Was ist Ransomware und wie schützen Sie sich davor?

Sie öffnen einen Ordner mit Familienfotos, und keines davon lässt sich öffnen. Daneben liegt eine Textdatei, die Sie nie angelegt haben: Ihre Dateien seien verschlüsselt, ein Schlüssel sei käuflich, und nach Ablauf einer Frist steige der Preis. Am selben Morgen findet ein kleines Unternehmen jedes freigegebene Laufwerk im selben Zustand vor, dazu eine weitere Drohung: Zahlen Sie, oder die Kundendaten werden veröffentlicht.

Beides ist Ransomware. Dieser Beitrag erklärt, was Ransomware ist, wie ein Angriff abläuft, welche Arten und Warnzeichen es gibt, was in der ersten Stunde zu tun ist, wie Sie Dateien ohne Zahlung zurückbekommen und wie Sie zu Hause und im Unternehmen vorbeugen. Er ist für die Betroffenen geschrieben, nicht für Angreifer.

Was ist Ransomware?#

Ransomware ist Malware, die Ihre Dateien oder Ihr Gerät unbrauchbar macht, bis ein Lösegeld gezahlt wird. CISA, die US-Behörde für Cybersicherheit, beschreibt sie als Malware, die Dateien auf einem Gerät verschlüsseln soll, sodass die Dateien und die Systeme, die von ihnen abhängen, nicht mehr nutzbar sind. Das britische National Cyber Security Centre (NCSC) beschreibt sie aus Sicht der Opfer: Sie hindert Sie daran, auf Ihr Gerät und seine Daten zuzugreifen.

Verschlüsselung selbst ist gewöhnliche Technik, die Ihr Onlinebanking und den Speicher Ihres Smartphones schützt; zu Ransomware wird sie, wenn der Angreifer den einzigen Schlüssel besitzt. Ransomware ist eine Familie von Malware, dem Oberbegriff für Software, die ein Gerät beschädigen, ausspionieren oder unter Kontrolle bringen soll; Was ist Malware? behandelt die anderen Familien.

Viele Angriffe setzen inzwischen einen zweiten Hebel an. Die Angreifer kopieren Daten, bevor sie etwas verschlüsseln, und drohen mit der Veröffentlichung, falls niemand zahlt; CISA nennt diese Taktik doppelte Erpressung (Double Extortion). Manche verzichten ganz auf die Verschlüsselung und drohen nur damit, das Erbeutete zu veröffentlichen.

Wie läuft ein Ransomware-Angriff ab?#

1. Der Einstieg. Die üblichen Türen sind eine Phishing-E-Mail mit schädlichem Anhang oder Link (Was ist Phishing? zeigt, wie Sie eine erkennen), ein gestohlenes oder mehrfach verwendetes Passwort, ein offen aus dem Internet erreichbarer Remotedesktop (das Werkzeug, mit dem man einen Computer über das Netzwerk steuert), ein nicht aktualisiertes, aus dem Internet erreichbares Gerät wie ein VPN-Gateway oder ein gefälschter Software-Download.
2. Die Ausbreitung. In einem Firmennetz bewegen sich die Angreifer vom ersten Computer zu weiteren und suchen nach Administratorkonten; CISA nennt das laterale Bewegung (Lateral Movement). Auf einem privaten PC erreicht die Malware alles, was der Computer erreicht: ein angeschlossenes USB-Laufwerk, ein Netzlaufwerk, freigegebene Ordner.
3. Der Angriff auf die Sicherungen. Viele Ransomware-Varianten suchen nach Sicherungen, die sie erreichen, und löschen oder verschlüsseln sie, und Angreifer missbrauchen in Windows eingebaute Werkzeuge, um Wiederherstellungspunkte zu entfernen.
4. Das Kopieren der Daten. Bei doppelter Erpressung gehen Dokumente, Kundendaten und E-Mails an die Server der Angreifer, bevor irgendetwas gesperrt wird.
5. Verschlüsselung und Forderung. Die Dateien werden verschlüsselt und die Originale gelöscht. In jedem Ordner oder bildschirmfüllend erscheint eine Nachricht mit Zahlungsanweisungen und einer Frist.

