Ransomware: Was dahintersteckt und wie Unternehmen sich schützen

Das Wichtigste in Kürze

• Ransomware ist Erpressungssoftware, die Daten verschlüsselt oder Systeme sperrt. Angreifer verlangen Geld für die Freigabe und können zusätzlich mit der Veröffentlichung zuvor gestohlener Informationen drohen.
• Für Unternehmen gefährdet ein solcher Angriff den laufenden Betrieb. Fallen Unterlagen und Programme aus, können Beschäftigte Aufträge nicht bearbeiten oder Leistungen nicht erbringen. Werden außerdem Daten gestohlen, sind vertrauliche Informationen gefährdet.
• Angreifer können über täuschende Nachrichten, gestohlene Zugangsdaten oder Sicherheitslücken eindringen. Schutz entsteht durch das Zusammenspiel von aktueller Software, abgesicherten Zugängen, geeigneten Backups und dem Sicherheitswissen der Beschäftigten.

Was ist Ransomware?

Der Begriff verbindet das englische Wort „ransom“ für Lösegeld mit „software“. Als eine Form von Malware, also Schadsoftware, dient Ransomware der Erpressung. Die Angreifer wollen Betroffene dazu bewegen, für den erneuten Zugriff auf ihre Daten oder Systeme zu bezahlen. Das Bundesamt für Sicherheit in der Informationstechnik unterscheidet dabei zwischen dem Sperren von Systemen und dem Verschlüsseln von Daten.

Bei der Verschlüsselung verändert die Schadsoftware den Inhalt einer Datei so, dass er ohne den passenden digitalen Schlüssel nicht mehr gelesen werden kann. Die Datei kann weiterhin auf dem Computer oder Server liegen und in einem Ordner sichtbar sein. Für die tägliche Arbeit ist sie dennoch nicht mehr nutzbar, etwa wenn sich eine Auftragsübersicht nicht öffnen lässt oder eine benötigte Datenbank ausfällt.

In einer Lösegeldforderung stellen die Täter anschließend eine Entschlüsselung in Aussicht. Ob sie nach einer Zahlung tatsächlich helfen und ob die Daten danach vollständig nutzbar sind, ist jedoch nicht gesichert. Selbst wenn sich die Dateien entschlüsseln lassen, muss das Unternehmen klären, wie die Angreifer eingedrungen sind und welche Systeme sie verändert haben.

Wie gelangen Angreifer ins Unternehmen?

Ein Ransomware-Angriff setzt nicht zwingend voraus, dass jemand einen verdächtigen Anhang öffnet. Der Leitfaden der US-Sicherheitsbehörde CISA beschreibt unterschiedliche Zugänge, darunter Phishing, bereits übernommene Konten und ausgenutzte Sicherheitslücken. Welcher Zugang möglich ist, hängt unter anderem davon ab, welche Dienste ein Unternehmen verwendet und wie diese abgesichert sind.

Beim Phishing versuchen Angreifer, Beschäftigte mit einer glaubwürdigen Nachricht zur Eingabe von Zugangsdaten oder zum Ausführen einer schädlichen Datei zu bewegen. Dafür können sie sich als Geschäftspartner ausgeben und an einen vertrauten Vorgang anknüpfen. Eine vermeintliche Bewerbung oder eine Rückfrage zu einem Auftrag erscheint im Arbeitsalltag zunächst weniger ungewöhnlich als eine offensichtlich fremde Nachricht.

Wie daraus ein Ransomware-Vorfall werden kann, dokumentierte CERT.at im Mai 2026. In bestätigten Fällen in Österreich nutzten Angreifer Zugänge aus einer zuvor beobachteten Phishing-Kampagne für Verschlüsselung und Erpressung. Die Täter traten als Personalvermittler auf und führten zunächst eine längere, scheinbar gewöhnliche Unterhaltung. Erst später brachten sie die Betroffenen dazu, eine präparierte ZIP-Datei zu öffnen.

