Was ist Ransomware? Definition, Funktionsweise & Schutz

Ransomware ist eine Art von Schadsoftware, die Dateien auf einem infizierten System verschlüsselt oder den kompletten Zugriff auf ein System sperrt und anschließend ein Lösegeld für die Entschlüsselung fordert. Der Begriff setzt sich aus dem englischen "ransom" (Lösegeld) und "Software" zusammen – im Deutschen wird Ransomware deshalb auch als Erpressungstrojaner oder Verschlüsselungstrojaner bezeichnet. Für Unternehmen, Arztpraxen und Privatpersonen gehört Ransomware laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) seit Jahren zu den größten und teuersten Cyberbedrohungen überhaupt.

Wie funktioniert Ransomware?

Ein Ransomware-Angriff läuft in mehreren Phasen ab. Zunächst muss die Schadsoftware auf ein System gelangen und es infizieren – das geschieht am häufigsten über einen bösartigen Anhang in einer E-Mail, über manipulierte Links oder über offene Sicherheitslücken in veralteter Software. Ist die Malware einmal aktiv, beginnt sie damit, systematisch Dateien zu verschlüsseln: Dokumente, Bilder, Datenbanken und teils ganze Laufwerke. Nach abgeschlossener Verschlüsselung kann der Benutzer nicht mehr auf seine eigenen Daten zugreifen – stattdessen erscheint eine Lösegeldforderung auf dem Bildschirm.

Moderne Ransomware bewegt sich nach der ersten Infektion oft unbemerkt seitlich durch das Netzwerk (sogenanntes Lateral Movement), um möglichst viele Systeme gleichzeitig zu befallen, bevor die eigentliche Verschlüsselung startet. So maximieren die Angreifer den Schaden und ihren Druck. Häufig kommt zusätzlich Social Engineering zum Einsatz: Mitarbeitende werden gezielt getäuscht, damit sie einen Anhang öffnen oder Zugangsdaten preisgeben.

Vereinfacht gesagt funktioniert Ransomware also in drei Schritten: Ein System wird infiziert, die Schadsoftware verschlüsselt Dateien oder sperrt den Zugriff, und anschließend fordern die Hacker Geld. So funktioniert Ransomware im Kern immer gleich – unabhängig davon, welche konkrete Variante gerade im Umlauf ist. Sobald die Daten infiziert und verschlüsselt wurden, hat das Opfer keinen Zugriff mehr auf betroffene Systeme – ohne den passenden Schlüssel bleiben die Dateien unbrauchbar, und die Angreifer versuchen, mit dieser Blockade ein Lösegeld zu erpressen.

Wie verbreitet sich Ransomware?

Die Verbreitung von Ransomware erfolgt auf mehreren Wegen. Der mit Abstand häufigste ist der Versand präparierter E-Mails: Ein scheinbar harmloser Anhang oder Link genügt, und beim Öffnen beginnt die Schadsoftware, Dateien zu verschlüsseln. Daneben nutzen Angreifer offene Sicherheitslücken in nicht aktualisierter Software oder Anwendungen aus, um ohne jedes Zutun des Benutzers in ein System einzudringen. Auch manipulierte Downloads und infizierte Werbebanner sind bekannte Einfallstore. Wer die typischen Angriffswege kennt, kann gezielt Maßnahmen ergreifen, um die Infektion von vornherein zu verhindern.

Die Lösegeldforderung: zahlen oder nicht?

Nach der Verschlüsselung verlangen die Angreifer eine Zahlung – meist in einer Kryptowährung wie Bitcoin, weil sich diese schwer zurückverfolgen lässt. Im Gegenzug versprechen die Cyberkriminellen einen Schlüssel zur Entschlüsselung der verschlüsselten Daten. Sicherheitsbehörden wie das BSI raten grundsätzlich davon ab, das Lösegeld zu bezahlen: Erstens gibt es keine Garantie, dass die Daten nach der Zahlung tatsächlich wiederhergestellt werden, zweitens finanziert jede gezahlte Lösegeldsumme weitere Angriffe, und drittens markiert es das Opfer als zahlungsbereit für die nächste Attacke.

Viele Angreifer setzen inzwischen auf sogenannte Double Extortion (doppelte Erpressung): Bevor sie die Daten verschlüsseln, werden sensible Daten gestohlen. Wird das Lösegeld nicht bezahlt, drohen die Angreifer damit, die gestohlenen Daten zu veröffentlichen. So gerät das Opfer doppelt unter Druck – selbst ein funktionierendes Backup schützt dann nicht mehr vollständig vor dem Schaden.

Bekannte Ransomware-Angriffe

Einige Ransomware-Angriffe haben weltweit Schlagzeilen gemacht und gezeigt, wie verheerend diese Art von Malware sein kann:

• WannaCry legte im Mai 2017 hunderttausende Systeme in über 150 Ländern lahm, darunter Krankenhäuser, und nutzte dafür eine bekannte Schwachstelle in Windows aus.
• Petya und die Variante NotPetya verursachten 2017 Schäden in Milliardenhöhe, teils mehrere Millionen Dollar pro betroffenem Konzern.
• Locky und CryptoLocker waren weit verbreitete Erpressungstrojaner, die massenhaft per E-Mail versandt wurden und gezielt Dateien verschlüsselten.

Diese Beispiele zeigen: Angriffe durch Ransomware treffen längst nicht nur große Konzerne. Auch kleine Unternehmen, Arztpraxen und Privatpersonen sind regelmäßig Opfer von Ransomware, weil sie oft schlechter abgesichert sind und Angreifer ihre Ziele meist automatisiert und ohne Ansehen der Größe auswählen.

