Was ist Ransomware? Beispiele, Prävention & Erkennung

Die Zahl der Ransomware-Angriffe ist gestiegen: 2024 waren Unternehmen weltweit von mehr als 5.414 Angriffen betroffen. Das sind 11 % mehr als im Vorjahr. Ursache sind Phishing, Exploit-Kits und anfällige Cloud-Dienste, die Kriminelle für betrügerische Aktivitäten nutzen. Kleine wie große Unternehmen sind dem Risiko von Systemeinbrüchen, Datenverlusten und langen Ausfallzeiten ausgesetzt. Das kann erhebliche Verluste verursachen. Deshalb müssen Unternehmen Ransomware besser verstehen und Gegenmaßnahmen gegen Ransomware-Angriffe entwickeln.

In diesem Artikel erklären wir, was Ransomware ist und welche Bedrohung sie für Unternehmen darstellt. Anschließend beleuchten wir die Auswirkungen auf Unternehmen, erläutern die Geschichte der Ransomware und beschreiben verschiedene Infektionswege. In diesem Abschnitt lernen Sie verschiedene Arten von Ransomware, die Techniken von Cyberkriminellen und Beispiele bekannter Ransomware-Fälle kennen. Abschließend erklären wir, was ein Ransomware-Angriff ist, geben Tipps zur Vermeidung solcher Angriffe und zeigen, wie SentinelOne jede dieser Maßnahmen stärkt.

Was ist Ransomware?

Ransomware ist eine Form von Malware, die Dateien eines Opfers sperrt oder verschlüsselt. Anschließend fordern die Täter ein Lösegeld für den Entschlüsselungsschlüssel. Der Begriff Ransomware umfasst inzwischen einfache Bildschirmsperren ebenso wie ausgefeilte Verschlüsselungsprogramme, die systematisch Daten stehlen und mit deren Veröffentlichung drohen. Die weltweiten Lösegeldforderungen im Jahr 2024 wurden auf durchschnittlich $2.73 Millionen geschätzt. Unternehmen stehen damit vor der Wahl, ihre Daten zu verlieren oder eine hohe Summe zu zahlen.

Bei einer Infiltration nutzen Angreifer eine Schwachstelle in der Software ihres Ziels oder das Verhalten der Nutzer aus. Ransomware ist eine Bedrohung, die nicht nur den Geschäftsbetrieb lahmlegt, sondern auch das Vertrauen der Kunden untergräbt. Um Ransomware zu verstehen, muss man ihre Folgen kennen – von der ersten Infiltration bis zu den verschiedenen Verschlüsselungsstufen. Darum geht es im nächsten Abschnitt.

Auswirkungen von Ransomware auf Unternehmen

Ein einziger Ransomware-Angriff kann einem Unternehmen erheblichen Schaden zufügen: Er kann die Produktion stoppen, Daten in Datenbanken sperren oder Mitarbeitende am Zugriff auf Anwendungen hindern. Die durchschnittliche Lösegeldforderung ist gestiegen. Das deutet darauf hin, dass Kriminelle zunehmend mit hohen Zahlungen rechnen. Ob Kundendaten offengelegt werden oder ein Ausfall den Geschäftsbetrieb lahmlegt, die Folgen gehen weit über finanzielle Verluste hinaus. Hier sind vier erhebliche Schäden, die Unternehmen durch Ransomware-Angriffe erleiden:

1. Betriebsunterbrechungen: Sind wichtige Dateien oder Server gesperrt, können Mitarbeitende nicht auf Anwendungen für Vertrieb, Personalverwaltung oder Lieferkettenmanagement zugreifen. Auch Produktionslinien stehen still. Selbst kurze Unterbrechungen verzögern Bestellungen oder führen zum Ausfall von Dienstleistungen. Das kann das Vertrauen der Kunden schwächen. Die Wiederherstellung nach einem Ransomware-Angriff kann Tage oder Wochen dauern, wenn Backups veraltet oder ebenfalls verschlüsselt sind. In dieser Zeit drohen erhebliche Reputationsschäden und Umsatzeinbußen.
2. Datenverlust & Offenlegung von Sicherheitsverletzungen: Bei neueren Ransomware-Angriffen werden häufig auch Daten gestohlen. Die Angreifer fordern Geld von den betroffenen Unternehmen und versprechen im Gegenzug, Informationen über Kunden oder Partner nicht offenzulegen. Kommt es dennoch zu einem Datenleck, können gesetzliche Meldepflichten greifen sowie behördliche Maßnahmen und Strafen folgen. Infiltration und die mögliche Veröffentlichung von Daten zeigen, welche Bedrohungen von Ransomware ausgehen.
3. Finanzielle Schäden & Reputationsschäden: Neben dem direkten finanziellen Verlust durch Lösegeldzahlungen können diese Cyberangriffe hohe Kosten für forensische Untersuchungen und die Wiederherstellung von Systemen verursachen. In manchen Fällen kommen Sammelklagen hinzu. Kunden könnten zu anderen Unternehmen wechseln, bei denen solche Probleme künftig möglicherweise nicht auftreten. Investoren könnten daran zweifeln, dass die Unternehmensführung Risiken angemessen verantwortet. Um solche Angriffe zu verhindern, könnten Versicherer die Prämien erhöhen oder Versicherungspolicen sogar kündigen. Ein beschädigtes Markenimage wiederherzustellen, braucht Zeit – manchmal Jahre.
4. Verlust des Vertrauens von Stakeholdern & Kunden: Sobald eine Sicherheitsverletzung erkannt wird, beginnen der Vorstand, die Aufsichtsbehörde oder wichtige Kunden, am Sicherheitsniveau zu zweifeln. Fehlendes Vertrauen ist kostspielig und kann zur Kündigung von Verträgen oder zu strengeren Anforderungen seitens der Partner führen. Um Vertrauen zurückzugewinnen, muss das Unternehmen bessere Sicherheitskontrollen, kontinuierliche Scans und nicht zuletzt angemessene Schulungen der Mitarbeitenden nachweisen. Investiert ein Unternehmen in starken Schutz vor Ransomware, schafft es langfristig noch mehr Gewissheit über seine Cybersecurity.

