Ransomware-Schutz: 12 Maßnahmen für Unternehmen
Ransomware-Schutz für den Mittelstand: wie Angriffe ablaufen, die 12 wirksamsten Maßnahmen nach Priorität, ein Notfallplan für die ersten 24 Stunden – und warum man nicht zahlen sollte.
- Ransomware verschlüsselt Daten und erpresst Lösegeld – oft kombiniert mit dem Diebstahl der Daten (Double Extortion) als zusätzlichem Druckmittel.
- Die wirksamsten Schutzmaßnahmen sind laut BSI seit Langem bekannt: Updates, MFA, Absicherung von Remote-Zugängen, E-Mail-Schutz und vor allem funktionierende, unveränderbare Backups.
- Ein Offline- oder unveränderbares (immutable) Backup ist die letzte Rückversicherung, die ein Angreifer nicht mitverschlüsseln kann.
- Das BSI empfiehlt eindeutig, kein Lösegeld zu zahlen – eine Zahlung finanziert die Täter und garantiert keine Datenrückgabe.
- Für den Ernstfall zählt ein vorbereiteter Notfallplan: Die ersten Stunden entscheiden über das Ausmaß des Schadens.
Ransomware ist die teuerste Bedrohung für den Mittelstand – nicht wegen des Lösegelds, sondern wegen des Stillstands: Wochen ohne funktionierende IT, verlorene Aufträge, ruinierte Reputation. Die gute Nachricht: Der Schutz ist keine Raketenwissenschaft. Die wirksamen Maßnahmen sind seit Langem bekannt und erprobt. Dieser Beitrag zeigt, wie ein Angriff abläuft, die zwölf wichtigsten Schutzmaßnahmen nach Priorität und einen Notfallplan für die ersten 24 Stunden. Was Ransomware technisch ist, erklärt unser Wissens-Eintrag zu Ransomware – hier geht es um das Schutzprogramm.
Wie ein Ransomware-Angriff 2026 abläuft
Moderne Ransomware schlägt nicht sofort zu. Der Ablauf ist typischerweise mehrstufig:
- Initialer Zugriff: über eine Phishing-Mail, eine ungepatchte Lücke oder einen schlecht gesicherten Remote-Zugang.
- Ausbreitung: Die Angreifer bewegen sich unbemerkt durchs Netzwerk, verschaffen sich Rechte und suchen die wertvollsten Daten – und die Backups.
- Datendiebstahl: Vor der Verschlüsselung werden Daten kopiert (Double Extortion), um zusätzlich mit Veröffentlichung zu drohen.
- Verschlüsselung: Erst am Ende, oft nachts oder am Wochenende, werden die Systeme verschlüsselt und die Lösegeldforderung hinterlassen.
Was Ransomware auf dem System anrichtet
Ist die Ransomware erst aktiv, infiziert sie den Computer und verschlüsselt gezielt Dateien – Dokumente, Datenbanken, ganze Laufwerke. Der Benutzer wird ausgesperrt: Statt der gewohnten Datei erscheint eine Lösegeldforderung, der Zugriff ist blockiert. Diese bösartige Schadsoftware nutzt oft eine Schwachstelle in nicht aktualisierter Software, um sich auszubreiten – ein weiterer Grund, Windows und alle Programme konsequent zu aktualisieren.
Der Schaden reicht vom einzelnen infizierten Rechner bis zum kompletten Netzwerk. Die Schadsoftware ist darauf ausgelegt, möglichst viele Computer zu infizieren und den Zugriff zu blockieren. Ohne ein sauberes Backup können die von der Malware verschlüsselten Dateien oft nicht wiederhergestellt werden – und genau darauf setzen die Täter bei ihren Angriffen. Wer ein System hat, das Ransomware infiziert hat, steht ohne Vorsorge vor der Wahl zwischen Datenverlust und Lösegeld.
Datensicherung als letzte Verteidigung
Wenn alle vorgelagerten Maßnahmen versagen, entscheidet die Datensicherung über das Ausmaß des Schadens. Wichtig sind mehrere Sicherungskopien, von denen mindestens eine außerhalb des Standorts und unveränderbar aufbewahrt wird – so bleibt sie auch dann intakt, wenn die Ransomware Ihre Dateien am Hauptstandort erfasst. Gute Wiederherstellungsoptionen erlauben die Wiederherstellung auf Dateiebene: Statt alles zurückzuspielen, holen Sie gezielt zurück, was betroffen ist, und minimieren so die Ausfallzeiten.
Wer einmal Opfer eines Ransomware-Angriffs geworden ist, weiß: Eine getestete Sicherung ist der Unterschied zwischen einer Ransomware-Infektion als Ärgernis und als Existenzbedrohung. Sie schützt Ihre Daten und sensible Informationen selbst dann, wenn der Angriff erfolgreich war – ganz ohne Zahlung eines Lösegelds.
Die 12 wirksamsten Schutzmaßnahmen
Das BSI betont, dass die wirksamsten Maßnahmen gegen Ransomware seit Langem erprobt sind. Nach Wirkung sortiert:
- Backups – offline und unveränderbar. Die wichtigste Maßnahme. Mindestens eine Kopie muss außer Reichweite der Angreifer sein.
- Updates und Patches. Geschlossene Lücken nehmen den häufigsten Weg hinein.
- Multi-Faktor-Authentifizierung. Entwertet gestohlene Passwörter.
- Remote-Zugänge absichern. Offenes RDP ist eine Einladung – VPN, MFA und Zugriffsbeschränkung sind Pflicht.
- E-Mail- und Makro-Schutz. Filter und deaktivierte Makros stoppen den häufigsten Erstzugang.
- EDR/Endpoint-Schutz. Erkennt die verdächtigen Muster der Ausbreitung, bevor verschlüsselt wird.