Die Zahl der Ransomware-Angriffe ist in den vergangenen Jahren stark gestiegen. Vor allem im Jahr 2020 und 2021 meldeten Sicherheitsbehörden weltweit einen sprunghaften Anstieg – begünstigt durch die Verlagerung vieler Arbeitsplätze ins Homeoffice und die damit verbundenen neuen Schwachstellen. Seither gehört Ransomware zu den bestimmenden Themen der IT-Security, und die Angreifer entwickeln ihre Methoden laufend weiter.

Welche Arten von Ransomware gibt es?

Grundsätzlich unterscheidet man zwei Arten von Ransomware. Krypto-Ransomware verschlüsselt gezielt Dateien, sodass der Zugriff auf wertvolle Daten unmöglich wird, während das restliche System oft noch funktioniert. Locker-Ransomware sperrt dagegen das gesamte System oder den Bildschirm, sodass der Benutzer den Computer gar nicht mehr bedienen kann. In beiden Fällen ist das Ziel identisch: das Opfer soll ein Lösegeld zahlen, um wieder Zugriff auf sein System oder seine Daten zu erhalten.

Egal welche Art von Ransomware zum Einsatz kommt – das Grundprinzip bleibt gleich: Die Ransomware verschlüsselt die betroffenen Systeme oder sperrt sie, und erst die Zahlung eines Lösegelds soll den Zugriff wiederherstellen. Wenn man versteht, dass Ransomware immer darauf abzielt, Daten zu verschlüsseln, um damit Geld zu erpressen, wird auch klar, warum ein sauberes Backup das wirksamste Gegenmittel ist: Es nimmt den Angreifern das Druckmittel, mit dem sie das Opfer zum Zahlen bewegen wollen.

Warum Arztpraxen und KMU besonders gefährdet sind

Kleine und mittlere Unternehmen sowie Arztpraxen verarbeiten oft hochsensible, personenbezogene Daten, verfügen aber selten über eine eigene IT-Abteilung. Genau diese Kombination macht sie zu attraktiven Zielen. Werden in einer Praxis Patientendaten verschlüsselt, steht nicht nur der Praxisbetrieb still – es drohen zusätzlich Meldepflichten nach der EU-DSGVO und empfindliche Bußgelder, wenn sensible Daten abfließen. Ein einziger erfolgreicher Ransomware-Angriff kann so schnell existenzbedrohend werden.

Wie kann man sich vor Ransomware schützen?

Der wirksamste Schutz vor Ransomware ist eine Kombination aus technischen und organisatorischen Maßnahmen. Kein einzelner Baustein reicht allein aus – erst das Zusammenspiel bietet umfassenden Schutz:

• Regelmäßige Backups nach der 3-2-1-Regel: Wer aktuelle, getrennt aufbewahrte Sicherungskopien besitzt, kann verschlüsselte Systeme neu aufsetzen, ohne Lösegeld zu zahlen. Wichtig ist, dass mindestens eine Sicherung offline (vom Netzwerk getrennt) liegt, damit die Ransomware sie nicht ebenfalls verschlüsseln kann.
• Software aktuell halten: Viele Angriffe nutzen bekannte Sicherheitslücken. Konsequentes Patch-Management schließt diese Schwachstellen, bevor Angreifer sie ausnutzen.
• E-Mail-Sicherheit und Sensibilisierung: Da die meisten Infektionen über E-Mails und Phishing beginnen, sind geschulte Mitarbeitende die erste Verteidigungslinie. Wer verdächtige Anhänge und Links erkennt, verhindert die Infektion, bevor sie beginnt.
• Aktuelle Sicherheitssoftware und Netzwerksegmentierung: Eine gute Schutzsoftware erkennt viele Schadprogramme, und ein segmentiertes Netzwerk begrenzt das Lateral Movement, falls doch einmal ein System befallen wird.
• Zugriffsrechte einschränken: Je weniger Benutzer weitreichende Rechte besitzen, desto weniger kann bösartige Software im Ernstfall anrichten.

Was tun im Schadensfall?

Ist eine Ransomware-Infektion bereits eingetreten, zählt schnelles, überlegtes Handeln. Betroffene Systeme sollten sofort vom Netzwerk getrennt werden, um die weitere Verbreitung zu stoppen. Anschließend gilt es, den Vorfall zu dokumentieren und – bei Unternehmen und Praxen – die zuständige Aufsichtsbehörde sowie gegebenenfalls die Cyberversicherung zu informieren. Von eigenständigen Entschlüsselungsversuchen ohne Fachwissen ist abzuraten; hier helfen spezialisierte IT-Forensik und professionelle Wiederherstellung, um zu klären, wie tief die Malware eingedrungen ist und welche Daten betroffen sind. In manchen Fällen existieren für ältere Ransomware-Varianten kostenlose Entschlüsselungswerkzeuge, die eine Zahlung überflüssig machen.

Fazit

Ransomware ist eine der gefährlichsten Formen von Schadsoftware, weil sie Opfer direkt an ihrer empfindlichsten Stelle trifft – ihren Daten. Ein Ransomware-Angriff kann Dateien verschlüsseln, ganze Systeme sperren und mit der Veröffentlichung sensibler Daten drohen. Die gute Nachricht: Mit regelmäßigen Backups, konsequenten Updates, geschulten Mitarbeitenden und einem durchdachten Sicherheitskonzept lässt sich das Risiko drastisch senken. Wer sich hier professionell aufstellt, nimmt Angreifern das wichtigste Druckmittel – und muss im Ernstfall kein Lösegeld zahlen.

Wie Sie Ihre IT-Infrastruktur wirksam absichern, erfahren Sie auf unserer Seite zur IT-Sicherheit für Unternehmen. Wie eine passende Absicherung im Schadensfall greift, lesen Sie in unserem Beitrag zur Cyberversicherung.

Häufige Fragen