Geschichte der Ransomware

Die Geschichte der Ransomware reicht von einfachen Erpressungstrojanern der späten 1980er-Jahre bis zu fortschrittlichen Angriffen mit Verschlüsselung. Im Laufe der Jahre machten ausgefeilte Verschlüsselungstechniken und Tarnstrategien sie zu einer der größten Bedrohungen der Cyberkriminalität. Die folgenden Abschnitte zeigen anhand von vier Phasen, wie Kriminelle ihre Strategien weiterentwickelt haben.

1. Der PC-Cyborg-Trojaner (späte 1980er-Jahre): Der 1989 entwickelte “AIDS Trojan” oder “PC Cyborg” infizierte den Computer und verlangte anschließend eine Zahlung für die Wiederherstellung seiner Funktionsfähigkeit. Dies war der früheste dokumentierte Fall, der die Definition eines Ransomware-Angriffs veränderte: Software, die bestimmte Daten verschlüsselt und eine Zahlung verlangt. Obwohl dieser Angriff gemessen an heutigen Definitionen relativ einfach war, legte er die konzeptionelle Grundlage für moderne Erpressung. Der Angriffsvektor war recht einfach, das Virus verbreitete sich über infizierte Disketten, die an Teilnehmer einer Konferenz verteilt wurden.
2. Verschlüsselnde Ransomware (frühe 2000er-Jahre): Anfang der 2000er-Jahre kamen ausgefeiltere Formen von Ransomware auf, die Daten mit modernen Algorithmen wie RSA oder AES verschlüsselten. Diese Ransomware-Varianten waren schwer abzuwehren, da Antivirenprogramme sie nur langsam erkannten. Die Angreifer forderten Zahlungen über frühe digitale Zahlungsmittel oder Banküberweisungen, was es den Strafverfolgungsbehörden erschwerte, den Geldfluss nachzuverfolgen. Dies führte zur Entwicklung weiterer Formen von Sicherheitsbedrohungen, und Sicherheitsexperten begannen, dafür Begriffe wie ‘Crypto-Ransomware’ zu verwenden, die mit komplexen Algorithmen in Verbindung steht.
3. Neue Erpressungsmethoden: In den 2010er-Jahren wurden die Angriffsmethoden immer ausgefeilter. Dazu zählt auch WannaCry-Ransomware im Jahr 2017. Dieser wurmbasierte Angriff legte innerhalb weniger Stunden Krankenhäuser und Unternehmen weltweit lahm. Cyberkriminelle nutzten der NSA gestohlene Exploits und zeigten, dass selbst die mächtigsten Akteure unaufhaltsame Wellen von Ransomware-Angriffen auslösen können. Zudem entstand RaaS (Ransomware as a Service). Damit konnten auch Personen ohne Erfahrung in dieses Geschäft einsteigen.
4. Doppelte Erpressung & geopolitischer Einsatz (2020er-Jahre bis 2025): Heute stehlen Cyberakteure zunächst Daten und drohen mit deren Veröffentlichung, wenn ihre Forderungen nicht erfüllt werden—bekannt als doppelte Erpressung. Dadurch müssen Unternehmen selbst bei vorhandenen Backups die möglichen Kosten eines Datenlecks berücksichtigen. Staatlich unterstützte Kampagnen nutzen Ransomware jedoch mitunter für Spionage oder Zerstörung, was die Unterscheidung zwischen finanziellen und politischen Zielen erschwert. Durch Tarntechniken, KI und gezielt eingesetzte Tools sind die Bedrohungen heute noch raffinierter als zuvor.

Wie verbreitet sich Ransomware?

Ransomware kann auf verschiedenen Wegen in ein System eindringen – von Spam-E-Mails mit Anhängen bis zu kompromittierten Cloud-Anwendungen.

Cyberkriminelle passen ihre Strategien an die Schwachstellen ihrer Ziele an, etwa ungesicherte Server oder leichtgläubige Mitarbeitende. Auf fünf Wegen schleusen sie Ransomware-Code in die Infrastruktur eines Unternehmens ein:

1. Phishing-E-Mails & schädliche Anhänge: Phishing E-Mails verleiten Mitarbeitende dazu, schädliche Dokumente zu öffnen oder auf Links zu klicken, die zu Websites von Hackern führen. Werden Makros ausgeführt oder Schwachstellen in Skripten ausgenutzt, beginnt die Verschlüsselung oder Backdoor-Shells werden aktiviert. Obwohl Mitarbeitende darin geschult wurden, in E-Mails nicht auf Links zu klicken oder persönliche Daten preiszugeben, bleibt Phishing für Kriminelle eine zuverlässige Methode, in Unternehmensnetzwerke einzudringen. Unternehmen, die Inhaltsfilter und hochentwickelte E-Mail-Gateways einsetzen, senken die Erfolgsquote solcher Angriffe erheblich.
2. Ausgenutzte Software-Schwachstellen: Ransomware nutzt anfällige Frameworks, Betriebssysteme oder Entwicklungs- und Testschnittstellen, die nicht entfernt wurden. Mit gezielt erstellten Paketen oder Befehlen erlangen Kriminelle die Kontrolle und führen Code aus. So installieren sie die Ransomware, ohne dass Nutzer es bemerken. Rechtzeitige Patches, Schwachstellenscans und Segmentierung begrenzen diese Angriffswege. Ein einziger fehlender Patch kann ganze Infrastrukturen lahmlegen, wie groß angelegte Angriffe gezeigt haben.
3. Angriffe über das Remote Desktop Protocol (RDP): Schwache oder wiederverwendete Zugangsdaten für RDP-Sitzungen können Angreifer erraten oder durch Brute-Force-Angriffe ermitteln. Sobald sie in ein Netzwerk eingedrungen sind, verbreiten sie die Ransomware schnell über mehrere Freigaben oder Domänencontroller. MFA, die Beschränkung des RDP-Zugriffs auf VPN-Verbindungen oder die Deaktivierung des externen RDP-Zugriffs senken das Risiko erheblich. So reicht ein gestohlenes oder erratenes Passwort allein nicht für den Zugriff aus.
4. Drive-by-Downloads & schädliche Anzeigen: Phishing-Websites oder kompromittierte Adserver liefern Payloads an nicht aktualisierte Browser. Nutzer können eine infizierte Seite besuchen oder zufällig eine Anzeige sehen und dadurch verborgene Skripte aktivieren, die Ransomware herunterladen. Antivirensoftware auf Endpunkten oder aktuelle Browser können solche Skripte als schädlich erkennen. Mitarbeitende oder Systeme ohne Updates bleiben jedoch anfällig. In Kombination mit einer ausgereiften Inhaltsfilterung verringert dieser Ansatz das Risiko einer Drive-by-Infiltration erheblich.
5. Kompromittierung der Lieferkette: Kriminelle manipulieren auch Software-Updates von Anbietern und verbreiten infizierte Patches oder Bibliotheksabhängigkeiten. Sobald ein Unternehmen das „offizielle“ Update installiert, wird die verborgene Malware ausgeführt. Solche Angriffe auf die Lieferkette haben deutlich zugenommen, insbesondere Vorfälle mit weitreichenden Folgen. Unternehmen können ihnen vorbeugen, indem sie jedes Softwarepaket überprüfen, Codesignaturen kontrollieren und neu eingeführte Bibliotheken scannen.

