So beugen Sie Ransomware vor

Die Prävention von Ransomware wird heute weniger durch technische Eindämmung als vielmehr durch operative Resilienz bestimmt. Warum sind Angriffe trotz regelmäßiger Updates, Mitarbeiterschulungen und vorhandener Backups weiterhin erfolgreich? Und weshalb tragen kleine und mittelständische Unternehmen (KMU) nach wie vor die größten Schäden davon?

Dieser Artikel erläutert, wie moderne Ransomware-Angriffe heute tatsächlich funktionieren, warum klassische Schutzmaßnahmen wie Backups häufig nicht ausreichen und wie eine praxisnahe, mehrschichtige Präventionsstrategie aussieht, wenn Angreifer nicht mehr nur auf Verschlüsselung, sondern gezielt auf maximale Betriebsstörungen setzen.

Kernpunkte dieses Artikels:

• Ransomware bleibt eine dominante Bedrohung für kleine und mittlere Unternehmen.
• Der „2026 Data Breach Investigations Report“ von Verizon zeigt, dass Systemintrusionen das häufigste Angriffsmuster bei KMU sind und dass etwa 96 % der Ransomware-Opfer KMU waren.
• Moderne Ransomware definiert sich nicht mehr allein durch Dateiverschlüsselung. Betriebsstörungen, Ausfallzeiten und Reputationsschäden sind nun die primären Ziele.
• In erster Linie muss die Prävention der Datenerpressung Rechnung tragen, da viele Gruppen zunächst sensible Daten stehlen und Druck ausüben, auch ohne Ransomware einzusetzen.
• Der erste Zugriff erfolgt oft über ausgenutzte Schwachstellen und gestohlene Anmeldedaten, weshalb Patches und Identitätsschutz grundlegende Kontrollmaßnahmen sind.
• Backups mindern die Auswirkungen von Ransomware nur dann, wenn Angreifer keinen Zugriff darauf haben oder diese nicht manipulieren können. Behörden warnen immer wieder davor, dass Ransomware-Täter gezielt Backups ins Visier nehmen, um die Wiederherstellung zu blockieren und ihren Druck zu erhöhen.
• Die wirksamsten Strategien sind mehrschichtig: Reduzierung der Angriffspunkte, frühzeitige Erkennung böswilligen Verhaltens und schnelle Wiederherstellung mit verifizierten Wiederherstellungspfaden.
• Ein praktischer Rahmen für Unternehmen ist einfach: vorbeugen, erkennen und reagieren sowie wiederherstellen.

Was Ransomware heute ausmacht und warum Prävention schwieriger geworden ist

Moderne Ransomware-Angriffe kombinieren häufig Verschlüsselung mit Datendiebstahl und Erpressung, wobei sie sich manchmal allein auf Datenerpressung stützen – ein Trend, auf den die Cybersecurity and Infrastructure Security Agency (CISA) hingewiesen hat.

Auch die Entwicklung von Ransomware selbst wird immer anpassungsfähiger. ESET-Forscher beobachteten diesen Wandel anhand von PromptLock, einer Proof-of-Concept-Ransomware, die in der Lage ist, mithilfe generativer KI dynamisch bösartige Skripte zum Scannen, Verschlüsseln oder Exfiltrieren von Dateien zu erstellen. Die Implikation für Unternehmen ist jedoch keineswegs, dass Angreifer plötzlich weniger Fähigkeiten benötigen. Vielmehr zeigt dies, dass sich die Tools schneller weiterentwickeln können – was statische Abwehrmaßnahmen weniger zuverlässig macht und die Bedeutung von mehrschichtiger Prävention und verhaltensbasierter Erkennung erhöht.

Angreifer agieren schneller und setzen auf skalierbare Zugriffspfade statt auf auffällige Malware-Verteilung. Verizons DBIR 2026 zeigt, dass die Ausnutzung von Schwachstellen zum führenden Erstzugangsvektor geworden ist und auf 31 % der Sicherheitsverletzungen angestiegen ist – gegenüber 20 % im Vorjahr –, während der Missbrauch von Anmeldedaten auf 13 % zurückgegangen ist. Diese Verschiebung spiegelt ein Vorgehen wider, das auf Geschwindigkeit, Skalierbarkeit und verminderte Erkennung optimiert ist.

