Wenn der Zugriff auf Angebote, Kundenakten, Buchhaltung oder Praxissoftware plötzlich gesperrt ist, steht nicht nur die IT still. Produktion, Terminvergabe, Kommunikation und Abrechnung geraten unter Druck. 7 Maßnahmen gegen Ransomware im Unternehmen schaffen keinen absoluten Schutz, senken aber das Risiko erheblich und begrenzen den Schaden, falls ein Angriff gelingt.
Für kleine und mittlere Unternehmen ist dabei nicht die Anzahl der eingesetzten Sicherheitsprodukte entscheidend. Entscheidend ist, ob technische Schutzmaßnahmen, klare Zuständigkeiten und eingeübte Abläufe zusammenwirken. Gerade Betriebe ohne eigene IT-Abteilung brauchen Lösungen, die im Alltag funktionieren, überwacht werden und planbare Kosten ermöglichen.
Warum Ransomware den Geschäftsbetrieb trifft
Ransomware ist Schadsoftware, die Dateien, Systeme oder ganze Server verschlüsselt. Kriminelle fordern anschließend Lösegeld für einen angeblichen Entschlüsselungsschlüssel. Häufig geht es jedoch längst nicht mehr nur um Verschlüsselung: Angreifer kopieren vorher sensible Daten und drohen mit deren Veröffentlichung. Das erhöht den Druck auf Geschäftsführung und Verantwortliche deutlich.
Der Einstieg gelingt oft über täuschend echte E-Mails, gestohlene Zugangsdaten, ungepatchte Sicherheitslücken oder unzureichend abgesicherte Fernzugänge. Ein einzelnes gekapertes Postfach kann reichen, um weitere Zugänge abzugreifen. Deshalb muss Schutz an mehreren Stellen ansetzen - vom Arbeitsplatz bis zum Backup und zum Notfallplan.
7 Maßnahmen gegen Ransomware im Unternehmen
1. Zugänge mit Mehrfaktor-Authentifizierung absichern
Passwörter allein reichen für E-Mail-Konten, Cloud-Dienste, VPN-Zugänge und Administratorenkonten nicht mehr aus. Werden Zugangsdaten durch Phishing oder ein Datenleck bekannt, kann ein Angreifer sie sofort ausprobieren. Eine Mehrfaktor-Authentifizierung verlangt zusätzlich etwa eine Bestätigung per Authenticator-App oder Sicherheitsschlüssel.
Priorität haben Konten mit weitreichenden Berechtigungen: Geschäftsführung, Buchhaltung, IT-Administration und externe Fernzugänge. Ebenso wichtig ist ein geregelter Prozess für Ein- und Austritte. Nicht mehr benötigte Konten müssen unverzüglich deaktiviert werden. Gemeinsame Benutzerkonten sollten, wo möglich, durch persönliche Zugänge ersetzt werden. Nur so lässt sich nachvollziehen, wer worauf zugegriffen hat.
2. Updates und Sicherheitslücken konsequent schließen
Viele Angriffe nutzen keine spektakulären neuen Methoden, sondern bekannte Schwachstellen in Betriebssystemen, Firewalls, Anwendungen oder Serverdiensten. Nicht installierte Updates hinterlassen unnötige Einfallstore. Besonders kritisch sind Systeme, die aus dem Internet erreichbar sind, etwa VPN-Gateways, Remote-Desktop-Dienste oder Webanwendungen.
Ein zuverlässiger Patch-Prozess bewertet Updates nach Dringlichkeit, testet sie bei kritischen Fachanwendungen und installiert sie in festen Wartungsfenstern. Das ist ein sinnvoller Kompromiss: Updates ungeprüft auszurollen kann Abläufe stören, zu langes Warten kann jedoch teuer werden. Für nicht mehr unterstützte Systeme braucht es einen klaren Ablöseplan oder eine gezielte Abschottung.
3. E-Mail und Arbeitsplätze wirksam schützen
Phishing bleibt einer der häufigsten Wege in Unternehmensnetzwerke. Ein moderner E-Mail-Schutz sollte verdächtige Anhänge, gefälschte Absender und gefährliche Links möglichst vor der Zustellung erkennen. Ergänzend braucht jeder Arbeitsplatz eine zentral verwaltete Endpoint-Schutzlösung, die ungewöhnliches Verhalten erkennt und im Ernstfall einen betroffenen Rechner isolieren kann.
Technik allein entscheidet den Angriff aber nicht. Mitarbeitende sollten wissen, wie sie verdächtige Nachrichten melden, ohne Angst vor Fehlern haben zu müssen. Kurze, regelmäßige Sensibilisierungen sind meist wirksamer als eine jährliche Pflichtschulung. Besonders hilfreich sind praxisnahe Beispiele: eine angebliche Rechnung, eine gefälschte Microsoft-Anmeldung oder eine dringende Zahlungsanweisung im Namen der Geschäftsführung.
4. Rechte begrenzen und das Netzwerk segmentieren
Wer überall Zugriff hat, ermöglicht Angreifern im Ernstfall eine schnelle Ausbreitung. Mitarbeitende benötigen nur die Rechte, die sie für ihre Aufgaben tatsächlich brauchen. Lokale Administratorrechte auf Standard-Arbeitsplätzen sollten die Ausnahme sein. Administratorenkonten gehören getrennt von normalen E-Mail- und Office-Konten geführt.
