Was ist Ransomware?

Kurz erklärt

Ransomware ist eine Schadsoftware, die Daten oder ganze Systeme verschlüsselt und für die Freigabe ein Lösegeld verlangt, oft verbunden mit der Drohung, gestohlene Daten zu veröffentlichen. Der Name setzt sich aus dem englischen „ransom“ (Lösegeld) und „Software“ zusammen. Ransomware ist eine besonders folgenschwere Form von Malware, weil sie den Betrieb oft sofort zum Stillstand bringt.

Wie funktioniert Ransomware?

Ein Ransomware-Angriff läuft meist in mehreren Schritten ab, die sich über Tage oder Wochen ziehen können:

1. Erster Zugang: Angreifer gelangen über eine Phishing-E-Mail mit verseuchtem Anhang, über gestohlene Zugangsdaten, einen ungesicherten Fernzugang oder eine nicht gepatchte Sicherheitslücke ins Netzwerk.
2. Ausbreitung: Im Hintergrund verschaffen sie sich weitere Rechte, suchen nach Servern, Netzlaufwerken und Datensicherungen.
3. Datendiebstahl: Häufig werden sensible Daten vorab kopiert. So entsteht ein zweites Druckmittel („doppelte Erpressung“).
4. Verschlüsselung: Erst dann wird zugeschlagen – oft nachts oder am Wochenende. Dateien werden unlesbar, auf den Bildschirmen erscheint eine Lösegeldforderung, meist in Kryptowährung.

Kleine Unternehmen sind dabei keineswegs uninteressant. Viele Angriffe laufen automatisiert und treffen jede Organisation, die eine offene Tür bietet.

Für Betroffene ist oft nicht die Lösegeldforderung das größte Problem, sondern der Stillstand: Termine können nicht vergeben, Rechnungen nicht gestellt und Aufträge nicht bearbeitet werden. Hinzu kommen Kosten für die Wiederherstellung, mögliche Ansprüche von Kundinnen und Kunden sowie ein Vertrauensverlust, wenn Daten veröffentlicht werden. Je früher ein Angriff in der Ausbreitungsphase bemerkt wird, desto eher lässt sich die Verschlüsselung noch verhindern.

Ein typisches Beispiel aus dem KMU-Alltag

Eine Steuerberatungskanzlei mit zwölf Mitarbeitenden erhält eine scheinbar echte Rechnung als E-Mail-Anhang. Eine Assistentin öffnet das Dokument und aktiviert auf Aufforderung die Bearbeitung. Unbemerkt wird ein Trojaner installiert. Zwei Wochen später sind am Montagmorgen alle Mandantenordner auf dem Server verschlüsselt. Die Sicherung auf der dauerhaft angeschlossenen externen Festplatte ist ebenfalls betroffen. Mitten in der Abgabefrist steht die Kanzlei still, zusätzlich droht die Veröffentlichung von Mandantendaten.

So schützen Sie Ihr Unternehmen

• Datensicherung nach der 3-2-1-Regel: drei Kopien, zwei verschiedene Speichermedien, eine davon getrennt vom Netzwerk (offline oder unveränderbar). Testen Sie regelmäßig, ob sich Daten tatsächlich wiederherstellen lassen.
• Updates zeitnah einspielen: Ein geregeltes Patch-Management schließt bekannte Lücken in Betriebssystemen, Programmen, Routern und Websites.
• Zugänge absichern: Aktivieren Sie die Zwei-Faktor-Authentifizierung für E-Mail, Cloud-Dienste und Fernzugänge.
• Rechte beschränken: Niemand sollte im Alltag mit Administratorrechten arbeiten. Mitarbeitende brauchen nur Zugriff auf die Daten, die sie tatsächlich benötigen.
• Mitarbeitende schulen: Kurze, regelmäßige Hinweise zu verdächtigen E-Mails wirken besser als eine einmalige Schulung.
• Notfallplan vorbereiten: Wer ist zu verständigen, wo liegen Telefonnummern und Passwörter, wenn der Server nicht erreichbar ist?

Was tun im Ernstfall?

1. Betroffene Geräte vom Netzwerk trennen (Netzwerkkabel ziehen, WLAN deaktivieren), aber nicht ausschalten – sonst gehen Spuren verloren.
2. Kein Lösegeld zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass gestohlene Daten gelöscht werden, und finanziert weitere Angriffe.
3. Polizei einschalten: Erstatten Sie Anzeige bei der nächsten Polizeidienststelle oder wenden Sie sich an die Cybercrime-Meldestelle des Bundeskriminalamts (against-cybercrime@bmi.gv.at).
4. Fachliche Hilfe holen: Ihr IT-Dienstleister, CERT.at oder – falls vorhanden – die Hotline Ihrer Cyberversicherung unterstützt bei der Eindämmung.
5. Meldepflichten prüfen: Sind personenbezogene Daten betroffen, ist laut DSGVO in der Regel binnen 72 Stunden eine Meldung an die Datenschutzbehörde nötig. Unternehmen im Anwendungsbereich des NISG 2026 haben zusätzliche Meldefristen.
6. Dokumentieren: Notieren Sie, wann Sie was bemerkt haben, und fotografieren Sie die Lösegeldforderung. Diese Informationen brauchen Polizei, IT-Fachleute und gegebenenfalls Ihre Versicherung.

Xcubitor wird künftig verdächtige Anmeldungen und Auffälligkeiten in Server-Logs früh erkennen, damit Angreifer gestoppt werden können, bevor die Verschlüsselung beginnt. Weitere Antworten auf häufige Fragen finden Sie in unserer Cybersecurity-FAQ.