Ransomware-Schutz: Leitfaden für Unternehmen (2026)

Ransomware ist 2026 nicht mehr die Frage, ob ein Angriff kommt, sondern wann. Laut dem aktuellen Verizon Data Breach Investigations Report (DBIR 2026) war Ransomware an 48 Prozent aller analysierten Sicherheitsverletzungen beteiligt, ein Anstieg gegenüber 44 Prozent im Vorjahr. Besonders alarmierend für den Mittelstand: 96 Prozent der Ransomware-Opfer mit bekannter Unternehmensgröße waren kleine und mittlere Unternehmen mit unter 1.000 Mitarbeitenden. Der oft gehörte Satz „für uns lohnt sich das doch nicht" ist damit statistisch widerlegt.

Dieser Leitfaden verbindet, was die meisten Einzelquellen getrennt behandeln: die offiziellen Frameworks (NIST Cybersecurity Framework 2.0, den BSI-Maßnahmenkatalog mit seiner Nutzen-Aufwand-Bewertung und die CISA-Response-Checkliste), belastbare Primärstatistik aus dem Verizon DBIR 2026 und das vollständige 3-2-1-1-0-Backup-Prinzip, das gegen moderne, gezielt gegen Backups gerichtete Angriffe schützt. Dazu kommen die aktuelle Bedrohungslage mit Gruppen wie Qilin, Akira und LockBit 5.0, eine strukturierte Defense-in-Depth-Maßnahmenliste und ein konkretes Incident-Response-Raster für die ersten 60 Minuten.

Der Leitfaden richtet sich an IT- und Security-Verantwortliche sowie an Entscheider im Mittelstand, die Ransomware nicht nur verstehen, sondern als Teil eines belastbaren IT-Sicherheitskonzepts planbar abwehren wollen.

Was ist Ransomware, und warum reicht ein Virenscanner nicht?

Das NIST definiert Ransomware knapp und präzise: „Ransomware is a type of malicious software (malware) that encrypts an organization's data and demands payment as a condition of restoring access to that data." Auf Deutsch: Schadsoftware, die die Daten einer Organisation verschlüsselt und für die Wiederherstellung des Zugriffs eine Zahlung fordert. Der entscheidende Unterschied zu vielen anderen Cybervorfällen ist die unmittelbare, sichtbare Wirkung auf den Geschäftsbetrieb. Während gestohlenes geistiges Eigentum oft unbemerkt bleibt, legt Ransomware Produktion, Buchhaltung oder Patientenversorgung binnen Stunden lahm.

Ein klassischer Virenscanner reicht dagegen aus einem einfachen Grund nicht: Zwischen dem ersten Eindringen und der eigentlichen Verschlüsselung liegen oft Tage bis Wochen. Das BSI formuliert es im Maßnahmenkatalog Ransomware unmissverständlich: Ransomware ist „keine Höhere Gewalt", sondern ein vermeidbarer, beherrschbarer Angriff. Und weiter: „Es gibt nicht die eine Maßnahme." Nur das Ineinandergreifen vieler Schichten, das Prinzip Defense in Depth, bietet echten Schutz.

Die wichtigsten Ransomware-Typen

• Krypto-Ransomware: die klassische Variante, die Dateien verschlüsselt und ein Lösegeld für den Schlüssel fordert.
• Locker- oder Screenlocker-Ransomware: sperrt den Zugriff auf das gesamte System, ohne zwingend einzelne Dateien zu verschlüsseln.
• Leakware (Extortionware): stiehlt Daten und droht mit deren Veröffentlichung, statt sie nur zu verschlüsseln.
• Wiper: zerstört Daten endgültig und tarnt sich nur als Ransomware, ohne echte Entschlüsselungsabsicht (Beispiel: NotPetya).

Die Bedrohungslage 2026 in belastbaren Zahlen

Viele Ransomware-Ratgeber arbeiten mit vagen Schätzungen. Wir stützen uns auf die aktuellste Primärquelle, den Verizon DBIR 2026 (19. Ausgabe, über 22.000 bestätigte Datenschutzverletzungen in 145 Ländern), und ergänzen sie um deutsche Zahlen von BSI, Bitkom und Sophos.

