Montagmorgen, 7:30 Uhr. Nichts geht mehr.
Stellen Sie sich vor: Sie kommen ins Büro, schalten den Rechner ein, und auf dem Bildschirm steht eine Nachricht. Nicht von einem Kollegen, nicht von einem Kunden. Sondern von jemandem, der Ihnen mitteilt, dass sämtliche Daten Ihres Unternehmens verschlüsselt sind. 250.000 Euro in Bitcoin, 72 Stunden Zeit. Andernfalls werden Ihre Kundendaten veröffentlicht.
Das klingt wie ein schlechter Film. Aber es passiert – jeden Tag, in ganz Deutschland. 70% aller KMU wurden in den letzten zwei Jahren Ziel eines Ransomware-Angriffs. Die durchschnittliche Ausfallzeit danach: drei Wochen. Und 60% der schwer getroffenen Unternehmen sind innerhalb von sechs Monaten insolvent.
Ransomware ist nicht mehr das, was es mal war
Früher haben Erpresser einfach Ihre Daten verschlüsselt und auf das Lösegeld gewartet. Wer ein gutes Backup hatte, konnte sich zurücklehnen. Diese Zeiten sind vorbei.
Heute sprechen Experten von „Double Extortion" – die Angreifer stehlen Ihre Daten erst, bevor sie sie verschlüsseln. Dann drohen sie nicht nur damit, den Schlüssel nicht rauszurücken, sondern auch damit, sensible Informationen zu veröffentlichen. Kundenverträge, Mitarbeiterdaten, Geschäftsgeheimnisse – alles landet auf sogenannten Leak-Sites im Darknet.
Manche Gruppen gehen sogar noch weiter. Bei „Triple Extortion" starten sie zusätzlich DDoS-Angriffe gegen Ihre Website und kontaktieren Ihre Kunden direkt. „Wussten Sie, dass die Firma X Ihre Daten nicht schützen kann? Hier ist der Beweis."
Das ist eine Industrie geworden. Ransomware-as-a-Service, kurz RaaS: Kriminelle entwickeln die Software und vermieten sie an andere Kriminelle – inklusive Dashboard, Kundensupport und Affiliate-Provisionen. Ja, es gibt tatsächlich kriminelle Helpdesks, die den Opfern erklären, wie man Bitcoin kauft.
Wie kommt Ransomware rein?
In 65% aller Fälle über E-Mail. Eine Rechnung vom Buchhaltungsdienstleister, die aussieht wie echt. Ein Bewerbungsschreiben mit manipuliertem PDF. Eine Nachricht vom „IT-Support", die um einen Klick bittet. Die Mails sind heute so gut gemacht, dass selbst erfahrene Mitarbeiter sie nicht erkennen.
Auf Platz zwei: unsichere Remote-Zugänge. Das Erbe der Pandemie. Viele Unternehmen haben damals hastig VPN-Zugänge eingerichtet oder RDP-Ports geöffnet – und nie wieder geschlossen. Ohne Multi-Faktor-Authentifizierung sind diese Zugänge wie ein Fenster, das Tag und Nacht offensteht.
Dann gibt es die stillen Türen: veraltete Software. 60% aller erfolgreichen Angriffe nutzen Schwachstellen, für die bereits Patches verfügbar waren. Das heißt, die Lösung existierte schon – sie wurde nur nicht installiert. Ein ungepatchter Exchange-Server ist wie ein Schild am Eingang: „Bitte einbrechen."
Wie Sie sich vorbereiten – bevor es passiert
Die Backup-Frage, die sich niemand stellt
Jedes Unternehmen hat Backups. Oder glaubt es zumindest. Die entscheidende Frage ist nicht „Haben Sie Backups?", sondern „Können Sie Ihre Systeme aus dem Backup innerhalb von 24 Stunden wiederherstellen?"
Wenn Sie diese Frage nicht mit einem klaren Ja beantworten können, haben Sie ein Problem. Und wenn Ihre Backups im selben Netzwerk liegen wie Ihre Produktivsysteme, haben Sie ein noch größeres Problem – denn moderne Ransomware sucht gezielt nach Backup-Servern und verschlüsselt die gleich mit.
Die erweiterte Backup-Regel heißt 3-2-1-1-0: Drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, eine davon an einem anderen Ort, eine davon offline oder unveränderbar (immutable), und null Fehler bei regelmäßigen Wiederherstellungstests. Klingt aufwändig? Ist es. Aber es ist der Unterschied zwischen „Wir haben drei Tage Stress" und „Wir machen den Laden dicht".
