10 BSI-Emp­feh­lun­gen gegen Ran­som­wa­re #

✓ 1. Off­line-Back­ups mit phy­si­scher Iso­la­ti­on #

Was das BSI empfiehlt: Back­ups müs­sen regel­mä­ßig auf ein Off­line-Medi­um (phy­sisch iso­liert) erstellt wer­den. Dies ist die ers­te Ver­tei­di­gungs­li­nie gegen .

Umset­zung:

  • [ ] Hard­ware imple­men­tie­ren (z. B. Silent Brick Max Air) oder
  • [ ] LTO-Tape-Back­ups mit Off­line-Lage­rung oder
  • [ ] USB-Fest­plat­te, die nach Back­up getrennt wird
  • [ ] Back­up-Fre­quenz: täg­lich für kri­ti­sche Systeme
  • [ ] Doku­men­tie­ren: RTO und RPO fest­le­gen und einhalten

Sze­na­rio: Mit die­ser Maß­nah­me allein kön­nen Sie sich inner­halb von Stunden/​Tagen erholen.

✓ 2. Reco­very-Tests regel­mä­ßig durch­füh­ren #

Was das BSI empfiehlt: Ein Back­up ist nur so gut wie das letz­te erfolg­rei­che Reco­very-Test. Back­ups müs­sen regel­mä­ßig getes­tet werden.

Umset­zung:

  • [ ] Reco­very-Test min­des­tens quar­tal­wei­se durchführen
  • [ ] Voll­stän­di­ger Res­to­re (nicht nur ein­zel­ne Dateien)
  • [ ] RTO-Test: Zeit­mes­sung vom Back­up-Start bis Sys­tem online
  • [ ] RPO-Test: Wie alt sind die letz­ten Daten? (Daten­ver­lust akzeptabel?)
  • [ ] Tests doku­men­tie­ren (Datum, Sys­tem, Ergebnis)
  • [ ] Feh­ler­haf­te Tests = sofor­ti­ge Korrekturmaßnahme

Häu­fi­ger Feh­ler: ​“Wir machen Back­ups, aber haben nie wie­der­her­ge­stellt.” → Das ist kein Back­up, das ist Hoffnung.

✓ 3. Getrenn­te Admi­nis­tra­to­ren-Cre­den­ti­als #

Was das BSI empfiehlt: Admi­nis­tra­to­ren soll­ten nicht mit Admin-Account arbei­ten für all­täg­li­che Auf­ga­ben. Admin-Cre­den­ti­als soll­ten sepa­rat und sicher ver­wal­tet werden.

Umset­zung:

  • [ ] Admin-Kon­ten nur für Admin-Tätig­kei­ten nutzen
  • [ ] All­täg­li­che Arbeit mit nor­ma­len Benutzer-Konten
  • [ ] Back­up-Admi­nis­tra­to­ren: sepa­ra­te, stark-pass­wort-geschütz­te Konten
  • [ ] Cre­den­ti­als nicht lokal spei­chern (nicht in Scripts, Config-Dateien)
  • [ ] Zen­tra­le Secret-Ver­wal­tung (z. B. Hash­i­Corp Vault, Thycotic)
  • [ ] Pri­vi­le­ged Access Work­sta­tions (PAW) für Admin-Tätigkeiten

War­um das wich­tig ist: Ran­som­wa­re mit User-Rech­ten ist begrenzt. Mit Admin-Cre­den­ti­als ist Ran­som­wa­re unaufhaltsam.

✓ 4. Netz­werk-Seg­men­tie­rung #

Was das BSI empfiehlt: Das Pro­duk­ti­ons­netz soll­te in logi­sche Seg­men­te unter­teilt sein. Back­up-Netz­wer­ke soll­ten getrennt sein.

Umset­zung:

  • [ ] VLAN-Seg­men­tie­rung: Pro­duk­ti­ons­netz, Back­up-Netz, Management-Netz
  • [ ] Fire­wall-Regeln: Expli­zit-Deny zwi­schen Segmenten
  • [ ] Netz­werk-ACLs defi­nie­ren (wer darf wohin?)
  • [ ] Doku­men­tie­ren: Netz­werk-Topo­lo­gie mit Segmentierung
  • [ ] Tes­ten: Kann Mal­wa­re sich zwi­schen Seg­men­ten bewe­gen? (Late­ral Movement)

Gren­zen: Netz­werk-Seg­men­tie­rung allein schützt nicht vor Ran­som­wa­re mit Admin-Cre­den­ti­als (Fire­wall-Regeln ändern). Des­halb mit phy­si­schem kombinieren!

✓ 5. Patch-Manage­ment und regel­mä­ßi­ge Updates #

Was das BSI empfiehlt: Alle Sys­te­me müs­sen regel­mä­ßig aktua­li­siert wer­den. Schwach­stel­len sind der Haupt­ein­stiegs­punkt für .

