Ransomware-Schutz: So sichern Sie Ihr Unternehmen ab

Erpressungstrojaner — sogenannte Ransomware — verschlüsseln Ihre Firmendaten und fordern Lösegeld. Für kleine und mittlere Unternehmen kann ein einziger Angriff existenzbedrohend sein. Dieser Ratgeber zeigt, wie Sie sich wirksam schützen.

Was ist Ransomware?

Ransomware ist Schadsoftware, die Dateien auf Ihrem Computer oder Server verschlüsselt. Die Angreifer fordern dann ein Lösegeld (englisch: ransom), meist in Kryptowährung, für den Entschlüsselungsschlüssel. Selbst bei Zahlung ist nicht garantiert, dass Sie Ihre Daten zurückbekommen.

Die häufigsten Einfallstore: Phishing-E-Mails mit infizierten Anhängen, kompromittierte Websites, unsichere RDP-Zugänge (Remote Desktop) und veraltete Software mit bekannten Sicherheitslücken.

Warum sind KMU besonders gefährdet?

Große Konzerne haben eigene IT-Sicherheitsabteilungen. Kleine Betriebe oft nicht — und genau das wissen die Angreifer. Laut BSI-Lagebericht 2025 richteten sich über 60 % der Ransomware-Angriffe gegen Unternehmen mit weniger als 250 Mitarbeitern.

• Geringere IT-Budgets — weniger Investition in Sicherheitsinfrastruktur.
• Fehlende Awareness — Mitarbeiter erkennen Phishing-Mails nicht zuverlässig.
• Veraltete Systeme — ungepatchte Server und Betriebssysteme sind ein offenes Tor.
• Keine Notfallpläne — im Ernstfall fehlt ein definierter Ablauf.

Die 5 wichtigsten Schutzmaßnahmen

1. Backup-Strategie nach der 3-2-1-Regel

Drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine offline oder außer Haus. Testen Sie regelmäßig, ob die Wiederherstellung tatsächlich funktioniert. Ein Backup, das sich nicht wiederherstellen lässt, ist wertlos.

2. Endpoint-Security und Firewall

Eine professionelle Firewall mit Intrusion Detection (IDS/IPS) filtert verdächtigen Datenverkehr, bevor er Ihre Rechner erreicht. Auf jedem Arbeitsplatz sollte ein aktueller Endpoint-Schutz laufen — nicht nur ein einfacher Virenscanner.

3. Regelmäßige Updates und Patch-Management

Die meisten erfolgreichen Angriffe nutzen bekannte Schwachstellen aus, für die es bereits Patches gibt. Automatisieren Sie Updates für Betriebssysteme, Anwendungen und Firmware. Besonders kritisch: VPN-Gateways, E-Mail-Server und Remote-Desktop-Dienste.

4. Mitarbeiterschulung (Security Awareness)

Der Mensch ist das schwächste Glied. Schulen Sie Ihre Mitarbeiter regelmäßig im Erkennen von Phishing-E-Mails, verdächtigen Links und Social-Engineering-Angriffen. Simulierte Phishing-Tests helfen, das Bewusstsein wach zu halten.

5. Notfallplan (Incident Response)

Definieren Sie vorab: Wer wird informiert? Welche Systeme werden sofort isoliert? Wie läuft die Wiederherstellung? Ein dokumentierter Notfallplan spart im Ernstfall wertvolle Stunden und verhindert Panikentscheidungen.

Was tun, wenn es passiert ist?

1. Sofort isolieren — betroffene Geräte vom Netzwerk trennen, um die Ausbreitung zu stoppen.
2. Nicht zahlen — das BSI und die Polizei raten klar davon ab. Zahlung finanziert weitere Angriffe und garantiert keine Entschlüsselung.
3. Anzeige erstatten — bei der Polizei und ggf. beim BSI melden.
4. Backup wiederherstellen — sofern ein sauberes, aktuelles Backup vorhanden ist.
5. Ursache analysieren — wie kamen die Angreifer rein? Diese Lücke muss geschlossen werden.

Was ein Angriff tatsächlich kostet

Das geforderte Lösegeld ist bei einem Ransomware-Vorfall selten der größte Posten. Teurer wird fast immer der Stillstand: Ein Handwerksbetrieb, der drei Tage lang weder Aufmaße noch Rechnungen aus dem System bekommt, verliert Umsatz, Termine und Vertrauen. Dazu kommen die Wiederherstellung durch einen Dienstleister, mögliche Vertragsstrafen bei nicht eingehaltenen Lieferterminen und der Aufwand für die Kommunikation mit Kunden, deren Daten betroffen sein könnten.