• 48 Prozent aller analysierten Datenschutzverletzungen hatten 2025 eine Ransomware-Komponente (Verizon DBIR 2026, Vorjahr 44 Prozent).
• 96 Prozent der Ransomware-Opfer mit bekannter Größe waren kleine und mittlere Unternehmen (Verizon DBIR 2026). Der Mittelstand ist nicht das Ausweichziel, sondern das Hauptziel.
• 69 Prozent der Opfer zahlten kein Lösegeld (Verizon DBIR 2026, Vorjahr 65 Prozent). Der Median der tatsächlich gezahlten Summe sank auf 139.875 US-Dollar (zuvor 150.000).
• 31 Prozent aller untersuchten Sicherheitsvorfälle (Breaches) begannen 2025 mit der Ausnutzung einer Schwachstelle, damit ist die Schwachstelle erstmals der häufigste initiale Angriffsvektor (Verizon DBIR 2026, plus 55 Prozent Wachstum gegenüber dem Vorjahr).
• 34 Prozent der Unternehmen in Deutschland waren von Ransomware betroffen, 15 Prozent zahlten Lösegeld (Bitkom-Wirtschaftsschutzstudie 2025).
• 950 Ransomware-Angriffe auf Unternehmen und Behörden verzeichnete das BSI zwischen Juli 2024 und Juni 2025 (BSI-Lagebericht 2025).

Eine besonders wichtige Erkenntnis des DBIR 2026 ist die Infostealer-zu-Ransomware-Pipeline: 73 Prozent der Ransomware-Opfer hatten im Vorjahr einen assoziierten Infostealer- oder Credential-Leak-Vorfall, und bei der Hälfte davon lag dieser Vorfall innerhalb von nur 95 Tagen vor dem Ransomware-Angriff. Gestohlene Zugangsdaten aus dem Darknet sind also ein direkter Frühindikator für einen bevorstehenden Angriff.

Wie moderne Ransomware wirklich funktioniert

Ransomware-as-a-Service und die Arbeitsteilung der Angreifer

Der wichtigste Grund für die schiere Menge an Angriffen ist das Geschäftsmodell Ransomware-as-a-Service (RaaS). Entwickler vermieten ihre Schadsoftware an sogenannte Affiliates, die den eigentlichen Angriff durchführen und dafür 70 bis 80 Prozent des erpressten Lösegelds behalten. Ergänzt wird das durch Initial Access Broker (IAB), spezialisierte Händler, die bereits kompromittierte Zugänge (VPN, RDP, SaaS-Konten) verkaufen. Laut DBIR 2026 entfielen 44 Prozent der von IABs angebotenen Zugangstypen auf VPN-Zugriffe. Ein Angriff beginnt daher heute selten mit einem Zero-Day, sondern meist mit einem gekauften, gestohlenen Zugang.

Double und Triple Extortion

Reine Verschlüsselung ist nicht mehr das Geschäftsmodell. Bei der Double Extortion stehlen Angreifer die Daten vor der Verschlüsselung und drohen mit deren Veröffentlichung. Damit setzen sie auch Unternehmen unter Druck, die ihre Systeme problemlos aus Backups wiederherstellen könnten. Die Triple Extortion fügt eine dritte Ebene hinzu: die gezielte Störung des Betriebs, etwa durch DDoS-Angriffe oder die Kontaktaufnahme mit Kunden und Partnern des Opfers, um die Downtime zu „bewaffnen". Genau hier stoßen Backups an ihre Grenze: Sie stellen die Verfügbarkeit wieder her, verhindern aber nicht die Veröffentlichung gestohlener Daten. Das BSI empfiehlt als Gegenmittel konsequente Datensparsamkeit: „Nur die Daten, die auch gespeichert werden, können abfließen."

Living off the Land und KI

Moderne Angreifer bringen möglichst wenig eigene Malware mit, sondern missbrauchen legitime Bordmittel (Living off the Land), etwa PowerShell, PsExec, WMI, RDP oder legitime Remote-Management-Software (RMM). Der DBIR 2026 verzeichnet beim Missbrauch von RMM-Software für Command-and-Control ein relatives Wachstum von 240 Prozent. Neu ist der Einsatz von KI: 2025 wurde mit PromptLock die erste dokumentierte Ransomware entdeckt, die ein lokales KI-Sprachmodell nutzt, um während der Infektion Schadskripte dynamisch zu generieren und Ziele auszuwählen.

