Was ist Ransomware? Wie Angriffe ablaufen, wer zahlt und wie Sie sich schützen

Was ist Ransomware?

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) definiert Ransomware als Schadsoftware, die Dateien auf einem Gerät verschlüsseln soll, sodass diese und die von ihnen abhängigen Systeme unbrauchbar werden; anschließend verlangen Kriminelle ein Lösegeld für die Entschlüsselung ^[1]. Verschlüsselung bedeutet hier, dass Dateien mit einem Schlüssel unkenntlich gemacht werden, den nur der Angreifer besitzt. Das britische National Cyber Security Centre (NCSC) weist darauf hin, dass der Computer selbst gesperrt werden kann oder Daten gestohlen, gelöscht oder verschlüsselt werden können und dass sich manche Ransomware auf andere Rechner im Netzwerk ausbreitet, wie WannaCry, als es im Mai 2017 den britischen Gesundheitsdienst NHS traf ^[3].

Opfer werden in der Regel aufgefordert, den Angreifer über eine anonyme E-Mail-Adresse oder Webseite zu kontaktieren und in einer Kryptowährung wie Bitcoin zu zahlen ^[2]. Microsoft merkt an, dass sich eine Infektion meist erst zeigt, wenn ein Fenster, eine App oder eine Vollbildmeldung Geld fordert, oft nachdem die Dateien bereits verschlüsselt sind ^[7].

Was ist doppelte Erpressung?

Mit der Zeit gingen Angreifer dazu über, auch die Daten der Opfer zu kopieren und mit deren Veröffentlichung zu drohen, um sie zur Zahlung zu drängen; die Kombination aus Verschlüsselung und Veröffentlichungsdrohung wird doppelte Erpressung genannt ^[1]. In manchen Fällen verzichten Kriminelle ganz auf die Verschlüsselung und nutzen die gestohlenen Daten als einziges Druckmittel ^[1].

Wie läuft ein Ransomware-Angriff ab?

Das NCSC beschreibt einen typischen Ablauf ^[2]:

1. Angreifer verschaffen sich Zugang zum Netzwerk, übernehmen die Kontrolle und platzieren bösartige Verschlüsselungssoftware; sie können auch Daten kopieren, um mit einer Veröffentlichung zu drohen ^[2].
2. Die Schadsoftware wird aktiviert, sperrt Geräte und verschlüsselt Daten im gesamten Netzwerk ^[2].
3. Ein Hinweis auf dem Bildschirm erklärt die Lösegeldforderung und den Zahlungsweg, meist über eine anonyme Webseite und in Kryptowährung ^[2].

Wie dringen Angreifer ein?

Die CISA fasst die häufigsten Erstzugangswege so zusammen: aus dem Internet erreichbare Schwachstellen und Fehlkonfigurationen, kompromittierte Zugangsdaten, Phishing, frühere Malware-Infektionen, ausgefeiltes Social Engineering sowie Dritte oder Managed Service Provider ^[1]. Laut NCSC wird Ransomware zunehmend von Angreifern eingesetzt, die sich über offen zugängliche Dienste wie das Remote Desktop Protocol (RDP) oder ungepatchte Fernzugriffsgeräte Zugang verschaffen ^[3]. Für Privatnutzer nennt Microsoft das Öffnen unerwarteter Anhänge und bösartiger Links in E-Mails, sozialen Medien, Messenger-Apps oder SMS als häufige Wege ^[7].

Wer steckt dahinter?

Ransomware wird heute laut dem Blockchain-Analyseunternehmen Chainalysis als vernetzter Marktplatz für Zugänge, Infrastruktur und Zahlungsdienste betrieben ^[5]. Große „Ransomware-as-a-Service“-Operationen (RaaS) zerfielen 2025 in viele kleinere, unabhängige Akteure, wobei manche Analysen bis zu 85 aktive Erpressergruppen verfolgen ^[5]. Initial Access Broker (IABs) verschaffen Zugang zu kompromittierten Netzwerken, damit Partner, also die Kriminellen, die die Ransomware tatsächlich einsetzen, relativ leicht angreifen können; Chainalysis stellte fest, dass Spitzen der IAB-Aktivität einem Anstieg von Lösegeldzahlungen und Datenleaks typischerweise um etwa 30 Tage vorausgehen ^[5].