Arten von Ransomware

Ransomware hat sich weiterentwickelt. Ihre Arten unterscheiden sich in Verschlüsselung, Infiltration und Erpressung. Manche sperren den Bildschirm, andere veröffentlichen Daten. Wer diese Unterschiede kennt, kann wirksame Abwehrmaßnahmen aufbauen. Im folgenden Abschnitt beschreiben wir sieben wichtige Bereiche der Entwicklung und Diversifizierung von Ransomware.

1. Krypto-Ransomware: Diese Varianten verschlüsseln Nutzerdaten mit starken Algorithmen und zwingen die Opfer, den Entschlüsselungsschlüssel zu kaufen. Kriminelle versuchen meist, ganze Verzeichnisse oder besonders wichtige Unternehmensfreigaben zu infizieren, um möglichst große Störungen auszulösen. Sind auch Backups betroffen oder fehlen sie ganz, sind die Aussichten auf eine Wiederherstellung gering. Viele aufsehenerregende Angriffswellen beruhen auf Erpressung durch Verschlüsselung.
2. Locker-Ransomware: Anders als bei Verschlüsselung, die Nutzer von ihren Systemen aussperrt, blockieren Locker-Varianten das Betriebssystem. Der normale Zugriff lässt sich dann nur durch Zahlung wiederherstellen, selbst wenn die Dateien nicht verschlüsselt sind. Der Verlust der Systemfunktionalität kann für Arbeitsplätze ebenso verheerend sein wie für Privatpersonen und Unternehmen. Da keine Verschlüsselung vorliegt, lassen sich möglicherweise Teile der Daten wiederherstellen, wenn fortschrittliche forensische Verfahren die Sperre aufheben.
3. Ransomware mit doppelter Erpressung: Cyberkriminelle stehlen Daten, bevor sie diese verschlüsseln. Werden ihre Forderungen nicht erfüllt, drohen sie mit der Veröffentlichung oder dem Verkauf der Daten. Das erhöht den Druck, denn Backups verhindern nicht, dass gestohlene Daten veröffentlicht werden. Häufig stellen die Täter Datenproben auf Leak-Websites bereit. Unternehmen drohen dadurch Reputationsschäden und rechtliche Folgen. Bei doppelter Erpressung können sich Opfer selbst nach Zahlung des Lösegelds nicht darauf verlassen, dass ihre Daten vertraulich bleiben. Die Kriminellen könnten ihr Versprechen brechen.
4. Ransomware-as-a-Service (RaaS): In RaaS-Modellen bieten erfahrene Bedrohungsakteure Affiliates mit geringen technischen Kenntnissen ihre Tools, also Ransomware-Kits, an. Affiliates greifen Ziele an, geben einen Teil des erpressten Geldes an die Gruppe weiter und weiten den Kreis der Infektionsziele aus. Diese Zusammenarbeit schafft einen florierenden Markt für spezialisierte Rollen bei der Infiltration, von Brokern für den Erstzugang bis hin zu Verhandlungsführern. RaaS führt weltweit zu mehr Ransomware-Angriffen, da für deren Durchführung weniger Fachkenntnisse erforderlich sind.
5. Dateilose Ransomware: Dateilose Varianten arbeiten überwiegend im Arbeitsspeicher und benötigen wenig Ressourcen. Daher schreiben sie nur wenige Daten auf Datenträger. Herkömmliche Antiviren- oder Scanprogramme erkennen manche dieser Prozesse möglicherweise nicht. Malware-Autoren nutzen Systemwerkzeuge wie PowerShell, um Verschlüsselungsbefehle unbemerkt auszuführen. Gegen diese Angriffswege brauchen Unternehmen eine verhaltensbasierte Erkennung und eingeschränkten Zugriff auf Skripte.
6. Mobile Ransomware: Diese Varianten sind speziell für Smartphones oder Tablets konzipiert. Sie sperren Nutzer von ihren Geräten aus oder verschlüsseln lokal gespeicherte Dateien. Cyberkriminelle verbreiten schädliche Apps über Drittanbieter-Marktplätze oder integrieren sie in Updates. Mit persönlichen Daten oder geschäftlichen Zugangsdaten auf dem Gerät setzen sie Betroffene unter Druck, für die Wiederherstellung zu zahlen. Strenge Kontrollen bei App-Downloads und regelmäßige Geräte-Backups erschweren solche Angriffe erheblich.
7. Wiper-Ransomware: Diese destruktive Variante löscht oder beschädigt Daten, statt sie nach einer Zahlung zu entschlüsseln. Die Kommunikation ähnelt zwar der herkömmlicher Ransomware, doch das eigentliche Ziel kann Zerstörung oder Verunsicherung sein. Cyberkriminelle setzen Wiper-Varianten ein, um Geschäftsabläufe zu stören oder sogar kritische Infrastrukturen zu sabotieren. Da es keinen Wiederherstellungsschlüssel gibt, lassen sich Daten nur mit Backups und einem belastbaren Plan zur Reaktion auf Sicherheitsvorfälle wiederherstellen.

