Ransomware ist keine neue Bedrohung – aber eine, die sich rasant professionalisiert hat. Aus opportunistischen Einzeltätern ist eine arbeitsteilige Schattenwirtschaft geworden. Wer die Angriffsmuster versteht, kann gezielt dort ansetzen, wo Maßnahmen den größten Effekt haben.

Vom Verschlüsseln zur doppelten Erpressung

Klassische Ransomware verschlüsselte Daten und forderte Lösegeld für die Entschlüsselung. Heute dominiert die doppelte Erpressung: Angreifer stehlen zunächst sensible Daten und drohen mit ihrer Veröffentlichung. Selbst Unternehmen mit tadellosen Backups geraten so unter Druck, weil ein Datenleck Reputations-, Vertrags- und Compliance-Folgen hat. Teils kommt eine dritte Stufe hinzu – etwa DDoS-Angriffe oder die direkte Kontaktaufnahme zu Kunden.

Ransomware-as-a-Service

Ein wesentlicher Treiber ist das Geschäftsmodell Ransomware-as-a-Service (RaaS). Spezialisierte Gruppen entwickeln die Schadsoftware und Infrastruktur und überlassen die eigentlichen Angriffe „Affiliates“ gegen Gewinnbeteiligung. Diese Arbeitsteilung senkt die technische Hürde und erhöht Frequenz wie Professionalität der Angriffe.

Wie Angreifer hereinkommen

Trotz aller Raffinesse sind die Einfallstore erstaunlich konstant:

  • Phishing und bösartige Anhänge oder Links
  • Gestohlene oder schwache Zugangsdaten, besonders bei Fernzugängen ohne MFA
  • Ungepatchte, aus dem Internet erreichbare Systeme
  • Kompromittierte Dienstleister als Sprungbrett in die Zielumgebung

Nach dem Erstzugang folgen typischerweise Rechteausweitung, seitliche Bewegung und das gezielte Ausschalten von Backups – bevor die Verschlüsselung ausgelöst wird.

Was wirklich schützt

Die wirksamsten Maßnahmen setzen früh in dieser Kette an. Phishing-resistente MFA entwertet gestohlene Passwörter. Konsequentes Patch-Management schließt bekannte Lücken. Netzwerksegmentierung und Least Privilege bremsen die seitliche Ausbreitung. Unveränderliche Backups nehmen der Verschlüsselung ihren Hebel – vorausgesetzt, die Wiederherstellung wurde getestet. Und eine gute Endpoint Detection & Response erkennt verdächtiges Verhalten, bevor es eskaliert.

Den Ernstfall vorbereiten

Die Frage „Zahlen oder nicht?“ sollte nicht im Schockzustand beantwortet werden. Ein vorbereiteter Incident-Response-Plan, klare Eskalationswege, ein Kommunikationskonzept und Kontakte zu Behörden und Spezialisten entscheiden darüber, ob ein Vorfall Stunden oder Wochen kostet. Lösegeld zu zahlen ist zudem keine Garantie – und finanziert das nächste Angriffsmodell. Prävention, Erkennung und geübte Reaktion bleiben die verlässlichste Antwort.

Cyber-Versicherung: Ergänzung, kein Ersatz

Cyber-Versicherungen sind zu einem festen Bestandteil des Risikomanagements geworden – doch sie ersetzen keine Schutzmaßnahmen. Versicherer verlangen inzwischen den Nachweis grundlegender Kontrollen wie Multi-Faktor-Authentifizierung, getesteter Backups und eines Notfallplans, bevor sie überhaupt Deckung anbieten. Eine Police ist damit eher ein Anreiz, die eigenen Grundlagen in Ordnung zu bringen, als ein Ersatz dafür.

Die Lieferkette im Blick

Zunehmend gelangen Angreifer nicht direkt, sondern über Dienstleister und Software-Lieferanten ins Ziel. Ein kompromittierter Fernwartungszugang oder ein manipuliertes Update kann viele Organisationen gleichzeitig treffen. Deshalb gehört die Bewertung kritischer Lieferanten – ihre Sicherheitsmaßnahmen, Zugriffsrechte und Reaktionsfähigkeit – zu jeder ernsthaften Ransomware-Strategie. Sicherheit endet nicht an der eigenen Netzwerkgrenze.