Was ist Ransomware?

Ransomware: Definition und Ablauf

Der Begriff setzt sich aus „ransom“ (Lösegeld) und „Software“ zusammen. Die Schadsoftware verschlüsselt Dateien, Server und oft auch die Datensicherungen und zeigt eine Lösegeldforderung an, meist mit Zahlung in Kryptowährung. Ohne Schlüssel sind die Daten unbrauchbar, der Betrieb steht still: keine Aufträge, keine Rechnungen, kein Zugriff auf Kundendaten.

Moderne Angriffe sind selten Zufallstreffer. Die Täter dringen ein, verschaffen sich Administratorrechte, erkunden das Netz, kopieren Daten und verschlüsseln erst nach Tagen oder Wochen. Bei dieser doppelten Erpressung („Double Extortion“) drohen sie zusätzlich mit der Veröffentlichung der Daten. Viele Gruppen bieten ihre Werkzeuge als „Ransomware-as-a-Service“ an.

Typische Einfallstore

Angriffe nutzen meist keine Hightech-Tricks, sondern bekannte Schwächen im Alltag: eine unbedachte Mitarbeiterentscheidung, eine vergessene Freigabe, ein nicht eingespieltes Update. Je mehr dieser Lücken ein Unternehmen schließt, desto aufwendiger und riskanter wird der Angriff für die Täter, und desto eher suchen sie sich ein leichteres Opfer.

• Phishing-Mails mit Anhängen oder Links
• Aus dem Internet erreichbare Fernzugänge wie RDP ohne zweiten Faktor
• Nicht eingespielte Sicherheitsupdates an VPN-Gateway, Firewall und Servern
• Gestohlene oder wiederverwendete Passwörter
• Zugänge von Dienstleistern oder Partnern, die nie überprüft werden

Praxis­bei­spiel: Der verschlüs­selte Dateiserver

Bei einem Zulieferer mit 80 Mitarbeitern lassen sich montagmorgens keine Konstruktionszeichnungen mehr öffnen; alle Dateien tragen eine neue Endung, auf dem Desktop liegt eine Erpresserforderung. Die Datensicherung hing als Netzlaufwerk am selben Netz und wurde mitverschlüsselt. Der Betrieb steht still, Lieferfristen geraten in Gefahr, und Kunden fragen nach, wann es weitergeht. Zugleich ist unklar, ob auch Daten abgeflossen sind.

Mit Vorsorge sähe der Ablauf anders aus: Betroffene Geräte werden vom Netz getrennt, Geschäftsführung und ein Fachdienstleister informiert, die Polizei erstattet Anzeige, und die Systeme werden aus einer getrennt gelagerten Sicherung neu aufgebaut. Das dauert, aber der Betrieb läuft wieder, ohne dass Lösegeld fließt.

Vorbeugen und im Ernstfall handeln

Die wichtigste Vorsorge sind Backups nach der 3-2-1-Regel, von denen mindestens eine Kopie offline oder unveränderbar gespeichert ist, plus regelmäßige Wiederherstellungstests. Dazu kommen zeitnahe Updates, Mehrfaktor-Anmeldung, getrennte Netze, Endpoint-Schutz mit EDR und ein Notfallplan, der festhält, wer was wann tut. Behörden wie das BSI raten davon ab, Lösegeld zu zahlen: Eine Entschlüsselung ist nicht garantiert, und jede Zahlung finanziert weitere Angriffe.

Nano Concepts prüft Backup-Konzept und Angriffsfläche, richtet Schutzmaßnahmen wie Segmentierung, Updates und Endpoint-Schutz ein und unterstützt beim geordneten Wiederanlauf nach einem Vorfall. Ein dokumentierter Notfallplan mit Ansprechpartnern und Wiederanlauf-Reihenfolge spart im Ernstfall wertvolle Stunden und verhindert hektische Fehlentscheidungen.