Mehr erfahren: Arten von Ransomware-Angriffen

Häufige Angriffsvektoren für Ransomware

Neben Phishing und ungepatchten Anwendungen nutzt Ransomware weitere Wege, um in Systeme einzudringen und Zugriffsrechte auszuweiten. Angreifer suchen kontinuierlich nach Schwachstellen in Unternehmen, darunter gestohlene Zugangsdaten und ausnutzbare Verbindungen zu Partnern. Wir beschreiben fünf der häufigsten Angriffswege und zeigen, wie Cyberkriminelle vom ersten Eindringen bis zur Datenverschlüsselung vorgehen.

1. Phishing und Social Engineering: Bei dieser Methode erhalten Mitarbeitende E-Mails mit Links zu gefälschten Websites, weiteren E-Mails oder Anhängen mit infizierten Makros, die Ransomware starten. Die Nachrichten wirken, als kämen sie aus der Personal- oder Finanzabteilung oder von einem bekannten Anbieter. Nach der Ausführung verbreitet sich die Malware schnell und greift lokale Verzeichnisse oder eingebundene Freigaben an. Spamfilter, geschulte Mitarbeitende und Zwei-Faktor-Authentifizierung senken die Erfolgsquote solcher Angriffe.
2. Credential Stuffing und Password Spraying: Da zahlreiche Zugangsdaten im Internet veröffentlicht wurden, versuchen Cyberkriminelle, mit denselben Zugangsdaten auf Unternehmens-VPNs oder Remote-Zugänge zuzugreifen. Sobald sie ein Ziel identifiziert haben, schleusen sie die Malware ins Netzwerk ein und tarnen sie in den meisten Fällen als legitimen Nutzer. Strenge Passphrasenrichtlinien oder erzwungene Passwortwechsel in kurzen Abständen verringern ebenfalls die Möglichkeiten zum Eindringen. Zudem senken MFA und Einschränkungen anhand des Gerätekontexts die Erfolgsquoten passwortbasierter Angriffe.
3. Exploit-Kits und Malvertising: Angreifer platzieren Exploit-Code in Werbeanzeigen oder auf Websites, die sie kontrollieren, und leiten Nutzer dorthin um. Anschließend führen anfällige Browser oder Plug-ins die Ransomware aus. Auch seriöse Nachrichten- oder E-Commerce-Websites können schädliche Anzeigen ausliefern, wenn ihre Werbenetzwerke kompromittiert wurden. Content-Filter, gepatchte Browser und eine eingeschränkte Nutzung von Plug-ins verhindern solche Angriffsversuche.
4. Remote-Desktop-Dienste und VPN-Schwachstellen: RDP und ältere VPN-Produkte mit bekannten CVEs sind weiterhin häufig falsch konfiguriert und bieten Angreifern einen direkten Zugang. Angreifer verschaffen sich per Brute Force oder durch das Ausnutzen von Schwachstellen Zugriff auf diese Systeme. Anschließend laden sie Ransomware direkt auf Zielserver herunter und führen sie aus. Ohne Schutzmaßnahmen wie Kontosperren oder Firmware-Updates bleibt dieser Angriffsweg offen. Eine zusätzliche Schutzebene entsteht, wenn Unternehmen RDP hinter einem Unternehmens-VPN mit MFA abschirmen.
5. Kompromittierung der Lieferkette: Cyberkriminelle manipulieren Software-Updates vertrauenswürdiger Anbieter oder Bibliotheken, um schädliche Module in Ihre Umgebung einzuschleusen. Der Code wird ausgeführt, sobald die Updates in Ihre Patch-Systeme oder Build-Pipelines gelangen. RaaS-Gruppen kaufen zudem Zugänge von kompromittierten Anbietern und erreichen darüber größere Unternehmen. Risikobewertungen von Anbietern, die Prüfung von Code-Signaturen und Scans decken diese verborgenen Angriffswege auf.

Wie funktioniert Ransomware?

Wer die Funktionsweise von Ransomware kennt, versteht besser, wie sie sich verbirgt, wie schnell sie sich weiterentwickelt und welche Gefahr von ihr ausgeht. Angreifer kombinieren Methoden zum Eindringen und Verschlüsseln mit Lösegeldforderungen. Diese können vage formuliert sein und dennoch erheblichen Druck ausüben. Die folgenden fünf Prozesse zeigen, wie dieser Angriffskreislauf abläuft:

