Ransomware-Schutz für Unternehmen: Prävention, Erkennung, Wiederanlauf

Wie läuft ein Ransomware-Angriff auf ein Unternehmen typischerweise ab?

Ein Ransomware-Angriff beginnt fast nie mit der Verschlüsselung. Am Anfang steht eine Erstinfektion über eine E-Mail, über gestohlene Zugangsdaten oder über eine ungepatchte Schwachstelle in einem von außen erreichbaren System. Danach bewegen sich die Angreifer im Netzwerk, sammeln Rechte, kopieren Daten und löschen Sicherungen. Erst zum Schluss folgt die Verschlüsselung.

Das BSI beschreibt diesen Ablauf im Maßnahmenkatalog Ransomware sehr direkt: Zwischen dem Eindringen in die IT-Systeme und einer Verschlüsselung liegen immer wieder Wochen, manchmal sogar Monate. Für Sie ist das die wichtigste Nachricht des ganzen Themas. Ein Angriff ist kein Blitzschlag, sondern ein Projekt der Angreifer, das über Tage und Wochen läuft und dabei Spuren hinterlässt.

Fast immer kommt heute ein zweiter Erpressungshebel dazu. Die Angreifer kopieren Daten aus dem Netz, bevor sie verschlüsseln, und drohen anschließend mit der Veröffentlichung. Dieses Vorgehen heißt Double Extortion, also doppelte Erpressung. Laut BSI-Lagebericht 2025 gingen im Jahr 2024 72 Prozent der angezeigten Ransomware-Vorfälle mit einem Datenleak oder dessen Androhung einher. Ein Backup schützt gegen den Ausfall, aber nicht gegen die Veröffentlichung.

Die Spalte ganz rechts ist der Kern der Erkennung. Jede dieser Spuren lässt sich technisch sichtbar machen, wenn Protokolle zentral gesammelt und ausgewertet werden.

Welche Maßnahmen für den Ransomware-Schutz bringen den größten Nutzen?

Den größten Nutzen bringen Maßnahmen, die entweder den Einstieg verschließen oder den Schaden begrenzen. Das BSI hat im Maßnahmenkatalog Ransomware für jede Maßnahme Nutzen und Aufwand bewertet und besonders schnell wirksame Punkte als Quick-Win markiert. Diese Bewertung ist eine gute Reihenfolge für die eigene Planung, weil sie Wirkung und Umsetzbarkeit zusammen betrachtet.

Quelle der Bewertung ist die Nutzen-Aufwand-Tabelle im Maßnahmenkatalog Ransomware des BSI aus dem Jahr 2022. Das BSI bewertet dort mit Symbolen von ++ bis --, die Tabelle oben übersetzt diese Stufen in Worte. Auffällig ist, wie weit oben organisatorische Punkte stehen. Die Mehr-Faktor-Anmeldung an allen externen Zugängen, das schnelle Einspielen von Patches auf erreichbaren Systemen und getrennte Administratorkonten kosten wenig Technik und viel Disziplin.

Der zweite auffällige Punkt ist die Bewertung des klassischen Virenschutzes. Das BSI stuft seinen Nutzen gegen zielgerichtete Ransomware als eingeschränkt ein. Signaturbasierter Schutz erkennt bekannte Schadprogramme, aber nicht das Verhalten eines Angreifers, der mit gültigen Zugangsdaten und Bordmitteln arbeitet. Weil die Erstinfektion sehr häufig über E-Mails startet, gehört die Schulung der Beschäftigten in dieselbe Prioritätenliste. Wie Sie die typischen Merkmale gefälschter Nachrichten im Alltag erkennen, steht im Ratgeber zum Erkennen von Phishing-Mails.

Die Umsetzung auf den Endgeräten scheitert in der Praxis selten am Willen, sondern an der Verwaltung. Anwendungskontrolle, Makro-Sperren und aktuelle Patchstände lassen sich nur zentral durchhalten. Welche Werkzeuge dafür nötig sind und wie ein sauberer Gerätebestand entsteht, beschreibt der Ratgeber zum Endpoint-Management.

Welche Rolle spielen unveränderbare Backups und getrennte Sicherungen?