Die Forderung ist oft der letzte Schritt eines Einbruchs, der schon früher begonnen hat. Laut dem Leitfaden von CISA kann ein Ransomware-Vorfall ein Hinweis auf eine frühere, nie aufgeklärte Kompromittierung des Netzwerks sein; deshalb klären Unternehmen erst, wie die Angreifer hereingekommen sind, bevor sie ihre Systeme neu aufbauen.

Welche Arten von Ransomware gibt es?#

Krypto-Ransomware meinen die meisten, wenn sie das Wort hören: Das Projekt No More Ransom weist darauf hin, dass die Originale gelöscht werden, sobald die verschlüsselten Kopien existieren, und dass meist eine Textdatei mit Zahlungsanweisungen im selben Ordner liegt. Doppelte Erpressung und Datenerpressung machen aus verlorenen Dateien eine Datenpanne, denn selbst eine einwandfreie Sicherung kann nicht zurückholen, was kopiert wurde. Ransomware gibt es auch für Webserver und für Smartphones, vor allem für Android.

Woran erkennen Sie Ransomware?#

Meist ist die Forderung selbst das erste Zeichen. Microsoft weist darauf hin, dass sich eine Infektion selten bemerkbar macht, bis ein Fenster, eine App oder eine bildschirmfüllende Meldung Geld verlangt, oft erst, nachdem die Dateien bereits verschlüsselt sind.

Zeichen, die auf Ransomware hindeuten:

• Dateien, die sich nicht öffnen lassen, in vielen Ordnern gleichzeitig.
• Eine Text- oder Webdatei, die Sie nicht angelegt haben, mit Zahlungsanweisungen in diesen Ordnern.
• Eine bildschirmfüllende Meldung, die einen Preis und eine Frist nennt.
• Sicherungen, Wiederherstellungspunkte oder frühere Dateiversionen, die fehlen oder ebenfalls verschlüsselt sind.
• Im Netzwerk freigegebene Laufwerke im selben Zustand und Kolleginnen und Kollegen, die dieselbe Meldung sehen.

Eine Browserseite, die behauptet, Ihr Computer sei gesperrt, und eine Telefonnummer anzeigt, ist meist Betrug mit falschem technischem Support, keine Ransomware. Microsoft rät, den Browser zu schließen (mit Alt+F4, wenn die Maus nicht reagiert) oder den Computer neu zu starten; echte Fehlermeldungen von Microsoft enthalten nie eine Telefonnummer.

Was tun, wenn Ransomware Ihren Computer trifft?#

Trennen Sie das Gerät zuerst vom Netzwerk: Die Checkliste für den Ernstfall im #StopRansomware-Leitfaden von CISA beginnt damit, betroffene Systeme sofort zu isolieren. Dann:

1. Trennen. Ziehen Sie das Netzwerkkabel, schalten Sie das WLAN aus und ziehen Sie USB- und Sicherungslaufwerke ab. Lassen Sie das Gerät eingeschaltet, es sei denn, Sie können es nicht vom Netz trennen; nur dann rät CISA zum Ausschalten, weil dabei Spuren im Arbeitsspeicher verloren gehen.
2. Die Nachricht fotografieren. Halten Sie mit dem Smartphone die Nachricht, eine darin genannte Webadresse und einige verschlüsselte Dateinamen fest. Das hilft der Polizei und bei der Bestimmung der Ransomware.
3. Nicht zahlen und keinen Kontakt zu den Angreifern aufnehmen. Die offizielle Empfehlung zur Zahlung finden Sie unten bei den häufigen Fragen.
4. Am Arbeitsplatz die IT oder das Sicherheitsteam anrufen. CISA rät, sich telefonisch abzustimmen, weil die Angreifer womöglich E-Mails mitlesen.
5. Melden. In den USA bei CISA (cisa.gov/report) oder beim Internet Crime Complaint Center des FBI (ic3.gov), im Vereinigten Königreich über gov.uk/report-cyber, anderswo bei der nationalen Cybersicherheitsbehörde, einem CERT (Computer Emergency Response Team, ein Notfallteam für IT-Sicherheit) oder der Polizei.
6. Das Gerät bereinigen oder neu aufsetzen. Führen Sie mit Ihrer Sicherheitssoftware eine vollständige Überprüfung aus. Kann sie das Gerät nicht bereinigen, rät das NCSC, es zu löschen und alles neu zu installieren, angefangen beim Betriebssystem.
7. Wiederherstellen und Passwörter ändern. Stellen Sie Dateien nur auf dem bereinigten Gerät wieder her; das NCSC warnt, dass eine Wiederherstellung auf einem infizierten Gerät die Infektion zurückbringen kann. Ändern Sie von einem sauberen Gerät aus die Passwörter für E-Mail, Onlinebanking und jedes Konto, das auf dem infizierten Computer genutzt wurde.

