Ransomware — einfach erklärt

Was ist Ransomware?

Ransomware ist Schadsoftware, die Dateien auf einem Rechner oder gleich einem ganzen Firmennetzwerk verschlüsselt, sodass niemand mehr darauf zugreifen kann. Für die Freigabe wird ein Lösegeld gefordert — der Name setzt sich aus dem englischen „ransom” (Lösegeld) zusammen. Bei vielen aktuellen Angriffen kommt eine zweite Drohung dazu: Die Angreifer kopieren vorher sensible Daten und drohen mit deren Veröffentlichung, falls nicht gezahlt wird.

Wie läuft ein Ransomware-Angriff ab?

Ein typischer Angriff verläuft in mehreren Phasen:

1. Erstzugang — Meist über eine Phishing-Mail, eine ungepatchte Sicherheitslücke in einem aus dem Internet erreichbaren System oder gestohlene Zugangsdaten.
2. Ausbreitung — Die Angreifer bewegen sich unauffällig durch das Netzwerk, verschaffen sich weitere Rechte und suchen gezielt nach wichtigen Servern und Backups.
3. Daten abgreifen — Sensible Unterlagen werden häufig vorab kopiert, um später zusätzlichen Druck aufzubauen.
4. Verschlüsselung — Erst wenn die Angreifer maximalen Schaden anrichten können, wird die eigentliche Verschlüsselung ausgelöst — oft nachts oder am Wochenende, wenn niemand sofort reagiert.
5. Lösegeldforderung — Eine Nachricht mit Zahlungsaufforderung und Frist erscheint auf den betroffenen Systemen.

Worauf KMU achten sollten

1. Backups außerhalb der Reichweite des Netzwerks — Angreifer suchen gezielt nach Backups und verschlüsseln oder löschen sie mit. Eine getrennte, unveränderliche Kopie ist deshalb entscheidend.
2. Regelmäßige Test-Wiederherstellungen — Ein Backup, das im Ernstfall nicht zurückspielbar ist, schützt nicht.
3. Netzwerksegmentierung — Getrennte Netzbereiche verhindern, dass sich ein Angreifer ungehindert vom ersten kompromittierten Rechner aus im gesamten Unternehmen ausbreitet.
4. Konsequentes Patch-Management — Viele Angriffe nutzen bekannte, längst geschlossene Sicherheitslücken aus, die nur nicht eingespielt wurden.
5. Geschulte Mitarbeitende — Der Erstzugang läuft häufig über eine überzeugend wirkende Phishing-Mail, die ein aufmerksamer Mitarbeiter erkennen kann.

Verhalten im Ernstfall

Wenn eine Verschlüsselung entdeckt wird, zählt vor allem eines: Ruhe bewahren und keine überstürzten Aktionen. Betroffene Systeme sofort vom Netzwerk trennen, um eine weitere Ausbreitung zu stoppen, aber nichts vorschnell löschen oder neu aufsetzen — das würde Spuren zerstören, die für die Wiederherstellung und eine mögliche Strafanzeige wichtig sind. Danach unverzüglich erfahrene IT-Sicherheitsleute einbinden.

Eine pauschale Empfehlung, kein Lösegeld zu zahlen, ist richtig, aber jeder Fall hat Nuancen: Existieren funktionierende Backups, entfällt die Frage meist von selbst. Fehlen sie, muss unter Einbeziehung von Fachleuten und gegebenenfalls Behörden abgewogen werden — mit dem Wissen, dass eine Zahlung keine Garantie ist.

Ein Betrieb, dessen Auftragsverwaltung über Nacht verschlüsselt wird, merkt am nächsten Morgen: keine Zugriffe auf Kundendaten, keine laufende Warenwirtschaft, Mitarbeitende ohne Werkzeug. Genau für diesen Moment zahlt sich vorher investierte Vorbereitung aus — ein aktuelles, getestetes Backup entscheidet oft darüber, ob aus dem Vorfall ein Ausfall von wenigen Stunden oder eine Woche Stillstand wird.

Bei IT-Sicherheit von LNIT bauen wir Schutzkonzepte, die genau an diesen Punkten ansetzen — von Backup-Strategie über Netzwerksegmentierung bis zur Sensibilisierung der Mitarbeitenden.