Ransomware: Wie sich der Mittelstand wirklich schützt

Wirksamer Schutz vor Ransomware steht auf fünf Säulen: getestete Backups nach der 3-2-1-Regel, Mehr-Faktor-Anmeldung für alle Konten, konsequent eingespielte Updates, moderner Endpunktschutz und geschulte Mitarbeitende. Ergänzt um eingeschränkte Benutzerrechte, abgesicherte Fernzugänge und einen geübten Notfallplan senken diese Maßnahmen das Risiko eines erfolgreichen Angriffs wirksam und verkürzen im Ernstfall die Ausfallzeit deutlich. Kein einzelnes Produkt löst das Problem, entscheidend ist das Zusammenspiel mehrerer Bausteine. In diesem Ratgeber erklären wir die zehn wichtigsten Maßnahmen in der Reihenfolge ihrer Wirkung, jeweils mit einer ehrlichen Einschätzung des Aufwands.

Bevor Sie in die Details einsteigen, lohnt eine kurze Standortbestimmung: Wo stehen Sie heute? Der kostenlose Ransomware-Check zeigt es Ihnen in einer Minute und gibt eine erste Orientierung, welche der folgenden Maßnahmen bei Ihnen Priorität haben sollten.

Was Ransomware genau ist

Ransomware ist eine Schadsoftware, die Ihre Dateien verschlüsselt und sie damit unbrauchbar macht. Für die angebliche Freigabe verlangen die Angreifer ein Lösegeld, meist in Kryptowährung. Häufig drohen sie zusätzlich damit, vorher gestohlene Daten zu veröffentlichen. Diese doppelte Erpressung ist inzwischen der Normalfall: Selbst wer seine Daten aus einem Backup wiederherstellen kann, steht noch vor der Frage, was mit den kopierten Kunden- und Geschäftsdaten geschieht.

Eine Zahlung ist dabei keine Garantie. Oft werden Daten trotzdem nicht oder nur teilweise wiederhergestellt, und gestohlene Informationen bleiben in den Händen der Täter. Der eigentliche Schaden entsteht ohnehin selten durch das Lösegeld allein, sondern durch den Betriebsstillstand: Rechnungen können nicht geschrieben, Aufträge nicht bearbeitet, Kunden nicht bedient werden. Genau deshalb zielt guter Schutz auf zwei Dinge: den Angriff möglichst verhindern und im Ernstfall schnell wieder arbeitsfähig sein.

Warum gerade kleine und mittlere Unternehmen im Visier stehen

Viele Inhaber denken, ihr Betrieb sei zu klein, um für Angreifer interessant zu sein. Die Zahlen sagen das Gegenteil. Laut BSI-Lagebericht 2025 wurden im Berichtszeitraum Juli 2024 bis Juni 2025 rund 950 Ransomware-Angriffe beim Bundeskriminalamt angezeigt, davon richteten sich laut BSI etwa 80 Prozent gegen kleine und mittlere Unternehmen. Da viele Vorfälle nie angezeigt werden, dürfte die tatsächliche Zahl deutlich höher liegen. Was der Bericht für den Mittelstand insgesamt bedeutet, haben wir in unserer Auswertung des BSI-Lageberichts 2025 im Detail eingeordnet.

Der Bericht liefert auch eine Erklärung für diese Schieflage: Die am CyberRisikoCheck nach DIN SPEC 27076 teilnehmenden KMU erfüllten im Schnitt nur knapp 56 Prozent der überprüften Basisanforderungen. Viele Unternehmen halten sich zugleich für gut aufgestellt und entdecken die Lücken erst nach einem Vorfall. Gleichzeitig wächst die Angriffsfläche: Das BSI registrierte im Schnitt rund 119 neue Schwachstellen pro Tag, ein Anstieg von etwa 24 Prozent gegenüber dem Vorjahr, dazu etwa 280.000 neue Schadprogrammvarianten täglich.

