Ransomware im Betrieb: was im Ernstfall zu tun ist

Ein Verschlüsselungstrojaner in der eigenen Firma ist eine der unangenehmsten Vorstellungen für jeden Betrieb: Von einem Moment auf den anderen lässt sich keine Datei mehr öffnen, auf dem Bildschirm steht eine Lösegeldforderung, und niemand weiß, was zu tun ist. Genau deshalb lohnt es sich, die Frage „Was tun bei Ransomware?“ einmal in Ruhe zu klären, bevor der Ernstfall eintritt – und nicht erst mittendrin. Dieser Beitrag erklärt sachlich, warum gerade Betriebe im Visier stehen, wie ein Angriff typischerweise abläuft, mit welchen fünf Maßnahmen Sie ihn vorher deutlich unwahrscheinlicher machen und was in den ersten 24 Stunden nach einem Angriff wirklich zählt.

Die Lage: „zu klein“ schützt niemanden

Der gefährlichste Irrtum lautet: „Wir sind zu klein, um für Angreifer interessant zu sein.“ Das stimmt nicht. Moderne Ransomware-Angriffe laufen weitgehend automatisiert – Schadsoftware sucht das Internet nach verwundbaren Systemen ab, ohne zu unterscheiden, ob dahinter ein Konzern oder ein Handwerksbetrieb mit fünf Mitarbeitenden steht. Das Ergebnis ist eindeutig: Rund 80 Prozent der Ransomware-Opfer in Deutschland sind kleine und mittlere Unternehmen (BSI-Lagebericht 2025).

Auch die Häufigkeit nimmt zu. Laut Bitkom war gut jedes dritte Unternehmen (34 Prozent) bereits von Ransomware betroffen – fast dreimal so viele wie noch 2022. Der durchschnittliche Schaden für ein kleines oder mittleres Unternehmen liegt bei rund 95.000 Euro (HDI). Die mittlere Lösegeldforderung lag zuletzt bei etwa 600.000 US-Dollar, und 63 Prozent der betroffenen deutschen Unternehmen haben gezahlt (Sophos 2025).

Diese Zahlen sollen nicht in Panik versetzen, sondern die Prioritäten klären: Ransomware ist kein exotisches Konzern-Problem, sondern ein reales Betriebsrisiko – und der wirksamste Hebel dagegen liegt in wenigen, gut umsetzbaren Grundlagen.

Wie die Angreifer hereinkommen

Wer sich schützen will, muss die üblichen Einfallstore kennen. In der überwiegenden Zahl der Fälle sind es nur eine Handvoll Wege:

• E-Mail und Phishing. Mehr als zwei Drittel der erfolgreichen Angriffe beginnen mit einer E-Mail (GDV). Ein Mitarbeiter öffnet einen manipulierten Anhang oder gibt auf einer gefälschten Anmeldeseite seine Zugangsdaten ein – und die Angreifer haben einen Fuß in der Tür.
• Fernzugänge und VPN. Kompromittierte oder schlecht gesicherte Zugänge für das mobile Arbeiten sind ein beliebtes Einfallstor. Ein Fernzugang ohne Zwei-Faktor-Absicherung ist eine offene Tür.
• Ungepatchte Systeme. Server, Firewalls und Gateways, für die bekannte Sicherheitsupdates nicht eingespielt wurden, werden gezielt und automatisiert ausgenutzt.

Neu hinzugekommen ist eine unangenehme Qualitätssteigerung: Mit KI erstellte Phishing-Mails kommen inzwischen in fehlerfreiem, überzeugendem Deutsch daher – die früher verräterischen Rechtschreibfehler fehlen. Auch Deepfake-Anrufe, bei denen eine bekannte Stimme täuschend echt imitiert wird, sind keine reine Zukunftsmusik mehr. Die alte Faustregel „schlechtes Deutsch entlarvt den Betrug“ trägt nicht mehr.

Fünf Maßnahmen, die vorher schützen

Die gute Nachricht: Der Großteil der Angriffe scheitert an wenigen, soliden Basismaßnahmen. Diese fünf gehören in jeden Betrieb – unabhängig von der Größe:

1. Zwei-Faktor-Authentifizierung überall. Ein gestohlenes Passwort allein reicht dann nicht mehr für den Zugriff. Aktivieren Sie MFA konsequent für E-Mail, Fernzugänge und alle wichtigen Konten.
2. Updates einspielen. Ein verlässlicher Patch-Prozess für Betriebssysteme, Anwendungen und vor allem für aus dem Internet erreichbare Geräte schließt genau die Lücken, die automatisierte Angriffe suchen.
3. Ein getrenntes, unveränderliches Backup. Eine Sicherung, die im selben Netz liegt, wird bei einem Angriff mitverschlüsselt. Nur eine getrennte und unveränderliche Sicherung bringt Sie im Ernstfall ohne Lösegeldzahlung wieder ans Arbeiten.
4. Mitarbeitende sensibilisieren. Da die meisten Angriffe per E-Mail starten, ist ein wachsames Team die wirksamste erste Verteidigungslinie. Kurze, regelmäßige Auffrischungen wirken besser als eine einmalige Schulung.
5. Das Netzwerk segmentieren. Wer sein Netz in getrennte Bereiche unterteilt, verhindert, dass sich Schadsoftware von einem einzelnen infizierten Rechner ungehindert über den gesamten Betrieb ausbreitet.