Backups sind die letzte Verteidigungslinie und deshalb das erste Ziel der Angreifer. Das BSI schreibt, dass Angreifer mit erlangten Administrationsrechten gezielt nach allen Backups suchen und diese ebenso verschlüsseln wie die Produktivsysteme. Eine Sicherung, die dauerhaft über das Netz erreichbar ist, hilft im Ernstfall also nicht weiter.

Daraus folgen drei Anforderungen. Erstens braucht es mindestens eine Kopie, die nach dem Sicherungslauf von den anderen Systemen getrennt ist. Das BSI nennt dafür getrennte Bandmedien, ein Archiv mit physischem Zugriff oder einen vollständig vom eigenen Netz getrennten Cloud-Speicher. Zweitens sollten Kopien an verschiedenen Orten liegen, damit auch Brand oder Wasserschaden abgedeckt sind. Drittens muss die Trennung regelmäßig geprüft werden, indem ein Administrator testweise versucht, auf die getrennte Kopie zuzugreifen. Dieser Versuch soll scheitern.

Unveränderbare Sicherungen, im Fachjargon Immutable Backups, setzen dieselbe Idee technisch um. Der Speicher nimmt Daten für einen festgelegten Zeitraum entgegen und verweigert danach jedes Löschen und Überschreiben, auch für Administratorkonten. Damit läuft der Löschversuch der Angreifer ins Leere. Die technischen Varianten dieser Sperre behandeln wir in einem eigenen Ratgeber.

Ebenso wichtig wie die Sicherung ist der geübte Rückweg. Das BSI empfiehlt, die Wiederherstellung regelmäßig praktisch zu testen und auch einen Schwarzstart zu planen, also den Wiederanlauf aller Server aus dem Nichts. Wer Aufbewahrungszeiten, Sicherungsintervalle und Wiederanlaufzeiten sauber festlegen will, findet die Systematik im Leitfaden zur Backup-Strategie für Unternehmen.

Wie erkennen Sie einen Ransomware-Angriff früh genug?

Früherkennung nutzt das Zeitfenster zwischen Erstinfektion und Verschlüsselung. Praktisch bedeutet das drei Dinge: Protokolldaten zentral und manipulationssicher sammeln, das Verhalten auf den Endgeräten dauerhaft beobachten und auf Alarme innerhalb von Minuten reagieren können. Ohne den dritten Punkt bleibt die beste Technik ein Archiv, das niemand liest.

Für die Endgeräte ist EDR das passende Werkzeug. EDR steht für Endpoint Detection and Response und beschreibt Software, die nicht nur nach bekannten Schadprogrammen sucht, sondern das Verhalten von Prozessen aufzeichnet und bewertet. Auffällig sind etwa das massenhafte Umbenennen von Dateien, das Löschen von Schattenkopien oder ein Prozess, der plötzlich Zugangsdaten aus dem Arbeitsspeicher liest. EDR kann betroffene Geräte automatisch vom Netz isolieren, bevor sich der Angriff ausbreitet.

Wird dieser Dienst rund um die Uhr von einem Team betrieben, das die Alarme bewertet und eingreift, spricht man von MDR, also Managed Detection and Response. Für Betriebe ohne eigenes Sicherheitsteam ist das oft der einzige realistische Weg zu einer Reaktionszeit, die kürzer ist als die Vorbereitungszeit der Angreifer.

Daneben empfiehlt das BSI konkrete Beobachtungspunkte im Netz. Dazu zählen zentrale Protokollserver, die Auswertung von DNS-Anfragen und Proxy-Protokollen, die Überwachung der Virenschutzmeldungen aller Arbeitsplätze sowie eine Anomalie-Erkennung, die ungewöhnlich großen ausgehenden Datenverkehr sichtbar macht. Alle diese Punkte stehen im Maßnahmenkatalog Ransomware unter den weitergehenden Schutzmaßnahmen. Sinnvoll ist die Gliederung in drei Bereiche: Protokollierung, Detektion und Reaktion.