Wie groß ist das Ransomware-Problem?

Das Internet Crime Complaint Center (IC3) des FBI erhielt 2025 3.611 Beschwerden wegen Ransomware, nach 3.156 im Jahr 2024, mit gemeldeten Schäden von 32.320.105 US-Dollar ^[4]. Das FBI weist darauf hin, dass diese Schadenssumme in der Regel keine entgangenen Geschäfte, verlorene Zeit, Löhne, Dateien oder Geräte und keine Kosten für die Bereinigung durch Dritte enthält, dass manche Opfer gar keinen Schaden melden und dass sich daraus eine künstlich niedrige Schadensquote ergibt ^[4]. Die 2025 am häufigsten gemeldeten Varianten waren Akira, Qilin, INC./Lynx/Sinobi, BianLian und Play, und unter den zehn am stärksten betroffenen Sektoren standen die kritische Fertigung, das Gesundheitswesen und öffentliche Gesundheit sowie staatliche Einrichtungen an der Spitze ^[4]. Das IC3 identifizierte im Laufe des Jahres 63 neue Varianten ^[4].

Chainalysis schätzt, dass Ransomware-Akteure 2025 On-Chain-Zahlungen von mehr als 820 Millionen US-Dollar erhielten, etwa 8% weniger als die aktualisierte Schätzung für 2024 von 892 Millionen, obwohl die angeblichen Opfer um 50% zunahmen und damit das aktivste Jahr seit Beginn der Aufzeichnungen erreicht wurde ^[5]. Demnach könnte der Anteil der zahlenden Opfer auf einen Tiefststand von 28% gefallen sein ^[5]. Gleichzeitig stieg die mittlere Zahlung (Median) um 368%, von 12.738 auf 59.556 US-Dollar ^[5]. Es handelt sich um Schätzungen auf Basis der Blockchain-Analyse, die sich ändern können, wenn weitere Zahlungen zugeordnet werden ^[5].

Einzelne Vorfälle können sehr teuer sein. Chainalysis nennt den Cyberangriff auf Jaguar Land Rover im Jahr 2025, der Produktionslinien stilllegte und einen geschätzten wirtschaftlichen Schaden von 1,9 Milliarden Pfund verursachte, das teuerste Cyberereignis in der Geschichte Großbritanniens ^[5].

Sollten Sie ein Lösegeld zahlen?

Die offiziellen Empfehlungen sind einheitlich: Zahlen Sie nicht, wenn es sich vermeiden lässt. Die CISA und ihre Partner raten von einer Zahlung ab, weil sie weder sicherstellt, dass Ihre Daten entschlüsselt werden, noch dass Ihre Systeme nicht mehr kompromittiert sind oder Ihre Daten nicht veröffentlicht werden ^[1]. Laut NCSC ermutigen, befürworten oder dulden die britischen Strafverfolgungsbehörden Zahlungen nicht; wer zahlt, hat keine Garantie auf Zugriff und wird mit höherer Wahrscheinlichkeit erneut zum Ziel ^[3]. Das NCSC ergänzt, dass manche Schadsoftware nur vorgibt, Ransomware zu sein: Es handelt sich um Wiper-Malware, und die Dateien werden nach der Zahlung nicht entschlüsselt ^[3].

Welche rechtlichen Risiken gibt es?

