Was ist Ransomware und wie funktioniert sie?

Stellen Sie sich vor, Sie schalten Ihren Computer ein und sehen eine Meldung: „Alle Ihre Dateien wurden verschlüsselt. Zahlen Sie innerhalb von 72 Stunden 5.000 US-Dollar in Bitcoin, sonst werden Ihre Daten dauerhaft gelöscht.“ Das ist Ransomware – und eine der verheerendsten Cyberbedrohungen unserer Zeit.

Im Jahr 2025 verursachten Ransomware-Angriffe weltweit Schäden in Höhe von über 30 Milliarden US-Dollar. Krankenhäuser waren gezwungen, Patienten abzuweisen. Schulen verloren jahrelange Rekorde. Kleine Unternehmen wurden dauerhaft geschlossen. Niemand ist immun.

Wie Ransomware funktioniert: Schritt für Schritt

Stufe 1: Infektion

Ransomware gelangt über einen dieser Vektoren in Ihr System:

• Phishing-E-Mails – eine überzeugende E-Mail mit einem schädlichen Anhang oder Link (am häufigsten, etwa 70 % der Fälle)
• Ausgenutzte Schwachstellen – ungepatchte Software mit bekannten Sicherheitslücken
• Remote Desktop Protocol (RDP) – Brute-Force-Angriff auf schwache Passwörter auf exponierten RDP-Servern
• Kompromittierte Websites – Drive-by-Downloads von infizierten legitimen Websites
• USB-Laufwerke – infizierte USB-Geräte, die an öffentlichen Orten zurückgelassen wurden

Stufe 2: Ausführung und Beständigkeit

Sobald die Ransomware drin ist:

1. Deaktiviert Antiviren- und Sicherheitstools
2. Stellt Persistenz her (überlebt Neustarts)
3. Verbreitet sich auf andere Geräte im Netzwerk
4. Identifiziert und löscht Sicherungskopien (Schattenkopien unter Windows)
5. Kommuniziert mit dem Befehlsserver des Angreifers, um Verschlüsselungsschlüssel zu erhalten

Stufe 3: Verschlüsselung

Die Ransomware verschlüsselt Ihre Dateien mit militärischer Verschlüsselung (typischerweise AES-256). Es zielt auf Dokumente, Fotos, Datenbanken und Backups ab. Der Verschlüsselungsschlüssel wird nur auf dem Server des Angreifers gespeichert.

Moderne Ransomware verschlüsselt Dateien selektiv – sie überspringt Systemdateien, sodass Ihr Computer weiterhin startet und Sie den Lösegeldschein sehen können.

Stufe 4: Lösegeldforderung

Es erscheint eine Notiz mit der Aufforderung zur Zahlung in Kryptowährung (normalerweise Bitcoin oder Monero). Die Forderungen reichen von 500 US-Dollar für Einzelpersonen bis hin zu Millionen für Organisationen. Ein Countdown-Timer schafft Dringlichkeit.

Doppelte und dreifache Erpressung

Moderne Ransomware-Banden verschlüsseln nicht nur – sie stehlen auch zuerst Ihre Daten. Wenn Sie sich weigern, für die Entschlüsselung zu zahlen, drohen sie damit, Ihre sensiblen Dateien online zu veröffentlichen. Das ist „doppelte Erpressung“.

„Dreifache Erpressung“ fügt einen DDoS-Angriff gegen Ihr Unternehmen hinzu, während Sie versuchen, sich zu erholen, und Ihre Kunden oder Partner kontaktieren, um Sie zur Zahlung zu drängen.

5 Größte Ransomware-Angriffe in der Geschichte

1. WannaCry (2017) – infizierte mehr als 200.000 Computer in 150 Ländern innerhalb von Stunden und lahmlegte das britische NHS-Gesundheitssystem
2. NotPetya (2017) – verursachte Schäden in Höhe von 10 Milliarden US-Dollar, die sich hauptsächlich gegen die Ukraine richteten, sich aber weltweit ausbreiteten
3. Colonial Pipeline (2021) – Stilllegung der größten US-Kraftstoffpipeline, was zu Gasknappheit an der Ostküste führte
4. Kaseya (2021) – Lieferkettenangriff, der über 1.500 Unternehmen durch einen einzigen Softwareanbieter betrifft
5. MOVEit (2023) – ein von Regierungen und Unternehmen genutztes Dateiübertragungstool ausgenutzt, von dem mehr als 60 Millionen Menschen betroffen waren

So schützen Sie sich

Für Einzelpersonen

• Regelmäßig sichern: Befolgen Sie die 3-2-1-Regel – 3 Kopien, 2 verschiedene Medien, 1 Offsite. Lassen Sie mindestens ein Backup getrennt.
• Alles aktualisieren: Automatische Updates für Ihr Betriebssystem, Ihren Browser und alle Anwendungen aktivieren.
• Verwenden Sie sichere Passwörter: Generieren Sie einzigartige Passwörter mit einem Passwortgenerator für jedes Konto.
• 2FA aktivieren: Auch wenn Ihr Passwort kompromittiert ist, Zwei-Faktor-Authentifizierung verhindert unbefugten Zugriff.
• Seien Sie vorsichtig mit E-Mails: Öffnen Sie niemals unerwartete Anhänge. Verifizieren Sie Absender über einen anderen Kanal.

Für Organisationen

• Segmentieren Sie Ihr Netzwerk: Begrenzen Sie die laterale Bewegung, damit sich Ransomware nicht auf alle Systeme verbreiten kann.
• RDP deaktivieren: Wenn Remotezugriff erforderlich ist, verwenden Sie ein VPN mit MFA.
• Mitarbeiter schulen: Regelmäßige Phishing-Simulationen und Schulungen zum Sicherheitsbewusstsein.
• EDR implementieren: Endpoint Detection and Response-Tools können Ransomware-Verhalten erkennen, bevor die Verschlüsselung abgeschlossen ist.
• Testen Sie Ihre Backups: Überprüfen Sie regelmäßig, ob Backups tatsächlich wiederhergestellt werden können.

Was tun, wenn Sie infiziert sind

1. Sofort trennen – Trennen Sie das infizierte Gerät vom Netzwerk, um eine Ausbreitung zu verhindern
2. Nicht zahlen – nur 65 % der Opfer, die zahlen, erhalten ihre Daten zurück
3. Melden Sie es – wenden Sie sich an die Strafverfolgungsbehörden (FBI IC3 in den USA, Action Fraud im Vereinigten Königreich)
4. Check No More Ransom – das Projekt unter nomoreransom.org bietet kostenlose Entschlüsselungstools für viele Ransomware-Varianten
5. Aus Backups wiederherstellen – das infizierte System löschen und saubere Backups wiederherstellen

Verwandte Tools

• Passwortgenerator – verhindert Brute-Force-Einstiegspunkte
• Anatomie eines Phishing-Angriffs – Erkennen Sie die Ransomware-Übermittlungsmethode Nr. 1