1. Erstzugriff und Einschleusen der Schadsoftware: Cyberkriminelle finden einen Einstiegspunkt, etwa über Phishing, Exploit-Pakete oder gestohlene Zugangsdaten, und schleusen Malware ein. Die Schadsoftware prüft häufig die Systemarchitektur, vorhandene Antivirensoftware und die Berechtigungen des Nutzers. Findet sie günstige Bedingungen vor, aktiviert oder erstellt sie weitere Module. Eine frühzeitige Erkennung kann die gesamte Angriffskette unterbrechen.
2. Ausweitung von Berechtigungen und laterale Bewegung: Im Zielsystem nutzen Cyberkriminelle Schwachstellen oder Standardpasswörter aus, um von Nutzer- zu Administratorrechten zu gelangen. Anschließend bewegen sie sich durch das Netzwerk und suchen nach Freigaben, Backup-Servern oder Domänencontrollern. Indem sie Sicherheitsprotokolle oder EDR-Agenten deaktivieren, verschleiern sie ihren Fortschritt. So breitet sich der Angriff aus, bevor die Verschlüsselung beginnt, und verursacht größtmögliche Störungen.
3. Datenexfiltration und doppelte Erpressung: Bei modernen Angriffen werden vertrauliche Daten auf andere Server übertragen, bevor die Verschlüsselung beginnt. Cyberkriminelle fordern Lösegeld dafür, die gestohlenen Informationen nicht zu veröffentlichen. Das erhöht den Druck bei Verhandlungen – Backups allein reichen nicht aus, wenn eine Veröffentlichung der Daten droht. Die Verbindung von Datendiebstahl und Erpressung zwingt betroffene Unternehmen, sowohl Betriebsunterbrechungen als auch Reputationsschäden zu berücksichtigen.
4. Verschlüsselung und Sperrung: Sobald die Malware aktiv ist, verschlüsselt sie Zieldateien mit starken Verfahren wie AES oder RSA. Die Dateien sind dann nicht mehr zugänglich. Die Angreifer hinterlassen eine Lösegeldforderung, verlangen eine Zahlung in Kryptowährung und setzen häufig eine Frist. Sind Backups verbunden, können sie ebenfalls verschlüsselt werden. Im weiteren Verlauf wird der Angriff aggressiver und stört auch die Bemühungen des Systems zur Wiederherstellung.
5. Lösegeldverhandlung und mögliche Entschlüsselung: Betroffenen bleibt dann die Wahl zwischen der Zahlung des Lösegelds und der Wiederherstellung aus Backups. Cyberkriminelle geben nach der Zahlung meist ein Entschlüsselungstool heraus. Ob es zuverlässig funktioniert, ist jedoch ungewiss. Manche veröffentlichen die Daten trotzdem oder liefern nicht funktionierende Schlüssel. Offline- oder Air-Gapped-Backups und erprobte Wiederherstellungspläne können eine Lösegeldzahlung von vornherein vermeiden.

Phasen eines Ransomware-Angriffs

Die Einzelheiten eines Angriffs hängen von der Ransomware-Variante und der betroffenen Umgebung ab. Dennoch folgen die meisten Ransomware-Angriffe ähnlichen Phasen. Wer den Angriff früh stoppt – etwa indem er den ersten Ausnutzungsversuch blockiert –, verhindert eine weitere Eskalation. Im Folgenden beschreiben wir die typischen Phasen von der Aufklärung bis zur Erpressung und zeigen, wie Angreifer systematisch zur Verschlüsselung gelangen.

1. Aufklärung: Angreifer untersuchen Netzwerke, beschaffen sich Passwörter aus Datenlecks oder recherchieren Mitarbeiterprofile auf LinkedIn. Sie suchen nach verwundbaren Zielen wie ungepatchten Servern, offenen Ports oder Personen mit Zugriff auf Daten. Dabei identifizieren sie wertvolle Ressourcen wie Finanzdatenbanken oder Domänencontroller. Eine genaue Analyse der Umgebung zeigt ihnen Wege auf, in das Unternehmen einzudringen.
2. Erste Kompromittierung: Auf Grundlage ihrer Erkenntnisse schleusen Cyberkriminelle Malware ein oder testen Zugangsdaten. Sie geben sich möglicherweise als Mitarbeitende aus oder nutzen bekannte Software-Schwachstellen aus. Sobald sie über einen ersten Einstiegspunkt, etwa einen Desktop, Zugang haben, sammeln sie weitere Informationen über die Umgebung. So bereiten sie ein tieferes Eindringen und laterale Bewegungen vor.
3. Ausweitung von Berechtigungen und laterale Bewegung: Angreifer nutzen lokale Schwachstellen oder einfache Brute-Force-Angriffe, um Domänen- oder Root-Rechte zu erlangen. Sie durchsuchen eingebundene Laufwerke, Netzwerkfreigaben und Cloud-APIs nach wertvollen Informationen. Indem sie Sicherheitsprotokolle kontrollieren oder umgehen, entziehen sie ihren Angriff der Erkennung. Ohne Mikrosegmentierung kann so ein einziges kompromittiertes Nutzerkonto ganze Netzwerksegmente gefährden.
4. Datenexfiltration: Mit Administratorrechten übertragen Cyberkriminelle unbemerkt Informationen auf Server außerhalb des Unternehmensnetzwerks. Damit bereiten sie die doppelte Erpressung vor: Sie drohen mit der Veröffentlichung der Daten, falls das Lösegeld nicht gezahlt wird. Die gestohlenen Daten helfen ihnen außerdem, die Höhe der Forderung und die Sensibilität der Informationen einzuschätzen. Betroffene bemerken den Datenverlust oft erst, wenn die Lösegeldforderung eingeht oder ungewöhnlicher Datenverkehr auffällt.
5. Verschlüsselung und Lösegeldforderung: Schließlich verschlüsselt der Code wichtige Dateien mit einem starken Schlüssel und hinterlegt eine Nachricht mit Anweisungen zur Entschlüsselung und der geforderten Geldsumme. Die Angreifer verlangen die Zahlung meist in Kryptowährung, setzen eine kurze Frist oder drohen mit der Veröffentlichung gestohlener Daten. Wenn auch Backups verloren gehen oder Mitarbeitende nicht vorbereitet sind, liegt der Betrieb den ganzen Tag lahm. Diese letzte Phase besiegelt den Erfolg der Infiltration, sofern der Angriff nicht erkannt und gestoppt oder die infizierten Systeme nicht schnell offline gesichert werden.