Im September 2021 aktualisierte das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums einen Hinweis zu möglichen Sanktionsrisiken bei der Abwicklung von Lösegeldzahlungen; darin betont es, dass die US-Regierung entschieden von der Zahlung von Cyber-Lösegeldern abrät, und ermutigt Opfer, Angriffe zu melden ^[10]. Auch der Leitfaden der CISA hält fest, dass Lösegeldzahlungen Sanktionsrisiken bergen können ^[1].

In Großbritannien kündigte die Regierung am 22. Juli 2025 nach einer öffentlichen Konsultation an, Maßnahmen voranzutreiben, die öffentlichen Stellen und Betreibern kritischer nationaler Infrastruktur, darunter dem NHS, Kommunalverwaltungen und Schulen, die Zahlung von Lösegeldforderungen verbieten ^[9]. Nach den Vorschlägen müssten andere Unternehmen der Regierung eine Zahlungsabsicht melden, und eine verpflichtende Meldepflicht wird ausgearbeitet ^[9]. Mit Stand 3. November 2026 sollten Leser auf GOV.UK prüfen, ob diese Maßnahmen Gesetz geworden sind.

Dies sind allgemeine Informationen und keine Rechts- oder Finanzberatung. Eine Organisation, die mit einer Forderung konfrontiert ist, sollte Strafverfolgungsbehörden, Rechtsbeistand und einen Dienstleister für Incident Response hinzuziehen.

Wie können Sie sich zu Hause vor Ransomware schützen?

1. Sichern Sie, was Ihnen wichtig ist. Das NCSC definiert ein Backup als Kopie wichtiger Daten, die an einem separaten sicheren Ort aufbewahrt wird, etwa in einem Cloud-Speicher oder auf Wechselmedien, und nennt Schadsoftware wie Ransomware als einen der Gründe, warum Sie den Zugriff verlieren können ^[8].
2. Halten Sie mindestens ein Backup getrennt. Das NCSC rät, Sicherungsgeräte wie externe Festplatten und USB-Sticks nicht dauerhaft angeschlossen zu lassen, weil Angreifer angeschlossene Backups ins Visier nehmen ^[3].
3. Nutzen Sie den Versionsverlauf. Wählen Sie einen Cloud-Dienst, der frühere Versionen aufbewahrt, denn Cloud-Dienste synchronisieren oft unmittelbar, nachdem Dateien durch verschlüsselte Kopien ersetzt wurden ^[3]. Laut Microsoft enthält OneDrive eine Ransomware-Erkennung und Dateiversionierung ^[7].
4. Aktualisieren Sie alles. Halten Sie Windows und andere Software auf dem neuesten Stand und Windows-Sicherheit eingeschaltet ^[7]; das NCSC empfiehlt nach Möglichkeit automatische Updates für Betriebssysteme, Anwendungen und Firmware ^[3].
5. Schalten Sie den überwachten Ordnerzugriff ein in Windows 10 oder 11, um wichtige Ordner vor nicht autorisierten Programmen zu schützen ^[7].
6. Seien Sie vorsichtig mit Anhängen und Links, die Sie nicht erwartet haben, auch in Messenger-Apps und SMS ^[7].

Wie verringern Organisationen das Ransomware-Risiko?

Zu den Empfehlungen des FBI für Unternehmen aus dem Jahr 2025 gehören verschlüsselte und unveränderliche (nicht änderbare oder löschbare) Offline- oder externe Backups, das Entfernen von Standardpasswörtern, das Deaktivieren unnötiger Protokolle, die Beschränkung von Administratorrechten, Mehr-Faktor-Authentifizierung (MFA) für Webmail, VPNs und kritische Systeme, Netzwerksegmentierung und zeitnahes Patchen von aus dem Internet erreichbaren Systemen ^[4].

