Ransomware bezeichnet Schadsoftware, die Dateien, Systeme oder ganze Netzwerke unbrauchbar macht und für die Freigabe ein Lösegeld verlangt. In vielen Fällen werden vor der Verschlüsselung zusätzlich Daten kopiert. Die Täter drohen dann mit einer Veröffentlichung oder dem Verkauf dieser Informationen. Für einen Kleinbetrieb kann ein solcher Vorfall besonders schwerwiegende Folgen haben: Der Zugriff auf Aufträge, Buchhaltung, Kundendaten, E-Mails oder Produktionsunterlagen fällt aus, während der laufende Betrieb weiter Kosten verursacht.
Kleine Unternehmen werden nicht deshalb angegriffen, weil ihre Technik grundsätzlich unsicherer ist. Häufig fehlen jedoch getrennte Zuständigkeiten, regelmäßige Kontrollen und Zeit für Sicherheitsaufgaben. Ein einzelnes Administratorkonto, ein nicht aktualisiertes Gerät oder eine ungeschützte Datensicherung kann dadurch eine größere Bedeutung bekommen als in einem Konzern mit mehreren unabhängigen Schutzschichten.
Ransomware-Angriffe sind außerdem oft arbeitsteilig organisiert. Nicht jeder Angreifer entwickelt die Schadsoftware selbst. Zugangsdaten können aus früheren Datenlecks stammen, Zugänge werden weiterverkauft und Verschlüsselungswerkzeuge werden von anderen Gruppen bereitgestellt. Für den betroffenen Betrieb ist deshalb nicht entscheidend, welcher Name hinter dem Angriff steht. Wichtig ist, die typischen Angriffspunkte zu kennen und die Wiederherstellung des Betriebs vorzubereiten.
Ein Angriff folgt nicht immer demselben Muster. Die einzelnen Phasen helfen jedoch dabei, Warnzeichen einzuordnen und Schutzmaßnahmen an der richtigen Stelle anzusetzen.
Diese Reihenfolge zeigt, warum eine einzelne Schutzmaßnahme nicht ausreicht. Ein aktuelles Antivirenprogramm kann einen bekannten Schadcode erkennen, verhindert aber nicht zwingend den Missbrauch eines gestohlenen Kontos. Eine Datensicherung schützt vor Datenverlust, wenn sie vom Angreifer nicht erreicht werden kann und ihre Wiederherstellung geprüft wurde.
Eine Nachricht kann zu einer Rechnung, einer Lieferung, einer Bewerbung oder einer angeblich wichtigen Kontoprüfung passen. Ziel ist häufig nicht der direkte Start einer Verschlüsselung, sondern die Eingabe eines Passworts auf einer nachgebauten Internetseite. Besonders gefährlich sind Konten, die sowohl für E-Mail als auch für Cloudspeicher, Fernzugriff oder Verwaltungssysteme verwendet werden.
Remote-Desktop-Dienste, VPN-Zugänge und Fernwartungsprogramme ermöglichen produktives Arbeiten, erweitern aber die Angriffsfläche. Ein Zugang ohne Mehrfaktor-Authentisierung, mit schwachem Passwort oder ohne Begrenzung der erlaubten Geräte kann zum Einstieg dienen. Fernzugänge sollten nur aktiv sein, wenn sie benötigt werden, und müssen protokolliert sowie regelmäßig überprüft werden.
Betriebssysteme, Router, Firewalls, Server und Fachanwendungen erhalten Sicherheitsaktualisierungen, weil Schwachstellen entdeckt wurden. Werden diese Updates dauerhaft aufgeschoben, kann ein öffentlich erreichbarer Dienst angreifbar bleiben. Nicht mehr unterstützte Systeme brauchen eine konkrete Ablösung oder eine technisch begründete Schutzmaßnahme, etwa eine strikte Netztrennung.
USB-Speicher, private Notebooks und Smartphones können Schadsoftware oder gestohlene Zugangsdaten in den Betrieb bringen. Für dienstliche Zugänge sollten deshalb verbindliche Regeln gelten. Geräte, die auf Unternehmensdaten zugreifen, benötigen einen aktuellen Systemstand, eine Gerätesperre und bei mobilen Geräten eine verschlüsselte Speicherung.