Methoden bei Ransomware-Angriffen

Cyberkriminelle nutzen unterschiedliche Methoden zum Eindringen und Erpressen. Sie setzen an verschiedenen Schwachstellen und Verhaltensweisen von Mitarbeitenden an. Wer diese Ransomware-Methoden versteht, kann die Abwehr an jedem möglichen Einstiegspunkt stärken. Die folgenden fünf Beispiele zeigen, wie vielseitig und anpassungsfähig moderne Angreifer vorgehen:

1. Malspam und Spear Phishing: E-Mail-Angriffe sind bis heute die häufigste Methode, in Systeme einzudringen – ob massenhaft oder gezielt. Dabei nutzen Angreifer aus, dass weniger sicherheitsbewusste Mitarbeitende präparierte Anhänge herunterladen oder auf Links klicken. Beim Spear-Phishing enthalten die Nachrichten Informationen, die Kriminelle aus sozialen Medien oder früheren Angriffen gewonnen haben. Sobald Makros oder Exploit-Kits ausgeführt werden, beginnt die Verschlüsselung oder Exfiltration. Fortschrittliche E-Mail-Filter, geschulte Mitarbeitende und die Überprüfung von Links verhindern eine erfolgreiche Infiltration.
2. Exploit-Kits und Drive-by-Kompromittierung: Malware wird auf gezielt ausgewählten oder kompromittierten Websites oder über schädliche Werbung verbreitet. Ungepatchte Browser und Plug-ins bieten einen Einstiegspunkt, sobald Mitarbeitende die Seite aufrufen. Selbst große Werbenetzwerke können gelegentlich schädliche Anzeigen auf seriösen Websites ausspielen. Konsequentes Patch-Management und eine eingeschränkte Nutzung von Plug-ins begrenzen diese Angriffswege erheblich.
3. Remote-Dienste und RDP-Angriffe: Hacker prüfen RDP-Endpunkte oder SSH-Verbindungen proaktiv, um Standardanmeldedaten oder eine entdeckte CVE auszunutzen. Erlangen Angreifer Domänenadministratorrechte oder Root-Zugriff auf das Betriebssystem, können sie Verschlüsselungsroutinen auf Systemebene installieren. Maßnahmen wie Multi-Faktor-Authentifizierung oder die Beschränkung des Fernzugriffs auf Ressourcen hinter einem VPN oder Zero-Trust-Schutz verringern die Wahrscheinlichkeit erfolgreicher Cyberangriffe erheblich. Die wiederholte Prüfung von Protokollen auf ähnliche Einträge ist eine weitere Möglichkeit, Brute-Force-Versuche frühzeitig zu erkennen.
4. Manipulierte Software und kompromittierte Drittanbieter: Angreifer manipulieren legitime Software-Updates für Treiber, Plug-ins oder Bibliotheken und integrieren Ransomware-Code. Betroffene führen die Updates aus, weil sie glauben, sie vom Anbieter oder einer Mirror-Site herunterzuladen. So wird die Software-Lieferkette zum Angriffsweg mit weitreichenden Folgen. Die Prüfung von Code-Signaturen, konsequentes Risikomanagement für Anbieter und Pipeline-Scans stoppen diese verdeckten Angriffsvektoren.
5. Laterale Ausbreitung ausgehend von anderer Malware: Manchmal beginnt das Eindringen mit einem unauffälligen Trojaner oder Keylogger, der heimlich Benutzernamen oder Passwörter sammelt. Sobald Angreifer wertvolle Daten gefunden haben, beginnen sie mit der eigentlichen Verschlüsselung. Der Verschlüsselungsprozess der Ransomware startet, bevor die Mitarbeitenden bemerken, dass etwas nicht stimmt. Verhaltensbasierte EDR-Lösungen erkennen ungewöhnliche Richtungswechsel im Angriff und stoppen das Eindringen vor dem entscheidenden Schlag.

Beispiele für Ransomware-Angriffe

Ransomware zeigt, wozu Kriminelle fähig sind – sie können Betriebsabläufe lahmlegen oder Millionen Dollar für deren Freigabe fordern. Deshalb ist wichtig zu wissen: Selbst Organisationen mit umfangreichen Ressourcen können überrascht werden, wenn ein Einfallstor ungeschützt bleibt. Der folgende Abschnitt stellt vier Fälle vor. Sie zeigen, wie schwerwiegend das Eindringen war, wie die Unternehmen reagierten und welche Folgen es hatte.

1. LoanDepot (2024): Im Januar meldete LoanDepot, einer der größten Hypothekenkreditgeber, einen Ransomware-Angriff vom 3. bis 5. Januar, bei dem Daten verschlüsselt und sensible Kundeninformationen gestohlen wurden und der zu Serviceunterbrechungen für 16,6 Millionen Verbraucher führte. Alphv/BlackCat bekannte sich zu dem Angriff, der sich in die Reihe schwerwiegender Sicherheitsverletzungen durch die Gruppe einfügt. Der jüngste Angriff auf LoanDepot zeigt, dass Finanzunternehmen mit großen Mengen an Nutzerdaten für Erpresser besonders attraktiv sind.
2. Veolia (2024): Veolia North America, ein Unternehmen für Wasser- und Energierecycling, gab an, Opfer eines Ransomware-Angriffs geworden zu sein, durch den einige seiner Backend-Systeme nicht verfügbar waren. Der Betrieb der Wasseraufbereitung blieb ungestört, doch die Abrechnungsdienste waren beeinträchtigt, was für Kunden zu Unannehmlichkeiten führte. Nach einer teilweisen Datenschutzverletzung benachrichtigte das Unternehmen die betroffenen Nutzer. Dies zeigt, dass Anbieter kritischer Infrastruktur zunehmend angegriffen werden, um eine schnelle Zahlung des geforderten Lösegelds zu erzwingen.
3. Ascension (2024): Ascension, ein Gesundheitssystem mit Sitz in St. Louis, gab im Mai bekannt, dass Ransomware elektronische Patientenakten (EHR) und einige Telefonleitungen beeinträchtigt hatte. Über einen Monat lang kam es für Patienten zu Problemen bei der Terminplanung und zu Unklarheiten bei der Bestellung von Medikamenten. Einige Standorte leiteten sogar Krankenwagen um, während das Personal die arbeitsreichste Woche seit Beginn der Aufzeichnungen bewältigen musste. Das Zusammenspiel zeigt, wie gefährliche Ransomware-Vorfälle die unverzichtbare Gesundheitsversorgung stören und damit nicht nur die Stabilität von Krankenhäusern, sondern auch das Leben von Patienten gefährden.
4. Stadtverwaltung von Cleveland (2024): Im Juni legten Hacker die Stadt Cleveland lahm, sodass das Rathaus nach einem Angriff, der Abrechnungssysteme und behördliche Verwaltungsabläufe beeinträchtigte, 11 Tage lang geschlossen blieb. Mitarbeitende isolierten die betroffenen Computer und versuchten, die Daten aus Sicherungskopien wiederherzustellen. Die Stadt erklärte, sie werde das Lösegeld nicht zahlen, obwohl sie nicht bestätigen konnte, ob Daten gestohlen worden waren. Dieses Zusammenwirken zeigt, wie selbst schädliche Ransomware-Angriffe sämtliche kommunalen Dienste lahmlegen können, was den Alltag der Einwohner beeinträchtigt.

