Was ist Ransomware, und wie stoppt man sie?

Zuletzt aktualisiert: 5. August 2026 · Lesezeit: etwa 12 Minuten · Für Geschäftsführung, IT-Leitung und Sicherheitsverantwortliche

Ransomware ist die derzeit gefährlichste Form von Schadsoftware für Unternehmen. Sie verschlüsselt Daten, legt den Betrieb lahm und verlangt Lösegeld, fast immer verbunden mit der Drohung, zuvor gestohlene Daten zu veröffentlichen. Nach der Bedrohungsanalyse der ENISA gingen zwischen Juli 2024 und Juni 2025 rund 81 Prozent aller in der EU erfassten Vorfälle mit kriminellem Hintergrund auf Ransomware zurück (ENISA Threat Landscape 2025). In Deutschland registrierte das BSI im selben Zeitraum etwa 950 Ransomware-Angriffe, rund 80 Prozent davon trafen kleine und mittlere Unternehmen (BSI, Die Lage der IT-Sicherheit in Deutschland 2025).

Dieser Artikel erklärt in klarer Sprache, was Ransomware ist, wie ein Angriff abläuft und mit welchen Maßnahmen Sie ihn stoppen, bevor er geschäftskritische Systeme erreicht.

Kurz gesagt: Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Freigabe Lösegeld fordert. Sie gelangt meist über Phishing, gestohlene Zugangsdaten oder ungepatchte, aus dem Internet erreichbare Systeme ins Netzwerk. Am zuverlässigsten stoppen Sie sie mit getrennten, unveränderbaren Backups, phishing-resistenter Mehr-Faktor-Authentifizierung und schnellem Patchen. Zahlen Sie kein Lösegeld, und melden Sie den Vorfall der Polizei.

Was ist Ransomware? Definition und Funktionsweise

Ransomware ist Schadsoftware (Malware), die den Zugriff auf Daten oder ganze Systeme sperrt, in der Regel durch Verschlüsselung, und für die Freigabe ein Lösegeld verlangt. Der Begriff setzt sich zusammen aus dem englischen ransom (Lösegeld) und software. Auf Deutsch spricht man auch von Erpressungs- oder Verschlüsselungstrojanern. In den meisten Fällen kopieren die Angreifer die Daten zusätzlich heraus, bevor sie verschlüsseln, und drohen anschließend mit der Veröffentlichung.

Technisch unterscheidet man zwei Grundformen. Die heute übliche Variante ist die Krypto-Ransomware, die einzelne Dateien verschlüsselt. Seltener geworden ist die Locker-Ransomware, die den Bildschirm oder das ganze Gerät sperrt, ohne die Dateien zwingend anzurühren.

Form	Was sie tut	Ziel
Krypto-Ransomware	Verschlüsselt einzelne Dateien, sodass die Daten ohne Schlüssel unbrauchbar sind	Zahlung für den Entschlüsselungsschlüssel erzwingen
Locker-Ransomware	Sperrt das Gerät oder die Benutzeroberfläche, lässt die Dateien aber meist intakt	Zahlung für die Entsperrung erzwingen

Wie läuft ein Ransomware-Angriff ab?

Ein Ransomware-Angriff ist selten ein einzelner Klick, sondern eine Kette von Schritten, die sich über Stunden bis Wochen zieht. Die Angreifer verschaffen sich zuerst Zugang, bewegen sich unbemerkt durch das Netzwerk und lösen die Verschlüsselung erst am Ende aus, oft nachts oder am Wochenende, wenn kaum jemand mitliest. Diese Kette folgt einem wiederkehrenden Muster, das Fachleute mit dem Rahmenwerk MITRE ATT&CK beschreiben.

1. Erstzugang. Über eine Phishing-Mail, gestohlene Zugangsdaten oder eine ungepatchte Schwachstelle gelangt der Angreifer ins System.
2. Festsetzen und Rechte ausweiten. Er sichert sich dauerhaften Zugang und verschafft sich Administratorrechte.
3. Ausbreitung im Netzwerk. Von einem Rechner aus arbeitet er sich seitlich zu Servern, Domänencontrollern und Backups vor.
4. Datendiebstahl. Sensible Daten werden auf Server der Angreifer kopiert, als Druckmittel für die spätere Erpressung.
5. Verschlüsselung. Erst jetzt startet die eigentliche Ransomware und verschlüsselt Dateien und Systeme (in MITRE ATT&CK die Technik T1486, “Data Encrypted for Impact”).
6. Erpressung. Eine Lösegeldforderung erscheint, oft mit Frist und mit dem Verweis auf eine Leak-Website, auf der die gestohlenen Daten veröffentlicht werden sollen.