Angreifer müssen sich ihre Ziele also gar nicht gezielt aussuchen. Die meisten Angriffe laufen automatisiert ab und treffen schlicht den, der eine offene Tür stehen lässt. Genau darin liegt aber auch die gute Nachricht: Wer die Grundlagen sauber umsetzt, fällt aus dem Raster der leichten Ziele heraus.

Wie die Angreifer hereinkommen

Die Einfallstore sind fast immer dieselben, und sie sind seit Jahren bekannt:

• Eine Phishing-Mail mit präpariertem Anhang oder Link, die einen Mitarbeitenden zum Klick verleitet
• Ein gestohlenes oder schwaches Passwort ohne zweite Absicherung, oft aus früheren Datenlecks
• Eine veraltete Software mit bekannter Sicherheitslücke, die nie gepatcht wurde
• Schlecht gesicherte Fernzugänge ins Firmennetz, allen voran offen erreichbare Remote-Desktop-Verbindungen

Auffällig ist: Keines dieser Einfallstore erfordert besonders raffinierte Technik auf Seiten der Angreifer. Entsprechend unspektakulär, aber wirksam sind die Gegenmaßnahmen. Die folgenden zehn Bausteine decken alle vier Einfallstore ab und sorgen zusätzlich dafür, dass ein erfolgreicher Angriff nicht zur Katastrophe wird.

Die 10 wichtigsten Maßnahmen, priorisiert

Die Reihenfolge folgt der Wirkung für ein typisches kleines oder mittleres Unternehmen. Wenn Sie nur an einer Stelle anfangen können, fangen Sie oben an.

1. Getestete Backups nach der 3-2-1-Regel

Das Backup ist Ihr wichtigstes Sicherheitsnetz, denn es nimmt der Erpressung die Grundlage. Bewährt hat sich die 3-2-1-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine außer Haus und vom Netz getrennt oder unveränderbar gespeichert. Das ist entscheidend, weil moderne Ransomware gezielt nach erreichbaren Sicherungen sucht und sie mitverschlüsselt. Ein professionelles Cloud Backup deckt den externen Teil sauber ab. Ebenso wichtig wie das Sichern ist das Testen: Üben Sie die Wiederherstellung regelmäßig, denn ein Backup, das sich im Ernstfall nicht zurückspielen lässt, ist wertlos.

Aufwand: mittel

2. Mehr-Faktor-Anmeldung überall

Ein gestohlenes Passwort allein darf nie ausreichen, um in Ihre Systeme zu gelangen. Mit einer Mehr-Faktor-Anmeldung bestätigen Ihre Mitarbeitenden jede Anmeldung zusätzlich, etwa per App auf dem Smartphone. Selbst wenn Zugangsdaten durch Phishing oder ein Datenleck in falsche Hände geraten, bleibt die Tür in aller Regel zu. Gerade für Microsoft 365, E-Mail-Konten und alle Fernzugänge ist das eine der wirksamsten Maßnahmen überhaupt. In den meisten Umgebungen ist die Funktion bereits enthalten und muss nur konsequent aktiviert und für alle Konten verpflichtend gemacht werden.

Aufwand: gering

3. Updates konsequent einspielen

Jede bekannte, aber ungeschlossene Sicherheitslücke ist eine offene Einladung. Angreifer durchsuchen das Internet automatisiert nach verwundbaren Systemen, oft schon kurz nach Bekanntwerden einer Schwachstelle. Mit einem automatisierten Patchmanagement bleiben Betriebssysteme und Programme aktuell, ohne dass jemand im Tagesgeschäft daran denken muss. Wichtig ist der vollständige Blick: Neben Windows und Office gehören auch Router, Firewalls, NAS-Systeme und Fachanwendungen dazu, denn gerade die vergessenen Randsysteme bleiben oft jahrelang ungepatcht und werden damit zum bevorzugten Einstiegspunkt.

