Was ist Ransomware? So schützen Sie sich
Wir erklären, wie Ransomware Systeme infiziert, was in den ersten Stunden nach der Verschlüsselung von Dateien zu tun ist und welche Schutzmaßnahmen – allen voran Backups – wirken.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
Ransomware (Erpressungssoftware) ist Schadsoftware, die Dateien auf Computern und Servern verschlüsselt, sie unbrauchbar macht und für die Freigabe der Daten Geld verlangt. Sie gelangt meist über Phishing-E-Mails, nicht aktualisierte Systeme und ins Internet offene Remote-Desktop-Verbindungen auf die Systeme. Den stärksten Schutz bieten ein Offline- und unveränderbares Backup sowie regelmäßige Updates.
Wie läuft ein Ransomware-Angriff ab?
Eines Morgens kommen Sie ins Büro: Die Dateiendungen haben sich geändert, nichts lässt sich mehr öffnen, und auf dem Desktop liegt eine Nachricht: Um Ihre Daten zurückzubekommen, sollen Sie innerhalb einer bestimmten Frist mit Kryptowährung zahlen. Das ist die letzte Phase eines Ransomware-Angriffs; der Angreifer ist meist schon Tage oder sogar Wochen zuvor ins System eingedrungen.
Moderne Ransomware-Gruppen begnügen sich nicht mit der Verschlüsselung. Vor dem Verschlüsseln kopieren sie sensible Daten und drohen, sie zu veröffentlichen, wenn nicht gezahlt wird. Das nennt man doppelte Erpressung; sie setzt selbst Unternehmen unter Druck, die ihre Daten aus dem Backup wiederherstellen können.
Ziel der Angriffe sind nicht nur Großkonzerne. Kleine und mittlere Unternehmen werden bei automatisierten Scans zu leichten Opfern, weil ihre Sicherheitsvorkehrungen schwächer sind. Ob Buchhaltungsbüro, Klinik, Hotel oder Produktionsbetrieb: Jeder, der Daten hat, ist ein potenzielles Ziel.
Wie gelangt Ransomware auf Systeme?
Ransomware dringt durch einige bekannte Türen ein. Wer diese Türen kennt, weiß, worauf sich die Schutzmaßnahmen konzentrieren müssen.
| Infektionsweg | Wie läuft es ab? | Wichtigste Maßnahme |
|---|---|---|
| Phishing-E-Mail | Anhang oder Link im Look einer Rechnung oder Paketbenachrichtigung | Mitarbeiterschulung, E-Mail-Filter |
| Remote Desktop (RDP) | Ins Internet offener Fernzugriff mit schwachem Passwort | Direkten Zugriff schließen, VPN und Zwei-Faktor-Authentifizierung |
| Veraltete Software | VPN, Server oder Anwendung mit bekannter Schwachstelle | Regelmäßige Updates |
| Gestohlenes Passwort | Zugangsdaten aus einem Datenleck | Einzigartige Passwörter, Zwei-Faktor-Authentifizierung |
| Raubkopien und gefälschte Downloads | Nicht lizenziertes Programm oder gefälschtes Update | Software nur aus offiziellen Quellen |
Warnzeichen vor dem Angriff
Bevor Angreifer mit der Verschlüsselung beginnen, bewegen sie sich im Netzwerk, erweitern ihre Rechte und versuchen, Backups zu finden. Diese Vorbereitungsphase hinterlässt oft erkennbare Spuren. Wer diese Spuren früh bemerkt, kann den Angriff stoppen, bevor die Verschlüsselung beginnt.
Wenn Ihnen eines der folgenden Anzeichen auffällt, tun Sie es nicht als gewöhnliche Störung ab, sondern prüfen Sie es gemeinsam mit Ihrer IT-Betreuung. Besonders ungewöhnliche Aktivitäten außerhalb der Arbeitszeiten sollten ernst genommen werden.
