Artikel vom 3. Februar 2026
Was ist Ransomware? Einfach erklärt für IT-Entscheider
Evolution: Von CryptoLocker zu RaaS #
CryptoLocker (2013 – 2015) #
2013 markierte den Wendepunkt: CryptoLocker infizierte hunderttausende Computer und verschlüsselte Dateien mit RSA-4096-Verschlüsselung. Die Forderung: Lösegeld in Bitcoin. Damals war es für viele ein Schock — heute wirkt CryptoLocker primitiv.
WannaCry (2017) und Petya/NotPetya (2017) #
Diese Würmer nutzten Netzwerk-Exploits (EternalBlue), um sich selbst zu verbreiten. WannaCry allein traf 200.000+ Computer in 150 Ländern. Die Lehre: Ransomware braucht keine menschliche Interaktion mehr — sie kann sich selbst fortpflanzen.
Ransomware-as-a-Service (RaaS) — heute #
Die heutige Realität ist professionalisiert. Cyberkriminelle bieten Ransomware als Dienstleistung an (siehe separater Artikel zu ). Gruppen wie LockBit, BlackCat und Cl0p funktionieren wie Softwareunternehmen mit Affiliate-Programmen. Ein Angreifer muss kein Techniker sein — er zahlt, bekommt die Malware, und startet seinen Angriff.
Drei Haupttypen von Ransomware #
1. Locker-Ransomware (Screen-Locker) #
Sperrt den Zugang zum System, ohne Daten zu verschlüsseln. Der Bildschirm zeigt eine Nachricht: “Ihr System ist blockiert, zahlen Sie X Euro.” Dies ist oft leicht zu entfernen und wird seltener, aber immer noch anzutreffen.
2. Crypto-Ransomware #
Verschlüsselt Dateien mit starker Kryptographie. Das ist der Standard heute. Die Dateien sind unzugänglich, solange der Schlüssel nicht verfügbar ist. Der Schlüssel liegt beim Angreifer.
3. Double-Extortion / Doxing-Ransomware #
Der moderne, aggressivere Ansatz: Der Angreifer
- verschlüsselt die Daten UND
- exfiltriert (stiehlt) die Daten vor der Verschlüsselung.
Dann erhalten Sie zwei Erpressungsszenarien: “Zahlen Sie, oder wir verschlüsseln weiter” und “Zahlen Sie, oder wir veröffentlichen Ihre Daten.” Dies macht die Erpressung psychologisch härter — auch mit Backups können die Daten geleakt sein.
Warum Prävention allein nicht reicht #
IT-Sicherheit arbeitet in Ebenen. Viele Unternehmen konzentrieren sich auf Prävention:
- Endpunkt-Schutz (E, Antivirus)
- E‑Mail-Filter
- Patch-Management
- Mitarbeiterschulung
Das ist notwendig, aber nicht ausreichend. Warum?
- Prävention ist nicht 100% wirksam. Selbst die beste E-Lösung stoppt nicht alle Zero-Days oder Social-Engineering-Angriffe.
- Innentäter und Fehlkonfigurationen. Ein beschwerter Administrator oder eine Misconfiguration kann den besten Schutz umgehen.
- Patch-Lücken existieren immer. Zwischen Announcement und Patching verstreichen Tage oder Wochen.
Daher ist Wiederherstellbarkeit der Schlüssel zum echten Schutz. Ein Unternehmen mit automatisierten, getesteten, unveränderlichen Offline-Backups kann sich von einem Ransomware-Angriff innerhalb von Stunden bis Tagen erholen — unabhängig davon, wie weit der Angriff vorgedrungen ist.
Aktuelle Statistiken und Auswirkungen #
- 76% aller Organisationen waren in den letzten 18 Monaten Opfer eines Ransomware-Angriffs (Veeam 2024).
- 56% zahlten Lösegeld (Sophos 2024) — durchschnittlich Tausende bis Millionen EUR.
- Ausfallzeiten: Manche Opfer berichten von Ausfällen, die Tage bis Wochen dauern, sogar mit funktionierenden Backups — wenn diese nicht getestet oder zu alt sind.
- Geschäftsverlust: Ein Tag Ausfallzeit kann für kritische Services Zehntausende EUR kosten.
Diese Zahlen zeigen: Ransomware ist nicht mehr ein IT-Problem — es ist ein Geschäftsrisiko mit C‑Suite-Relevanz.
Häufige Fragen #
Ist Backups das einzige, was gegen Ransomware hilft? Backups sind notwendig, aber nicht ausreichend. Sie müssen mit Prävention (E, Patch-Management) kombiniert werden. Der Schlüssel ist, dass Backups automatisiert, offline und regelmäßig getestet sein müssen.
Warum zahlen Unternehmen Lösegeld, wenn sie Backups haben? Mehrere Gründe: Backups sind zu alt (RPO zu hoch), nicht getestet (Recovery fehlgeschlagen), oder beschädigt (Ransomware hat auch die Backups gelöscht). Oder das Risiko von Daten-Leak (Double Extortion) ist zu hoch.
Kann ich Ransomware selbst entfernen? Nein. Wenn Ihre Daten verschlüsselt sind, brauchen Sie den privaten Schlüssel des Angreifers. Nur ein Backup kann helfen. Professionelle Incident-Response ist erforderlich.
Ransomware-as-a-Service
Ransomware-as-a-Service (RaaS) ist ein Geschäftsmodell der organisierten Cyberkriminalität, bei dem spezialisierte Gruppen Ransomware-Werkzeuge als Dienst vermieten und am erpressten Lösegeld beteiligt werden — verantwortlich für professionalisierte Großangriffe auf Unternehmen, Behörden und kritische Infrastruktur.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.
Disaster Recovery
Disaster Recovery bezeichnet die strukturierten Prozesse und technischen Maßnahmen, die sicherstellen, dass IT-Systeme nach einem schwerwiegenden Ausfall — Ransomware-Angriff, Hardwareversagen, Rechenzentrumsausfall — innerhalb definierter Zeitrahmen (RTO) mit maximalem Datenverlust (RPO) wiederhergestellt werden können.