Bekommen Sie Ihre Dateien ohne Zahlung zurück?#

Oft ja: aus einer Sicherung von vor der Infektion, aus dem Versionsverlauf eines Clouddienstes oder mit einem kostenlosen Entschlüsselungstool. Keiner dieser Wege funktioniert immer, und das NCSC warnt, dass die meisten verschlüsselten Dateien nur der Angreifer entschlüsseln kann; deshalb ist eine getrennt aufbewahrte Sicherung das eigentliche Sicherheitsnetz.

No More Ransom, gegründet von der National High Tech Crime Unit der niederländischen Polizei und dem Europäischen Zentrum zur Bekämpfung der Cyberkriminalität (EC3) von Europol gemeinsam mit Sicherheitsfirmen, sammelt Entschlüsselungstools, die für alle kostenlos sind. Das Werkzeug Crypto Sheriff bestimmt die Ransomware anhand Ihrer Angaben und prüft, ob es ein passendes Entschlüsselungstool gibt. Schlüssel tauchen auf, wenn Angreifer Fehler machen oder die Polizei ihre Server beschlagnahmt; schauen Sie also später wieder nach, wenn heute nichts passt.

Wie schützen Sie sich vor Ransomware?#

Bewahren Sie eine Offline-Sicherung auf, installieren Sie Updates zeitnah, schützen Sie Anmeldungen mit Multi-Faktor-Authentifizierung und schließen Sie leicht offene Türen wie einen aus dem Internet erreichbaren Remotedesktop. Die Tabelle ordnet die wichtigsten Maßnahmen danach, was sie verhindern:

Eine verbreitete Faustregel für Sicherungen ist 3-2-1: drei Kopien wichtiger Dateien (das Original und zwei Sicherungen), auf zwei Arten von Speicher, eine davon an einem anderen Ort. Gegen Ransomware zählt die Kopie, die der infizierte Computer nicht erreichen kann, etwa eine externe Festplatte, die Sie nach jeder Sicherung abziehen. Der Ransomware-Leitfaden des NCSC ergänzt zwei Punkte, die oft übersprungen werden: das Sicherungsgerät getrennt halten und ab und zu eine Wiederherstellung testen.

Updates schließen die Lücken, die Angreifer bereits kennen; CISA fordert Organisationen auf, zuerst aus dem Internet erreichbare Systeme und bekanntermaßen ausgenutzte Schwachstellen zu patchen. Eine Lücke, für die es noch keine Korrektur gibt, ist ein anderer Fall, den Was ist eine Zero-Day-Schwachstelle? erklärt.

Multi-Faktor-Authentifizierung (MFA) ergänzt das Passwort um einen zweiten Schritt, sodass ein gestohlenes Passwort allein weder Ihr E-Mail-Konto noch eine Fernzugriffsanmeldung öffnet. CISA empfiehlt phishing-resistente MFA wie Passkeys oder Sicherheitsschlüssel, angefangen bei E-Mail und VPN-Zugang.

Wie aktivieren Sie den Ransomware-Schutz in Windows?#

Windows 10 und 11 enthalten den überwachten Ordnerzugriff, der unbekannte oder nicht vertrauenswürdige Apps daran hindert, Dateien in geschützten Ordnern zu ändern. Microsofts Hilfeseite zur Windows-Sicherheit nennt den Weg:

1. Öffnen Sie Windows-Sicherheit über das Startmenü.
2. Wählen Sie Viren- & Bedrohungsschutz und öffnen Sie im Abschnitt Ransomware-Schutz den Link zum Verwalten.
3. Schalten Sie Überwachter Ordnerzugriff ein.
4. Fügen Sie unter Geschützte Ordner weitere Ordner zu den Standardordnern hinzu (Dokumente, Bilder, Videos, Musik und Desktop).