Aktuelle Ransomware-Gruppen 2025/2026

| Gruppe | Profil (Stand 2025/2026) | |---|---| | Qilin (Agenda) | über 1.000 Opfer, hochprofessionelle RaaS-Plattform, greift Windows, Linux und VMware ESXi an | | Akira | circa 740 Opfer, Fokus Mittelstand, Einstieg über VPN/RDP, bis Ende 2025 circa 244 Mio. USD Lösegeld | | DragonForce | stark wachsend, 20 Prozent der Q3-2025-Opfer in Deutschland, kartellähnliche Kooperation | | LockBit 5.0 | Comeback im September 2025, kleiner als in Hochzeiten | | Cl0p | circa 517 Opfer, Massenausnutzung von Schwachstellen in Datentransfer-Software |

Wie konkret solche Angriffe verlaufen, zeigen dokumentierte Fälle aus 2025: Der japanische Getränkehersteller Asahi erlitt im Oktober 2025 durch die Gruppe Qilin eine landesweite Produktknappheit, wobei die Angreifer nach dem Diebstahl von Zugangsdaten auf native Systemtools setzten. Kettering Health wurde im Mai 2025 durch die Interlock-Gruppe getroffen, 14 medizinische Zentren waren betroffen, Patienten mussten Chemotherapien verschieben. Und der Angriff auf Marks & Spencer im April 2025 verursachte laut DBIR über Wochen geschätzte 300 Millionen Pfund Schaden, bis hin zur gestörten Überwachung von Kühlanlagen.

Die Angriffskette verstehen

Ransomware-Angriffe folgen einem wiederkehrenden Muster. Wer die Phasen kennt, kann an jeder Stufe Abwehrmaßnahmen ansetzen. Vereinfacht besteht die Kette aus fünf Stufen:

1. Initialer Zugriff: über Phishing, eine ungepatchte Schwachstelle (nach DBIR 2026 der häufigste Vektor), gestohlene Zugangsdaten oder einen schlecht gesicherten Remote-Zugang.
2. Aufklärung und Rechteausweitung: Der Angreifer kartiert das Netzwerk, greift Zugangsdaten ab (etwa per Mimikatz oder LSASS-Dumping) und erlangt Administratorrechte.
3. Laterale Bewegung: Ausbreitung auf weitere Systeme, meist über RDP, PsExec oder WMI. Die „Breakout Time" von der ersten Kompromittierung bis zur ersten lateralen Bewegung liegt historisch bei rund zwei Stunden.
4. Datenexfiltration: Abfluss sensibler Daten (etwa über Tools wie Rclone oder WinSCP) als Grundlage für die Double Extortion.
5. Verschlüsselung und Erpressung: Löschen von Schattenkopien, Verschlüsselung und Platzierung der Lösegeldforderung.

Diese Techniken lassen sich systematisch dem MITRE-ATT&CK-Framework zuordnen, von Phishing (T1566) und Schwachstellenausnutzung (T1190) über PowerShell-Ausführung (T1059.001) und Credential-Diebstahl (T1003) bis zur eigentlichen Verschlüsselung (T1486). Diese Zuordnung hilft Security-Teams, die eigene Erkennung gegen reale Angreiferschritte zu prüfen.

Ransomware-Schutz mit Struktur: das NIST Cybersecurity Framework 2.0

Statt einer beliebigen Punktliste empfiehlt es sich, den Schutz an einem anerkannten Framework auszurichten. Das NIST Cybersecurity Framework 2.0 gliedert sich in genau sechs Funktionen, die den gesamten Lebenszyklus abdecken. Der eigens dafür entwickelte NIST-Report IR 8374r1 (Ransomware Risk Management, 2026) ordnet jeder Funktion konkrete Ransomware-Maßnahmen zu:

1. GOVERN (Steuern): Risikostrategie, Rollen und rechtliche Anforderungen festlegen und kommunizieren. Ransomware ist ein Geschäftsrisiko, kein reines IT-Thema.
2. IDENTIFY (Identifizieren): kritische Daten, Systeme und Geräte inventarisieren und nach Kritikalität priorisieren. Was man nicht kennt, kann man nicht schützen.
3. PROTECT (Schützen): Schutzmaßnahmen wie MFA, Least Privilege, Patching, Segmentierung und immutable Backups umsetzen.
4. DETECT (Erkennen): Angriffe möglichst früh erkennen, idealerweise vor der Verschlüsselung.
5. RESPOND (Reagieren): Vorfälle eindämmen, analysieren und mitigieren.
6. RECOVER (Wiederherstellen): Betrieb und Daten geordnet und geprüft wiederherstellen.

