Ransomware verschlüsselt Ihre Daten und legt den Betrieb lahm, bis Sie zahlen oder aus einer sauberen Sicherung wiederherstellen. Ein wirksamer Ransomware-Schutz besteht deshalb nicht aus einem einzelnen Produkt, sondern aus mehreren Schichten. Dieser Beitrag zeigt, wie Angriffe heute ablaufen und welche Maßnahmen für kleine und mittlere Unternehmen tatsächlich etwas bringen.

Warum gerade kleine und mittlere Unternehmen betroffen sind

Laut BSI-Lagebericht 2025 entfallen rund 80 Prozent der beim Bundeskriminalamt angezeigten Ransomware-Angriffe auf kleine und mittlere Unternehmen. Der Grund ist nüchtern: Angreifer wägen Aufwand und Ertrag ab. Ein Betrieb mit 30 Arbeitsplätzen hat selten eine eigene Sicherheitsabteilung, ist aber auf seine Daten genauso angewiesen wie ein Konzern. Wer Buchhaltung, Warenwirtschaft und E-Mail eine Woche lang nicht nutzen kann, gerät schnell unter Druck.

So läuft ein Ransomware-Angriff heute ab

Moderne Angriffe sind selten ein einzelner Klick mit sofortiger Verschlüsselung. Meist folgen sie einem Muster:

1. Erstzugang: über eine Phishing-E-Mail, gestohlene Zugangsdaten für VPN oder Microsoft 365 oder eine ungepatchte Schwachstelle in einem aus dem Internet erreichbaren System.
2. Ausbreitung: Die Angreifer erkunden das Netzwerk, sammeln Administratorrechte und suchen gezielt nach Servern und Backups.
3. Datendiebstahl: Vor der Verschlüsselung werden oft Daten abgezogen. So können die Täter zusätzlich mit Veröffentlichung drohen (doppelte Erpressung).
4. Verschlüsselung: Erst am Ende werden Dateien und häufig auch erreichbare Sicherungen verschlüsselt oder gelöscht.

Zwischen Erstzugang und Verschlüsselung können Tage oder Wochen liegen. Das ist Ihre Chance: Wer ungewöhnliche Aktivitäten früh erkennt, kann den Angriff stoppen.

Was ein Angriff kostet

Das Lösegeld ist oft nicht der größte Posten. Teurer wird meist der Stillstand: Aufträge können nicht bearbeitet, Rechnungen nicht geschrieben und Mitarbeitende nicht sinnvoll eingesetzt werden. Hinzu kommen externe Forensik, der Wiederaufbau der Systeme, mögliche Vertragsstrafen gegenüber Kunden und der Aufwand für Meldungen an Datenschutzbehörden und Betroffene. Wenn Kundendaten abgeflossen sind, leidet zudem das Vertrauen, und das lässt sich nicht aus einer Sicherung wiederherstellen.

Viele Cyberversicherungen verlangen inzwischen Mindeststandards wie Mehr-Faktor-Authentifizierung, getrennte Sicherungen und zeitnahe Updates. Wer diese nicht nachweisen kann, riskiert, dass die Versicherung im Schadensfall nicht oder nur teilweise leistet. Ein guter Ransomware-Schutz ist damit auch eine Voraussetzung für bezahlbaren Versicherungsschutz.

Die wichtigsten Bausteine für Ihren Ransomware-Schutz

Zugänge absichern

• Mehr-Faktor-Authentifizierung für alle Fernzugänge, Microsoft 365 und Administratorkonten. Mehr dazu in unserem Beitrag zur Zwei-Faktor-Authentifizierung.
• Keine Fernwartungsdienste wie RDP direkt ins Internet stellen, sondern nur über VPN.
• Getrennte Administratorkonten, die nicht für E-Mail und Surfen genutzt werden.

Schwachstellen schließen

Betriebssysteme, Firewalls, VPN-Gateways und Anwendungen brauchen zeitnahe Updates. Besonders kritisch sind Systeme, die aus dem Internet erreichbar sind. Eine richtig konfigurierte Firewall mit aktuellen Signaturen und klaren Regeln reduziert die Angriffsfläche zusätzlich.

