Erklärung Ransomware – Alles, was du wissen musst

Ransomware ist Schadsoftware, die deine Daten verschlüsselt und anschließend Lösegeld für die Freigabe verlangt. Sie gilt seit Jahren als eine der größten Bedrohungen der IT-Sicherheit – für Privatpersonen ebenso wie für Unternehmen. Laut BKA richten sich rund 80 Prozent der gemeldeten Ransomware-Angriffe gegen kleine und mittlere Unternehmen.

In diesem Ratgeber erfährst du, wie Ransomware funktioniert, wie du dich schützt – und was du tun musst, wenn es dich bereits getroffen hat.

Das Wichtigste in Kürze:

• Ransomware verschlüsselt Dateien und erpresst Lösegeld – oft kombiniert mit Datendiebstahl.
• Häufigste Einfallstore: Phishing-Mails, ungepatchte Software und schlecht gesicherte Fernzugänge.
• Getestete Backups mit Offline-Kopie sind der wirksamste Schutz.
• Im Ernstfall: Geräte vom Netz trennen, nicht zahlen, Vorfall melden.

Der Begriff setzt sich aus ransom (englisch für Lösegeld) und Software zusammen. Ransomware sperrt den Zugriff auf deine Daten oder dein Gerät und gibt ihn angeblich erst gegen Zahlung wieder frei – meist in Kryptowährungen wie Bitcoin. Eine Garantie gibt es nicht: Häufig bleiben Dateien trotz Zahlung beschädigt, oder die Täter fordern mehr.

Kurze Geschichte: Als erstes bekanntes Beispiel gilt der „AIDS-Trojaner“ von 1989, der per Diskette verschickt wurde. Bekannt wurden später CryptoLocker (2013) sowie WannaCry und NotPetya (beide 2017), die sich über eine Windows-Schwachstelle im Netzwerk ausbreiteten. Seit Ende 2019 – beginnend mit der Gruppe Maze – stehlen Angreifer zusätzlich Daten und drohen mit deren Veröffentlichung.

Die häufigsten Arten:

• Crypto-Ransomware: verschlüsselt Dokumente, Datenbanken und Backups. Die häufigste und gefährlichste Form.
• Locker-Ransomware: sperrt das Gerät per Vollbild-Sperre, die Dateien selbst bleiben oft unverschlüsselt.
• Double Extortion: Verschlüsselung plus Datendiebstahl – die Täter drohen mit Veröffentlichung.
• Mobile Ransomware: zielt über manipulierte Apps auf Smartphones und Tablets.

Wer ist besonders gefährdet?

• Kleine und mittlere Unternehmen: wertvolle Daten, aber oft keine eigene IT-Sicherheitsabteilung.
• Kritische Infrastrukturen: Krankenhäuser, Energieversorger und Verwaltungen – ein Ausfall hat unmittelbare Folgen.
• Privatpersonen: vor allem bei fehlenden Updates, schwachen Passwörtern und ohne Backup.

Ein Angriff verläuft meist in vier Phasen. Wer sie kennt, kann früher eingreifen:

1. Einbruch: Die Täter verschaffen sich Zugang – meist über eine der unten genannten Wege.
2. Ausbreitung: Sie erkunden das Netzwerk, sammeln Zugangsdaten und suchen gezielt nach Backups.
3. Datendiebstahl: Sensible Daten werden kopiert, um zusätzlich erpressen zu können.
4. Verschlüsselung und Erpressung: Dateien werden mit starken Verfahren wie AES und RSA verschlüsselt, anschließend erscheint die Lösegeldforderung.

Die häufigsten Einfallstore:

• Phishing-Mails mit schädlichen Anhängen oder Links – mehr dazu in Phishing & Betrug erkennen.
• Ungepatchte Software und Sicherheitslücken in Betriebssystemen, VPN-Gateways oder Firewalls.
• Offene Fernzugänge wie RDP mit schwachen Passwörtern und ohne Zwei-Faktor-Schutz.
• Drive-by-Downloads über manipulierte Webseiten oder Werbebanner.
• Fremde USB-Sticks und andere externe Datenträger.

Für alle – Privatanwender und Unternehmen:

• Backups nach der 3-2-1-Regel: drei Kopien, zwei verschiedene Speichermedien, eine davon außer Haus bzw. offline. Externe Festplatten nach der Sicherung trennen und die Wiederherstellung regelmäßig testen.
• Updates automatisch installieren: Betriebssystem, Browser, Router und Programme aktuell halten.
• Starke Passwörter und Zwei-Faktor-Authentisierung: mit einem Passwort-Manager und 2FA für alle wichtigen Konten.
• Vorsicht bei E-Mails: keine unerwarteten Anhänge öffnen, Links vor dem Klick prüfen.
• Virenschutz nutzen: den integrierten Microsoft Defender aktiv lassen oder eine geprüfte Sicherheitslösung einsetzen.

Zusätzlich für Unternehmen:

• Unveränderliche Backups (Immutable Storage) und ein getrennter Backup-Zugang, damit Angreifer Sicherungen nicht löschen können.
• Netzwerk segmentieren und Rechte nach dem Least-Privilege-Prinzip vergeben – mehr dazu in Zero Trust erklärt.
• Fernzugänge absichern: RDP nie direkt ins Internet, sondern nur per VPN mit Zwei-Faktor-Schutz.
• E-Mail-Schutz: SPF, DKIM und DMARC einrichten, Anhänge filtern und Mitarbeitende regelmäßig schulen.
• Erkennung und Notfallplan: EDR-Lösung und zentrale Protokollierung einsetzen, einen schriftlichen Notfallplan erstellen und üben.

Unsere Empfehlung für einen zuverlässigen Rundum-Schutz:

Meldepflichten:

• DSGVO: Sind personenbezogene Daten betroffen, muss der Vorfall in der Regel innerhalb von 72 Stunden der zuständigen Datenschutzbehörde gemeldet werden. Bei hohem Risiko sind auch die Betroffenen zu informieren.
• NIS2-Umsetzungsgesetz: Seit Dezember 2025 gelten für „wichtige“ und „besonders wichtige Einrichtungen“ Meldepflichten an das BSI: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht nach einem Monat.

Anzeige erstatten: Eine Strafanzeige unterstützt die Ermittlungen und ist häufig Voraussetzung für Leistungen einer Versicherung. Unternehmen wenden sich an die Zentrale Ansprechstelle Cybercrime (ZAC) ihres Landeskriminalamts.

Cyber-Versicherung: Policen übernehmen oft Kosten für IT-Forensik, Wiederherstellung und Betriebsunterbrechung. Achte auf Ausschlüsse und Obliegenheiten – viele Versicherer verlangen etwa Zwei-Faktor-Authentisierung und regelmäßige Backups.

Ransomware trifft vor allem die, die unvorbereitet sind. Mit getesteten Offline-Backups, automatischen Updates, Zwei-Faktor-Authentisierung und einem wachen Blick bei E-Mails schließt du die häufigsten Einfallstore. Unternehmen sollten zusätzlich Fernzugänge absichern, das Netzwerk segmentieren und einen Notfallplan bereithalten.

Weiterlesen: Router absichern und Firewall, Antivirus oder VPN?

Quellen: BSI – Die Lage der IT-Sicherheit in Deutschland; BKA – Bundeslagebild Cybercrime; Europol – No More Ransom; DSGVO Art. 33/34; NIS2-Umsetzungsgesetz. Stand: Oktober 2026.