Wird ein Programm blockiert, dem Sie vertrauen, zeigt Windows App ist blockiert; wählen Sie die Benachrichtigung und dann Zulässige App hinzufügen. Fügen Sie nur Programme hinzu, die Sie kennen: Microsoft warnt, dass eine zugelassene App, die später kompromittiert wird, die geschützten Dateien ändern kann. Für einen privaten PC lohnt sich der Tausch: ab und zu eine blockierte App, dafür Ordner, die unbekannte Software nicht überschreiben kann.

Wie unterscheidet sich Ransomware bei Privatnutzern und Unternehmen?#

Zu Hause trifft Ransomware meist einen Computer und die Dateien, die er erreicht; im Unternehmen ist sie oft ein geplanter Einbruch, der Server, Sicherungen und Daten zugleich ins Visier nimmt. Zu Hause ist der Schutz einfach: eine abgezogene Sicherung, Updates und ein Standardkonto für den Alltag.

Unternehmen haben es mit Angreifern zu tun, die womöglich eine Weile im Netz bleiben, bevor irgendetwas verschlüsselt wird. CISA rät Organisationen, einen Notfallplan für Sicherheitsvorfälle bereitzuhalten, das Netzwerk zu segmentieren, offline aufbewahrte, verschlüsselte Sicherungen und fertige Systemabbilder für den Neuaufbau vorzuhalten und die Strafverfolgungsbehörden einzubeziehen. Wurden personenbezogene Daten verschlüsselt oder kopiert, ist das zugleich eine Verletzung des Schutzes personenbezogener Daten: Der Europäische Datenschutzausschuss zählt Daten, die durch die Verschlüsselung einer Ransomware unzugänglich wurden, dazu, und wo eine Meldung vorgeschrieben ist, muss die Aufsichtsbehörde binnen 72 Stunden davon erfahren.

Ein Proxy oder ein VPN schützt nicht vor Ransomware: Beide ändern die IP-Adresse, von der Ihr Datenverkehr kommt, und keiner von beiden prüft, was Sie herunterladen oder ausführen. Proxys tauchen stattdessen auf der Seite der Verteidiger auf. Threat-Intelligence-Teams, die öffentliche Quellen nach geleakten Dokumenten eines Unternehmens durchsuchen, arbeiten von isolierten Rechnern aus und leiten diese Recherche über Residential-Proxys, damit ihr eigenes Netzwerk verborgen bleibt, wie es unsere Seite zur Datensicherheit beschreibt.

Wo Ihnen Ransomware begegnet#

In E-Mail-Anhängen, die sich als Rechnung, Lieferschein oder Lebenslauf ausgeben. In gefälschten Software-Downloads und gecrackten Programmen. In Firmennetzen, in die Angreifer über Fernzugriff oder das Konto eines Zulieferers gelangt sind. Auf Webservern mit veralteter Software. Auf Android-Smartphones über gefälschte Apps. In den Nachrichten, wenn ein Unternehmen oder eine öffentliche Einrichtung tagelang nicht arbeiten kann.

Häufige Fehler#

• Die einzige Sicherung angeschlossen lassen. Ransomware verschlüsselt jedes Laufwerk, das sie erreicht.
• Einen synchronisierten Ordner für eine Sicherung halten. Verschlüsselte Dateien werden wie jede andere Änderung in die Cloud synchronisiert.
• Den Computer löschen, bevor die Nachricht festgehalten ist. Nachricht und Dateinamen helfen, die Ransomware und ein mögliches Entschlüsselungstool zu bestimmen.
• Auf einem noch infizierten Gerät wiederherstellen. Bereinigen Sie es zuerst oder setzen Sie es neu auf.
• Zahlen und glauben, damit sei es vorbei. Der Schlüssel funktioniert womöglich nicht, kopierte Daten können trotzdem veröffentlicht werden, und das NCSC warnt, dass Zahlende eher erneut ins Visier geraten.

