Wie läuft ein Ransomware-Angriff ab?
- Eindringen: über eine ungepatchte Schwachstelle in Firewall oder VPN, ein erbeutetes Passwort für einen Fernzugang oder eine Phishing-Mail.
- Ausbreiten: Die Angreifer verschaffen sich Administratorrechte und erkunden das Netz, oft über Tage unbemerkt.
- Daten stehlen: Vertrauliche Daten werden kopiert, um zusätzlich mit Veröffentlichung zu drohen.
- Backups angreifen: Erreichbare Sicherungen werden gelöscht oder mitverschlüsselt.
- Verschlüsseln und erpressen: Server und Arbeitsplätze werden verschlüsselt, eine Lösegeldforderung erscheint.
Die wichtigsten Schutzmaßnahmen
Das BSI hat die wirksamsten Maßnahmen gegen Ransomware zusammengestellt:[1][2]
| Maßnahme | Was konkret |
|---|---|
| Updates | Sicherheitsupdates sofort einspielen, vor allem für Firewall, VPN und andere von außen erreichbare Systeme |
| Fernzugänge | nur über VPN mit zweitem Faktor |
| Makros deaktivieren, Anhänge filtern, Mitarbeitende schulen | |
| Administratorkonten | immer mit Multi-Faktor-Authentisierung, getrennt vom Alltagskonto |
| Netzsegmentierung | begrenzt, wie weit sich eine Infektion ausbreitet |
| Backups | mindestens eine Kopie offline, Wiederherstellung regelmäßig testen |
| Notfallplanung | alternative Kommunikationswege und Kontakte auf Papier |
Das BSI bezeichnet Backups als die wichtigste Schutzmaßnahme. Mindestens eine Kopie soll offline und getrennt von den übrigen Systemen liegen; vor einer Wiederherstellung ist zu prüfen, ob die Sicherung selbst schon infiziert ist.[2]
Was im Ernstfall zu tun ist
- Betroffene Systeme vom Netz trennen, aber nicht ausschalten, damit Spuren erhalten bleiben.
- Den IT-Dienstleister und gegebenenfalls einen Spezialisten für Vorfallsbehandlung einschalten.
- Über einen Kanal außerhalb des Firmennetzes kommunizieren, etwa private Handys.
- Meldepflichten prüfen: bei Datenschutzverletzungen an die Datenschutzaufsicht, möglichst binnen 72 Stunden[3], bei NIS2-Unternehmen zusätzlich die Erstmeldung beim BSI binnen 24 Stunden.[4]
- Anzeige bei der Polizei erstatten; die Landeskriminalämter haben dafür Ansprechstellen für Cybercrime.
Beispiel aus der Praxis
Ein Bauträger stellt an einem Montagmorgen fest, dass Server und Dateiablage verschlüsselt sind. Eingedrungen waren die Angreifer über einen Fernwartungszugang ohne zweiten Faktor. Die Backups auf dem NAS im selben Netz sind ebenfalls verschlüsselt. Gerettet wird der Betrieb durch eine Kopie, die jede Nacht in ein Rechenzentrum geht und dort 30 Tage lang nicht verändert werden kann. Nach drei Tagen laufen die wichtigsten Systeme wieder; ein Lösegeld wird nicht gezahlt.
Kurz gesagt
Ransomware verschlüsselt Unternehmensdaten und erpresst Lösegeld, oft verbunden mit Datendiebstahl. Die wirksamsten Gegenmaßnahmen sind schnelle Updates, Fernzugänge mit zweitem Faktor, geschulte Mitarbeitende und vor allem Offline-Backups, deren Wiederherstellung regelmäßig getestet wird.
Weiterlesen: Ransomware-Schutz: Was Unternehmen wirklich schützt, Cyberangriff auf die Firma verhindern, Server-Ausfall: Notfallplan für die Firma