Nützlich ist außerdem eine einfache Falle auf dem Dateiserver. Legen Sie Dateien an, auf die im Alltag niemand zugreift, und lassen Sie jeden Zugriff melden. Das BSI beschreibt diese sogenannten Canary Files als Frühwarnsignal. Wenn Sie Erkennung und Reaktion nicht selbst betreiben möchten, übernehmen wir Endpoint Protection, Schwachstellen-Assessment und Incident Response als Teil unserer IT-Sicherheitsleistungen.

Was ist in den ersten 24 Stunden nach einem Ransomware-Befall zu tun?

In den ersten 24 Stunden zählen Ruhe, Isolierung und Beweissicherung. Das BSI fasst die Sofortmaßnahmen im Arbeitspapier zur ersten Hilfe bei einem schweren IT-Sicherheitsvorfall zusammen. Die wichtigste Regel lautet: keine Anmeldung mit Administratorkonten auf möglicherweise infizierten Systemen, solange diese noch im Netz oder mit dem Internet verbunden sind.

1. Ruhe bewahren und einen Krisenstab einrichten. Legen Sie fest, wer entscheidet, wer technisch arbeitet und wer kommuniziert. Halten Sie fest, welche Tagesaufgaben bis auf Weiteres liegen bleiben.
2. Betroffene Systeme isolieren. Ziehen Sie das Netzwerkkabel. Fahren Sie die Geräte nicht herunter und schalten Sie sie nicht aus, sonst gehen Spuren im Arbeitsspeicher verloren.
3. Keine privilegierten Anmeldungen. Melden Sie sich nicht mit Administratorkonten an verdächtigen Systemen an, solange diese im produktiven Netz hängen.
4. Entscheiden, ob Spuren gesichert werden. Klären Sie früh, ob forensische Abbilder erstellt werden sollen. Diese Entscheidung bestimmt das weitere Vorgehen.
5. Zugangsdaten als kompromittiert behandeln. Alle auf betroffenen Systemen gespeicherten Passwörter gelten als abgeflossen und müssen geändert werden.
6. Backups prüfen, nicht sofort zurückspielen. Stellen Sie fest, ob saubere, nicht kompromittierte Sicherungen vorliegen. Arbeiten Sie bei der Wiederherstellung mit Kopien.
7. Strafanzeige erstatten. Das BSI empfiehlt, bei allen Cyberangriffen Anzeige zu erstatten. Für Unternehmen gibt es dafür die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter.
8. Meldepflichten prüfen. Denken Sie an die Fristen nach DSGVO und BSI-Gesetz sowie an vertragliche Informationspflichten gegenüber Kunden und Partnern.
9. Cyberversicherung informieren. Versicherer machen häufig Vorgaben zum weiteren Vorgehen, die über die Kostenübernahme entscheiden.
10. Externe Unterstützung holen. Ziehen Sie früh Fachleute hinzu, wenn eigene Kapazitäten oder Erfahrung fehlen.

Die vollständige Liste mit allen technischen Punkten steht im Arbeitspapier Erste Hilfe bei einem schweren IT-Sicherheitsvorfall des BSI in der Version 1.2 vom 07.10.2022. Wichtig ist die realistische Erwartung: Das BSI weist darauf hin, dass Maßnahmen zur Wiederherstellung häufig mehrere Wochen oder sogar Monate in Anspruch nehmen können. Wie eine Notfallorganisation dafür aufgebaut wird, behandeln wir in einem eigenen Ratgeber.

Sollten Unternehmen bei Ransomware Lösegeld zahlen?

Das BSI rät grundsätzlich davon ab, auf eine Erpressung einzugehen. Die Begründung ist nüchtern: Eine Zahlung bietet keinerlei Garantie für die Freigabe verschlüsselter Daten oder gesperrter Systeme. Stattdessen sollen die Daten nach einer Bereinigung des Netzwerks aus vorhandenen und unversehrten Sicherungen zurückgespielt werden.

Diese Position steht im Arbeitspapier Erste Hilfe bei einem schweren IT-Sicherheitsvorfall und auf den Ransomware-Seiten des BSI. Das BSI empfiehlt stattdessen, unverzüglich Anzeige bei der Polizei zu erstatten. Wer entgegen dieser Empfehlung zahlt, soll die Polizei ebenfalls informieren, weil sie den Geldfluss gegebenenfalls verfolgen kann.