Bei anderen Angriffen verwenden Täter bereits gestohlene Zugangsdaten, um sich über einen Fernzugang anzumelden. Ebenso können sie eine Sicherheitslücke in einem von außen erreichbaren Dienst ausnutzen. In diesen Fällen ist kein neuer Klick eines Beschäftigten erforderlich. Passwortsicherheit und zeitnahe Softwareupdates betreffen deshalb unterschiedliche mögliche Zugänge.

Wie läuft ein Angriff ab?

Nach dem ersten Zugriff können die Angreifer weitere Schritte vorbereiten, bevor die eigentliche Erpressung sichtbar wird. Sie untersuchen erreichbare Systeme, suchen nach zusätzlichen Berechtigungen und versuchen, auf gemeinsam genutzte Daten zuzugreifen. Dadurch kann ein Vorfall über den ursprünglich betroffenen Computer hinausreichen. Welche Bereiche sie erreichen, hängt von den vorhandenen Zugriffsrechten und der Trennung der Systeme ab.

Ein möglicher Verlauf beginnt mit einem übernommenen Konto, über das die Täter Zugriff auf einen Server erhalten. Von dort versuchen sie, weitere Systeme und gemeinsame Dateiablagen zu erreichen. Können sie auch auf Datensicherungen (Backups) zugreifen, besteht die Gefahr, dass sie diese löschen oder unbrauchbar machen. Ohne weitere intakte Sicherungen kann das Unternehmen seine Daten dann nicht mehr aus einem Backup wiederherstellen. Wichtige Unterlagen können dauerhaft verloren gehen und den Betrieb länger beeinträchtigen. Erst später starten sie die Verschlüsselung und hinterlassen eine Lösegeldforderung.

Dieser Verlauf ist kein festes Schema für jeden Angriff. Manche Täter kopieren vor der Verschlüsselung vertrauliche Unterlagen, andere konzentrieren sich auf bestimmte Systeme. Der österreichische CERT.at-Jahresbericht 2024 beschreibt die zusätzliche Drohung mit einer Veröffentlichung gestohlener Daten. Betroffene Unternehmen müssen deshalb neben den verschlüsselten Dateien auch mögliche Zugriffe auf vertrauliche Informationen untersuchen.

Folgen für Daten und Betrieb

Wenn gemeinsam genutzte Daten fehlen, können mehrere Abteilungen gleichzeitig betroffen sein. Ohne Zugriff auf Auftragsunterlagen lässt sich eine Lieferung möglicherweise nicht vorbereiten; ohne eine verfügbare Fachanwendung können Beschäftigte ihre Leistungen nicht wie gewohnt erbringen. Der Schaden entsteht damit nicht nur an den Dateien selbst, sondern auch durch unterbrochene Arbeit und den Aufwand, den Betrieb wiederherzustellen.

Zusätzlich kann das Unternehmen die Kontrolle über vertrauliche Informationen verlieren. Beim Verschlüsseln wird der Zugriff auf vorhandene Dateien verhindert. Beim Datendiebstahl gelangen Kopien in fremde Hände, während die Originale weiterhin vorhanden sein können. Drohen Angreifer mit der Veröffentlichung dieser Kopien, setzen sie das Unternehmen auch dann unter Druck, wenn eine Datensicherung verfügbar ist.

Für die betroffene Organisation sind das zwei unterschiedliche Aufgaben. Sie muss Systeme und Daten wieder nutzbar machen und zugleich untersuchen, welche Informationen möglicherweise abgeflossen sind. Auch die ursprüngliche Sicherheitslücke oder ein weiter nutzbarer Zugang der Angreifer muss geschlossen werden, bevor das Unternehmen wieder verlässlich arbeiten kann.

Wie können Unternehmen sich schützen?

