Ransomware im Unternehmen: Sofortmaßnahmen und wirksamer Schutz

Ein Ransomware-Angriff gehört zu den bedrohlichsten Zwischenfällen, die ein Unternehmen treffen können: Daten werden verschlüsselt, der Betrieb steht still, und die Angreifer fordern Lösegeld für die Freigabe. Ob aus einem solchen Vorfall ein überstandener Schreck oder eine Existenzbedrohung wird, entscheidet sich in den ersten Stunden — und lange davor, bei der Vorbereitung.

Was bei einem Ransomware-Angriff passiert

Ransomware ist Schadsoftware, die Dateien und ganze Systeme verschlüsselt und sie so unbrauchbar macht. Für die Entschlüsselung verlangen die Täter ein Lösegeld, oft in Kryptowährung. Viele Angreifer gehen inzwischen einen Schritt weiter und stehlen die Daten vor der Verschlüsselung, um zusätzlich mit einer Veröffentlichung zu drohen — die sogenannte doppelte Erpressung.

Der Weg ins Netzwerk führt meist über bekannte Einfallstore: eine Phishing-Mail mit gefährlichem Anhang, gestohlene Zugangsdaten oder eine ungepatchte, aus dem Internet erreichbare Schwachstelle. Vom ersten Zugriff bis zur Verschlüsselung vergehen manchmal nur Stunden.

Sofortmaßnahmen: die ersten Stunden zählen

Wird ein Angriff bemerkt, kommt es auf schnelles, überlegtes Handeln an. Aktionismus schadet dabei ebenso wie Zögern.

Betroffene Systeme isolieren

Trennen Sie befallene Geräte sofort vom Netzwerk — Kabel ziehen, WLAN aus —, aber schalten Sie sie nicht aus. Ein ausgeschaltetes System vernichtet unter Umständen wertvolle Spuren im Arbeitsspeicher. Ziel ist, die Ausbreitung zu stoppen, ohne Beweise zu zerstören.

Nicht vorschnell zahlen

Eine Zahlung ist keine Lösung: Sie garantiert weder die Entschlüsselung noch, dass die gestohlenen Daten nicht doch veröffentlicht werden — und sie finanziert das nächste Verbrechen. Das BSI rät ausdrücklich davon ab, auf Lösegeldforderungen einzugehen.

Beweise sichern und Fachleute einbinden

Dokumentieren Sie, was Sie sehen: Erpresserschreiben, Zeitpunkte, betroffene Systeme. Holen Sie früh IT-Sicherheitsfachleute hinzu. Sie helfen, das Ausmaß einzugrenzen, die Ursache zu finden und die Wiederherstellung sauber aufzusetzen.

Meldepflichten prüfen

Sind personenbezogene Daten betroffen, ist der Vorfall in der Regel innerhalb von 72 Stunden der zuständigen Datenschutzbehörde zu melden. Zusätzlich nehmen die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizei solche Fälle auf. Eine frühe Meldung ist kein Eingeständnis, sondern Teil eines professionellen Umgangs.

Diese Fehler machen es schlimmer

• Auf gut Glück löschen oder neu aufsetzen: Ohne Ursachenanalyse bleibt die Lücke offen — und der nächste Angriff folgt.
• Backups vorschnell einspielen: Ist die Sicherung ebenfalls betroffen oder die Ursache nicht beseitigt, wird die Verschlüsselung gleich mit wiederhergestellt.
• Den Vorfall verschweigen: Wer Meldepflichten ignoriert, riskiert zusätzlich rechtliche Konsequenzen.
• Allein weitermachen: Ohne Erfahrung mit Vorfällen werden Spuren zerstört und Fehler gemacht, welche die Wiederherstellung erschweren.

So schützen Sie sich wirksam

Der beste Zeitpunkt, sich gegen Ransomware zu wappnen, ist vor dem Angriff. Einige Maßnahmen wirken besonders stark:

Backups nach dem 3-2-1-Prinzip

Eine geprüfte Datensicherung ist der wirksamste Schutz vor dauerhaftem Datenverlust. Bewährt ist die 3-2-1-Regel: drei Kopien, auf zwei verschiedenen Medien, davon eine außer Haus. Wichtig ist, dass mindestens eine Kopie offline oder unveränderbar ist — sonst verschlüsseln die Angreifer die Sicherung gleich mit. Mehr dazu im Ratgeber Backup-Strategie nach 3-2-1.

Mehr-Faktor-Authentifizierung

Gestohlene Passwörter sind ein Hauptangriffsweg. Eine zweite Anmeldestufe — etwa per App oder Hardware-Schlüssel — macht ein erbeutetes Passwort für sich genommen wertlos. Besonders für Fernzugänge und Cloud-Konten sollte sie überall aktiv sein.

Updates und Angriffsfläche

Sicherheitsupdates gehören zeitnah eingespielt, vor allem auf Systemen, die aus dem Internet erreichbar sind. Jeder nicht benötigte Fernzugang und jeder offene Dienst ist eine Tür, die besser geschlossen bleibt.

Mitarbeitende sensibilisieren

Viele Angriffe beginnen mit einer E-Mail. Wer Phishing erkennt, stoppt den Angriff, bevor er startet. Wie Sie Ihr Team schulen, lesen Sie im Ratgeber Phishing-Schutz im Unternehmen.

Fazit

Ransomware trifft Unternehmen jeder Größe — aber sie trifft die Vorbereiteten deutlich weniger hart. Wer geprüfte Backups vorhält, Zugänge mit einer zweiten Stufe absichert, Systeme aktuell hält und sein Team sensibilisiert, nimmt einem Angriff den Schrecken. Und wer für den Ernstfall einen Notfallplan griffbereit hat, verliert im Zweifel Minuten statt Tage.

Lota Engineering unterstützt Unternehmen aus Düsseldorf und dem Rheinland bei beidem: bei der Vorbeugung durch IT-Sicherheit und Backup & Recovery sowie bei der laufenden Überwachung im Rahmen der Managed Services. Bei einem akuten Verdacht erreichen Sie uns über das Kontaktformular — je früher, desto besser.