Um herauszufinden, wo Ihr Betrieb steht, gibt es einen strukturierten Einstieg: den CyberRisikoCheck nach DIN SPEC 27076, einen vom BSI mitentwickelten Standard mit 27 Prüfpunkten speziell für Betriebe bis 50 Beschäftigte. Er ist bewusst förderfähig angelegt. In Nordrhein-Westfalen greift dafür etwa das Landesprogramm „Mittelstand Innovativ & Digital – Digitale Sicherheit“ mit Zuschüssen von 4.000 bis 15.000 Euro bei 50 Prozent Förderquote (Stand Juli 2026; Konditionen und Antragswege ändern sich, prüfen Sie den aktuellen Stand bei der NRW.BANK).

Der Ernstfall: die ersten 24 Stunden

Wenn es doch passiert, entscheidet Ruhe über das Ausmaß des Schadens. Legen Sie die folgende Reihenfolge am besten schon vorher fest, damit im Ernstfall jeder weiß, was als Nächstes kommt:

1. Isolieren, nicht ausschalten. Trennen Sie betroffene Geräte sofort vom Netzwerk – Netzwerkkabel ziehen, WLAN aus. Schalten Sie die Rechner aber nicht einfach aus: Ein reguläres Herunterfahren kann Spuren vernichten, die später für die forensische Analyse und für die Versicherung wichtig sind.
2. Den Ernstfall-Kontakt anrufen. Holen Sie fachliche Unterstützung ins Boot, bevor Sie selbst an den Systemen arbeiten. Wer diesen Kontakt bereits im Voraus festgelegt hat, verliert im Notfall keine wertvolle Zeit mit der Suche.
3. Nicht zahlen. Das BSI rät ausdrücklich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert nicht, dass Sie Ihre Daten zurückerhalten – und die sogenannte Doppel-Erpressung, bei der zusätzlich mit der Veröffentlichung gestohlener Daten gedroht wird, ist inzwischen Standard. Jede Zahlung finanziert außerdem das nächste Geschäftsmodell der Täter.
4. Anzeige erstatten. Wenden Sie sich an die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei in Ihrem Bundesland. Die ZAC ist auf solche Fälle spezialisiert und der richtige Ansprechpartner für eine Anzeige.
5. Meldepflichten prüfen. Sind bei dem Angriff personenbezogene Daten betroffen, kann eine Meldung an die Datenschutz-Aufsichtsbehörde nach der DSGVO erforderlich sein – in der Regel binnen 72 Stunden. Prüfen Sie diese Frist frühzeitig, im Zweifel mit fachlicher Unterstützung.

Der wichtigste Punkt vorweg: Genau diese Kette – isolieren, Kontakt, keine Zahlung, Anzeige, Meldepflichten – gehört einmal in Ruhe aufgeschrieben und griffbereit hinterlegt. Ein Notfallplan, den alle kennen, ist im entscheidenden Moment mehr wert als jede spätere Rekonstruktion.

Cyberversicherung: die Basics sind die Eintrittskarte

Eine Cyberversicherung kann im Schadensfall einen erheblichen Teil der Kosten abfedern. Doch sie ist kein Ersatz für Sicherheit, sondern setzt sie voraus: Versicherer verlangen inzwischen regelmäßig eine Zwei-Faktor-Authentifizierung und ein funktionierendes Backup als Bedingung für den Versicherungsschutz. Wer diese Grundlagen nicht nachweisen kann, riskiert im Ernstfall, dass die Leistung gekürzt wird oder ganz entfällt.

Das führt zum Kern zurück: Ein Betrieb ohne diese Basics ist gleich doppelt ungeschützt – technisch anfälliger für den Angriff und zugleich schlechter abgesichert gegen dessen Folgen. Die gute Nachricht bleibt, dass genau diese Grundlagen für einen Betrieb machbar sind. Wer Zwei-Faktor-Authentifizierung, Updates und ein getrenntes Backup einmal sauber aufgesetzt hat und den Ablauf für den Ernstfall kennt, nimmt dem Thema Ransomware den größten Teil seines Schreckens.