Aufwand: mittel

4. Moderner Endpunktschutz

Klassischer Virenschutz erkennt nur, was bereits bekannt ist. Moderne Endpoint Protection beobachtet zusätzlich das Verhalten auf dem Gerät und schlägt an, wenn ein Prozess beginnt, in kurzer Zeit viele Dateien zu verschlüsseln. So lässt sich ein Angriff stoppen, bevor er sich im Netzwerk ausbreitet. Noch einen Schritt weiter geht die Kombination mit einer Überwachung durch Fachleute: Dann werden Alarme auch nachts und am Wochenende geprüft und beantwortet, wenn in Ihrem Betrieb niemand auf den Bildschirm schaut.

Aufwand: gering

5. Awareness-Schulungen für Mitarbeitende

Die meisten Angriffe beginnen mit einem Klick auf eine überzeugend gemachte E-Mail. Regelmäßige Awareness-Schulungen trainieren Ihre Mitarbeitenden darin, Phishing zu erkennen, verdächtige Anhänge zu hinterfragen und im Zweifel nachzufragen statt zu klicken. Wirksam ist das nur als Daueraufgabe: Kurze, wiederkehrende Einheiten und simulierte Phishing-Mails bringen mehr als eine einmalige Belehrung. Ebenso wichtig ist die Fehlerkultur: Wer einen Fehlklick sofort melden kann, ohne Vorwürfe zu fürchten, verschafft Ihnen wertvolle Zeit für die Reaktion.

Aufwand: gering

6. Benutzerrechte einschränken

Arbeitet ein Konto im Alltag mit Administratorrechten, hat auch jede Schadsoftware auf diesem Gerät dieselben Rechte. Trennen Sie deshalb konsequent: normale Benutzerkonten für die tägliche Arbeit, separate Admin-Konten ausschließlich für Wartungsaufgaben. Prüfen Sie außerdem, wer auf welche Dateiablagen zugreifen kann, denn Ransomware verschlüsselt alles, was das gekaperte Konto erreichen kann. Je weniger ein einzelnes Konto darf, desto kleiner bleibt der mögliche Schaden. Dieses Prinzip der minimalen Rechte erfordert einmalig Aufräumarbeit und danach etwas Disziplin, wirkt aber dauerhaft.

Aufwand: mittel

7. Fernzugänge absichern

Offen aus dem Internet erreichbare Fernzugänge, allen voran ungeschütztes RDP, gehören zu den beliebtesten Einstiegen für Ransomware-Gruppen. Machen Sie Fernzugriffe nur über ein VPN oder eine vergleichbar abgesicherte Lösung möglich, immer in Verbindung mit Mehr-Faktor-Anmeldung. Direkt erreichbare Remote-Desktop-Server sollte es schlicht nicht geben. Denken Sie auch an Zugänge von Dienstleistern, Wartungsfirmen und ehemaligen Mitarbeitenden: Jeder Zugang, der nicht mehr gebraucht wird, gehört abgeschaltet, und jeder verbleibende gehört dokumentiert und überwacht.

Aufwand: mittel

8. Netzwerk segmentieren

In einem flachen Netzwerk, in dem jedes Gerät jedes andere erreicht, breitet sich Ransomware ungehindert aus. Eine Segmentierung trennt Bereiche voneinander: Server, Arbeitsplätze, Produktionsmaschinen, Gäste-WLAN und smarte Geräte gehören in getrennte Zonen mit kontrollierten Übergängen. Wird ein Bereich kompromittiert, bleibt der Schaden dort eingegrenzt und die Angreifer kommen nicht ohne Weiteres an Server und Sicherungen heran. Für kleinere Umgebungen reicht oft schon eine saubere Trennung über VLANs, sie muss aber durchdacht geplant und gepflegt werden.

