes.
Dazu kommt eine Entwicklung, die das Bedrohungsbild verschärft hat: die doppelte Erpressung. Moderne Gruppen verschlüsseln nicht mehr nur – sie kopieren vor der Verschlüsselung die Daten und drohen zusätzlich mit deren Veröffentlichung. Damit läuft selbst das beste Backup-Argument („wir stellen einfach wieder her“) ins Leere, was die Erpressung betrifft: Die Wiederherstellung löst das Betriebsproblem, aber nicht die Drohung, Kundendaten, Kalkulationen oder Personalunterlagen ins Netz zu stellen. Umso wichtiger ist es, den Angriff von vornherein zu verhindern oder früh zu stoppen.
Wie ein Angriff tatsächlich abläuft
Der Ablauf folgt fast immer demselben Muster, und es lohnt sich, ihn zu kennen – denn an jeder Station lässt sich der Angriff stoppen.
Am Anfang steht der Erstzugang, und dafür gibt es drei Hauptwege: Phishing-Mails mit schädlichen Anhängen oder Links, über die sich ein Mitarbeiter unbemerkt Schadsoftware einfängt; offene Fernzugänge – allen voran aus dem Internet erreichbare Remote-Desktop-Zugänge und VPN-Portale mit schwachen oder geleakten Passwörtern; und ungepatchte Sicherheitslücken in Systemen, die vom Internet aus erreichbar sind. Bemerkenswert: Alle drei Wege sind mit Standardmaßnahmen verschließbar. Die allermeisten erfolgreichen Angriffe nutzen keine unbekannten Superlücken, sondern seit Monaten bekannte Schwachstellen und schwache Zugangsdaten.
Was dann folgt, widerspricht der landläufigen Vorstellung vom Blitzangriff: Zwischen Erstzugang und Verschlüsselung liegen oft Tage bis Wochen. In dieser Phase bewegen sich die Angreifer still durchs Netzwerk, verschaffen sich höhere Rechte, kundschaften die Umgebung aus – und suchen gezielt nach zwei Dingen: den wertvollsten Daten (für die Erpressungskopie) und den Backups. Sicherungssysteme werden, wo erreichbar, gelöscht oder mitverschlüsselt, denn ein Opfer ohne Backup zahlt eher. Erst wenn alles vorbereitet ist, schlägt die Verschlüsselung zu – bevorzugt nachts oder am Wochenende, wenn niemand eingreift.
Diese „stille Phase“ ist zugleich die größte Chance der Verteidiger: Wer sein Netzwerk überwacht, kann den Einbruch erkennen und stoppen, bevor der eigentliche Schaden entsteht.
Was ein Vorfall wirklich kostet
Über Lösegeldsummen wird viel geschrieben, doch sie sind meist der kleinere Teil der Rechnung. Der größte Posten ist der Betriebsstillstand: Tage bis Wochen, in denen nicht fakturiert, nicht produziert, nicht geliefert werden kann. Dazu kommen die Kosten der Wiederherstellung – forensische Analyse, Neuaufbau der Systeme, Überstunden –, mögliche Vertragsstrafen gegenüber Kunden, und bei abgeflossenen personenbezogenen Daten die datenschutzrechtliche Dimension: Ein solcher Vorfall ist regelmäßig eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO, binnen 72 Stunden der Datenschutzbehörde anzuzeigen, gegebenenfalls mit Benachrichtigung der Betroffenen. Für Unternehmen, die künftig unter das NISG 2026 fallen, kommen die neuen Cybersicherheits-Meldepflichten hinzu. Und nicht zuletzt: der Reputationsschaden, wenn Kunden erfahren, dass ihre Daten bei einem Erpresservorfall abgeflossen sind.
Zur Lösegeldzahlung selbst eine klare Einordnung: Behörden raten davon ab, und das aus guten Gründen – die Zahlung finanziert das Geschäftsmodell, garantiert weder funktionierende Entschlüsselung noch Löschung der kopierten Daten und markiert das Unternehmen als zahlungswilliges Ziel für Folgeangriffe. Die strategisch richtige Antwort lautet: sich in eine Lage bringen, in der man gar nicht erst vor dieser Entscheidung steht.
Die Schutzmaßnahmen, die wirklich zählen
Die gute Nachricht nach so viel Bedrohungsszenario: Wirksamer Schutz besteht nicht aus exotischen Speziallösungen, sondern aus konsequent umgesetztem Handwerk. Die folgenden Maßnahmen adressieren exakt die oben beschriebenen Angriffswege.