Die CISA rät, verschlüsselte Offline-Backups vorzuhalten und regelmäßig zu testen, weil die meisten Ransomware-Akteure versuchen, erreichbare Backups zu finden und zu löschen oder zu verschlüsseln ^[1]. Sie empfiehlt außerdem „Golden Images“, also vorkonfigurierte Systemvorlagen, mit denen sich Server schnell neu aufbauen lassen, und rät, Dienste wie RDP nicht dem Internet auszusetzen ^[1]. Das NCSC ergänzt, dass Organisationen ihre Reaktion planen und üben sollten, einschließlich der Frage, wie kritische Dienste bei ausgefallenen Systemen weiterlaufen und wie sie auf eine Lösegeldforderung reagieren ^[3]. Auch die britische Regierung drängt auf Offline-Backups und erprobte Pläne, um längere Zeit ohne IT arbeiten zu können ^[9].

Was sollten Sie tun, wenn Ransomware zuschlägt?

1. Isolieren Sie betroffene Geräte. Laut CISA sollten Sie sie vom Netzwerk trennen oder aus dem WLAN entfernen; ist ein ganzes Netzwerk betroffen, nehmen Sie es auf Switch-Ebene vom Netz ^[1].
2. Schalten Sie nur ab, wenn Sie nicht trennen können. Die CISA weist darauf hin, dass das Abschalten Beweise im Arbeitsspeicher vernichtet; es ist daher nur eine Notlösung ^[1].
3. Kommunizieren Sie über separate Kanäle. Angreifer könnten E-Mail und Chat mitlesen, daher empfiehlt die CISA Telefonate zur Koordination der Reaktion ^[1].
4. Bereinigen Sie das Gerät vor der Wiederherstellung. Microsoft rät, den PC mit Sicherheitssoftware vollständig zu bereinigen, bevor Sie versuchen, Dateien wiederherzustellen ^[7]; laut NCSC sollten Backups auf Schadsoftware geprüft und nur an bekanntermaßen saubere Geräte angeschlossen werden ^[3].
5. Suchen Sie nach einem kostenlosen Entschlüsselungstool. Das vom NCSC zitierte Projekt No More Ransom bietet Entschlüsselungswerkzeuge für einige Ransomware-Familien, wenn auch nicht für jede Art eine Lösung existiert ^[6][3].
6. Melden Sie den Vorfall. In Großbritannien können Vorfälle dem NCSC und Report Fraud gemeldet werden ^[3]; in den USA bittet das FBI Opfer, Anzeige beim IC3 zu erstatten ^[4]. Laut Microsoft sollte, wer bereits gezahlt hat, sofort seine Bank und die örtlichen Behörden kontaktieren ^[7].

Welche Verbindung besteht zwischen dem Iran und Ransomware-Aktivitäten?

Im August 2024 warnten das FBI, die CISA und das Cyber Crime Center des US-Verteidigungsministeriums, dass eine Gruppe im Iran ansässiger Cyberakteure, die laut FBI mit der iranischen Regierung in Verbindung steht, sich Zugang zu Netzwerken in den USA und anderen Ländern verschaffte und gegen einen prozentualen Anteil an Lösegeldzahlungen mit Ransomware-Partnern wie NoEscape, Ransomhouse und ALPHV (BlackCat) zusammenarbeitete ^[12]. Laut dem Sicherheitshinweis verschafften sich die Akteure häufig Zugang, indem sie Netzwerkgeräte wie Citrix NetScaler und F5 BIG-IP ausnutzten ^[12].

Im September 2022 verhängte das US-Finanzministerium Sanktionen gegen zehn Personen und zwei Organisationen mit Verbindungen zu den Revolutionsgarden wegen bösartiger Cyberaktivitäten einschließlich Ransomware; es erklärte, die Gruppe habe Microsoft BitLocker ohne Autorisierung in den Netzwerken der Opfer aktiviert und die Entschlüsselungsschlüssel gegen Lösegeld zurückgehalten ^[11]. Dies sind Feststellungen von US-Behörden. Solche Sanktionslistungen sind ein Grund, warum das OFAC warnt, dass die Zahlung eines Lösegelds Sanktionsrisiken bergen kann ^[10].