Aufwand: hoch

9. E-Mail-Sicherheit stärken

Weil die meisten Angriffe per E-Mail beginnen, lohnt sich ein guter Filter vor dem Postfach. Moderne E-Mail-Sicherheit prüft Anhänge und Links, erkennt gefälschte Absender und sortiert Phishing aus, bevor es Ihre Mitarbeitenden überhaupt erreicht. Ergänzen Sie das um Absender-Authentifizierung mit SPF, DKIM und DMARC, damit Ihre eigene Domain nicht für Fälschungen in Ihrem Namen missbraucht werden kann. Beides zusammen entlastet den Faktor Mensch spürbar, denn was nie ankommt, kann auch niemand anklicken.

Aufwand: gering

10. Notfallplan dokumentieren und üben

Wenn der Ernstfall eintritt, ist keine Zeit mehr, Zuständigkeiten zu klären. Ein Notfallplan legt vorher fest, wer entscheidet, wer informiert wird, wie Sie ohne E-Mail kommunizieren und in welcher Reihenfolge Systeme wiederhergestellt werden. Wichtig: Der Plan muss auch dann verfügbar sein, wenn Server und Dateiablagen verschlüsselt sind, also gedruckt oder getrennt gespeichert. Und er muss geübt werden, mindestens einmal im Jahr als Planspiel am Tisch. Wie die ersten Stunden konkret aussehen, zeigt der nächste Abschnitt.

Aufwand: mittel

Der Notfallplan: die ersten 24 Stunden

Die ersten Stunden nach der Entdeckung entscheiden mit darüber, ob aus einem Vorfall eine Katastrophe wird. Diese sieben Schritte haben sich bewährt:

• Schritt 1: Betroffene Geräte vom Netz trennen. Netzwerkkabel ziehen, WLAN deaktivieren, betroffene Systeme isolieren. Die Geräte möglichst nicht ausschalten und nichts löschen oder neu installieren, sonst gehen wichtige Spuren für die Analyse verloren.
• Schritt 2: Überblick verschaffen. Welche Systeme und Daten sind betroffen, welche laufen noch? Gibt es Hinweise darauf, dass Daten abgeflossen sind? Halten Sie alle Beobachtungen mit Uhrzeit schriftlich fest.
• Schritt 3: Fachliche Hilfe holen. Informieren Sie Ihren IT-Dienstleister oder einen Spezialisten für Vorfallsbehandlung, bevor Sie selbst experimentieren. Gut gemeinte, aber falsche Sofortmaßnahmen richten häufig zusätzlichen Schaden an.
• Schritt 4: Nicht vorschnell mit den Angreifern verhandeln. Zahlen Sie kein Lösegeld in Panik und antworten Sie nicht ohne Beratung auf die Forderung. Diese Entscheidung gehört auf eine ruhige und informierte Grundlage.
• Schritt 5: Anzeige erstatten und Meldepflichten prüfen. Wenden Sie sich an die Zentrale Ansprechstelle Cybercrime Ihres Landeskriminalamts und klären Sie mit fachlicher Unterstützung, ob eine Meldung an die Datenschutzaufsicht erforderlich ist. Die gesetzlichen Fristen dafür sind kurz.
• Schritt 6: Wiederherstellung vorbereiten. Prüfen Sie Ihre Backups auf Unversehrtheit und stellen Sie auf sauberen, frisch aufgesetzten Systemen wieder her. Erst das Einfallstor schließen, dann zurückspielen, sonst stehen die Angreifer kurze Zeit später wieder im Netz.
• Schritt 7: Kommunizieren und dokumentieren. Informieren Sie Ihre Mitarbeitenden und bei Bedarf Kunden und Partner mit abgestimmten, ehrlichen Botschaften. Dokumentieren Sie den gesamten Ablauf und ziehen Sie anschließend in Ruhe die Lehren für Ihre Schutzmaßnahmen.

Wenn es bei Ihnen gerade akut ist oder Sie Ihren Plan auf feste Füße stellen möchten: Auf unserer Seite Hilfe im IT-Notfall finden Sie die wichtigsten Sofortmaßnahmen und den direkten Draht zu uns.