Entscheidungshilfe#

Häufige Fragen#

Sollte man das Lösegeld zahlen?#

Nein, nach Auskunft aller offiziellen Stellen. Das NCSC und die britischen Strafverfolgungsbehörden ermutigen, befürworten oder dulden keine Zahlung, das FBI unterstützt Zahlungen nicht, und No More Ransom rät, niemals zu zahlen. Eine Zahlung garantiert weder einen funktionierenden Schlüssel noch, dass kopierte Daten unter Verschluss bleiben. Haben Sie bereits gezahlt, rät Microsoft, sofort Ihre Bank und die örtlichen Behörden zu kontaktieren; eine Kartenzahlung lässt sich manchmal noch stoppen.

Kann ein Antivirenprogramm Ransomware entfernen?#

Meist kann es das Ransomware-Programm entfernen, die Verschlüsselung aber nicht rückgängig machen. Microsoft rät, den PC mit der Windows-Sicherheit vollständig zu bereinigen, bevor Sie Dateien wiederherstellen, und das NCSC empfiehlt Löschen und Neuinstallation, wenn die Sicherheitssoftware das Gerät nicht bereinigen kann. Die Dateien kommen aus einer Sicherung zurück oder, bei manchen Arten, über ein kostenloses Entschlüsselungstool.

Können Smartphones Ransomware bekommen?#

Ja, vor allem Android-Smartphones. Laut No More Ransom kommt mobile Ransomware über gefälschte Apps und Drive-by-Downloads, also Dateien, deren Download schon beim Besuch einer Seite beginnt; installieren Sie Apps deshalb nur aus dem offiziellen Store und halten Sie das Smartphone aktuell. Hat eine App das Smartphone gesperrt, nennt das NCSC das Zurücksetzen auf die Werkseinstellungen die sicherste Lösung, gefolgt von der Wiederherstellung aus einer Sicherung.

Kann Ransomware OneDrive oder anderen Cloudspeicher verschlüsseln?#

Ja, wenn die Dateien in einem synchronisierten Ordner liegen: Die verschlüsselten Versionen werden wie jede andere Änderung hochgeladen, und das FBI hat gewarnt, dass Ransomware Cloud-Sicherungen sperren kann, die laufend synchronisiert werden. Über den Versionsverlauf kommen Sie zurück; Abonnenten von Microsoft 365 können ihr gesamtes OneDrive auf einen Zeitpunkt innerhalb der letzten 30 Tage wiederherstellen.

Kann sich Ransomware auf andere Computer in meinem Netzwerk ausbreiten?#

Ja. Microsoft weist darauf hin, dass sich Ransomware von einem vernetzten Computer auf andere Computer und Speichergeräte im selben Netzwerk ausbreiten kann, und in Firmennetzen wechseln Angreifer gezielt zwischen Rechnern. Geräte im selben WLAN teilen sich ein lokales Netzwerk, das gilt also auch zu Hause.

Ist Ransomware ein Virus?#

Nicht ganz. Umgangssprachlich heißt jede Malware „Virus“, streng genommen ist ein Virus aber eine bestimmte Art, die sich in andere Dateien kopiert. Ransomware ist nach dem benannt, was sie tut, nämlich gegen Geld zu sperren oder zu verschlüsseln, und sie kann in einem Trojaner stecken (einem Programm, das sich als nützlich ausgibt) oder von Angreifern gestartet werden, die bereits im Netzwerk sind.

Fazit#

Ransomware macht Ihre eigenen Dateien zur Geisel: Sie verschlüsselt oder sperrt sie, kopiert sie oft vorher und verlangt Geld. Eine getrennt aufbewahrte Sicherung, zeitnahe Updates und eine Anmeldung mit mehreren Faktoren nehmen ihr den größten Teil ihres Druckmittels. Wenn es passiert: Trennen Sie das Gerät, fotografieren Sie die Nachricht, melden Sie den Angriff, prüfen Sie No More Ransom und stellen Sie aus einer sauberen Sicherung wieder her, statt zu zahlen. Ein Proxy ändert die Adresse, von der Ihr Datenverkehr kommt, nicht, was auf Ihrem Computer läuft; wofür Proxys tatsächlich da sind, erklärt unsere Seite zum Proxy.