Angriffe erkennen

Ein reiner Virenscanner reicht nicht mehr. Endpoint-Lösungen mit Verhaltensanalyse (EDR) erkennen typische Muster wie massenhaftes Umbenennen von Dateien und können betroffene Geräte isolieren. Wichtig ist, dass jemand die Warnungen auch liest und reagiert.

Backups, die einen Angriff überstehen

Die Sicherung ist Ihre letzte Verteidigungslinie. Sie muss so aufgebaut sein, dass Angreifer sie auch mit Administratorrechten nicht löschen können: mindestens eine Kopie außer Haus und unveränderbar (immutable) oder offline. Wie Sie das umsetzen, beschreibt unser Artikel zur Datensicherung.

Mitarbeitende einbeziehen

Kurze, regelmäßige Schulungen helfen, verdächtige E-Mails zu erkennen. Ebenso wichtig ist eine Kultur, in der jemand einen Fehlklick sofort meldet, ohne Ärger befürchten zu müssen. Jede Stunde zählt.

Was im Ernstfall zu tun ist

• Betroffene Geräte vom Netzwerk trennen, aber nicht ausschalten, damit Spuren erhalten bleiben.
• Ihren IT-Dienstleister und gegebenenfalls Ihre Cyberversicherung sofort informieren.
• Anzeige bei der Polizei erstatten. In Rheinland-Pfalz ist dafür die Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts zuständig.
• Prüfen, ob personenbezogene Daten betroffen sind. Dann gilt die 72-Stunden-Meldepflicht nach DSGVO gegenüber der Datenschutzaufsicht.
• Nicht vorschnell zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch, dass gestohlene Daten gelöscht werden.

Was das für Ihr Unternehmen bedeutet

Prüfen Sie Ihren Stand anhand dieser Fragen:

• Ist für jeden Fernzugriff und für Microsoft 365 Mehr-Faktor-Authentifizierung aktiv?
• Werden Updates für Server, Clients und Firewall innerhalb weniger Tage eingespielt?
• Gibt es eine Sicherungskopie, die nicht über das normale Netzwerk gelöscht werden kann?
• Wurde die Wiederherstellung in den letzten Monaten tatsächlich getestet?
• Weiß jede Person im Team, wen sie bei einem Verdacht anruft?
• Existiert ein schriftlicher Notfallplan mit Telefonnummern, der auch ohne funktionierende IT erreichbar ist?

Wenn Sie mehrere Fragen mit Nein beantworten, lohnt sich eine strukturierte Bestandsaufnahme. Als Einstieg empfiehlt das BSI kleinen Unternehmen den Cyber-Risiko-Check nach DIN SPEC 27076.

Häufige Fragen

Sollte man bei Ransomware das Lösegeld zahlen?

Behörden wie BSI und Polizei raten davon ab. Es gibt keine Garantie, dass der Schlüssel funktioniert oder gestohlene Daten nicht trotzdem veröffentlicht werden. Zudem finanzieren Zahlungen weitere Angriffe.

Schützt ein Cloud-Speicher wie OneDrive vor Ransomware?

Nur eingeschränkt. Synchronisierte Ordner übernehmen verschlüsselte Dateien in die Cloud. Versionierung hilft bei Einzelfällen, ersetzt aber keine separate, unveränderbare Sicherung.

Wie schnell sollte ein Unternehmen nach einem Angriff wieder arbeiten können?

Das hängt von Ihren Prozessen ab und sollte vorab festgelegt werden. Definieren Sie für jedes wichtige System, wie lange es ausfallen darf, und richten Sie Sicherung und Notfallplan danach aus.

Unterstützung aus der Region

Interate-IT aus Gensingen unterstützt Unternehmen in Rheinhessen und an der Nahe beim Aufbau eines belastbaren Ransomware-Schutzes: von der Sicherheitsberatung über Managed Backup mit Kopien in unserem Rechenzentrum bis zur laufenden Betreuung Ihrer Systeme. Sprechen Sie uns an, wir prüfen gemeinsam mit Ihnen, wo Sie stehen.