Wichtig für den Faktencheck: Es sind sechs Funktionen, nicht fünf wie in älteren CSF-1.1-Darstellungen. Die Funktion GOVERN kam mit CSF 2.0 hinzu und rückt die Verantwortung der Geschäftsführung in den Mittelpunkt.

Defense in Depth: die konkreten Schutzmaßnahmen

Entlang der NIST-Funktionen lassen sich die praktischen Maßnahmen in drei Blöcke gliedern: Prävention, Erkennung und Reaktion sowie Backup und Wiederherstellung.

Block 1: Prävention (Angriffsfläche reduzieren)

• Identität zuerst: Phishing-resistente Multi-Faktor-Authentifizierung (MFA) für alle kritischen Dienste, insbesondere E-Mail, VPN und administrative Zugänge. Da laut DBIR gestohlene Zugangsdaten der zentrale Türöffner sind, hat der Identitätsschutz den höchsten Wirkungsgrad.
• Least Privilege und Admin-Härtung: getrennte Administratorkonten, wenige Domänen-Admins, privilegierte Zugriffe nur von gehärteten Arbeitsstationen (Privileged Access Workstations). Kein Alltagsgeschäft mit Admin-Rechten.
• Aktives Schwachstellenmanagement: internetseitige Systeme (VPN, Firewalls, Mailserver) unverzüglich patchen. Genau hier liegt nach DBIR 2026 der am schnellsten wachsende Angriffsvektor.
• Angriffsfläche verkleinern: RDP niemals offen ins Internet stellen, nur zwingend notwendige Ports und Dienste freigeben, veraltete Systeme sauber isolieren.
• E-Mail-Sicherheit: Sandboxing von Anhängen, Filterung riskanter Dateitypen, SPF, DKIM und DMARC durchgängig umsetzen, Makros aus dem Internet per Gruppenrichtlinie blockieren.
• Netzwerksegmentierung: die Ausbreitung begrenzen, indem Client-zu-Client-Verbindungen eingeschränkt und IT- von OT-Netzen getrennt werden. Ein flaches Netz lässt Ransomware ungebremst laufen. Diese Idee ist der Kern einer Zero-Trust-Architektur.
• Anwendungskontrolle und Skripting-Restriktionen: Application Allowlisting, PowerShell im Constrained Language Mode, Deaktivierung des Windows Script Host.

Block 2: Erkennung und Reaktion

• EDR/XDR: verhaltensbasierte Endpoint Detection and Response erkennt auch Living-off-the-Land-Techniken, die klassisches Antivirus übersieht.
• SIEM und zentrales Logging: manipulationssichere, zentrale Sammlung von Logs (Anmeldungen, Remote-Verbindungen, DNS, Proxy) mit Echtzeit-Alarmierung. Das BSI empfiehlt ausdrücklich den Windows-Systemdienst Sysmon für detaillierte Prozess- und Netzwerkprotokollierung.
• Identity Threat Detection and Response (ITDR): Überwachung von Konten auf Anomalien wie „impossible travel" oder MFA-Fatigue-Angriffe, gerade in Cloud-Umgebungen wie Microsoft 365.
• Früherkennung auf Fileservern: Canary Files (Köderdateien) und Regeln, die das massenhafte Anlegen unbekannter Dateiendungen erkennen, warnen vor beginnender Verschlüsselung.
• C2-Überwachung: Blockade bekannter Command-and-Control-Server per DNS-Filterung. Manche Ransomware benötigt vor der Verschlüsselung eine C2-Verbindung, deren Unterbindung den Angriff stoppen kann.

