Ransomware

Ransomware: wenn Erpresser deine Daten verschlüsseln

Ransomware ist Schadsoftware, die Dateien verschlüsselt oder ein ganzes Gerät sperrt und für die Freigabe ein Lösegeld verlangt, meist in einer Kryptowährung wie Bitcoin. Oft stehlen die Täter die Daten vorher und drohen zusätzlich, sie zu veröffentlichen.

Im Deutschen heißt sie auch Erpressungstrojaner oder Verschlüsselungstrojaner. Ganz genau ist das nicht: Manche Ransomware verbreitet sich wie ein Wurm, ohne dass jemand etwas anklickt.

Das ausgetauschte Schloss

Ransomware arbeitet wie ein Einbrecher, der nichts mitnimmt, sondern das Schloss austauscht. Du kommst nach Hause, dein Schlüssel passt nicht mehr, an der Tür klebt ein Zettel: Den neuen Schlüssel gibt es gegen Bezahlung, Frist drei Tage.

Die heutige Variante ist dreister. Bevor der Einbrecher das Schloss tauscht, fotografiert er deine Ordner mit Verträgen und Arztbriefen. Zahlst du nicht, landen die Fotos im Netz. Das BKA ordnete 2025 rund drei Viertel der angezeigten Ransomware-Angriffe in Deutschland diesem Muster zu, der doppelten Erpressung.

Gegen das neue Schloss hilft ein Ersatzschlüssel, also eine Sicherung. Er nützt aber nur, wenn er nicht am Haken neben der Tür hängt, denn dort sucht der Einbrecher zuerst. Übertragen heißt das: Eine Sicherung auf einer ständig angeschlossenen Festplatte kann bei einem Angriff mitverschlüsselt werden. Gegen die Fotos hilft der Ersatzschlüssel nicht. Da hilft nur, dass gar niemand hereinkommt.

So läuft ein Angriff ab

1. Einstieg. Häufige Einfallstore sind laut BACS schlecht gesicherte Systeme und E-Mails mit schädlichen Anhängen. Dazu kommen Zugangsdaten, die vorher ein Infostealer gestohlen hat.
2. Ausbreiten. In Firmennetzen suchen die Täter weitere Rechner, Netzlaufwerke und Sicherungen. Gelingt es ihnen, löschen oder verschlüsseln sie auch die Backups.
3. Abziehen. Vor der Verschlüsselung kopieren sie oft Daten auf eigene Server, als zweites Druckmittel.
4. Verschlüsseln. Dateien auf dem Rechner und auf verbundenen Netzlaufwerken werden unbrauchbar und tragen oft eine fremde Dateiendung.
5. Erpressen. Eine Nachricht nennt Betrag, Zahlungsweg und Frist. Bei doppelter Erpressung erscheint der Name des Opfers auf einer Leak-Seite der Täter.

Dass Updates hier viel ausmachen, zeigt ein bekannter Fall: Die Ransomware WannaCry verschlüsselte im Mai 2017 laut BSI innerhalb von drei Tagen Daten auf mehr als 200.000 Windows-Rechnern in über 150 Ländern. Den Patch für die ausgenutzte Lücke hatte Microsoft acht Wochen vorher veröffentlicht.

Wen es trifft: die Zahlen für 2025

Vergleichen lassen sich die Zahlen nicht: Deutschland und Österreich zählen Anzeigen bei der Polizei, die Schweiz Meldungen an das BACS, und viele Fälle tauchen nirgends auf. Die Richtung ist trotzdem klar. In Deutschland richteten sich 96 Prozent der Angriffe gegen Unternehmen, Organisationen und Institutionen, rund 90 Prozent gegen kleine und mittlere Unternehmen. Nur 7 Prozent der Geschädigten, die dazu Angaben machten, zahlten Lösegeld. Wer zahlte, überwies im Mittel umgerechnet rund 456.000 US-Dollar.

Ein Beispiel: Montagmorgen in einem Treuhandbüro in Winterthur

Ein erfundenes, aber typisches Szenario: Ein Treuhandbüro mit fünf Personen in Winterthur. Am Montagmorgen lässt sich auf dem NAS keine Datei mehr öffnen, alle tragen eine fremde Endung, in jedem Ordner liegt eine Zahlungsaufforderung.

Die Inhaberin hält sich an die Empfehlungen des BACS: Sie trennt die Rechner vom Netz, unterbricht Internet und Fernzugriff und prüft die Sicherungen. Die Kopie auf dem zweiten, ständig verbundenen NAS ist ebenfalls verschlüsselt. Die USB-Festplatte, die sie jeden Freitag bespielt und danach in den Tresor legt, ist es nicht. Sie erstattet Anzeige bei der Kantonspolizei, meldet den Vorfall dem BACS und holt einen IT-Sicherheitsdienstleister, der die Rechner neu aufsetzt und das Einfallstor sucht. Mit den Erpressern nimmt sie keinen Kontakt auf.