Umset­zung:

  • [ ] Auto­ma­ti­sche Updates für alle Server/​Workstations aktivieren
  • [ ] Patch-Zyklen defi­nie­ren (z. B. Diens­tag jeden Monat)
  • [ ] WSUS oder ähn­li­che Tools für zen­tra­li­sier­tes Patch-Management
  • [ ] Zero-Day-Risi­ken akzep­tie­ren (kön­nen nicht gepatch werden)
  • [ ] Vul­nerabi­li­ty Scan­ning: regel­mä­ßig nach bekann­ten CVEs suchen
  • [ ] Test-Umge­bung: Updates tes­ten vor Production-Deployment

Wich­tig: Patch-Manage­ment ist not­wen­dig, aber nicht aus­rei­chend. (Des­halb Prä­ven­ti­on + Recovery.)

✓ 6. End­punkt-Schutz und End­point Detec­tion & Respon­se (EDR) #

Was das BSI empfiehlt: Alle End­punk­te (Work­sta­tions, Ser­ver) soll­ten mit Anti­vi­rus und idea­ler­wei­se E-Tools geschützt sein.

Umset­zung:

  • [ ] Anti­vi­rus auf alle End­punk­te (ist Standard)
  • [ ] E-Tool imple­men­tie­ren (z. B. Micro­soft Defen­der for End­point, CrowdStrike Falcon)
  • [ ] Beha­vi­oral Detec­tion: Ver­däch­ti­ge Pro­zes­se erkennen
  • [ ] USB-Spei­cher blo­ckie­ren (oder nur autorisierte)
  • [ ] Power­Shell-Log­ging akti­vie­ren (häu­fig von Mal­wa­re verwendet)
  • [ ] Logs zen­tral sam­meln (SIEM)

Gren­zen: E stoppt nicht 100% der Mal­wa­re (neue Vari­an­ten), aber erhöht Erkennungsrate.

✓ 7. Schu­lung und Secu­ri­ty Awa­re­ness #

Was das BSI empfiehlt: Mensch­li­che Feh­ler sind die Haupt­ein­tritts­pfor­te (Phis­hing, Social Engi­nee­ring). Schu­lung ist essentiell.

Umset­zung:

  • [ ] Jähr­li­che Schu­lung für alle Mit­ar­bei­ter (Pflicht)
  • [ ] Simu­lier­te Phis­hing-Kam­pa­gnen (intern durchführen)
  • [ ] Report­ing-Kul­tur: Ver­däch­ti­ge E‑Mails dem Sicher­heits­team melden
  • [ ] IT-Sicher­heits­richt­li­ni­en schrift­lich, aus­hän­gig, signiert
  • [ ] Regel­mä­ßi­ge Awa­re­ness-Kam­pa­gnen (Pos­ter, E‑Mail-Tipps)
  • [ ] Geschäfts­füh­rung ein­be­zie­hen (Top-Down-Mes­sa­ging)

Prak­tisch: Eine Stun­de Schu­lung pro Mitarbeiter/​Jahr senkt Phis­hing-Erfolgs­ra­te um 50%.

✓ 8. Inci­dent Respon­se und Mel­de­pflich­ten #

Was das BSI empfiehlt: Ein Inci­dent-Respon­se-Plan muss vor­han­den sein. Im Ernst­fall müs­sen Behör­den benach­rich­tigt werden.

Umset­zung:

  • [ ] IR-Plan doku­men­tie­ren (Roles, Escala­ti­on, exter­ne Partner)
  • [ ] IR-Team benen­nen (Inci­dent Com­man­der, IT-Foren­sik, Kommunikation)
  • [ ] Exter­ne Part­ner vor­be­rei­ten (Foren­sik-Diens­te, BSI CERT-Bund)
  • [ ] NIS2UmsuCG Mel­de­pflicht ein­pla­nen (72h an BSI bei Angriff)
  • [ ] Ver­si­che­rung che­cken (Cyber-Ver­si­che­rung, Lösegeld-Versicherung)
  • [ ] Reco­very-Zeit geplant (Wer star­tet Reco­very? Wie lange?)
  • [ ] Kom­mu­ni­ka­ti­ons­plan (Kun­den, Auf­sichts­be­hör­den, Medien)

Wich­tig: Ein guter Inci­dent-Respon­se-Plan kann Aus­fall­zeit um 50% reduzieren.

✓ 9. Regel­mä­ßi­ge Sicher­heits-Audits und Pene­tra­ti­ons-Tests #

Was das BSI empfiehlt: Ein sicher­heits­tech­ni­scher Zustand muss regel­mä­ßig bewer­tet wer­den. Exter­ne Audits sind hilfreich.

