Ransomware im Mittelstand: Wie schützen Sie sich wirklich?

Wie kommt Ransomware ins Unternehmen?

Ransomware ist Schadsoftware, die Ihre Daten verschlüsselt und erst gegen Lösegeld wieder freigeben soll. Die häufigsten Einfallstore sind dabei erstaunlich alltäglich: Phishing-Mails mit präparierten Anhängen, ungepatchte Systeme mit bekannten Sicherheitslücken und schwach gesicherte Fernzugänge ohne zweiten Faktor. Das BSI nennt Ransomware in seinen Lageberichten seit Jahren als die größte Bedrohung für Wirtschaft und Verwaltung.

Anders als oft angenommen schlagen Angreifer selten sofort zu. Nach dem ersten Zugang bewegen sie sich häufig tage- bis wochenlang unbemerkt durch das Netz, verschaffen sich höhere Rechte und suchen gezielt nach Backups, die sie zuerst unbrauchbar machen. Erst dann erfolgt die Verschlüsselung — oft am Wochenende oder über Nacht, wenn niemand im Haus ist und niemand eingreifen kann.

Verbreitet ist heute zudem die sogenannte doppelte Erpressung: Angreifer stehlen die Daten vor der Verschlüsselung und drohen mit Veröffentlichung. Selbst ein perfektes Backup schützt dann nicht vor dem Reputations- und Datenschutzschaden — ein Datenabfluss kann zugleich eine meldepflichtige Verletzung nach der DSGVO sein.

Diese Vorgehensweise erklärt, warum Früherkennung so entscheidend ist. Je eher verdächtiges Verhalten auffällt, desto größer die Chance, den Angriff zu stoppen, bevor er den Ernstfall erreicht. Da viele Angriffe über Phishing beginnen, ist die Schulung der Mitarbeitenden eine der wirksamsten Gegenmaßnahmen — wie Sie Phishing-Mails erkennen, haben wir gesondert beschrieben.

Warum reicht ein einzelnes Schutz-Tool nicht?

Es gibt keine einzelne Maßnahme, die Ransomware zuverlässig abwehrt. Wirksamer Schutz funktioniert nur mehrschichtig — jede Ebene fängt das ab, was die vorige durchgelassen hat. Fällt eine Schicht aus, hält die nächste. Dieses Prinzip nennt man Defense in Depth, gestaffelte Verteidigung; man kennt es aus der Sicherheitstechnik allgemein: Ein einziges Schloss schützt schlechter als eine Kombination aus mehreren Hürden.

Konkret lässt sich ein Angriff an mehreren Punkten der sogenannten Kill Chain stoppen — der Kette von Schritten vom ersten Zugang bis zur Verschlüsselung. Der Spam-Filter fängt die Mail ab, der wache Mitarbeitende klickt nicht, der Endpoint-Schutz blockiert die Ausführung, fehlende Adminrechte verhindern die Ausbreitung, die Netzsegmentierung begrenzt den Radius, und das unangreifbare Backup macht die Erpressung am Ende wirkungslos. Jeder dieser Punkte ist eine Chance, den Angriff zu durchbrechen.

Dieser Ansatz hat einen wichtigen Nebeneffekt: Er nimmt den Druck von einzelnen Komponenten. Niemand muss perfekt sein, weil mehrere Verteidigungslinien zusammenwirken. Ein durchgerutschter Klick auf eine Phishing-Mail führt dann nicht gleich zur Katastrophe, weil weitere Schichten greifen — etwa der Endpoint-Schutz, der die Ausführung blockiert, oder die Netzsegmentierung, die die Ausbreitung stoppt.

Genau so denken wir bei implec IT-Sicherheit — ganzheitlich statt punktuell. Statt auf das eine Wundermittel zu setzen, bauen wir ein abgestimmtes Zusammenspiel auf, das im Alltag funktioniert und im Ernstfall trägt. Etablierte Rahmenwerke wie ISO/IEC 27001 oder der BSI IT-Grundschutz folgen demselben Gedanken und kombinieren technische, organisatorische und personelle Maßnahmen.

Welche Maßnahmen wirken am besten?

Den größten Hebel haben einige wenige, konsequent umgesetzte Bausteine. Wer diese sauber aufstellt, hat den überwiegenden Teil des Risikos im Griff:

• Getrennte, unveränderbare oder offline gehaltene Backups, die Angreifer nicht erreichen und verschlüsseln können
• Multi-Faktor-Authentifizierung an allen Zugängen, besonders bei Fernwartung und VPN — Details im Artikel zur MFA-Pflicht
• EDR-System (Endpoint Detection and Response), das verdächtiges Verhalten früh erkennt und automatisch stoppt
• Zeitnahes Patch-Management, das bekannte Lücken schließt, bevor sie ausgenutzt werden
• Netzsegmentierung, die im Ernstfall die seitliche Ausbreitung begrenzt

Keine dieser Maßnahmen ist exotisch oder unbezahlbar — die Wirkung entsteht aus dem Zusammenspiel. Besonders MFA gilt als die wirksamste Einzelmaßnahme gegen Kontoübernahmen; Microsoft beziffert ihren Schutzwert gegen automatisierte Angriffe auf über 99 Prozent. Wichtig ist, die Maßnahmen nicht nur einzurichten, sondern dauerhaft zu betreiben und zu überwachen. Ein EDR-System, dessen Alarme niemand auswertet, ist nur ein weiteres Warnlämpchen — deshalb gehört kontinuierliches Monitoring zwingend dazu.