Ein tragfähiger Schutz entsteht aus mehreren Schichten. Die folgenden Maßnahmen bilden eine sinnvolle Reihenfolge für kleine Betriebe:
Eine Datensicherung ist erst dann belastbar, wenn Daten aus ihr wiederhergestellt werden können. Das BSI empfiehlt im Zusammenhang mit Ransomware unter anderem regelmäßige, getestete und vom Produktivsystem getrennte Sicherungen. Ein dauerhaft mit dem Netzwerk verbundener Backup-Speicher ist kein ausreichender Schutz, wenn Angreifer auch dort Schreib- oder Löschrechte besitzen.
Für die Planung sollten zunächst die wichtigsten Geschäftsprozesse erfasst werden. Welche Daten werden für die Auftragsbearbeitung, Zahlung, Kommunikation und Dokumentation benötigt? Daraus lassen sich Wiederherstellungsprioritäten ableiten. Nicht jede Datei muss zur selben Zeit zurückkehren, doch kritische Systeme brauchen einen klaren Wiederanlaufplan.
Bewährt hat sich eine Kombination aus mehreren Sicherungszielen, darunter mindestens ein vom laufenden Netzwerk getrenntes oder technisch gegen Änderungen geschütztes Ziel. Cloud-Sicherungen sind nicht automatisch unveränderbar. Entscheidend sind die konkreten Funktionen des Dienstes, getrennte Administrationskonten, Mehrfaktor-Authentisierung und eine Konfiguration, die das Löschen älterer Sicherungen begrenzt.
Ein Backup-Konzept sollte mindestens diese Punkte beantworten:
Ein Wiederherstellungstest darf nicht bei einer erfolgreichen Statusmeldung der Backup-Software enden. Einzelne Dateien, Verzeichnisse und möglichst auch ein vollständiger Systemstart sollten kontrolliert werden. Die dafür nötigen Zugangsdaten, Lizenzen und Installationsmedien gehören in die Notfallunterlagen.
Je früher ein Angriff erkannt wird, desto größer ist die Chance, seine Ausbreitung zu begrenzen. Auffällig sind unter anderem zahlreiche fehlgeschlagene Anmeldungen, neue Administratorkonten, unerwartete Fernzugriffe, deaktivierte Schutzfunktionen, ungewöhnliche Datenübertragungen und Dateien mit unbekannten Endungen. Auch ein plötzlicher Anstieg von Festplattenaktivität oder eine große Zahl geänderter Dokumente kann auf eine laufende Verschlüsselung hindeuten.
Beschäftigte sollten wissen, an wen sie verdächtige E-Mails, Warnmeldungen oder ungewöhnliche Systemverhalten melden. Eine Sicherheitsmeldung muss nicht erst durch eine technische Diagnose abgesichert werden. Die interne Regel sollte lauten: lieber früh eskalieren als einen möglichen Vorfall wegen Unsicherheit zurückhalten.
Protokolle von Firewall, E-Mail-System, Cloudanwendungen, Servern und Endgeräten können bei der Untersuchung helfen. Sie sollten gegen nachträgliche Manipulation geschützt und für einen angemessenen Zeitraum aufbewahrt werden. Das BSI und die zuständigen staatlichen Meldestellen veröffentlichen Hinweise zum Umgang mit IT-Sicherheitsvorfällen. Bei personenbezogenen Daten können zusätzlich datenschutzrechtliche Prüfungen und Meldepflichten relevant sein.
Bei einer laufenden Verschlüsselung oder einem begründeten Verdacht zählt ein geordnetes Vorgehen. Unkoordinierte Gegenmaßnahmen können Beweise zerstören oder weitere Systeme gefährden.
Die Zahlung eines Lösegelds bietet keine verlässliche Gewähr für die Rückgabe der Daten und beendet nicht zwingend die Gefahr. Gestohlene Informationen können bereits kopiert worden sein. Eine Entscheidung dazu sollte nie unter Zeitdruck durch eine einzelne Person erfolgen, sondern nach rechtlicher, technischer und geschäftlicher Prüfung.
Ein Notfallplan muss nicht umfangreich sein, aber er sollte außerhalb der normalen IT-Umgebung erreichbar bleiben. Eine ausschließlich auf dem betroffenen Server gespeicherte Anleitung hilft im Ernstfall nicht weiter. Die Papierfassung oder ein geschützter Offline-Speicher sollte regelmäßig aktualisiert werden.