Wie lassen sich Ransomware-Angriffe verhindern?

Zum Schutz vor dem Eindringen reichen bessere Anwendungen allein nicht aus. Auch gut geschulte Mitarbeitende, sichere Konfigurationen und getestete Backups sind entscheidend. Eine einzelne Maßnahme genügt nicht, denn Kriminelle ändern ihre Strategien laufend. Diese fünf grundlegenden Maßnahmen senken das Risiko eines Eindringens erheblich und beschleunigen die Behebung nach einem Vorfall:

1. Umfassende Schulung der Mitarbeitenden: Phishing und Social Engineering gehören nach wie vor zu den häufigsten Methoden, mit denen Angreifer in Unternehmen eindringen. Regelmäßige Schulungen und simulierte Phishing-Angriffe schärfen das Bewusstsein der Mitarbeitenden für mögliche Bedrohungen. Sorgen Sie mit weiteren Sicherheitsmaßnahmen dafür, dass ausschließlich komplexe Passphrasen statt einfacher, leicht zu erratender Passwörter verwendet werden. So sinkt das Risiko, dass ein unbedachter Klick oder wiederverwendete Passwörter ganze Netzwerke gefährden.
2. Multi-Faktor-Authentifizierung vorschreiben: Selbst wenn Kriminelle Passwörter erraten oder erlangen, erschwert ein zweiter Authentifizierungsfaktor, etwa ein ans Telefon gesendeter Code oder ein physischer Sicherheitstoken, das Eindringen. MFA ist besonders bei der Anmeldung an Administrator- oder Domänenkonten über Remote-VPN- oder RDP-Verbindungen zu empfehlen. Das senkt die Erfolgschancen von Credential Stuffing erheblich. Ergänzend stärken Single Sign-On und kontextbasierte Richtlinien langfristig die Sicherheit der Authentifizierung.
3. Regelmäßige Patches und Schwachstellenscans: Zeitnahe Updates für Betriebssysteme, Anwendungen und Firmware schließen bekannte Einfallstore. Regelmäßige Scans decken neu veröffentlichte CVEs oder Zero-Day-Schwachstellen auf. Sie sollten auch kurzlebige Ressourcen wie Container oder Entwicklungs- und Testserver erfassen. Werden Scans mit dem Zusammenführen von Änderungen in der Pipeline verknüpft, können Entwicklungs- und Betriebsteams Schwachstellen vor der Übernahme in die Produktionsumgebung beheben.
4. Mikrosegmentierung und Zero-Trust-Architektur: Die Aufteilung von Netzwerken in Segmente verhindert, dass sich Angreifer seitlich bewegen, nachdem sie in einen Server, Endpunkt oder eine Cloud-Ressource eingedrungen sind. Zero Trust prüft bei jeder Anfrage Identität und Berechtigung. Das verhindert unbefugten Zugriff mit gestohlenen oder erratenen Zugangsdaten. Softwaredefinierte Perimeter oder streng begrenzende VLAN-Regeln halten Einfallstore so klein wie möglich. Zusammen verhindern Segmentierung und Zero Trust, dass sich ein Angriff auf die gesamte Umgebung ausbreitet.
5. Air-Gapped-Backups und Notfallübungen: Selbst mit den wirksamsten Sicherheitsmaßnahmen lässt sich nicht jede Form des Eindringens verhindern. Deshalb ist ein Offline-Backup unerlässlich. Überprüfen Sie regelmäßig die Wiederherstellungspunkte, um sicherzustellen, dass die Daten aktuell und unbeschädigt sind. Wenn Kriminelle Produktionssysteme verschlüsseln, lassen sich diese mithilfe von Offline-Backups schnell wiederherstellen, ohne Lösegeld zu zahlen. Mithilfe von Runbooks für Sicherheitsvorfälle können Mitarbeitende tatsächliche Infiltrationen leichter bewältigen und so ungeordnete Abläufe reduzieren.

Ransomware erkennen und entfernen

Auch Maßnahmen zur Ransomware-Prävention bieten keinen lückenlosen Schutz. Angreifer können etwa eine Zero-Day-Schwachstelle ausnutzen oder durch einen Social-Engineering-Angriff eindringen. Wird Schadcode früh erkannt, lässt sich die Verschlüsselung noch während des Vorgangs stoppen und die gesamte Umgebung schützen. Diese fünf Schritte zeigen, wie Sie gefährliche Verhaltensweisen schnell erkennen und Ransomware nach einer Infektion gezielt entfernen:

1. Verhaltensbasierter Endpunktschutz: Ein Virenschutz, der nur Signaturen prüft, hält mit häufigen und schnellen Codeänderungen oft nicht Schritt. Fortschrittliche EDR-Lösungen beobachten stattdessen das Verhalten zur Laufzeit, etwa wenn ein neuer Prozess zahlreiche Dateien gleichzeitig verschlüsselt. Entspricht eine Anomalie einem bekannten Angriffsmuster, wird der betreffende Prozess isoliert oder unter Quarantäne gestellt. So werden auch dateilose oder völlig neue Schadprogramme in Echtzeit erkannt.
2. Überwachung von Netzwerkanomalien: Datenübertragungen außerhalb der üblichen Arbeitszeiten oder ein plötzlicher starker Anstieg der Bandbreitennutzung können auf Datenexfiltration oder massenhafte Verschlüsselung hinweisen. SIEM- oder NDR-Anwendungen erkennen solche Muster und benachrichtigen das Sicherheitsteam zur weiteren Untersuchung. Die Analyse der Verkehrsverteilung und des Ost-West-Datenverkehrs kann frühe Phasen einer seitlichen Bewegung aufdecken. So lässt sich verhindern, dass Angreifer Fuß fassen und sämtliche Dateien verschlüsseln oder gestohlene Daten übertragen.
3. Ransomware-Scanner: Manche Anti-Ransomware-Programme suchen gezielt nach bestimmten Verschlüsselungsalgorithmen, Umbenennungsvorgängen oder Dateiendungen, die typischerweise mit verschlüsselten Dateien verbunden sind. Sie können auch nach unvollständigen Schreibvorgängen durch Ransomware oder Änderungen an Volumeschattenkopien suchen. Bei einem Treffer beenden sie entweder den verursachenden Prozess oder stellen veränderte Dateien mithilfe von Journaling wieder her. Ergänzend zum herkömmlichen Virenschutz verkürzen diese Scanner die Zeit bis zur Erkennung eines Eindringens erheblich.
4. Automatisierte Eindämmung und Wiederherstellung: Sobald ein Automatisierungsframework ausgelöst wird, kann es infizierte Hosts abschalten und den Netzwerkzugriff sperren. So stoppt es seitliche Bewegungen. Einige fortschrittliche Plattformen bieten eine „Rollback“-Funktion, mit der Mitarbeitende den Systemzustand vor der Infektion wiederherstellen können. Die Verknüpfung von Erkennung und Eindämmung verhindert, dass Kriminelle sich seitlich bewegen oder Daten exfiltrieren. Das spart im entscheidenden Zeitfenster Zeit und begrenzt die Folgen des Angriffs.
5. Ransomware-Entfernung und forensische Bereinigung: Nach der Eindämmung muss verbliebener Schadcode unschädlich gemacht werden. Systemdateien sind zu prüfen und alle möglichen Auslöser zu beseitigen. Dazu gehört unter Umständen, Autostart-Programme, geplante Aufgaben und die Registrierung auf schädliche Verknüpfungen zu prüfen. Bei teilweiser Verschlüsselung lassen sich Dateien aus Backups wiederherstellen oder mit Entschlüsselungswerkzeugen entschlüsseln. Eine gründliche Analyse der Ransomware nach dem Vorfall verbessert künftige Erkennungsregeln und schließt Einfallstore.

Ransomware-Angriffe mit SentinelOne verhindern

Die autonome KI-gestützte Bedrohungserkennung von SentinelOne schützt Unternehmen vor Malware, Ransomware, Phishing und anderen Cyberbedrohungen. Die Offensive Security Engine mit Verified Exploit Paths erkennt Auffälligkeiten, deckt neue Angriffswege auf und entschärft sie, bevor sie ausgenutzt werden.

Der fortschrittliche Endpunktschutz von SentinelOne schützt VMs, Workloads, Clouds, Container, Benutzer und Identitäten. Purple AI, ein GenAI-Cybersecurity-Analyst, liefert einzigartige Erkenntnisse über Angreifer und Sicherheits-Pipelines. Sie erhalten umfassende Sicherheit für Ihre CI/CD-Pipeline und eine angemessene Sicherheitsabdeckung. SentinelOne erkennt mehr als 750 verschiedene Arten von Secrets und verhindert die Offenlegung von Cloud-Zugangsdaten.

Sie können inaktive oder ruhende Konten identifizieren und nach schädlichen Prozessen suchen, bevor diese Konten übernehmen oder Berechtigungen ausweiten. SentinelOne führt aktive und passive Scans im Hintergrund durch und ist rund um die Uhr im Einsatz. Bei Problemen erhalten Sie automatisch Alerts, während Fehlalarme vermieden werden.

Die Plattform bietet außerdem eine Snyk-Integration und ein agentenloses, ganzheitliches CNAPP für umfassenden Schutz. Mit den Produkten von SentinelOne gewährleisten Sie zudem die kontinuierliche Einhaltung regulatorischer Standards wie SOC 2, NIST, HIPAA und CIS Benchmark. Die Plattform schützt Organisationen auch vor Angriffen auf Active Directory und Entra ID.

Tour starten

KI-gestützte Endpoint Detection and Response.

Fazit

Ransomware zählt weiterhin zu den gefährlichsten Bedrohungen für moderne Unternehmen, da sie Daten, Geschäftsprozesse und das Vertrauen der Kunden gefährdet. Bei Infiltrationsmethoden wie Phishing, Exploit-Kits oder lateraler Bewegung ist es deutlich wirksamer, jede Vorgehensweise einzeln zu analysieren und mehrere Schutzebenen aufzubauen. Doch das Verhindern des Eindringens ist nur ein Teil der Lösung. Die Erkennung bösartiger Aktivitäten während eines Angriffs und zuverlässige Backup-Systeme bilden die beiden weiteren Säulen. Ob kurzlebige Cloud-Umgebung oder seit Jahren genutzter On-Premises-Server: Scans, Schulungen für Mitarbeitende und Mikrosegmentierung reduzieren die Zahl der Eintrittswege erheblich.

Eine einzelne Maßnahme reicht nicht aus, wenn Kriminelle neue Strategien für das Eindringen entwickeln, etwa doppelte Erpressung oder fortschrittliche Wurmfunktionen. Kontinuierliche Verbesserungen auf Basis klar definierter Richtlinien, bewährter Backups und adaptiver EDR-Lösungen halten das Risiko eines Eindringens unter Kontrolle. Zusammen mit einem speziellen Ransomware-Scanner oder einer KI-basierten Endpoint Protection Platform wie SentinelOne erhält Ihre Umgebung Erkennung in Echtzeit und automatische Behebung.

KI-gestützte Cybersicherheit

Verbessern Sie Ihre Sicherheitslage mit Echtzeit-Erkennung, maschineller Reaktion und vollständiger Transparenz Ihrer gesamten digitalen Umgebung.

Demo anfordern