Wie sich Ransomware-Angriffe in der Regel in einer Unternehmensumgebung abspielen

Die meisten Ransomware-Vorfälle bestehen aus mehreren Phasen. Sie beginnen mit dem Erstzugang, gefolgt von Privilegienausweitung, lateraler Bewegung und schließlich der eigentlichen Betriebsstörung. Der Verlust von Verfügbarkeit und längere Ausfallzeiten bilden die Grundlage für die spätere Monetarisierung des Angriffs. Dieses Vorgehen entspricht dem, was viele Incident-Response-Teams als schnelle, mehrdimensionale Angriffe beschreiben, bei denen Schwachstellen in der Transparenz von IT-Umgebungen und vertrauenswürdige Beziehungen ausgenutzt werden.

In Anlehnung an MITRE ATT&CK umfasst dieser Ablauf in der Regel den Missbrauch von Anmeldedaten über gültige Konten (T1078), den ersten Zugriff oder die Persistenz über externe Remote-Dienste wie VPN- oder RDP-Gateways (T1133) sowie die laterale Bewegung unter Verwendung von Remote-Diensten (T1021), die bereits in der Umgebung vorhanden sind. Die Techniken selbst stützen sich auf legitime Zugriffspfade, die sich leicht in normale IT-Aktivitäten einfügen.

Die Situation beim Erstzugang ist in verschiedenen Daten und Quellen einheitlicher geworden:

• Aus der Perspektive eines herstellerneutralen Vergleichs waren weltweit die häufigsten Vektoren für den Erstzugang unter anderem die Ausnutzung von Anwendungen mit Internetzugang und die Verwendung gültiger Anmeldedaten.
• Verizons DBIR 2026 zeigt, dass die Ausnutzung von Schwachstellen den Missbrauch von Anmeldedaten als führenden Erstzugriffsvektor abgelöst hat, während gestohlene Anmeldedaten in den Angriffspfaden nach wie vor weit verbreitet sind, selbst wenn sie nicht der erste Einstiegspunkt sind.

Gerade dieser typische Ablauf erklärt, warum allgemeine Sicherheitsempfehlungen oft hinter den Erwartungen zurückbleiben. Die größten Verbesserungen werden erzielt, wenn Schutzmaßnahmen gezielt an den einzelnen Schritten eines Angriffs ausgerichtet werden.

Phishing, bösartige Links und auf Mitarbeiter ausgerichtetes Social Engineering

E-Mails sind nach wie vor der Auslöser für viele Ransomware-Angriffe, insbesondere wenn Phishing zum Diebstahl von Anmeldedaten führt, anstatt offensichtlich Malware zu verbreiten. Verizons DBIR 2026 zeigt, dass Social Engineering nach wie vor ein Hauptgrund für Sicherheitsverletzungen ist und 16 % aller Vorfälle ausmacht, wobei in 62 % der Fälle der Faktor Mensch eine Rolle spielt.

In den vergangenen Jahren hat sich Business Email Compromise (BEC) von einfachen Spoofing-Versuchen zu einer unauffälligen und zugleich äußerst wirkungsvollen Betrugsmethode entwickelt. Statt Malware einzusetzen, geben sich Angreifer als Führungskräfte, Lieferanten oder Geschäftspartner aus, um dringende Aktionen wie Überweisungen, Änderungen von Rechnungsdaten oder die Herausgabe von Zugangsdaten zu veranlassen.

Solche Angriffe nutzen zunehmend kompromittierte oder täuschend ähnliche E-Mail-Konten. Dadurch sind sie mit klassischen Sicherheitsmechanismen deutlich schwerer zu erkennen. Das Ergebnis ist eine Betrugsform, die unauffällig skaliert, gezielt Vertrauen ausnutzt und finanzielle Schäden verursacht, ohne jemals Schadcode einzusetzen.

Laut Verizon dominiert zwar nach wie vor E-Mail-basiertes Phishing, doch 41 % der Social-Engineering-Vorfälle erfolgen mittlerweile über andere Kanäle als E-Mail, beispielsweise per Telefon oder SMS. Phishing-Simulationen zeigen zudem, dass mobilzentrierte Köder eine um 40 % höhere durchschnittliche Klickrate aufweisen als herkömmliche E-Mails, was die anhaltende Wirksamkeit von Angriffen zum Abgreifen von Zugangsdaten unterstreicht.

Zudem dominieren eingebettete Links mittlerweile bösartigen Spam und machen 86 % der Kampagnen aus. Dies spiegelt eine bewusste Verlagerung hin zu Landingpages zum Sammeln von Anmeldedaten wider, die traditionelle Scan-Kontrollen eher umgehen können. Gleichzeitig nahm das QR-Code-Phishing, auch bekannt als „Quishing“, zwischen 2023 und 2025 deutlich zu, wobei das Vertrauen der Nutzer in QR-Codes und die eingeschränkte Sichtbarkeit der Ziel-URLs auf Mobilgeräten ausgenutzt wurde.