Warum sind Backups die letzte Verteidigungslinie?

Wenn alle anderen Schichten versagen, entscheidet das Backup über den Schaden. Doch genau hier machen viele Betriebe einen folgenschweren Fehler: Sie sichern zwar, aber das Backup hängt erreichbar im Netz — und wird im Angriff gleich mitverschlüsselt. Aus der Rettungsleine wird so eine weitere Geisel. Genau deshalb suchen Angreifer gezielt nach Sicherungssystemen und löschen sie, bevor sie verschlüsseln.

Sicher ist eine Kopie erst, wenn sie unveränderbar (immutable) oder physisch getrennt (offline) aufbewahrt wird. Angreifer können dann zwar die produktiven Systeme treffen, aber nicht die Sicherung, aus der Sie wiederherstellen. Genau hier setzt die bewährte 3-2-1-Backup-Regel an, ergänzt um eine unangreifbare Kopie — drei Kopien, zwei Medientypen, eine außer Haus. Viele Fachleute erweitern sie inzwischen zur 3-2-1-1-0-Regel: zusätzlich eine unveränderbare oder offline gehaltene Kopie und null Fehler beim Wiederherstellungstest.

Ebenso wichtig ist der regelmäßige Wiederherstellungstest. Ein Backup, das noch nie zurückgespielt wurde, ist nur eine Hoffnung, keine Sicherheit. Erst der gelungene Test beweist, dass Sie im Ernstfall tatsächlich handlungsfähig sind — und zeigt, wie lange eine vollständige Wiederherstellung dauert. Diese Zeit, die Recovery Time Objective, sollten Sie kennen, bevor der Ernstfall sie Ihnen aufzwingt. Genau das prüfen wir bei implec regelmäßig, damit aus der Theorie eine verlässliche Zahl wird.

Ergänzend gilt: Auch Cloud-Daten wie Microsoft 365 gehören gesichert. Viele Betriebe glauben, ihre Daten seien dort automatisch geschützt — tatsächlich sorgt der Anbieter nur für die Verfügbarkeit der Plattform, nicht für eine vollständige Langzeitsicherung Ihrer Inhalte. Ransomware kann auch dort wüten, und gelöschte Inhalte sind nach Ablauf der Fristen weg.

Was tun, wenn es trotzdem passiert?

Entscheidend ist ein geübter Notfallplan. Die ersten Schritte: betroffene Systeme sofort vom Netz isolieren, um die Ausbreitung zu stoppen, Behörden und IT-Dienstleister einbinden und aus sauberen Backups wiederherstellen. Wer diesen Ablauf vorher trainiert hat, verliert Stunden statt Wochen. Studien wie der Sophos-Report „State of Ransomware“ zeigen Jahr für Jahr, dass die Wiederherstellung nach einem Angriff im Schnitt mehrere Wochen in Anspruch nimmt — und gut vorbereitete Betriebe deutlich schneller wieder arbeitsfähig sind.

Was Sie nicht tun sollten: vorschnell Lösegeld zahlen. Das BSI rät klar davon ab. Eine Entschlüsselung ist nicht garantiert, jede Zahlung finanziert weitere Angriffe, und selbst nach Zahlung lassen sich gestohlene Daten nicht zuverlässig zurückholen. Mit einem funktionierenden, getrennten Backup stellt sich die Frage ohnehin nicht.

implec steht Ihnen im Ernstfall zur Seite und bringt Ihre Systeme strukturiert wieder ans Netz. Wichtiger als der Notfall selbst ist aber die Vorsorge: Wer sauber aufgestellt ist, übersteht einen Angriff als beherrschbaren Zwischenfall statt als existenzielle Krise. Sprechen Sie uns für eine ehrliche Einschätzung Ihrer Lage gern direkt über die Kontaktseite an.

Sind kleine und mittlere Unternehmen wirklich ein Ziel?

Ja — und das stärker, als viele annehmen. Ein großer Teil der Ransomware-Angriffe läuft vollautomatisiert und sucht das Internet nach jeder verwundbaren Tür ab, unabhängig von der Unternehmensgröße. Wer eine offene Fernwartung oder eine ungepatchte Lücke betreibt, wird gefunden, ohne dass ihn jemand gezielt ausgesucht hätte.

Gerade der Mittelstand ist attraktiv, weil er oft schlechter geschützt ist als Konzerne, zugleich aber zahlungsfähig und stark von durchgehender Verfügbarkeit abhängig. Ein einziger Tag Stillstand kostet schnell mehr als die jährliche Investition in vernünftigen Schutz. Hinzu kommt die wachsende Bedeutung der Lieferkette: Wer große Kunden beliefert, gerät auch als kleiner Betrieb ins Visier.

Die gute Nachricht: Genau weil viele Angriffe automatisiert und opportunistisch sind, schützt schon ein solides Grundniveau aus MFA, Patch-Management und unangreifbaren Backups vor dem Großteil der Vorfälle. Die wirksamsten Maßnahmen sind selten die teuersten — sie müssen nur konsequent betrieben werden. Diese Anforderungen decken sich übrigens weitgehend mit den Pflichten aus der NIS2-Richtlinie.