Ransomware 2026: Prävention und Reaktion für KMU

Bedrohungslage 2016 und 2026

Dieser Beitrag erschien erstmals im November 2016 und verwies auf ein BSI-Dokument zu Ransomware-Prävention und Reaktion. Die Bedrohungslage hat sich seitdem nicht beruhigt, sie hat sich professionalisiert.

Das BSI stellte 2016 fest: Seit Mitte 2015 stiegen Ransomware-Vorfälle stark an. Täter lenkten Ressourcen von Banktrojanern zu Ransomware um, weil die Erfolgsrate höher und der Aufwand für Geldwäsche geringer war.

BSI-Lagebericht 2024: Angriffe mit Ransomware haben erneut zahlreiche Kommunen und Unternehmen getroffen (BSI, Die Lage der IT-Sicherheit in Deutschland 2024, Vorwort, abgerufen am 31.10.2026). Neu seit 2020: Double Extortion (Verschlüsselung plus Datendiebstahl mit Veröffentlichungsdrohung).

Definition

Ransomware ist Schadsoftware, die Daten oder Systeme verschlüsselt oder sperrt und Lösegeld für die Freigabe fordert. Der Angriff richtet sich gegen die Verfügbarkeit von Daten und kann je nach Einzelfall den Tatbestand der Erpressung (§ 253 StGB) und der Computersabotage (§ 303b StGB) erfüllen (abgerufen am 31.10.2026).

Angriffsvektor: Wie Ransomware ins Netz kommt

Typische Einstiegspunkte sind:

1. Phishing-E-Mails mit schädlichen Anhängen oder Links.
2. Gestohlene oder schwache Zugangsdaten (RDP, VPN, Cloud-Dienste).
3. Ungepatchte Schwachstellen in öffentlich erreichbaren Diensten (VPN-Appliances, Exchange, Firewalls).

Prävention: Was wirkt

Backup nach 3-2-1-Regel

Das ist die wichtigste Einzelmaßnahme. Drei Kopien, zwei verschiedene Medien, eine davon außerhalb des Netzwerks:

• Lokal: Tägliche Veeam-Snapshots auf NAS oder Backup-Server.
• Offsite: Automatische Replikation in zweiten Standort oder Azure Backup (Deutschland-Region).
• Immutable Backup: Veeam Hardened Repository oder Azure Blob Storage mit WORM-Option verhindert, dass Ransomware Backups mitlöscht.

Entscheidend: Getestete Wiederherstellung. Netzleiter führt quartalsweise Restore-Tests durch. Ein Backup ohne Restore-Test ist kein Backup.

Endpoint-Schutz über Signaturen hinaus

Klassischer signaturbasierter Virenschutz reicht nicht, weil neue Ransomware-Varianten zunächst keine bekannte Signatur haben. Netzleiter setzt ESET PROTECT Advanced ein, das unbekannte Dateien per Cloud Sandboxing prüft, und ab NetzleitAIR-Proaktiv ESET PROTECT Complete mit Mail Security sowie Schwachstellen- und Patch-Management. Endpoint Detection and Response (EDR), das Verschlüsselungsverhalten am laufenden Prozess erkennt, gehört bei ESET erst zu höheren Bundles.

Patch-Management

Ungepatchte VPN-Appliances und Firewalls sind ein typischer Einstiegspunkt bei schwerwiegenden Ransomware-Vorfällen. NetzleitAIR Proaktiv, unsere RMM-Leistung auf NinjaOne-Basis, priorisiert kritische CVEs und meldet ungepatchte Systeme in Echtzeit.

Netzwerksegmentierung

Ransomware bewegt sich lateral durch flache Netzwerke. VLANs für Server, Workstations, IoT und Verwaltungssysteme begrenzen die Ausbreitung.

E-Mail-Schutz

ESET Mail Security und Microsoft Defender for Office 365 analysieren Anhänge vor der Zustellung. Schädliche Dokumente mit Makros, ZIP-Archive mit ausführbaren Dateien und Phishing-Links werden blockiert.

Zwei-Faktor-Authentifizierung

Für alle Cloud-Dienste (Microsoft 365, VPN, Remote-Zugang) sollte Zwei-Faktor-Authentifizierung aktiviert sein. Gestohlene Zugangsdaten allein reichen dann nicht mehr aus.