Vier Punkte sollten Sie kennen, bevor eine Zahlung überhaupt diskutiert wird. Ein erhaltener Schlüssel kann unpassend oder fehlerhaft sein. Eine erfolgreiche Entschlüsselung ersetzt nicht die Neuinstallation der betroffenen Systeme, weil Hintertüren zurückbleiben können. Eine Zahlung finanziert möglicherweise weitere Angriffe auf Dritte. Und das BSI empfiehlt, jede Zahlung vorab mit den Ermittlungsbehörden und einer Rechtsberatung abzustimmen.

Die Zahlen stützen die Empfehlung. Laut BSI-Lagebericht 2025 sank die Bereitschaft zur Zahlung von Lösegeldern im Berichtszeitraum weiter. Die Bitkom-Studie Wirtschaftsschutz vom 26.08.2026 zeigt zugleich, wie verbreitet das Problem bleibt: Bei 25 Prozent der befragten Unternehmen verschlüsselten Angreifer Daten und forderten Lösegeld, im Vorjahr waren es 34 Prozent. Befragt wurden 1.003 Unternehmen ab zehn Beschäftigten und 1 Million Euro Jahresumsatz in Deutschland.

Welche Meldepflichten gelten nach einem Ransomware-Angriff?

Nach einem Ransomware-Angriff greifen zwei Meldewege parallel. Sobald personenbezogene Daten betroffen sind, gilt die Meldung an die Datenschutzaufsicht. Fällt Ihr Betrieb unter das BSI-Gesetz, kommt eine gestufte Meldung an das BSI hinzu. Beide Pflichten bestehen unabhängig voneinander und laufen ab dem Zeitpunkt der Kenntnis.

Für den Datenschutz gilt Artikel 33 der Datenschutz-Grundverordnung. Die Meldung an die zuständige Aufsichtsbehörde hat unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Verletzung zu erfolgen. Besteht ein hohes Risiko für die Betroffenen, müssen diese nach Artikel 34 zusätzlich selbst benachrichtigt werden. Weil bei Ransomware fast immer auch Daten abfließen, ist dieser Fall der Regelfall und nicht die Ausnahme.

Das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes verlangt in Paragraf 32 BSIG drei Stufen: eine frühe Erstmeldung unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls, eine ausführlichere Meldung spätestens innerhalb von 72 Stunden und eine Abschlussmeldung spätestens einen Monat nach der Meldung des Vorfalls.

Ob Ihr Betrieb betroffen ist, hängt von Branche und Größe ab. Paragraf 28 BSIG ordnet Unternehmen aus den gelisteten Sektoren als wichtige Einrichtung ein, wenn sie mindestens 50 Beschäftigte haben oder Jahresumsatz und Jahresbilanzsumme jeweils über 10 Millionen Euro liegen. Als besonders wichtige Einrichtung gilt ein Unternehmen aus den Sektoren der Anlage 1 des Gesetzes, das mindestens 250 Beschäftigte hat oder über 50 Millionen Euro Jahresumsatz und zugleich über 43 Millionen Euro Bilanzsumme erreicht. Unternehmen aus den Sektoren der Anlage 2 bleiben in der Regel auch oberhalb dieser Schwellen wichtige Einrichtung. Prüfen Sie diese Einordnung schriftlich, bevor ein Vorfall eintritt. Im Ernstfall bleibt dafür keine Zeit.

Unabhängig von der gesetzlichen Lage empfiehlt das BSI die Strafanzeige. Für Unternehmen haben Bundeskriminalamt und Landeskriminalämter die Zentralen Ansprechstellen Cybercrime eingerichtet, die Betroffene beraten und bei der Anzeige unterstützen.

Häufige Fragen zum Ransomware-Schutz

Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff?