Wichtig ist der vierte Schritt. Weil die Daten bereits gestohlen sind, bevor irgendetwas verschlüsselt wird, schützt ein reines Backup zwar vor Datenverlust, nicht aber vor der Veröffentlichung. Genau darauf zielt die moderne Erpressung.

Doppelte Erpressung, Ransomware-as-a-Service und reine Datenerpressung

Moderne Ransomware-Gruppen setzen auf doppelte Erpressung: Sie verschlüsseln die Daten und drohen zugleich, die zuvor gestohlenen Informationen zu veröffentlichen. So wächst der Druck selbst dann, wenn ein Opfer über funktionierende Backups verfügt. Bei der dreifachen Erpressung kommen weitere Hebel hinzu, etwa Überlastungsangriffe (DDoS) oder die direkte Kontaktaufnahme mit Kunden und Geschäftspartnern des Opfers.

Angetrieben wird diese Entwicklung vom Geschäftsmodell Ransomware-as-a-Service (RaaS). Dabei entwickelt eine Kerngruppe die Schadsoftware und betreibt die Leak-Websites, während sogenannte Affiliates die eigentlichen Einbrüche durchführen und einen Großteil des Lösegelds behalten. Der Einstieg für Kriminelle wird so einfacher, die Zahl der Angriffe steigt.

Parallel dazu verschiebt sich die Taktik. Immer mehr Gruppen verzichten ganz auf die Verschlüsselung und beschränken sich auf reinen Datendiebstahl mit anschließender Erpressung. Der Sicherheitsanbieter Picus beobachtet für 2025 einen deutlichen Rückgang der Verschlüsselungstechnik zugunsten dieser reinen Datenerpressung. Für Unternehmen bedeutet das: Ein Backup allein reicht als Schutzstrategie nicht mehr aus.

Wie gelangt Ransomware ins Netzwerk?

Die meisten Angriffe beginnen nicht mit einem technischen Bruch, sondern mit einer Anmeldung. Gestohlene Zugangsdaten, Phishing und ungepatchte, aus dem Internet erreichbare Systeme sind die drei größten Einfallstore. Die folgende Übersicht fasst aktuelle Zahlen aus zwei großen Untersuchungen zusammen. Beide messen unterschiedliche Grundgesamtheiten und sind daher nicht direkt vergleichbar, zeigen aber dasselbe Muster.

Einfallstor	Anteil	Quelle (Grundgesamtheit)
Gestohlene oder missbrauchte Zugangsdaten	22 %	Verizon DBIR 2025 (Sicherheitsvorfälle weltweit)
Ausnutzung von Schwachstellen	20 %	Verizon DBIR 2025 (weltweit)
Phishing und Social Engineering	28 %	Microsoft MDDR 2025 (eigene Incident-Response-Fälle)
Ungepatchte, aus dem Internet erreichbare Webdienste	18 %	Microsoft MDDR 2025
Offen erreichbare Fernzugänge (etwa RDP oder VPN)	12 %	Microsoft MDDR 2025

Der gemeinsame Nenner ist deutlich. Wer Identitäten absichert, aus dem Internet erreichbare Systeme schnell patcht und Phishing eindämmt, schließt die Türen, durch die Ransomware am häufigsten hereinkommt.

Wie groß ist die Gefahr? Zahlen für Deutschland und die EU

Ransomware ist die teuerste Angriffsart überhaupt, und Deutschland gehört zu den am stärksten betroffenen Volkswirtschaften. Der Branchenverband Bitkom beziffert den Gesamtschaden der deutschen Wirtschaft durch Diebstahl, Spionage und Sabotage für 2025 auf 289,2 Milliarden Euro, ein Rekord. Rund 202,4 Milliarden Euro davon entfallen auf Cyberangriffe (Bitkom, Wirtschaftsschutz 2025). Ransomware war dabei die schädlichste Angriffsart.