- Ein unbekanntes neues Administratorkonto oder Nutzer mit geänderten Berechtigungen
- Remote-Desktop-Anmeldungen zu nächtlichen Zeiten
- Sicherheitssoftware, die sich von selbst deaktiviert
- Gelöschte oder mehrfach hintereinander fehlgeschlagene Backup-Aufgaben
- Ungewöhnlich großer Datenabfluss im Netzwerk und langsamer werdende Server
Dateien verschlüsselt: erste Schritte
Wenn Sie die Meldung “Dateien verschlüsselt” sehen, entscheiden die Schritte der ersten Stunden über das Ausmaß des Schadens. Den Rechner in Panik zu formatieren oder sofort zu zahlen, ist meist die schlechteste Option.
- Betroffene Geräte vom Netzwerk trennen: Netzwerkkabel ziehen, WLAN ausschalten; bevor Sie das Gerät ausschalten, fragen Sie eine Fachperson
- Angeschlossene externe Festplatten und Netzwerkfreigaben sofort trennen
- Die Lösegeldforderung und den Bildschirm fotografieren, keine Datei löschen
- Ihre IT-Betreuung oder den unterstützenden Dienstleister informieren
- Passwörter von Administratorkonten und kritischen Systemen von einem sauberen Gerät aus ändern
- Zustand der Backups prüfen; das Backup-System vom Zugriff des Angreifers trennen
- Sind personenbezogene Daten betroffen, klären Sie Ihre gesetzlichen Meldepflichten mit Ihrer Rechtsberatung
Lösegeld zahlen?
Die allgemeine Empfehlung der Sicherheitsbehörden lautet, kein Lösegeld zu zahlen. Eine Zahlung garantiert nicht, dass die Daten zurückgegeben werden; das Entschlüsselungswerkzeug funktioniert womöglich nicht, die Daten können trotzdem veröffentlicht werden, und das Unternehmen kann für den nächsten Angriff als “zahlungsbereit” markiert werden.
Die Entscheidung über eine Zahlung ist eine schwerwiegende Entscheidung, die unter Abwägung von Geschäftskontinuität, rechtlichen Pflichten und dem Zustand der Backups getroffen werden muss. Treffen Sie sie nicht allein; sprechen Sie mit Ihrer Rechtsberatung und mit Fachleuten, die Erfahrung in der Reaktion auf Sicherheitsvorfälle haben.
Für einige Ransomware-Familien wurden kostenlose Entschlüsselungswerkzeuge veröffentlicht. Die gemeinsame Initiative europäischer Strafverfolgungsbehörden und Sicherheitsfirmen, die Website No More Ransom, hilft dabei, die Schadsoftware zu identifizieren und gegebenenfalls ein kostenloses Tool zu finden.
Der stärkste Schutz: Backups
Die wirksamste Maßnahme gegen Ransomware ist ein funktionierendes Backup, an das der Angreifer nicht herankommt. Für ein Unternehmen, das aus einem sauberen Backup wiederherstellen kann, wird der Angriff von einer Katastrophe zu einer beherrschbaren Unterbrechung.
Aber nicht jedes Backup leistet das. Eine dauerhaft angeschlossene externe Festplatte oder Netzwerkfreigabe wird von der Ransomware zusammen mit den Originaldateien verschlüsselt. Auch synchronisierte Cloud-Ordner können verschlüsselte Dateien in die Cloud übertragen; bei einem Dienst ohne Versionsverlauf ist eine Wiederherstellung unter Umständen nicht möglich. Die Stärken und Schwächen von Cloud-Speicher haben wir in unserem Beitrag Was ist Cloud Computing behandelt.
- 3-2-1-Regel: drei Kopien, zwei Medien, ein externer Standort
- Mindestens eine der Kopien sollte offline oder unveränderbar sein
- Das Administratorpasswort des Backup-Systems sollte getrennt von den Konten im Hauptnetzwerk geführt werden
- Die Wiederherstellung sollte regelmäßig getestet und ihre Dauer gemessen werden
Vorbeugende Sicherheitsmaßnahmen
Ein Backup rettet Sie nach dem Angriff; die folgenden Maßnahmen verringern die Wahrscheinlichkeit, dass es überhaupt dazu kommt. Keine genügt für sich allein, zusammen ergeben sie eine mehrschichtige Verteidigung.