Was Sie tun können, um Ihre Widerstandsfähigkeit zu verbessern:

• Das Bewusstsein der Mitarbeiter muss widerspiegeln, wie Angreifer heute Zugang erlangen – durch Identitätsbetrug und den Diebstahl von Anmeldedaten – und nicht durch offensichtliche Malware.
• Die Meldung von Vorfällen muss einfach und schnell erfolgen. Die Zeitfenster für Angreifer verkürzen sich, wenn die erste verdächtige Nachricht schnell aufgedeckt wird, was den potenziellen Schaden drastisch reduzieren kann. Genaue Verfahren, wie sich Mitarbeiter unmittelbar nach einem Vorfall verhalten sollen, müssen allen bekannt sein.

Bei ESET betrachten wir Mitarbeiterschulungen und den Schutz von Cloud-Anwendungen als wesentlichen Bestandteil der Präventionsstrategie, da Phishing häufig eine Brücke zwischen Identitätsdiebstahl und SaaS-Missbrauch schlägt.

Der beste Weg ist eine kontinuierliche Schulung durch das ESET Cybersecurity Awareness Training, kombiniert mit dem Schutz für E-Mail- und Kollaborationstools von Microsoft 365 und Google Workspace durch ESET Cloud Office Security, wo Angriffe zum Diebstahl von Anmeldedaten oft ihren Anfang nehmen.

Fernzugriff, gestohlene Anmeldedaten und laterale Bewegung

Sobald Anmeldedaten gestohlen wurden, dringen Angreifer oft durch „normale“ Türen ein: unsichere VPNs, Webmail, Remote-Desktop-Gateways und Cloud-Admin-Portale.

MITRE ATT&CK dokumentiert den Missbrauch von Anmeldedaten („Valid Accounts“) als eine Technik, die für den Erstzugang, die Persistenz und die laterale Bewegung genutzt wird und es Angreifern ermöglicht, sich zwischen Systemen zu bewegen, während sie legitim erscheinen.

Von dort aus erkunden sie die Umgebung, wechseln zu weiteren Hosts und suchen nach Konten mit höheren Berechtigungen, wobei sie häufig Zugriffspfade wiederverwenden, auf die sich die Administratoren selbst verlassen. Da Angreifer auf legitime Zugriffspfade zurückgreifen, spielen Kontrollen auf Identitäts-Ebene eine entscheidende Rolle bei der Eindämmung der lateralen Bewegung, sobald Anmeldedaten gestohlen wurden.

Behördliche Warnmeldungen betonen durchweg diese Expansionsphase. So hebt beispielsweise die Ransomware-Warnmeldung der CISA Maßnahmen wie das Installieren von Patches, Netzwerksegmentierung und die Einschränkung riskanter Zugriffspfade hervor – Kontrollen, die ausdrücklich darauf abzielen, Angreifer daran zu hindern, einen ersten Fuß in das System zu nutzen, um eine umfassendere, netzwerkweite Kompromittierung zu erreichen.

Verschlüsselung, Datenerpressung und doppelte Erpressung

Das Ziel eines Ransomware-Angriffs lässt sich praktisch in drei Punkten definieren:

• Verschlüsselung: Angreifer verschlüsseln Systeme und Daten und machen sie unbrauchbar, bis ein Lösegeld für einen Entschlüsselungsschlüssel gezahlt wird. Stellen Sie sich das so vor: Jemand betritt über Nacht Ihr Büro und tauscht alle Schlösser an allen Türen aus; das Gebäude gehört Ihnen zwar noch, aber Sie können nicht hineingehen, um Ihre Arbeit zu erledigen.
• Daten-Erpressung: Angreifer stehlen Daten und nutzen die Drohung, diese zu veröffentlichen, als Druckmittel, manchmal ohne die Systeme überhaupt zu verschlüsseln. Stellen Sie sich das so vor: Jemand kopiert heimlich Ihre sensibelsten Dokumente und ruft dann an, um zu sagen: „Zahlt uns, oder jeder wird sehen, was wir mitgenommen haben“, obwohl Ihre Türen nie verschlossen waren.
• Doppelte Erpressung: Zusätzlich zur Verschlüsselung von Systemen stehlen Angreifer sensible Daten und drohen, diese zu veröffentlichen, wenn keine Zahlung erfolgt. Stellen Sie sich das so vor: Sie sind nicht nur aus Ihrem Büro ausgesperrt, sondern der Eindringling hat auch Ihre Aktenschränke kopiert und droht, deren Inhalt zu veröffentlichen, wenn Sie nicht zahlen.