Warum das ökonomisch lohnt, zeigt eine Kennzahl aus dem IBM-Umfeld: Integrierte, automatisierte Plattformen verkürzen den Erkennungs- und Eindämmungszyklus deutlich und sparen im Schnitt rund 1,9 Millionen US-Dollar pro Vorfall. Entscheidend bleibt aber die Kombination aus Technik und menschlicher Analyse in einem 24/7-Betrieb, denn von Menschen gesteuerte Angriffe erfordern Analysten-Expertise.

Das 3-2-1-1-0-Backup-Prinzip

Backups sind laut BSI „die wichtigste Schutzmaßnahme". Doch das klassische 3-2-1-Prinzip reicht gegen moderne Ransomware nicht mehr. Der Grund: Angreifer suchen mit erbeuteten Administratorrechten gezielt nach Backups und verschlüsseln oder löschen sie. Laut Coveware versuchten Angreifer in nahezu 98 Prozent aller Ransomware-Fälle, die Backups zu beschädigen oder zu löschen. Deshalb erweitert das 3-2-1-1-0-Prinzip die alte Regel um zwei entscheidende Elemente:

• 3 Kopien der Daten: die Produktionsdaten plus zwei Backups.
• 2 verschiedene Medientypen: etwa Festplatte und Cloud, um einen Single Point of Failure zu vermeiden.
• 1 Kopie offsite: geografisch getrennt, als Schutz gegen Brand, Hochwasser oder physische Katastrophen.
• 1 Kopie immutable oder air-gapped: Ein immutable Backup „cannot be modified, encrypted or deleted, even by an administrator", es lässt sich also nicht verändern, verschlüsseln oder löschen, selbst nicht durch einen Administrator. Technisch umgesetzt wird das über WORM-Speicher (Write Once Read Many), Object Lock bei S3-kompatiblem Storage oder eine physisch getrennte Offline-Kopie.
• 0 Fehler: Jedes Backup wird automatisiert verifiziert und getestet, damit die Wiederherstellung im Ernstfall garantiert funktioniert. „Zero recovery surprises" bedeutet: Ein ungetestetes Backup ist kein Backup.

Zusätzlich empfiehlt das BSI, die Trennung regelmäßig zu prüfen, etwa indem ein Domänen-Administrator testweise versucht, auf die getrennte Kopie zuzugreifen, was nicht gelingen darf. Und vor jeder Wiederherstellung sollte geprüft werden, ob das Backup selbst bereits infiziert ist. Der NIST-Report bringt dies auf die Subkategorie RC.RP-03: Die Integrität von Backups muss vor der Nutzung zur Wiederherstellung verifiziert werden.

Die BSI-Quick-Wins: Prioritäten für den Mittelstand

Nicht jede Maßnahme ist gleich wichtig oder gleich aufwendig. Der BSI-Maßnahmenkatalog Ransomware bewertet 21 Einzelmaßnahmen nach Nutzen und Aufwand und markiert fünf davon als „Quick-Wins", also als Maßnahmen mit hohem Nutzen bei geringem Aufwand. Genau hier sollten Unternehmen mit begrenzten Ressourcen beginnen:

1. Backups (nach dem 3-2-1-1-0-Prinzip).
2. Aktives Schwachstellenmanagement (zeitnahes Patchen extern erreichbarer Systeme).
3. Freigabe nur notwendiger Dienste und Ports (Angriffsfläche minimieren).
4. Deaktivieren oder Beschränken von Scripting-Umgebungen und Makros (PowerShell, Office-Makros, Windows Script Host).
5. Vorbereitung auf einen Vorfall (getesteter Notfallplan und Playbooks).

Diese fünf Maßnahmen decken einen Großteil der realen Angriffswege ab und sind für nahezu jedes Unternehmen ohne Großinvestition umsetzbar.