Das hängt von Umfang und Vorbereitung ab. Das BSI weist im Maßnahmenkatalog Ransomware darauf hin, dass Maßnahmen zur Wiederherstellung häufig mehrere Wochen oder gar Monate in Anspruch nehmen können. Entscheidend sind zwei Faktoren: ob unversehrte, vom Netz getrennte Sicherungen vorliegen und ob der Wiederanlauf vorher praktisch geübt wurde. Ein ungeübter Schwarzstart kostet regelmäßig mehr Zeit als die eigentliche Bereinigung.

Reicht ein Virenschutz gegen Ransomware aus?

Nein. Das BSI bewertet den Nutzen klassischer Virenschutzsoftware gegen gezielte Ransomware-Angriffe in seiner Nutzen-Aufwand-Tabelle als eingeschränkt. Signaturen erkennen bekannte Schadprogramme, aber nicht Angreifer, die mit gestohlenen Zugangsdaten und Systemwerkzeugen arbeiten. Wirksam ist erst die Kombination aus abgesicherten Zugängen, aktuellem Patchstand, eingeschränkter Ausführung von Programmen, verhaltensbasierter Erkennung und getrennten Sicherungen.

Sind Daten in Microsoft 365 automatisch vor Ransomware geschützt?

Nein. Cloud-Dienste schützen vor Hardwareausfällen, nicht vor einem Angreifer mit gültigen Zugangsdaten. Wer ein Konto übernimmt, kann Dateien auch in der Cloud verschlüsseln oder löschen, und die Änderung wird synchronisiert. Notwendig sind deshalb Mehr-Faktor-Anmeldung für alle Konten, eine bewusst gesetzte Aufbewahrungsdauer und eine eigene Sicherung der Cloud-Daten außerhalb des betroffenen Kontos.

Reicht der in Windows eingebaute Ransomware-Schutz für ein Unternehmen?

Nein. Er ist ein sinnvoller Baustein, aber kein vollständiger Schutz. Hinter dem Ransomware-Schutz in Windows steht der überwachte Ordnerzugriff von Microsoft Defender Antivirus. Er lässt nur vertrauenswürdige Anwendungen Dateien in geschützten Ordnern ändern. Laut Microsoft-Dokumentation ist die Funktion standardmäßig deaktiviert und setzt Microsoft Defender Antivirus im aktiven Modus mit Echtzeitschutz voraus. Unternehmen verteilen die Einstellung zentral, etwa über Microsoft Intune oder Gruppenrichtlinien, und testen sie zuerst im Überwachungsmodus. Gegen gestohlene Zugangsdaten, Datenabfluss und gelöschte Sicherungen hilft die Funktion nicht.

Wie oft sollte die Wiederherstellung getestet werden?

Ein fester Turnus gehört ins Datensicherungskonzept. Das BSI fordert, die Wiederherstellung von Daten und Systemen regelmäßig zu üben und zusätzlich die Trennung der Offline-Kopie zu prüfen, indem ein Administrator testweise auf sie zuzugreifen versucht. Dieser Zugriff soll scheitern. Sinnvoll sind mindestens ein jährlicher vollständiger Test und ein kleiner Stichprobentest je Quartal.

Was kostet ein wirksamer Ransomware-Schutz?

Die Kosten hängen von Mitarbeiterzahl, Standorten, Serverlandschaft und dem gewünschten Servicelevel ab. Ein großer Teil der wirksamsten Maßnahmen verursacht laut BSI-Bewertung geringen Aufwand, etwa das Schließen nicht benötigter Ports, Mehr-Faktor-Anmeldung an externen Zugängen und getrennte Administratorkonten. Kosten entstehen vor allem bei Netzsegmentierung, zentraler Protokollierung und einem rund um die Uhr betreuten Erkennungsdienst.

Fazit

Ransomware-Schutz ist kein Produkt, sondern eine Kette aus Prävention, Erkennung und geübtem Wiederanlauf. Die wirksamsten Schritte sind unspektakulär: Zugänge absichern, Patches zeitnah einspielen, Sicherungen vom Netz trennen und den Ernstfall proben. Das Zeitfenster von oft mehreren Wochen zwischen Erstinfektion und Verschlüsselung ist Ihr Vorteil, wenn Sie es technisch beobachten. Wer diese Punkte schriftlich festhält und jährlich überprüft, verwandelt einen Totalausfall in eine beherrschbare Störung.