Zum Inhalt gehören:
Der Plan sollte in einer Übung geprüft werden. Dabei kann ein Szenario angenommen werden, ohne produktive Systeme zu verändern: Ein Mitarbeiter meldet eine verdächtige Verschlüsselungsnachricht, ein Server ist nicht erreichbar und der Cloudzugang zeigt ungewöhnliche Anmeldungen. Die Beteiligten müssen dann klären, wer entscheidet, welche Geräte getrennt werden und wie der Betrieb weiter kommuniziert. Solche Übungen zeigen Lücken, die im Tagesgeschäft kaum auffallen.
| Maßnahme | Welches Risiko wird reduziert? | Worauf besonders achten? |
|---|---|---|
| Mehrfaktor-Authentisierung | Missbrauch gestohlener Passwörter | Auch Administrations- und Wiederherstellungskonten einbeziehen |
| Getrennte Backups | Datenverlust und Erpressbarkeit | Wiederherstellung regelmäßig testen und Löschrechte beschränken |
| Netzwerksegmentierung | Ausbreitung von einem Gerät auf weitere Systeme | Freigaben und Verwaltungszugriffe restriktiv konfigurieren |
| Patch-Management | Ausnutzung bekannter Schwachstellen | Bestand, Supportstatus und Zuständigkeit dokumentieren |
| Schulungen und Meldewege | Phishing und verspätete Reaktion | Konkrete Beispiele und einen erreichbaren Meldekontakt bereitstellen |
| Protokollierung und Alarmierung | Unbemerkte Konto- und Systemmissbräuche | Warnungen müssen bewertet und bearbeitet werden |
Die Tabelle macht deutlich, dass organisatorische Maßnahmen denselben Stellenwert wie technische Produkte haben. Ein Sicherheitswerkzeug ohne Zuständigkeit, aktuelle Konfiguration und Reaktion auf Warnungen erzeugt ein trügerisches Sicherheitsgefühl.
Für viele Kleinbetriebe ist ein schrittweises Vorgehen realistischer als ein umfassendes Sicherheitsprojekt. Die Reihenfolge kann an die eigene Umgebung angepasst werden:
Nach diesem ersten Durchlauf beginnt die regelmäßige Pflege. Konten ändern sich, Software wird ersetzt und Sicherungen können unbemerkt fehlschlagen. Sicherheit ist daher kein einmaliger Kauf, sondern ein wiederkehrender Prozess aus Vorbeugung, Kontrolle und Übung.
Nein. Auch ohne internes Spezialteam lassen sich grundlegende Schutzmaßnahmen organisieren. Entscheidend sind klare Zuständigkeiten, ein belastbarer Backup-Prozess, abgesicherte Konten, aktuelle Systeme und ein erreichbarer Ansprechpartner für Vorfälle. Für komplexe Netzwerke oder einen tatsächlichen Angriff ist externe Fachunterstützung sinnvoll.
Das hängt von der konkreten Konfiguration ab. Ein Cloud-Backup kann ebenfalls gelöscht oder verschlüsselt werden, wenn ein Angreifer auf das Verwaltungskonto zugreift. Getrennte Konten, Mehrfaktor-Authentisierung, Versionierung und Schutz vor nachträglicher Änderung sind wichtige Prüfpunkte. Eine Wiederherstellung muss praktisch getestet werden.
Das hängt vom Szenario ab. Die Netzwerkverbindung zu trennen, begrenzt häufig die weitere Ausbreitung. Ein abruptes Ausschalten kann jedoch flüchtige Informationen verlieren oder bei Servern zusätzliche Betriebsprobleme verursachen. Die Entscheidung sollte nach Möglichkeit mit fachkundiger Unterstützung getroffen und dokumentiert werden.
Eine Zahlung garantiert weder funktionierende Entschlüsselungswerkzeuge noch die Löschung kopierter Daten. Zudem können rechtliche und versicherungsbezogene Fragen betroffen sein. Vor einer Entscheidung müssen technische, rechtliche und geschäftliche Folgen geprüft werden. Eine vorbereitete Wiederherstellung aus unabhängigen Sicherungen reduziert den Entscheidungsdruck.