Für kleine Betriebe bedeutet das in der Praxis: Der Schaden liegt regelmäßig im fünfstelligen Bereich, obwohl das geforderte Lösegeld vielleicht nur einen Bruchteil davon ausgemacht hätte. Genau deshalb lohnt sich Prävention rechnerisch — eine ordentlich konfigurierte Firewall und Endpoint-Absicherung kostet einen Bruchteil eines einzigen Ausfalltags.

Und noch ein Punkt wird oft übersehen: Die Zahlung des Lösegelds löst das Problem nicht. Selbst wenn die Angreifer einen funktionierenden Schlüssel liefern, bleibt die Sicherheitslücke offen, über die sie hereingekommen sind. Ohne saubere Ursachenanalyse folgt der zweite Angriff oft innerhalb weniger Monate — nicht selten von derselben Gruppe.

Die drei häufigsten Fehler bei Backups

Fast jeder Betrieb, der uns nach einem Vorfall ruft, hatte ein Backup. Das Problem ist selten das Fehlen einer Sicherung, sondern ihre Beschaffenheit. Drei Fehler sehen wir immer wieder:

Erstens: Das Backup hängt dauerhaft am Netz. Eine externe Festplatte, die rund um die Uhr am Server steckt, oder ein NAS-Laufwerk, das für jeden Rechner als Netzlaufwerk eingebunden ist, wird von moderner Ransomware genauso verschlüsselt wie die Originaldaten. Mindestens eine Kopie muss offline oder unveränderbar (immutable) liegen.

Zweitens: Niemand hat je eine Rückspielung getestet. Ein Backup-Job, der grün meldet, ist kein Beweis. Erst der Versuch, eine Datei oder eine ganze virtuelle Maschine tatsächlich zurückzuholen, zeigt, ob die Sicherung brauchbar ist. Wir empfehlen mindestens einen dokumentierten Wiederherstellungstest pro Quartal.

Drittens: Die Aufbewahrungsdauer ist zu kurz. Ransomware wird häufig Wochen vor der Verschlüsselung eingeschleust und wartet. Wenn Ihr Backup nur sieben Tage zurückreicht, sind womöglich alle vorhandenen Stände bereits infiziert. Mit Proxmox VE und Proxmox Backup Server lassen sich Aufbewahrungsketten über Wochen und Monate abbilden, ohne den Speicherbedarf zu vervielfachen.

Ransomware und die DSGVO: Ihre Meldepflicht

Ein Ransomware-Vorfall ist fast immer auch ein Datenschutzvorfall. Sobald personenbezogene Daten betroffen sein können — und das ist bei verschlüsselten Kunden- oder Personaldaten praktisch immer der Fall —, greift Artikel 33 DSGVO: Der Vorfall ist der zuständigen Aufsichtsbehörde binnen 72 Stunden nach Bekanntwerden zu melden. In Niedersachsen ist das die Landesbeauftragte für den Datenschutz.

Kommt hinzu, dass ein hohes Risiko für die Betroffenen besteht — etwa weil Daten nicht nur verschlüsselt, sondern auch abgeflossen sind —, müssen nach Artikel 34 zusätzlich die betroffenen Personen selbst informiert werden. Diese Doppelstrategie aus Verschlüsselung und Datendiebstahl ist inzwischen der Regelfall, nicht die Ausnahme.

Praktisch heißt das: Legen Sie die Kontaktdaten der Aufsichtsbehörde und eine Meldevorlage vorab in Ihrem Notfallplan ab. Nach einem Angriff fehlt für die Recherche schlicht die Zeit — und die 72-Stunden-Frist läuft ab dem Moment, in dem jemand im Unternehmen den Vorfall bemerkt, nicht ab dem Moment, in dem Sie ihn verstanden haben.

Häufige Fragen zu Ransomware-Schutz

Fazit

Ransomware-Schutz ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Die Kombination aus technischen Maßnahmen (Backup, Firewall, Updates) und organisatorischen Maßnahmen (Schulung, Notfallplan) bietet den besten Schutz. Als IT-Dienstleister in Wolfsburg unterstützen wir Sie dabei, Ihre Infrastruktur abzusichern — bevor es zu spät ist.