Das Fundament sind Backups nach der 3-2-1-Regel – drei Kopien, zwei Systeme, eine davon außer Haus – mit einem entscheidenden Zusatz im Ransomware-Kontext: Mindestens eine Sicherung muss so gestaltet sein, dass sie vom Firmennetz aus nicht verändert oder gelöscht werden kann. Das leistet etwa eine Sicherung in ein Rechenzentrum, bei der das Ziel-System die Versionsstände kontrolliert, oder Speicher mit Unveränderlichkeits-Funktion. Denken Sie daran: Die Angreifer suchen Ihre Backups aktiv. Eine Sicherung, die als Netzlaufwerk erreichbar ist, ist im Ernstfall keine. Und wie immer gilt: Nur die getestete Wiederherstellung zählt.
Die zweite Säule ist die Absicherung der Zugänge: Mehrfaktor-Authentifizierung auf allen Fernzugängen, Cloud-Diensten und Verwaltungszugängen – sie entwertet gestohlene Passwörter und blockiert damit einen der Hauptangriffswege. Direkt aus dem Internet erreichbare Remote-Desktop-Zugänge gehören abgeschafft und durch ein sauber konfiguriertes VPN ersetzt; Fernwartungszugänge von Lieferanten und Dienstleistern gehören inventarisiert und ebenfalls absichert – sie werden notorisch vergessen.
Die dritte Säule ist konsequentes Patch-Management: Sicherheitsupdates für Betriebssysteme, Anwendungen und – besonders wichtig – alle vom Internet erreichbaren Systeme wie Firewalls und VPN-Gateways müssen zeitnah eingespielt werden. Die Lücken, über die eingebrochen wird, sind fast immer längst geschlossen gewesen – nur eben nicht überall.
Die vierte Säule ist die Begrenzung des Schadens im Inneren: Mitarbeiter arbeiten ohne Administratorrechte, Zugriffsrechte folgen dem Prinzip „so viel wie nötig, so wenig wie möglich“, und das Netzwerk ist sinnvoll segmentiert, sodass ein kompromittierter Büro-PC nicht ungehindert Server, Produktion und Backups erreicht. Jede dieser Hürden verlangsamt Angreifer in der stillen Phase – und Zeit ist hier die entscheidende Währung.
Und die fünfte Säule ist Sichtbarkeit und Reaktionsfähigkeit: aktueller Endpunktschutz auf allen Geräten, Überwachung, die ungewöhnliche Vorgänge meldet, und ein einfacher, geübter Notfallplan: Wer wird alarmiert? Wer darf entscheiden, Systeme vom Netz zu nehmen? Wo liegen die Notfallkontakte – auch dann verfügbar, wenn Server und E-Mail gerade verschlüsselt sind? Ein Ausdruck im Ordner wirkt altmodisch und ist im Ernstfall Gold wert.
Wenn es doch passiert: die ersten Stunden
Sollte trotz allem der Ernstfall eintreten, entscheiden die ersten Handgriffe über das Ausmaß: Betroffene Systeme vom Netzwerk trennen – nicht ausschalten, denn im laufenden Zustand bleiben Spuren für die Analyse erhalten. Keine vorschnellen Lösch- oder Aufräumaktionen, keine Kontaktaufnahme mit den Erpressern im Alleingang. Stattdessen sofort fachliche Hilfe holen, den Umfang klären – welche Systeme, welche Daten, sind die Backups intakt? – und parallel die rechtlichen Pflichten im Blick behalten: Meldefristen laufen ab Kenntnis. Anzeige bei der Polizei gehört ebenfalls dazu. Und erst auf Basis eines klaren Lagebilds wird über den Wiederaufbau entschieden – aus sauberen Backups, auf bereinigte oder neu aufgesetzte Systeme, mit geschlossenem Einfallstor.
Fazit
Ransomware ist keine höhere Gewalt, sondern ein Geschäftsmodell, das von vermeidbaren Schwächen lebt: offenen Fernzugängen, fehlender Mehrfaktor-Authentifizierung, ungepatchten Systemen und erreichbaren Backups. Jede dieser Schwächen lässt sich mit überschaubarem Aufwand beseitigen – und ein Betrieb mit getrennten, getesteten Sicherungen und abgesicherten Zugängen nimmt den Erpressern ihr wichtigstes Druckmittel. Die Frage ist nicht, ob Ihr Unternehmen es sich leisten kann, diese Maßnahmen umzusetzen. Die Frage ist, ob es sich leisten kann, es nicht zu tun.