Kennzahl (Deutschland)	Wert	Quelle
Gesamtschaden der Wirtschaft 2025	289,2 Mrd. Euro	Bitkom Wirtschaftsschutz 2025
davon durch Cyberangriffe	rund 202,4 Mrd. Euro	Bitkom 2025
Unternehmen mit Ransomware-Schaden (12 Monate)	34 %	Bitkom 2025
Unternehmen, die Lösegeld gezahlt haben	15 %	Bitkom 2025
Registrierte Ransomware-Angriffe	rund 950	BSI 2025
Anteil KMU unter den Betroffenen	rund 80 %	BSI 2025

Auch die direkten Kosten eines Vorfalls sind hoch. Eine Datenpanne mit Ransomware kostet Unternehmen im weltweiten Schnitt 5,13 Millionen US-Dollar (IBM, Cost of a Data Breach 2025). Bei den Lösegeldern lohnt ein genauer Blick auf die Statistik, denn Durchschnitt und Median klaffen weit auseinander.

Kennzahl	Wert	Quelle
Durchschnittliche Kosten einer Datenpanne mit Ransomware	5,13 Mio. US-Dollar	IBM 2025
Median der tatsächlich gezahlten Lösegelder (Q1 2025)	rund 200.000 US-Dollar	Coveware
Durchschnittliches Lösegeld 2025	rund 1 Mio. US-Dollar	Sophos
Durchschnittliche Wiederherstellungskosten (ohne Lösegeld)	1,53 Mio. US-Dollar	Sophos
Betroffene, die kein Lösegeld zahlen	63 %	IBM 2025

Die aktuelle Bedrohungslage 2025

Die Ransomware-Szene hat sich 2025 stark verändert, vor allem durch den Druck der Strafverfolgung. Nach der internationalen Operation Cronos, die im Februar 2024 die einst dominante Gruppe LockBit weitgehend zerschlug, ist das Feld fragmentierter geworden. LockBit meldete sich im September 2025 mit einer Version 5.0 zurück, allerdings mit spürbar geringerer Schlagkraft. An ihre Stelle sind neue Gruppen getreten.

Wie verbreitet einzelne Schadprogramme sind, zeigt die ENISA am Beispiel der Fertigungsindustrie: Dort entfielen 48,7 Prozent der Angriffe auf die Familie Akira, 20,5 Prozent auf Qilin und 10,3 Prozent auf FOG (ENISA Threat Landscape 2025). Drei Trends prägen das Jahr: die bereits erwähnte Verschiebung zur reinen Datenerpressung, eine kürzere Zeitspanne zwischen Einbruch und Verschlüsselung, und der Einsatz von KI für überzeugendere Phishing-Nachrichten.

Wie stoppt man Ransomware? Die wichtigsten Schutzmaßnahmen

Ransomware stoppt man nicht mit einer einzelnen Lösung, sondern mit mehreren gestaffelten Maßnahmen, die ineinandergreifen. Das BSI und die US-Behörde CISA sind sich in der Rangfolge weitgehend einig. An erster Stelle steht die Datensicherung, denn sie ist die schnellste und wirksamste Einzelmaßnahme, um nach einem Angriff wieder handlungsfähig zu werden.

1. Sichern Sie Ihre Daten nach der 3-2-1-Regel: drei Kopien, zwei Medien, eine davon offline und unveränderbar. Testen Sie die Wiederherstellung regelmäßig, denn ein Backup, das sich nicht zurückspielen lässt, ist wertlos. Angreifer suchen gezielt nach erreichbaren Sicherungen und löschen sie.
2. Erzwingen Sie phishing-resistente Mehr-Faktor-Authentifizierung für alle Konten und alle Fernzugänge. Laut Microsoft blockiert MFA über 99 Prozent der identitätsbasierten Angriffe.
3. Patchen Sie aus dem Internet erreichbare Systeme so schnell wie möglich. Bekannte, aktiv ausgenutzte Schwachstellen haben Vorrang vor allem anderen.
4. Setzen Sie auf Endpoint Detection and Response (EDR oder XDR) und segmentieren Sie Ihr Netzwerk, damit sich ein Angreifer nach dem Erstzugang nicht frei bewegen kann. In Microsoft-Umgebungen übernimmt Microsoft Defender diese Rolle.
5. Vergeben Sie Rechte nach dem Prinzip der minimalen Berechtigung (Least Privilege) und bewegen Sie sich in Richtung Zero Trust, bei dem kein Zugriff automatisch als vertrauenswürdig gilt.
6. Filtern Sie schädliche E-Mail-Anhänge und Links, und schulen Sie Ihre Mitarbeitenden regelmäßig im Erkennen von Phishing.
7. Halten Sie einen geübten Notfallplan bereit und kennen Sie Ihre Meldepflichten, bevor der Ernstfall eintritt.