Ihr Netzwerk ist kein offener Büroflur
Die meisten KMU-Netzwerke sind flach aufgebaut. Das bedeutet: Wenn sich ein Angreifer Zugang zu einem einzigen Rechner verschafft, kann er sich frei im gesamten Netzwerk bewegen. Vom Empfangsrechner zum Buchhaltungsserver, von dort zum Produktionssystem.
Netzwerksegmentierung klingt nach einem großen Projekt, kann aber simpel anfangen. Trennen Sie zumindest Ihr Produktionsnetzwerk vom Büro-WLAN, isolieren Sie das Gäste-WLAN komplett, und packen Sie IoT-Geräte wie Drucker und Kameras in ein eigenes Segment. Die meisten modernen Firewalls und Switches können das – es ist vor allem eine Frage der Konfiguration, nicht der Hardware.
Patchen, patchen, patchen
Ich weiß, Update-Benachrichtigungen nerven. Aber jede kritische Sicherheitslücke, die Sie nicht innerhalb von 48 Stunden schließen, ist ein offenes Einladungsschreiben. Richten Sie einen festen Rhythmus ein: kritische Updates sofort, reguläre Updates alle zwei Wochen. Und wenn Sie Legacy-Systeme haben, die nicht mehr gepatcht werden können – isolieren Sie sie, als wären sie radioaktiv.
Was tun, wenn es doch passiert?
Die ersten 60 Minuten entscheiden über alles. Und genau deshalb brauchen Sie einen Plan, bevor der Notfall eintritt.
Schritt eins: Isolieren, nicht ausschalten. Netzwerkkabel raus, WLAN aus – aber den Computer anlassen. Im Arbeitsspeicher stecken forensische Beweise, die verloren gehen, wenn Sie den Stecker ziehen.
Schritt zwei: Menschen informieren. IT-Leitung, Geschäftsführung, ggf. externe Incident-Response-Experten. Und ja, die Polizei – das LKA hat spezialisierte Cybercrime-Abteilungen, die tatsächlich helfen können.
Schritt drei: Kommunikation kontrollieren. Bevor wilde Gerüchte kursieren, brauchen Sie eine interne Sprachregelung. Was sagen wir Mitarbeitern? Was sagen wir Kunden? Was sagen wir der Presse, falls sie anruft?
Schritt vier: Nicht vorschnell zahlen. Das BSI und alle Strafverfolgungsbehörden raten von Lösegeldzahlungen ab. Sie finanzieren damit kriminelle Strukturen, haben keine Garantie, dass der Schlüssel funktioniert, und machen sich zum Wiederholungsziel. Trotzdem muss man ehrlich sein: Wenn die Existenz des Unternehmens auf dem Spiel steht, gibt es keine einfachen Antworten. In solchen Fällen sollten professionelle Verhandler hinzugezogen werden.
Nach dem Sturm: Wiederaufbau
Auch wenn die akute Phase vorbei ist, fängt die Arbeit erst an. Kompromittierte Systeme dürfen nicht einfach „bereinigt" werden – sie müssen neu aufgesetzt werden. Alle Passwörter müssen geändert werden. Und Sie sollten für mindestens 90 Tage ein erhöhtes Monitoring laufen lassen, denn manchmal hinterlassen Angreifer Hintertüren.
Der wichtigste Schritt nach jedem Vorfall: die ehrliche Analyse. Was ist schiefgelaufen? Was hat funktioniert? Was ändern wir? Nicht als Schuldzuweisung, sondern als Investition in die Zukunft. Jedes Unternehmen, das einen Angriff überlebt hat und daraus lernt, ist danach stärker als vorher.
Die unbequeme Wahrheit
Ransomware wird nicht verschwinden. Es ist ein zu profitables Geschäft, mit zu wenig Risiko für die Täter. Die Frage ist nicht ob, sondern wann Sie angegriffen werden. Die einzige Frage, die Sie beeinflussen können, ist: Wie gut sind Sie vorbereitet?
Starten Sie heute. Prüfen Sie Ihre Backups. Aktivieren Sie MFA. Erstellen Sie einen Notfallplan, der auf zwei Seiten passt. Das sind keine unlösbaren Aufgaben – das sind Entscheidungen, die Sie diesen Freitag noch umsetzen können.
*Wir unterstützen Sie bei der Ransomware-Prävention – von der ersten Analyse bis zum Notfallplan. Jetzt Gespräch vereinbaren*