Reaktion: Was tun bei einem Vorfall

Sofortmaßnahmen

1. Betroffene Systeme isolieren (Netzwerkkabel ziehen, WLAN deaktivieren). Nicht herunterfahren: forensische Spuren bleiben im RAM.
2. Netzleiter Hotline anrufen: 040 25 499 500, Servicezeiten Montag bis Freitag von 9 bis 17 Uhr.
3. Keine Zahlung ohne Rücksprache. Zahlung garantiert keine Entschlüsselung und kann zu weiteren Angriffen führen.
4. Vorgehen dokumentieren (Zeitstempel, betroffene Systeme, Screenshot der Lösegeldforderung).

Meldepflichten nach NIS2 (seit 6. Dezember 2025 im BSI-Gesetz)

Betroffene Einrichtungen in regulierten Sektoren melden erhebliche Sicherheitsvorfälle an die gemeinsame Meldestelle von BSI und BBK, die ersten beiden Fristen laufen ab Kenntnis des Vorfalls:

• Binnen 24 Stunden: Frühwarnung.
• Binnen 72 Stunden: Meldung mit einer ersten Bewertung des Vorfalls.
• Spätestens einen Monat nach dieser Meldung: Abschlussmeldung, bei einem noch andauernden Vorfall stattdessen eine Fortschrittsmeldung (§ 32 BSIG).

Netzleiter unterstützt bei der Vorfallsdokumentation und der BSI-Meldung.

Wiederherstellung

Wiederherstellung aus Veeam-Backup ist der schnellste Weg zurück in den Betrieb. Bei vollständiger Verschlüsselung und aktuellem Offsite-Backup: Wiederherstellungszeit je nach Datenmenge zwischen Stunden und einem Werktag.

BSI-Ressourcen

Das BSI stellt kostenfreie Leitfäden bereit:

• BSI-Grundschutz-Kompendium: Maßnahmen für KMU.
• BSI-Ransomware-Leitfaden: Prävention und Reaktion, regelmäßig aktualisiert.
• CERT-Bund: Aktuelle Warnmeldungen und Indicators of Compromise.

Häufige Fragen

Wie gelangt Ransomware ins Unternehmensnetzwerk?

Typische Einstiegspunkte sind Phishing-E-Mails mit schädlichen Anhängen, gestohlene oder schwache Zugangsdaten für RDP und VPN sowie ungepatchte Schwachstellen in öffentlich erreichbaren Diensten wie VPN-Appliances oder Firewalls.

Was ist das Wichtigste gegen Ransomware?

Ein getestetes Backup nach der 3-2-1-Regel ist die wichtigste Einzelmaßnahme. Drei Kopien, zwei verschiedene Medien, eine davon außerhalb des Netzwerks. Entscheidend ist der regelmäßige Restore-Test: Ein Backup ohne Wiederherstellungstest ist kein Backup.

Muss ich einen Ransomware-Angriff melden?

Einrichtungen in regulierten Sektoren müssen nach NIS2 einen erheblichen Sicherheitsvorfall an die gemeinsame Meldestelle von BSI und BBK melden: innerhalb von 24 Stunden nach Kenntnis eine Frühwarnung, innerhalb von 72 Stunden eine Meldung mit erster Bewertung und spätestens einen Monat danach eine Abschlussmeldung, bei andauerndem Vorfall eine Fortschrittsmeldung (§ 32 BSIG). Liegt eine Verletzung des Schutzes personenbezogener Daten vor, meldet der Verantwortliche sie unabhängig von NIS2 unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Datenschutzaufsicht (Art. 33 DSGVO), außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen.

Soll ich das Lösegeld zahlen?

Nein. Zahlung garantiert keine Entschlüsselung und kann zu weiteren Angriffen führen. Vor jeder Entscheidung zuerst die Netzleiter-Hotline 040 25 499 500 anrufen und betroffene Systeme isolieren.

Was kostet ein Ransomware-Vorfall im Durchschnitt?

Eine belastbare Durchschnittszahl für KMU liegt uns nicht vor. Die Kosten setzen sich aus Betriebsunterbrechung, Wiederherstellung und Reputationsverlust zusammen.

Fazit

Ransomware ist ein unternehmerisches Risiko. Kein System ist vollständig sicher, aber mit getesteten Backups, Endpoint-Schutz, Patch-Management und klaren Reaktionsprozessen sinkt das Risiko eines längeren Betriebsausfalls nach einem Angriff. Netzleiter betreut KMU in Hamburg und der Metropolregion bei Ransomware-Prävention und Reaktion, von Backup-Audit bis Notfallplan. Wie die Vorsorge im Einzelnen aussieht, beschreibt der Beitrag Datenverlust vorbeugen, und warum verschlüsselte Dateien kein Fall für das Labor sind, zeigt der Wegweiser Labor oder IT-Fall.

Backup-Audit oder NIS2-Gap-Analyse: Hotline 040 25 499 500.