Gerade in Microsoft-365- und Entra-ID-Umgebungen greifen viele dieser Bausteine ineinander. Die UnifiedONE-Plattform bündelt Bedrohungsdaten aus Microsoft Defender, Entra ID und Sentinel, damit ein bestätigter Angriff nicht in jedem Unternehmen einzeln neu untersucht werden muss.

Ransomware-Angriff: Was tun im Ernstfall?

Wenn ein Angriff läuft, zählt jede Minute, und die ersten Schritte entscheiden über das Ausmaß des Schadens. Trennen Sie betroffene Systeme sofort vom Netz, aber schalten Sie sie nicht vorschnell aus, denn im Arbeitsspeicher können wichtige Spuren liegen. Ziehen Sie Ihren Notfallplan und, wenn nötig, externe Fachleute hinzu.

1. Isolieren Sie befallene Geräte, um die Ausbreitung zu stoppen.
2. Sichern Sie Beweise (Logdateien, Erpresserschreiben) für die spätere Analyse und die Anzeige.
3. Erstatten Sie Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des zuständigen Landeskriminalamts.
4. Prüfen Sie das Projekt No More Ransom von Europol und der niederländischen Polizei. Dort stehen für viele Ransomware-Familien kostenlose Entschlüsselungswerkzeuge bereit.
5. Stellen Sie Ihre Systeme aus einer sauberen, getrennten Sicherung wieder her, erst nachdem die Angreifer aus dem Netzwerk entfernt sind.

Für viele Unternehmen kommt eine Meldepflicht hinzu. Wer als wesentliche oder wichtige Einrichtung unter die EU-Richtlinie NIS2 fällt, muss einen erheblichen Sicherheitsvorfall wie einen Ransomware-Angriff melden: eine Frühwarnung binnen 24 Stunden, eine ausführlichere Meldung binnen 72 Stunden und einen Abschlussbericht innerhalb eines Monats (NIS2-Richtlinie, Artikel 23). Ob Ihr Unternehmen betroffen ist, klären wir im Beitrag Welche Unternehmen fallen unter NIS2?, und wie aus der Pflicht dauerhafter Schutz wird, lesen Sie in NIS2 in der Praxis.

Sollte man das Lösegeld zahlen?

Das BSI rät ausdrücklich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder einen funktionierenden Entschlüsselungsschlüssel noch die Löschung der gestohlenen Daten. Sie finanziert die nächste Angriffswelle und macht das Unternehmen zum bevorzugten Ziel für erneute Erpressung. Die Zahlen bestätigen ein Umdenken: 63 Prozent der betroffenen Organisationen zahlten 2025 kein Lösegeld, nach 59 Prozent im Vorjahr (IBM). Der bessere Weg führt über getestete Backups, eine saubere Wiederherstellung und die Anzeige bei der Polizei.

Gemeinsam gegen Ransomware: geteilte Bedrohungsdaten

Ransomware skaliert, weil dieselbe Gruppe mit demselben Werkzeug hunderte Organisationen nacheinander angreift. Die Verteidigung skaliert bislang schlechter, weil jedes Unternehmen den Angriff für sich allein untersucht. Genau hier setzt gemeinschaftlicher Schutz an.

Wird ein Angriffsmuster in einer Umgebung erkannt und bestätigt, kann dieselbe Erkennung sofort alle anderen schützen. Für Microsoft-Umgebungen bündelt UnifiedONE genau diese geteilten Bedrohungsdaten. Wie das für Dienstleister und mittelständische Unternehmen funktioniert, zeigen die Seiten Security und für MSPs.

Häufige Fragen zu Ransomware

Was bedeutet Ransomware einfach erklärt?

Ransomware ist ein Schadprogramm, das Ihre Dateien verschlüsselt oder Ihren Computer sperrt und dann Geld für die Freigabe verlangt. Auf Deutsch heißt sie Erpressungs- oder Verschlüsselungstrojaner. Meist stehlen die Angreifer die Daten zusätzlich und drohen, sie zu veröffentlichen, falls Sie nicht zahlen.