Der Ernstfall: die ersten 60 Minuten

Wenn ein Angriff erkannt wird, entscheiden die ersten Minuten über das Schadensausmaß. Wichtig: Betroffene Systeme vom Netzwerk trennen, aber nach Möglichkeit nicht sofort ausschalten, da im Arbeitsspeicher wertvolle forensische Spuren liegen. Das folgende Raster fasst die vier Ziele der ersten Stunde (Eindämmung, Überblick, Beweissicherung, Entscheidungsfähigkeit) in eine konkrete Reihenfolge:

1. Incident Owner benennen und einen sicheren, vom kompromittierten Netz getrennten Kommunikationskanal festlegen (Out-of-Band, etwa per Telefon, um die Angreifer nicht zu warnen).
2. Betroffene Systeme isolieren: bei mehreren Systemen auf Switch-Ebene trennen, kritische Systeme zuerst.
3. Kritische Konten absichern: Administrator-, VPN- und SaaS-Zugänge sperren oder zurücksetzen.
4. Scope bestimmen: Welche Systeme, Konten und Daten sind betroffen? Prüfung auf Precursor-Malware (etwa QakBot, Emotet, Cobalt Strike).
5. Beweise sichern: Logs, Speicherabbilder, Zeitlinie und die Lösegeldforderung dokumentieren.
6. Stakeholder informieren: Geschäftsführung, gegebenenfalls Cyberversicherung, sowie die zuständigen Behörden (in Deutschland BSI und Datenschutzbehörde, unter NIS-2 mit verschärften Meldefristen).
7. Kontrollierte Wiederherstellung starten: ausschließlich aus geprüften, sauberen Backups, in eine bereinigte oder neu aufgesetzte Umgebung, um eine Reinfektion zu vermeiden.

Für den vollständigen Ablauf liefert die CISA-#StopRansomware-Guide eine strukturierte Response-Checkliste mit 21 Schritten in vier Phasen: Detection and Analysis, Reporting and Notification, Containment and Eradication sowie Recovery and Post-Incident Activity. Diese Checkliste eignet sich hervorragend als Grundlage für ein eigenes, regelmäßig geübtes Playbook. Denn wie das BSI betont: Playbooks sollten aus geübten Vorgehensweisen entstehen, und umgekehrt sollte anhand der Playbooks regelmäßig geübt werden.

Sollte man Lösegeld zahlen?

Sowohl das BSI als auch CISA, FBI und NSA raten ausdrücklich von Lösegeldzahlungen ab. Die Gründe sind belastbar: Eine Zahlung ist keine Garantie. Laut einer im Research zitierten Semperis-Studie erhielten 35 Prozent der zahlenden deutschen Unternehmen 2024 keinen oder einen fehlerhaften Entschlüsselungsschlüssel. Hinzu kommt: Jede Zahlung finanziert das RaaS-Geschäftsmodell und macht das Unternehmen zum attraktiven Wiederholungsziel. In den USA weist das Finanzministerium (OFAC) zudem auf mögliche Sanktionsrisiken hin, wenn Zahlungen an gelistete Gruppen fließen.

Der wirtschaftliche Trend gibt den Verweigerern recht: 69 Prozent der Opfer zahlten 2025 nicht (DBIR 2026), und eine Cross-Referenz-Analyse des DBIR ergab, dass pro Ransomware-Gruppe im Median nur rund 9 Prozent der öffentlich gelisteten Opfer tatsächlich zahlten. Die richtige Vorbereitung, also getestete Backups und ein geübter Notfallplan, ist damit nicht nur sicherer, sondern auch die wirtschaftlich klügere Antwort als das Setzen auf eine Zahlung.

Regulatorik: NIS-2 rückt die Geschäftsführung in die Pflicht

Ransomware ist zunehmend auch ein Compliance-Thema. Mit der europäischen NIS-2-Richtlinie und ihrer nationalen Umsetzung werden deutlich mehr Unternehmen zu Mindestmaßnahmen verpflichtet: Risikoanalyse, Incident Response, Business Continuity und Lieferkettensicherheit. Betroffen sind nach den im Research zitierten Zahlen rund 29.500 Einrichtungen in Deutschland, mit einem erhöhten Haftungsrisiko der Geschäftsleitung. Ransomware-Schutz ist damit endgültig Chefsache, was sich exakt mit der neuen NIST-Funktion GOVERN deckt.

Fazit

Ransomware-Schutz 2026 ist kein Produkt, das man kauft, sondern ein System aus vielen ineinandergreifenden Schichten. Die Zahlen des Verizon DBIR 2026 zeigen klar: Der Mittelstand ist das Hauptziel, gestohlene Zugangsdaten und ungepatchte Schwachstellen sind die häufigsten Einfallstore, und die Zahlungsbereitschaft sinkt, weil sich gute Vorbereitung auszahlt.

