Lexikon · Cybersicherheit

Ransomware – was Erpressungstrojaner sind und wie Sie sich schützen

Kurz erklärt

Ransomware ist Schadsoftware, die Daten oder ganze Systeme verschlüsselt oder blockiert. Für die Freigabe verlangen die Angreifer ein Lösegeld (englisch „ransom“), meist in Kryptowährung. Häufig stehlen sie vorher Daten und drohen zusätzlich mit deren Veröffentlichung.

Verschlüsselung

Daten und Systeme unbrauchbar

Der Betrieb steht still.

Doppelt

Diebstahl plus Verschlüsselung

Ein Backup allein reicht dann nicht.

Keine Garantie

Auch nach einer Zahlung

Ob die Daten zurückkommen, bleibt offen.

Was ist Ransomware?

Ransomware ist eine Form der Cyber-Erpressung. Das BSI zählt sie zu den größten Cyberbedrohungen für Unternehmen: Ein erfolgreicher Angriff legt Geschäftsprozesse sofort lahm. Hinter den Angriffen stehen spezialisierte Gruppen, die arbeitsteilig vorgehen – manche vermieten ihre Schadsoftware als Dienstleistung („Ransomware-as-a-Service“).

Typische Einfallstore sind Phishing-Mails mit Anhängen, gestohlene Zugangsdaten und ungepatchte Sicherheitslücken. Ein bekanntes Beispiel ist WannaCry 2017: Microsoft hatte die ausgenutzte Windows-Lücke rund acht Wochen vorher geschlossen – wer zeitnah aktualisiert hatte, war geschützt.

Verschlüsselung oder Datendiebstahl?

Klassische Ransomware

Verschlüsselt Daten und Systeme. Mit einem sauberen, unveränderlichen Backup lässt sich alles ohne Zahlung wiederherstellen.

Doppelte Erpressung

Die Angreifer kopieren vorher Daten und drohen mit der Veröffentlichung. Ein Backup hilft beim Wiederanlauf, verhindert aber nicht die Veröffentlichung – hier helfen Erkennung und Monitoring.

Wirksamer Schutz braucht deshalb beides: Angriffe früh erkennen und sauber wiederherstellen. Mehr dazu unter Cyber Resilience.

So läuft ein Ransomware-Angriff typischerweise ab

EindringenÜber eine Phishing-Mail, gestohlene Zugangsdaten oder eine ungepatchte Sicherheitslücke gelangen die Angreifer ins Netz.
AusbreitenSie erweitern ihre Rechte, bis hin zum Domänen-Administrator, und bewegen sich unbemerkt durchs Netzwerk.
Backups angreifenSie suchen gezielt nach Sicherungen und löschen oder verschlüsseln sie, damit eine Wiederherstellung ohne Zahlung unmöglich wird.
Daten stehlenVertrauliche Daten werden abgezogen – als zweites Druckmittel für die Erpressung.
Verschlüsseln und erpressenSysteme und Daten werden verschlüsselt, eine Lösegeldforderung erscheint.

Schritt 3 entscheidet, ob ein Unternehmen ohne Zahlung wieder auf die Beine kommt. Wie gut sind Ihre Backups geschützt? Zum Backup-Check →

So schützen Sie sich vor Ransomware

Das BSI nennt die Datensicherung als wichtigste vorbeugende Maßnahme und fordert eine Offline-Kopie der Daten. In der Praxis heißt das: unveränderliche Backups, zum Beispiel mit S3 Object Lock, eine getrennte Kopie per Air Gap oder Band, getrennte Admin-Rechte mit Mehr-Faktor-Anmeldung, zeitnahe Updates, geschulte Mitarbeitende – und eine regelmäßig getestete Wiederherstellung.

Was tun im Ernstfall?

Betroffene Systeme vom Netz trennen, aber nicht ausschalten oder neu aufsetzen. Fachleute früh hinzuziehen. Den Vorfall bei der Polizei anzeigen – über die Zentrale Ansprechstelle Cybercrime (ZAC) – und dem BSI melden. Das BSI rät, kein Lösegeld zu zahlen, weil eine Zahlung keine Garantie für die Freigabe der Daten ist. Wiederhergestellt wird nur aus einem nachweislich sauberen Wiederherstellungspunkt. Mehr dazu: Ransomware-Angriff: Was Sie NICHT tun sollten.

So unterstützt Cristie

Ransomware-Schutz mit Cristie

Managed SOC

Angriffe rund um die Uhr erkennen und stoppen – mit Eye Security SOC oder Arctic Wolf MDR. Zur Cybersicherheit

Cristie Cyber Recovery

Unveränderliche Backups und ein sauberer Wiederanlauf nach einem Angriff. Zu Cyber Recovery

System Recovery (BMR)

Ganze Server schnell neu aufsetzen – auf gleiche oder andere Hardware, virtuell oder in die Cloud. Zu System Recovery

Würden Ihre Backups einen Ransomware-Angriff überstehen?

Wir prüfen mit Ihnen, ob Ihre Sicherungen vor Angreifern mit Admin-Rechten geschützt sind und wie schnell Sie wieder arbeiten können. Oder starten Sie selbst mit dem Backup-Check.

Gespräch vereinbaren

Häufige Fragen zu Ransomware

Was ist Ransomware?

Ransomware ist Schadsoftware, die Daten oder Systeme verschlüsselt oder blockiert. Für die Freigabe verlangen die Angreifer ein Lösegeld, meist in Kryptowährung.

Wie gelangt Ransomware ins Unternehmen?

Meist über Phishing-Mails, gestohlene Zugangsdaten oder ungepatchte Sicherheitslücken in Systemen, die aus dem Internet erreichbar sind.

Sollte man das Lösegeld zahlen?

Das BSI rät davon ab: Eine Zahlung garantiert nicht, dass die Daten freigegeben werden. Stattdessen sollten Betroffene Anzeige bei der Polizei erstatten.

Was ist doppelte Erpressung?

Die Angreifer stehlen Daten, bevor sie verschlüsseln, und drohen anschließend mit deren Veröffentlichung – auch wenn das Opfer aus dem Backup wiederherstellen kann.

Schützt ein Backup vor Ransomware?

Ja, wenn es unveränderlich oder offline ist und die Wiederherstellung getestet wurde. Gegen die Veröffentlichung gestohlener Daten hilft es nicht.

Wo meldet man einen Ransomware-Angriff?

Bei der Zentralen Ansprechstelle Cybercrime (ZAC) der Polizei und beim BSI über das Meldeportal. Je nach Branche gelten zusätzliche Meldepflichten, etwa nach NIS2 oder der DSGVO.