Technische Maßnahmen
- Automatische Updates für Betriebssystem, Browser, VPN und alle Software
- Remote-Desktop-Zugriff nicht direkt ins Internet öffnen
- Zwei-Faktor-Authentifizierung für E-Mail, VPN und Administratorkonten
- Aktuelle Sicherheitssoftware und ein Filter für E-Mail-Anhänge
- Makros in Office-Dokumenten standardmäßig deaktiviert lassen
Organisatorische Maßnahmen
- Nutzern im Alltag keine Administratorrechte geben
- Jeder Mitarbeiter greift nur auf die Ordner zu, die er für seine Arbeit braucht
- Zugänge ausscheidender Mitarbeiter am selben Tag sperren
- Kurze, regelmäßige Schulungen zum Sicherheitsbewusstsein
- Ein schriftlicher Notfallplan und eine Liste der Ansprechpartner für den Ernstfall
Server und Websites
Ransomware hat es nicht nur auf Büro-Computer abgesehen, sondern kann auch Server und Websites treffen. Wenn ein System steht, in dem Reservierungen, Bestellungen oder Kundendaten liegen, ist der Schaden weit größer als die verschlüsselten Dateien. Bei einer Hotelsoftware oder einem stark ausgelasteten Shopsystem bedeutet schon ein Ausfall von wenigen Stunden direkten Umsatzverlust.
Bei individuell entwickelten Softwarelösungen lassen sich rollenbasierte Berechtigungen, Protokollierung und die regelmäßige Sicherung der Datenbank in einer getrennten Umgebung von Anfang an einplanen. Bei laufenden Websites gehören die aktuelle Serversoftware, die Überwachung der Backups und das Erkennen ungewöhnlichen Verhaltens zur regelmäßigen Wartung im Rahmen der Speed- und Performance-Optimierung.
Wenn Sie auf Ihrer Website Schadcode oder unerwartete Änderungen bemerkt haben, zeigen wir in unserem Leitfaden Website gehackt Schritt für Schritt, was zu tun ist.
Häufig gestellte Fragen
01Verhindert ein Virenscanner Ransomware vollständig?
Aktuelle Sicherheitssoftware erkennt einen großen Teil bekannter Ransomware, kann aber neue Varianten oder Angriffe mit einem gestohlenen Administratorkonto nicht immer stoppen. Deshalb sollte Sicherheitssoftware zusammen mit Updates, Zwei-Faktor-Authentifizierung und Offline-Backup eingesetzt werden.
02Sind auch Mac- und Linux-Rechner betroffen?
Ja. Die meiste Ransomware zielt zwar auf Windows, es gibt aber auch Varianten für macOS und insbesondere für Linux-Server. Unabhängig vom Betriebssystem gelten dieselben Regeln für Updates, Rechtebeschränkung und Backups.
03Wann kann ich das System nach einem Angriff wieder nutzen?
Wer aus dem Backup wiederherstellt, bevor der Zugangsweg des Angreifers gefunden und geschlossen und alle Passwörter geändert wurden, riskiert eine Wiederholung desselben Angriffs. Zuerst müssen Bereinigung und Ursachenanalyse erfolgen, danach kann kontrolliert aus einem sauberen Backup wiederhergestellt werden.
Ransomware trifft unvorbereitete Unternehmen hart; mit Offline-Backup, regelmäßigen Updates und aufmerksamen Mitarbeitern wird sie zu einem verkraftbaren Vorfall. Aurora Yazılım plant bei Softwarelösungen für Ihr Unternehmen Backup- und Berechtigungsstruktur von Anfang an mit und übernimmt für Ihre laufende Website die Speed- und Performance-Optimierung samt Wartung. Um Ihr bestehendes Setup zu bewerten, nehmen Sie Kontakt mit uns auf.