Umset­zung:

  • [ ] Inter­ner Sicher­heits-Check quartalweise
  • [ ] Exter­nes Audit (jähr­lich)
  • [ ] Pene­tra­ti­ons-Test (jähr­lich, oder nach grö­ße­ren Änderungen)
  • [ ] Schwach­stel­len-Bericht erstel­len und Prio­ri­tä­ten setzen
  • [ ] Reme­dia­ti­on-Plan: Wel­che Lücken wer­den wann geschlossen?
  • [ ] Manage­ment-Buy-In für Remediation-Budget

ROI: Ein Pene­tra­ti­ons-Test kos­tet 5.000 – 20.000 EUR. Ein Ran­som­wa­re-Angriff kos­tet 100.000 – 1.000.000 EUR. Klar, wer gewinnt.

✓ 10. Wie­der­her­stel­lungs- und Kri­sen­plan #

Was das BSI empfiehlt: Ein Plan für die Wie­der­her­stel­lung nach Angriff muss vorliegen.

Umset­zung:

  • [ ] Busi­ness Con­ti­nui­ty Plan (BCP) schreiben
  • [ ] Dis­as­ter Reco­very Plan (P) dokumentieren
  • [ ] Kri­ti­sche Sys­te­me iden­ti­fi­zie­ren (wel­che zuerst wiederherstellen?)
  • [ ] RTO/RPO pro Sys­tem festlegen
  • [ ] Alter­na­ti­ve Hardware/​Standorte vorbereiten
  • [ ] Kom­mu­ni­ka­ti­ons­plan (wen benach­rich­ti­gen, in wel­cher Reihenfolge?)
  • [ ] Regel­mä­ßig trai­nie­ren (Mind min­des­tens 1x/​Jahr)

Prak­tisch: Ein Unter­neh­men mit gutem P erholt sich in Tagen. Ohne P: Wochen bis Monate.

Check­lis­ten-Down­load: BSI-Ran­som­wa­re-Schutz #

EBENE 1: PRÄVENTION
☐ Patch-Management aktiv (monatliche Updates)
☐ Antivirus/E auf alle Endpunkte
☐ Firewall und Netzwerk-Segmentierung aktiv
☐ Security Awareness Schulung durchgeführt
☐ Schwache Passwörter durch starke ersetzt

EBENE 2: DETEKTION
☐ E-Tool implementiert
☐ Log-Aggregation (SIEM) aktiv
☐ Verdächtige Aktivitäten werden alarmiert
☐ Incident Response Team benannt

EBENE 3: RECOVERY (CH!)
☐ Offline-Backups täglich durchgeführt
☐ Recovery-Tests monatlich/quartalweise erfolgreich
☐ RTO/RPO dokumentiert und eingehalten
☐ Alternative Hardware verfügbar
☐ Incident Response Plan dokumentiert
☐ Externe Partner (Forensik, BSI) kontaktiert

EBENE 4: COMPLIANCE
☐ UmsuCG Anforderungen erfüllt (falls betroffen)
☐ BSI C5-Audit geplant/durchgeführt (falls )
☐ Cyber-Versicherung abgeschlossen
☐ Datenschutz-Behörden benachrichtigungs-Plan vorhanden

Häu­fi­ge Fra­gen #

Sind alle 10 BSI-Emp­feh­lun­gen pflicht? Gesetz­lich hängt es ab: KRI­TIS-Betrei­ber müs­sen BSI-Vor­ga­ben befol­gen. Unter­neh­men mit > 50 MA und 10+ Mio. EUR Umsatz fal­len unter NIS2UmsuCG (ab 6. Dez. 2025) und müs­sen ange­mes­se­ne Maß­nah­men tref­fen. Kom­mu­nen sind vom NIS2UmsuCG expli­zit ausgenommen.

Wie lan­ge dau­ert die Umsetzung? Abhän­gig von aktu­el­lem Zustand:

  • Schnel­le Maß­nah­men (Patch-Mgmt, Updates): 2 – 4 Wochen
  • Mitt­le­re Maß­nah­men (E, Schu­lung): 2 – 3 Monate
  • Umfang­rei­che Maß­nah­men (Hard­ware , IR-Plan): 3 – 6 Monate
  • Voll­stän­dig: 6 – 12 Monate

Kön­nen wir mit der Geschäfts­füh­rung Res­sour­cen freikämpfen? Ja: Ran­som­wa­re-Aus­fall­zeit kos­tet im Schnitt 50.000 – 500.000 EUR pro Tag. Ein ISO-Bera­tungs­pro­jekt (50.000 EUR) ist eine klei­ne Ver­si­che­rungs­prä­mie gegen einen Scha­den im Millionen-Bereich.

Disclaimer

Dieser Beitrag wurde redaktionell erstellt und mit KI-Unterstützung aufbereitet. Er gibt einen allgemeinen Überblick und stellt keine Rechtsberatung dar – für Ihre konkrete Situation empfehlen wir professionellen Rat.