Wirksamer Schutz vor Ransomware erfordert eine Kombination aus technischen Maßnahmen, geschützten Backups und dem Sicherheitswissen der Beschäftigten. Diese Maßnahmen ergänzen sich: Sie erschweren den unbefugten Zugriff, begrenzen die Auswirkungen eines Angriffs und schaffen die Voraussetzungen, um Daten und Systeme wiederherzustellen.

Sicherheitsupdates beheben bekannte Schwachstellen in Betriebssystemen und Anwendungen. Unternehmen sollten sie zeitnah installieren, damit Angreifer die behobenen Schwachstellen nicht weiter ausnutzen können. Besonders wichtig ist das bei Diensten, die über das Internet erreichbar sind. Für Konten und Fernzugänge ergänzt die Multi-Faktor-Authentifizierung das Passwort um eine weitere Prüfung. Dadurch genügt ein gestohlenes Passwort allein nicht für die Anmeldung. MFA ersetzt allerdings keine Updates für eine angreifbare Software.

Beschäftigte sollten nur die Zugriffsrechte erhalten, die sie für ihre Aufgaben benötigen. Dadurch wird begrenzt, auf welche Daten und Systeme Angreifer mit einem übernommenen Konto zugreifen können. Die IT sollte zudem sensible Systembereiche voneinander trennen und die Systeme auf ungewöhnliche Zugriffe und Aktivitäten überwachen, um Hinweise auf einen Angriff frühzeitig zu erkennen.

Für den Fall eines Angriffs braucht das Unternehmen verlässliche Datensicherungen (Backups). Diese sollten getrennt von den produktiv genutzten Systemen geschützt und über eigene, besonders abgesicherte Administrationskonten verwaltet werden. Offline aufbewahrte oder gegen nachträgliche Änderungen und Löschung geschützte Sicherungskopien erschweren es Angreifern, auch die Backups zu zerstören.

Die IT sollte regelmäßig testen, ob sich die benötigten Daten und Systeme aus diesen Backups wiederherstellen lassen. So erkennt das Unternehmen unvollständige oder unbrauchbare Sicherungen, bevor es im Ernstfall darauf angewiesen ist. Bereits gestohlene Daten lassen sich durch ein Backup allerdings nicht zurückholen; die Gefahr einer Veröffentlichung bleibt bestehen.

Sicherheitswissen im Arbeitsalltag

Angreifer können technische Sicherheitslücken ausnutzen, aber auch gezielt Beschäftigte täuschen, um Zugang zu einem Unternehmen zu erhalten. Beim Social Engineering bringen sie Menschen beispielsweise dazu, Zugangsdaten auf einer gefälschten Login-Seite einzugeben oder eine vermeintlich benötigte Software zu installieren. Mit den erbeuteten Zugangsdaten können sie versuchen, auf interne Systeme zuzugreifen. Eine schädliche Software kann ihnen wiederum die Kontrolle über einen Computer ermöglichen und damit einen späteren Ransomware-Angriff vorbereiten.

Die Verschlüsselung von Daten kann somit am Ende eines Angriffs stehen, der mit einer Täuschung begonnen hat. Mitarbeitende müssen deshalb verstehen, welche Folgen eine scheinbar alltägliche Anmeldung oder Softwareinstallation haben kann. Sicherheitswissen hilft ihnen, verdächtige Aufforderungen zu erkennen, deren Anlass zu hinterfragen und vor einer Handlung Rücksprache zu halten. Dafür sollte das Unternehmen einen klaren Kontakt benennen, an den sie sich auch bei Unsicherheit wenden können.

Hier setzt das Security Awareness Training von ClickWise an. Die Lernmodule vermitteln grundlegendes Wissen zur IT-Sicherheit und machen Beschäftigte mit digitalen Bedrohungen vertraut. Unternehmensinterne Vorgaben ergänzen dieses Wissen um die freigegebenen Programme und die zuständigen Ansprechpersonen. So können Mitarbeitende das Gelernte auf ihren eigenen Arbeitsalltag beziehen.