Was ist der Unterschied zwischen Krypto- und Locker-Ransomware?

Krypto-Ransomware verschlüsselt einzelne Dateien, sodass die Daten ohne Schlüssel unbrauchbar sind. Locker-Ransomware sperrt dagegen das ganze Gerät oder die Benutzeroberfläche, lässt die Dateien selbst aber meist intakt. Ihr Ziel ist es, den Zugriff so weit zu blockieren, dass das Opfer für die Entsperrung zahlt.

Wie erkennt man einen Ransomware-Angriff?

Typische Anzeichen sind plötzlich nicht mehr lesbare Dateien, veränderte Dateiendungen, ein Erpresserschreiben auf dem Bildschirm und ungewöhnlich hohe Systemlast. Oft laufen im Hintergrund schon Tage vorher verdächtige Anmeldungen und ein ungewöhnlicher Datenabfluss. Moderne EDR-Lösungen wie Microsoft Defender erkennen dieses Verhalten, bevor die Verschlüsselung startet.

Kann man durch Ransomware verschlüsselte Dateien wieder entschlüsseln?

Manchmal ja. Das Projekt No More Ransom von Europol stellt für viele bekannte Ransomware-Familien kostenlose Entschlüsselungswerkzeuge bereit. Prüfen Sie diese Möglichkeit immer, bevor Sie über eine Zahlung auch nur nachdenken. Für neuere oder sauber umgesetzte Verschlüsselung gibt es allerdings oft keinen Schlüssel, weshalb ein getrenntes Backup die verlässlichste Option bleibt.

Wie sollte man einen Ransomware-Angriff behandeln?

Isolieren Sie befallene Systeme sofort vom Netzwerk, ohne sie auszuschalten, und sichern Sie Beweise. Ziehen Sie Ihren Notfallplan und bei Bedarf externe Fachleute hinzu, erstatten Sie Anzeige bei der ZAC des Landeskriminalamts und stellen Sie erst dann aus einer sauberen Sicherung wieder her, wenn die Angreifer aus dem Netzwerk entfernt sind.

Wie können Unternehmen Ransomware verhindern?

Am wirksamsten sind getrennte, unveränderbare Backups mit getesteter Wiederherstellung, phishing-resistente Mehr-Faktor-Authentifizierung, schnelles Patchen erreichbarer Systeme, EDR mit Netzwerksegmentierung und regelmäßige Awareness-Schulungen. Diese Maßnahmen schließen die häufigsten Einfallstore und begrenzen den Schaden, falls doch etwas durchkommt.

Was hat Ransomware mit NIS2 zu tun?

Ein Ransomware-Angriff ist ein meldepflichtiger Sicherheitsvorfall für alle Unternehmen, die unter NIS2 fallen. Betroffene Einrichtungen müssen eine Frühwarnung binnen 24 Stunden und eine Meldung binnen 72 Stunden abgeben. Wer prüfen möchte, ob das eigene Unternehmen dazugehört, findet die Kriterien im Beitrag Welche Unternehmen fallen unter NIS2?

In Kürze

Ransomware verschlüsselt Daten, stiehlt sie und erpresst Lösegeld. Sie kommt über Phishing, gestohlene Zugangsdaten und ungepatchte Systeme herein und trifft in Deutschland vor allem den Mittelstand. Wer getrennte Backups pflegt, MFA erzwingt, schnell patcht und einen geübten Notfallplan hat, nimmt der Erpressung ihre Wirkung. Und wer im Ernstfall nicht zahlt, sondern meldet, entzieht dem Geschäftsmodell die Grundlage.

Quellen

• BSI, Die Lage der IT-Sicherheit in Deutschland 2025: bsi.bund.de
• BSI, Ransomware – Fakten und Abwehrstrategien: bsi.bund.de
• ENISA, Threat Landscape 2025: enisa.europa.eu
• Bitkom, Wirtschaftsschutz 2025: bitkom.org
• Verizon, 2025 Data Breach Investigations Report: verizon.com
• Microsoft, Digital Defense Report 2025: microsoft.com
• IBM, Cost of a Data Breach Report 2025: ibm.com
• Sophos, The State of Ransomware 2025: sophos.com
• Coveware, Ransomware-Quartalsbericht: coveware.com
• Europol, No More Ransom: nomoreransom.org
• CISA, #StopRansomware Guide: cisa.gov