- Netzwerksegmentierung. Begrenzt, wie weit sich ein Angreifer ausbreiten kann.
- Rechte sparsam vergeben. Weniger Admin-Rechte, weniger Angriffsfläche.
- Awareness-Schulungen. Der Mensch erkennt die Phishing-Mail, die den Angriff startet.
- Monitoring. Ungewöhnliche Aktivitäten früh bemerken.
- Notfallplan. Vorbereitet sein, bevor es brennt.
- Restore regelmäßig testen. Ein Backup zählt erst, wenn die Wiederherstellung nachweislich funktioniert.
Die entscheidende Verteidigungslinie ist die Kombination aus Backup und EDR: Das eine verhindert den Totalverlust, das andere stoppt den Angriff im Idealfall vorher.
Ransomware-Schutz als Programm, nicht als Tool
Ein einzelnes Anti-Ransomware-Tool gibt es nicht – wirksamer Ransomware-Schutz ist ein Programm aus mehreren Schichten. Moderne Endpoint-Lösungen bringen zwar eine Bedrohungserkennung in Echtzeit mit, die verdächtiges Verhalten erkennt, bevor Dateien verschlüsselt werden. Aber um Ihre Geräte wirklich vor Ransomware und anderen Bedrohungen zu schützen, braucht es das Zusammenspiel: aktuelle Systeme, abgesicherte Zugänge, geschulte Mitarbeitende und Sicherungskopien. Auch mobile Geräte gehören in dieses Konzept, denn sie sind zunehmend Ziel von Ransomware-Angriffen.
Der zusätzliche Schutz vor Ransomware entsteht also nicht durch ein Produkt, sondern durch die konsequente Umsetzung aller Maßnahmen. Wer seine Daten schützt, mehrere Schutzschichten kombiniert und die Verbreitung der Ransomware durch Segmentierung eindämmt, senkt das Risiko erheblich – und die potenziellen finanziellen Verluste gleich mit.
Notfallplan: die ersten 24 Stunden
Wenn es doch passiert, entscheiden die ersten Stunden. Ein Kurzplan:
- Isolieren, nicht ausschalten. Betroffene Systeme vom Netz trennen, um die Ausbreitung zu stoppen – aber nicht hektisch herunterfahren (das vernichtet Spuren).
- Krisenstab einberufen. Wer entscheidet, wer kommuniziert, wer koordiniert die Technik?
- Kommunikationswege sichern. Nicht über die möglicherweise kompromittierten Systeme kommunizieren.
- Meldepflichten prüfen. DSGVO (72 Stunden) und ggf. NIS2 (24 Stunden) haben Fristen.
- Nicht zahlen, Hilfe holen. Dienstleister, BSI und ggf. Polizei einschalten.
- Sauber wiederherstellen – aus einem geprüften, nicht kompromittierten Backup.
Eine ausfüllbare Vorlage dafür bietet unser IT-Notfallplan – am besten heute vorbereiten, nicht im Ernstfall.
Häufige Einfallstore vermeiden
Die beste Verteidigung ist, es gar nicht so weit kommen zu lassen. Die meisten Ransomware-Angriffe beginnen damit, dass jemand auf Links in gefälschten E-Mails und Webseiten klickt. Wer seine Mitarbeitenden schult, keine verdächtigen Links zu klicken, alle Systeme auf dem neuesten Stand hält (auch ältere wie Windows 10) und sensible Daten mit klaren Rechten schützt, verhindert einen Großteil der Angriffe von vornherein. Diese Maßnahmen zum Schutz kosten wenig und wenden erhebliche finanzielle Verluste ab.
Es gibt verschiedene Arten von Ransomware, doch die Grundregeln, um Geräte vor Ransomware zu schützen, ähneln sich: die Verbreitung von Ransomware durch Segmentierung eindämmen, Daten regelmäßig sichern und wiederherstellen üben und mit einer Bedrohungserkennung in Echtzeit die Ausbreitung der Ransomware zu verhindern. So bleiben Sie handlungsfähig, statt in der Falle eines Angriffs über die Zahlung des Lösegelds im Austausch für den Entschlüsselungsschlüssel nachdenken zu müssen.
Zahlen oder nicht?
Die Frage stellt sich im Ernstfall unweigerlich – und die Antwort ist klar: Das BSI und internationale Behörden raten eindeutig ab, Lösegeld zu zahlen. Eine Zahlung garantiert keine Entschlüsselung, markiert Sie als lohnendes Ziel für den nächsten Angriff und finanziert die kriminelle Infrastruktur. Wer vorgesorgt hat – mit einem sauberen, getesteten Backup –, braucht die Frage gar nicht erst zu stellen.
Fazit: Vorsorge schlägt Lösegeld
Ransomware ist eine ernste, aber beherrschbare Bedrohung. Der Schutz besteht nicht aus einem einzelnen Produkt, sondern aus einem Bündel bewährter Maßnahmen – mit funktionierenden Offline-Backups und einer guten Angriffserkennung als Kern. Wer diese Grundlagen umsetzt, macht sich zum unattraktiven Ziel und bleibt selbst im Ernstfall handlungsfähig. Die Alternative – im Angriffsfall über Lösegeld nachzudenken – ist deutlich teurer, in jeder Hinsicht.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Wie kommt Ransomware ins Unternehmen?
Soll man bei Ransomware das Lösegeld zahlen?
Schützt ein Backup allein vor Ransomware?
Zahlt eine Cyber-Versicherung bei Ransomware?
Endgeräte gegen Ransomware absichern
EDR erkennt die verdächtigen Muster eines Ransomware-Angriffs, bevor verschlüsselt wird – und ermöglicht das Isolieren betroffener Geräte. Bei kjello optional für 10 € pro Nutzer und Monat.