Häufige Fragen

Reicht ein gutes Backup nicht aus?

Nein. Ein Backup schützt vor Datenverlust, aber nicht vor Datendiebstahl. Viele Angreifer kopieren heute zuerst Ihre Daten und drohen anschließend mit der Veröffentlichung, unabhängig davon, ob Sie wiederherstellen können. Außerdem kostet auch eine gelungene Wiederherstellung Zeit, in der Ihr Betrieb stillsteht. Das Backup ist das Fundament jeder Ransomware-Strategie, ersetzt aber weder die Prävention noch die schnelle Erkennung eines laufenden Angriffs.

Lösegeld zahlen oder nicht?

BSI und Strafverfolgungsbehörden raten von Zahlungen ab, aus guten Gründen: Es gibt keine Gewähr, dass die Daten vollständig entschlüsselt werden, die Zahlung finanziert weitere Angriffe, und wer einmal gezahlt hat, gilt in der Szene als lohnendes Ziel. Auch gestohlene Daten sind nach einer Zahlung nicht verlässlich gelöscht. Wer getestete Backups und einen geübten Notfallplan hat, muss diese Entscheidung im besten Fall nie unter Druck treffen.

Was kostet wirksamer Schutz?

Weniger, als viele erwarten, und in aller Regel deutlich weniger als ein erfolgreicher Angriff mit tagelangem Stillstand. Ein großer Teil der wirksamsten Maßnahmen kostet vor allem Sorgfalt: Mehr-Faktor-Anmeldung, eingeschränkte Benutzerrechte und saubere Update-Prozesse lassen sich häufig mit vorhandenen Mitteln umsetzen, gerade in Microsoft-365-Umgebungen. Investitionen fallen vor allem für Backup, Endpunktschutz und die laufende Betreuung an. Der Aufwand wächst mit Größe und Komplexität Ihrer IT und lässt sich als fester monatlicher Rahmen planen.

Sind wir zu klein, um ein Ziel zu sein?

Diese Einschätzung ist weit verbreitet und gefährlich. Die meisten Angriffe laufen automatisiert ab und treffen den, der eine Lücke offen lässt, unabhängig von Branche und Größe. Der BSI-Lagebericht 2025 zeigt zudem, dass sich die angezeigten Ransomware-Angriffe ganz überwiegend gegen kleine und mittlere Unternehmen richteten, gerade weil dort die Hürden für Angreifer oft niedriger sind als bei großen Konzernen mit eigenen Sicherheitsteams.

Vom Wissen zur Umsetzung

Ransomware ist eine ernste Gefahr, aber kein unkalkulierbares Schicksal. Wer getestete Backups, Mehr-Faktor-Anmeldung, aktuelle Systeme, modernen Endpunktschutz und geschulte Mitarbeitende zusammenbringt, nimmt den Angreifern die Grundlage. Mit eingeschränkten Rechten, abgesicherten Zugängen und einem geübten Notfallplan verliert auch der Ernstfall seinen Schrecken. Entscheidend ist, überhaupt anzufangen, am besten mit den Maßnahmen, die bei geringem Aufwand die größte Wirkung entfalten.

Die High5Manufaktur GmbH unterstützt kleine und mittlere Unternehmen im Raum Karlsruhe und darüber hinaus dabei, genau diese Bausteine umzusetzen: von der Absicherung Ihrer Microsoft-365-Umgebung über Backup und Endpunktschutz bis zur Mitarbeitersensibilisierung, mit einem festen Ansprechpartner statt einer anonymen Hotline. Viele Fachbegriffe aus diesem Artikel erklären wir verständlich in unserem IT-Lexikon. Wenn Sie wissen möchten, wo Ihr Unternehmen steht und welche Maßnahmen bei Ihnen Priorität haben, sprechen Sie mit uns: Im kostenlosen Erstgespräch ordnen wir Ihre Situation ehrlich ein und schlagen Ihnen die nächsten Schritte vor.