Verloren ist nur, was seit Freitag dazugekommen ist. Offen bleibt die Frage nach den Kundendaten. Wurden Lohn- und Steuerunterlagen kopiert und droht den Betroffenen ein hohes Risiko, muss das Büro den Vorfall nach Art. 24 DSG so rasch wie möglich dem EDÖB melden; das BACS rät dringend, auch die Kundschaft selbst zu informieren. Ein Büro in Deutschland oder Österreich müsste eine solche Datenpanne nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der zuständigen Datenschutzbehörde melden, außer sie führt voraussichtlich zu keinem Risiko für die Betroffenen.

Die 3-2-1-Regel einfach erklärt

Das BACS empfiehlt die 3-2-1-Regel als Grundlage jeder Datensicherung, die Verbraucherzentrale in Deutschland ebenso.

Gegen Ransomware zählt vor allem die Trennung. Eine Festplatte, die nach dem Sichern abgezogen wird, kann nicht mitverschlüsselt werden. Ebenso wichtig ist der Test: Das BACS rät, das Zurückspielen einzelner Dateien regelmäßig zu üben, bevor der Ernstfall kommt.

Vier Irrtümer

• „Erpresst werden nur Konzerne.“ In der deutschen Statistik dominieren kleine und mittlere Unternehmen, Privatleute tauchen selten auf. Sicher sind sie deshalb nicht: Laut No More Ransom kann jeder Verbraucher und jedes Unternehmen Opfer werden.
• „Die Cloud ist doch mein Backup.“ Liegen Daten nur in der Cloud, können sie laut BACS bei einem Angriff ebenfalls verschlüsselt werden. Ob der Dienst schützt, hängt davon ab, ob er frühere Versionen wiederherstellen kann und ob dieser Zugang gut gesichert ist, etwa mit Zwei-Faktor-Authentisierung.
• „Zahlen ist der schnellste Weg.“ Eine Zahlung garantiert nichts: Der Schlüssel kann ausbleiben, das Entschlüsselungsprogramm fehlerhaft sein, die gestohlenen Daten können trotzdem auftauchen. Die Behörden der drei Länder sind sich einig:
  • Deutschland: Das BSI empfiehlt, nicht auf die Forderungen einzugehen, kein Geld zu überweisen und unverzüglich Anzeige bei der Polizei zu erstatten.
  • Österreich: Das Bundeskriminalamt schreibt: „Zahlen Sie kein Lösegeld.“ Wer zahlt, gilt als zahlungswillig und muss mit einem neuen Angriff rechnen.
  • Schweiz: Das BACS rät von der Zahlung ab. Wer sie dennoch erwägt, soll das laut BACS mit der Kantonspolizei besprechen.
• „Ohne Sicherung ist alles verloren.“ Nicht immer. Für manche Varianten gibt es kostenlose Entschlüsselungsprogramme. Das Portal No More Ransom, seit Juli 2016 eine Initiative der niederländischen Polizei, von Europol und IT-Sicherheitsfirmen, sammelt sie; das Werkzeug „Crypto Sheriff“ hilft, die Variante zu bestimmen. Nicht jede Ransomware lässt sich knacken. Bewahre die verschlüsselten Dateien deshalb auf, wie BSI und BACS raten: Später kann ein Schlüssel auftauchen.

Wohin nach einem Angriff

Stand: November 2026.

Was du jetzt tun kannst

1. Richte eine Sicherung nach der 3-2-1-Regel ein, unter Windows etwa mit der Windows-Sicherung oder dem Dateiversionsverlauf, am Mac mit Time Machine. Mindestens eine Festplatte ziehst du nach jeder Sicherung ab.
2. Hol in festen Abständen, etwa einmal im Quartal, probeweise eine einzelne Datei aus der Sicherung zurück.
3. Schalte unter Windows in „Windows-Sicherheit“ › „Viren- & Bedrohungsschutz“ im Abschnitt „Ransomware-Schutz“ den Schalter „Überwachter Ordnerzugriff“ ein. Dann dürfen nur vertrauenswürdige Apps Dateien in geschützten Ordnern wie Dokumenten und Bildern ändern; ein blockiertes Programm, das du brauchst, kannst du dort zulassen.
4. Schütze E-Mail, Cloud-Speicher und jeden Fernzugriff mit eigenen Zugangsdaten und Zwei-Faktor-Authentisierung. Installiere Updates zeitnah, auch für Router, NAS und VPN-Geräte. Im zweiten Halbjahr 2025 nutzte die in der Schweiz führende Gruppe Akira laut BACS besonders Geräte des Herstellers SonicWall aus, bei denen die Korrekturen zu einer Lücke aus dem Jahr 2024 nicht umgesetzt waren.
5. Leg einen Notfallzettel neben den Rechner: Netz trennen, Sicherungen abziehen, keinen Kontakt zu den Tätern, verschlüsselte Dateien aufbewahren, Anzeige erstatten, die Stellen aus der Tabelle oben kontaktieren.

Verwandte Begriffe im Glossar

Ransomware ist eine Familie unter vielen, den Überblick gibt Schadsoftware und ihre Familien erklärt. Der Einstieg beginnt oft mit einer gefälschten Nachricht, mehr dazu unter wie Phishing an Zugangsdaten kommt und Social Engineering als Einfallstor.