Wer die sechs Funktionen des NIST CSF 2.0 als Rahmen nutzt, mit den fünf BSI-Quick-Wins beginnt, das 3-2-1-1-0-Backup-Prinzip konsequent umsetzt und einen geübten, an der CISA-Checkliste orientierten Notfallplan bereithält, ist gegen die überwiegende Mehrheit der Angriffe gewappnet. Der entscheidende Schritt ist, nicht auf den perfekten Plan zu warten, sondern mit den Quick-Wins heute zu beginnen und die Abwehr schichtweise auszubauen.

Häufige Fragen (FAQ)

Was ist die 3-2-1-Regel, und warum reicht sie nicht mehr?

Die klassische 3-2-1-Regel fordert drei Datenkopien auf zwei verschiedenen Medientypen, davon eine offsite. Gegen moderne Ransomware reicht das nicht, weil Angreifer gezielt Backups angreifen. Das erweiterte 3-2-1-1-0-Prinzip ergänzt eine immutable oder air-gapped Kopie (nicht veränderbar oder löschbar, selbst nicht durch einen Administrator) sowie die automatisierte Verifikation aller Backups (null Fehler).

Sollte man bei Ransomware Lösegeld zahlen?

BSI, CISA und FBI raten ausdrücklich ab. Eine Zahlung garantiert keine Wiederherstellung (rund ein Drittel der Zahlenden erhielt keinen oder einen fehlerhaften Schlüssel), finanziert weitere Angriffe und kann in manchen Ländern Sanktionsrisiken auslösen. 2025 zahlten 69 Prozent der Opfer nicht. Besser ist ein getestetes Backup und ein geübter Notfallplan.

Was tun bei einem Ransomware-Angriff?

Entscheidend sind die ersten 60 Minuten. Isolieren Sie betroffene Systeme sofort, indem Sie die Netzwerkverbindung trennen, schalten Sie die Geräte aber nach Möglichkeit nicht aus, da im Arbeitsspeicher wertvolle forensische Spuren liegen. Zahlen Sie nicht voreilig und schließen Sie Ihre Backups nicht sofort an, solange nicht klar ist, ob die Umgebung sauber ist, sonst riskieren Sie eine Reinfektion. Dokumentieren Sie den Vorfall lückenlos (Logs, Zeitlinie, Lösegeldforderung), sichern Sie Beweise und binden Sie frühzeitig die zuständigen Behörden (in Deutschland BSI und Datenschutzbehörde) sowie bei Bedarf einen spezialisierten Incident-Response-Dienstleister ein. Die Wiederherstellung erfolgt anschließend ausschließlich aus geprüften, sauberen Backups in eine bereinigte Umgebung.

Was ist die wichtigste Einzelmaßnahme gegen Ransomware?

Es gibt nicht die eine Maßnahme, aber Backups gelten dem BSI zufolge als „die wichtigste Schutzmaßnahme", weil sie die Betriebswiederaufnahme ohne Lösegeld ermöglichen. Ergänzend hat der Identitätsschutz (phishing-resistente MFA) den höchsten Wirkungsgrad bei der Prävention, da gestohlene Zugangsdaten der häufigste Türöffner sind.

Sind kleine und mittlere Unternehmen wirklich betroffen?

Ja, und zwar überproportional. Laut Verizon DBIR 2026 waren 96 Prozent der Ransomware-Opfer mit bekannter Größe kleine und mittlere Unternehmen. Angreifer gehen oft opportunistisch vor und nehmen jedes verwundbare Ziel, unabhängig von Branche oder Umsatz. Der Mittelstand ist damit das Hauptziel, nicht die Ausnahme.

Wie schnell läuft ein Ransomware-Angriff ab?

Zwischen dem ersten Eindringen und der Verschlüsselung liegen oft mehrere Tage bis Wochen (Vorfallsanalysen nennen häufig 5 bis 11 Tage). Die laterale Ausbreitung von der ersten Kompromittierung startet historisch aber schon nach etwa zwei Stunden. Dieses Zeitfenster ist die entscheidende Chance für Erkennung und Reaktion, bevor der eigentliche Schaden eintritt.