Was ist Ransomware? Ablauf, Schäden und Hilfe im Ernstfall

Was ist Ransomware?

Ransomware ist Schadsoftware, die Daten auf Servern, Clients und Backups verschlüsselt und erst gegen Lösegeld wieder freigibt. Seit rund 2019 arbeiten praktisch alle relevanten Gruppen mit Double Extortion: Die Daten werden vor der Verschlüsselung abgezogen und bei Nichtzahlung auf einer Leaksite im Tor-Netzwerk veröffentlicht. Damit ist ein sauberes Backup allein kein Schutz mehr – die Erpressung funktioniert auch ohne Verschlüsselung.

Der Markt ist arbeitsteilig organisiert: Ransomware-as-a-Service (RaaS). Ein Kern-Team entwickelt Verschlüsseler, Leaksite und Verhandlungsportal, Affiliates führen die Angriffe durch und behalten je nach Gruppe meist 60–90 % des Lösegelds. Zugänge kaufen sie bei Initial Access Brokern, die kompromittierte VPN-, RDP- oder Citrix-Zugänge im Darknet verkaufen.

Der typische Angriffsablauf

1. Initialer Zugang – Phishing mit Anhang oder Link, gestohlene VPN-Zugangsdaten aus Infostealer-Logs, oder ein ungepatchtes, aus dem Internet erreichbares System (VPN-Gateway, Firewall, Fileserver, Exchange). 2. Persistenz und Rechteausweitung – Anlegen eigener Konten, Missbrauch von Domain-Admin-Rechten, Deaktivieren von Virenschutz und Protokollierung. 3. Laterale Bewegung – Ausbreitung über SMB, RDP und legitime Admin-Werkzeuge (PsExec, WMI, RMM-Tools). Diese "Living off the Land"-Technik erzeugt kaum Alarme. 4. Datenabfluss – Kopieren großer Datenmengen über Cloud-Speicher, FTP oder eigene Tools. Oft mehrere hundert Gigabyte über Tage hinweg. 5. Backup-Zerstörung – Löschen von Schattenkopien, Zugriff auf Backup-Konsolen, Verschlüsselung der Sicherungen. 6. Verschlüsselung – Meist nachts oder am Wochenende, in vielen Fällen auf ESXi-Hostebene, wodurch dutzende virtuelle Maschinen gleichzeitig ausfallen. 7. Erpressung – Lösegeldnote, Verhandlungsportal, Countdown auf der Leaksite, teils Anrufe bei Kunden, Mitarbeitenden oder Journalisten.

Zwischen erstem Zugang und Verschlüsselung liegen laut Incident-Response-Berichten oft nur wenige Tage – bei schnellen Affiliates weniger als 24 Stunden.

Die realen Kosten

Das Lösegeld ist selten der größte Posten. Teurer sind Produktionsstillstand, Wiederaufbau der Umgebung, Forensik, Rechtsberatung, Meldepflichten, Kundenkommunikation und der Vertrauensverlust. Bei mittelständischen Unternehmen liegt die Ausfallzeit häufig bei zwei bis vier Wochen mit stark eingeschränktem Betrieb. Zahlungen garantieren zudem nichts: Entschlüsselungswerkzeuge sind oft langsam und fehlerhaft, und veröffentlichte Daten verschwinden nach einer Zahlung erfahrungsgemäß nicht aus dem Umlauf.

Rechtlicher Rahmen in Österreich und der Schweiz

• Österreich / EU: Bei Verletzungen des Schutzes personenbezogener Daten gilt Art. 33 DSGVO – Meldung an die Datenschutzbehörde binnen 72 Stunden. Betroffene sind bei hohem Risiko zu benachrichtigen (Art. 34 DSGVO). Für Unternehmen im Anwendungsbereich von NIS2 kommen eigene Meldefristen gegenüber dem nationalen CSIRT hinzu: Frühwarnung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussbericht binnen eines Monats.
• Schweiz: Das revidierte Datenschutzgesetz verlangt eine Meldung an den EDÖB "so rasch als möglich", wenn ein hohes Risiko für die betroffenen Personen besteht. Für Betreiber kritischer Infrastrukturen besteht zudem eine Meldepflicht von Cyberangriffen an das Bundesamt für Cybersicherheit (BACS) innerhalb von 24 Stunden.

Hilfe bei Ransomware: die ersten 24 Stunden

Sofort: - Betroffene Systeme vom Netz trennen, aber nicht ausschalten – flüchtige Speicherinhalte sind für die Forensik wertvoll. - Backups isolieren und schreibgeschützt sichern, bevor sie ebenfalls verschlüsselt werden. - Zentrale Zugänge zurücksetzen: Domain-Admins, VPN, RMM, Cloud-Tenants. - Kommunikation auf einen Nebenkanal verlagern (getrennte Mailkonten, Mobiltelefone) – der Angreifer liest oft mit.

Innerhalb weniger Stunden: - Krisenstab einsetzen, Ereignisprotokoll mit Uhrzeiten starten (Beweiswert und Nachweis der Sorgfaltspflicht). - Externe Incident Response und Rechtsberatung einbinden, Cyberversicherung informieren. - Meldefristen prüfen: 72 Stunden DSGVO, 24 Stunden NIS2-Frühwarnung, in der Schweiz EDÖB und BACS. - Anzeige bei der Polizei bzw. der zuständigen Cybercrime-Meldestelle erstatten.

Nicht tun: Systeme voreilig neu aufsetzen und damit Spuren vernichten, ohne Rechtsbeistand mit den Angreifern kommunizieren, oder Lösegeld zahlen, bevor Alternativen und Sanktionsrisiken geprüft sind.

Prävention, die messbar wirkt

• Phishing-resistente MFA auf allen extern erreichbaren Zugängen – VPN, Webmail, RMM, Cloud-Konsolen.
• Patchen exponierter Systeme binnen Tagen, nicht Monaten. VPN-Gateways und Fileserver zuerst.
• Offline- oder unveränderliche Backups nach der 3-2-1-1-Regel, mit regelmäßig getesteter Wiederherstellung.
• EDR mit 24/7-Alarmierung statt reinem Virenschutz.
• Netzsegmentierung, damit ein kompromittierter Client nicht die gesamte Serverlandschaft erreicht.
• Monitoring auf geleakte Zugangsdaten – die meisten Angriffe beginnen mit einem Passwort, das längst in einem Infostealer-Log steht.
• Lieferantenüberwachung: Ein erheblicher Teil der Vorfälle kommt über Dienstleister mit Fernzugriff ins Haus.

Wie Risikomonitor unterstützt

Risikomonitor überwacht Leaksites, Darknet-Marktplätze und Infostealer-Logs auf Ihre Domains, Marken und Lieferanten – und meldet, wenn Zugangsdaten oder Ihr Unternehmensname dort auftauchen. Damit sehen Sie die Vorstufe eines Ransomware-Angriffs, bevor die Verschlüsselung startet.

Jetzt handeln: [Kostenlose Erstanalyse anfordern](/kontakt) oder [Lieferantenmonitoring ansehen](/lieferantenmonitoring). Im akuten Fall: [Kontakt aufnehmen](/kontakt) – wir unterstützen bei Darknet-Recherche, Bewertung der Leak-Lage und Beweissicherung.