Auch das Netzwerk sollte nicht als eine einzige offene Fläche funktionieren. Server, Arbeitsplätze, WLAN für Gäste, Telefonie, Produktionssysteme und Backups lassen sich je nach Unternehmensgröße logisch voneinander trennen. Wird ein Gerät kompromittiert, erschwert diese Segmentierung den Zugriff auf weitere Systeme. Der konkrete Umfang hängt von der Infrastruktur ab: Ein kleines Büro braucht keine komplexe Konzernarchitektur, aber zumindest eine sauber konfigurierte Firewall und klar getrennte Schutzbereiche.
5. Backups unveränderbar speichern und Wiederherstellung testen
Ein Backup ist nur dann ein Rettungsanker, wenn es nicht ebenfalls verschlüsselt oder gelöscht werden kann. Deshalb sollten Sicherungen vom produktiven Netzwerk getrennt, versioniert und gegen nachträgliche Veränderungen geschützt sein. Bewährt hat sich das 3-2-1-Prinzip: mehrere Kopien, auf unterschiedlichen Speichermedien, davon mindestens eine außerhalb des Hauptstandorts.
Die entscheidende Frage lautet nicht: „Läuft die Datensicherung?“ Sondern: „Können wir unsere wichtigsten Systeme innerhalb der benötigten Zeit wiederherstellen?“ Testen Sie regelmäßig die Rücksicherung einzelner Dateien, ganzer Server und wichtiger Anwendungen. Dokumentieren Sie dabei, wie lange der Vorgang dauert und welche Abhängigkeiten bestehen. Ein Backup der Datenbank hilft wenig, wenn die zugehörige Anwendung, Lizenz oder Konfiguration fehlt.
6. Auffälligkeiten früh erkennen und zentral überwachen
Ransomware-Angriffe entwickeln sich häufig über Stunden oder Tage. In dieser Zeit verschaffen sich Täter Zugänge, erkunden die Umgebung und bereiten die Verschlüsselung vor. Auffällige Anmeldungen, ungewöhnliche Datenübertragungen, plötzlich angelegte Administratoren oder deaktivierte Sicherheitssoftware sind Warnsignale.
Eine kontinuierliche Überwachung von Firewall, Servern, Endgeräten, Backups und zentralen Konten verkürzt die Zeit bis zur Entdeckung. Für viele mittelständische Unternehmen ist ein Managed-Service-Modell sinnvoll: Systeme werden zentral überwacht, Warnmeldungen eingeordnet und notwendige Maßnahmen zeitnah angestoßen. Das entlastet interne Verantwortliche, die IT neben ihren eigentlichen Aufgaben betreuen.
7. Einen Notfallplan vorbereiten und Zuständigkeiten festlegen
Unter Stress entstehen Verzögerungen, wenn niemand weiß, wer entscheiden darf oder welche Systeme zuerst abgesichert werden müssen. Ein Ransomware-Notfallplan regelt daher konkrete Schritte: betroffene Geräte vom Netzwerk trennen, Ansprechpartner informieren, Zugänge sichern, Beweise erhalten, Wiederherstellung priorisieren und gegebenenfalls Datenschutzvorfälle bewerten.
Der Plan sollte nicht in einer Datei liegen, die nur im verschlüsselten Netzwerk erreichbar ist. Halten Sie wichtige Kontaktdaten, technische Übersichten und Eskalationswege auch offline oder an einem getrennten, geschützten Ort bereit. Klären Sie vorab, wer die Kommunikation mit Mitarbeitenden, Kunden, Versicherern, IT-Dienstleistern und Behörden übernimmt. Bei einem tatsächlichen Angriff muss nicht jeder alles wissen - aber die richtigen Personen müssen schnell handlungsfähig sein.
Lösegeld zahlen? Keine verlässliche Lösung
Die Zahlung eines Lösegelds wirkt in einer akuten Krise manchmal wie der schnellste Ausweg. Sie bietet jedoch keine Garantie auf funktionierende Entschlüsselung, vollständige Datenlöschung oder eine ausbleibende spätere Erpressung. Zudem können rechtliche und versicherungsbezogene Fragen entstehen. Unternehmen sollten diese Entscheidung niemals isoliert oder unvorbereitet treffen, sondern IT-Forensik, Rechtsberatung, Versicherung und gegebenenfalls Behörden einbeziehen.
Der bessere Weg beginnt deutlich früher: mit geprüften Backups, nachvollziehbaren Berechtigungen, aktueller Software und einem Team, das im Notfall weiß, was zu tun ist. XPINION unterstützt Unternehmen im Ruhrgebiet und in NRW dabei, Sicherheitsmaßnahmen passend zur vorhandenen IT aufzubauen, laufend zu überwachen und im Ernstfall schnell zu reagieren.
Ein guter erster Schritt ist ein ehrlicher IT-Sicherheitscheck: Welche Zugänge sind besonders kritisch, welche Systeme sind nicht aktuell, und wann wurde die letzte Wiederherstellung tatsächlich getestet? Wer diese drei Fragen belastbar beantworten kann, gewinnt bereits spürbar an Sicherheit und Handlungsfähigkeit.