So beugen Sie Ransomware vor: Die wichtigsten Kontrollmaßnahmen

Während die wichtigste Maßnahme gegen Ransomware-Angriffe Backups sind, die bei reinen Verschlüsselungsangriffen die betrieblichen Auswirkungen verringern und bei doppelter Erpressung die Wiederherstellung unterstützen, erfordert eine wirksame Präventionsstrategie Kontrollen, die einen Angriff stoppen, bevor Backups benötigt werden.

In der Cybersicherheits-Community herrscht weitgehende Einigkeit über die Grundlagen der Prävention: den Erstzugriff einschränken, Identitäten absichern, die Ausbreitung durch Segmentierung begrenzen, widerstandsfähige Backups pflegen und die Reaktion proben.

Backups sichern?

Es ist wichtig zu erkennen, dass sich das Vertrauen auf „wir haben Backups“ nur auf einen Teil des Problems bezieht: Backups können die Verfügbarkeit wiederherstellen, aber sie machen Datendiebstahl, regulatorische Risiken oder die Auswirkungen auf das Kundenvertrauen nicht rückgängig, sobald sensible Daten die Umgebung verlassen haben.

Dieser Konsens spiegelt sich bei Anbietern, unabhängigen Institutionen und Analysten wider und bietet eine solide Grundlage für den Umgang mit Ransomware-Abwehr.

Der Erfolg hängt jedoch davon ab, dass man vom Prinzip zur Praxis übergeht. Im Folgenden finden Sie einen praktischen Maßnahmenkatalog für KMUs, wobei jede Kontrollmaßnahme einem bestimmten Vorteil des Angreifers zugeordnet ist, den sie beseitigt. Dies kann Ihnen helfen, das Problem konzeptionell zu verstehen und gleichzeitig im realen, alltäglichen Betrieb zu bleiben.

1) Setzen Sie Multi-Faktor-Authentifizierung (MFA) an jedem risikoreichen Zugangspunkt durch

Priorisieren Sie Webmail, VPN, privilegierte/Admin-Konten, Cloud-Admin-Konsolen und Fernzugriffstools. So stellen die CISA-Richtlinien die MFA wiederholt in den Mittelpunkt der Reduzierung von Auswirkungen und Wahrscheinlichkeit, insbesondere für Dienste, die dem Internet ausgesetzt sind.

Wir bei ESET betrachten MFA als unverzichtbar für die Abwehr von Ransomware, da sie eine entscheidende Komponente einer mehrschichtigen Verteidigungsstrategie ist. MFA fungiert als wichtige Barriere, die unbefugte Benutzer selbst dann abhält, wenn sie das richtige Passwort besitzen. ESET Secure Authentication ist eine benutzerfreundliche und effektive mobile MFA-Lösung, die Unternehmen vor schwachen Passwörtern und unbefugtem Zugriff schützt, Datenverletzungen verhindert, Ihnen hilft, Compliance-Anforderungen zu erfüllen, und Ihnen die Nutzung einer vollwertigen Cloud-Bereitstellung ermöglicht.

2) Patchen Sie internetexponierte Systeme und bekanntermaßen ausgenutzte Software

Für die meisten Unternehmen geht es bei einem effektiven Patching weniger um Perfektion als vielmehr um Priorisierung: Extern exponierte Dienste, Fernzugriffsinfrastruktur und weit verbreitete Anwendungen sollten an erster Stelle stehen.

ESET Vulnerability & Patch Management hilft Unternehmen dabei, anfällige Software zu identifizieren und die Behebung von Schwachstellen durch zentralisierte Transparenz und automatisierte Patches zu vereinfachen. Über die ESET PROTECT Console können Sicherheitsteams Patch-Richtlinien zentral verwalten und diese einheitlich auf Endgeräte (wie beispielsweise Server und mobile Geräte) anwenden. Rollenbasierte Zugriffskontrollen innerhalb der Konsole stellen sicher, dass Administratoren über die entsprechenden Berechtigungen verfügen, während die zentralisierte Richtlinienbereitstellung dazu beiträgt, das Risiko durch nicht gepatchte Systeme zu verringern.

3) Schutz von E-Mails, Kollaborations-Apps und Cloud-Identitäten

Da Phishing zunehmend über URLs erfolgt, muss sich die E-Mail-Sicherheit auf Link-Analysen, Identitätsbetrug und Muster des Diebstahls von Anmeldedaten konzentrieren, anstatt nur Anhänge zu scannen. Die gleichen Köder dringen zunehmend in Kollaborationsplattformen vor, wo Chat-Nachrichten, geteilte Dateien und Einladungen zu Besprechungen bösartige Links enthalten können, die routinemäßig und vertrauenswürdig erscheinen.

Parallel dazu machen gestohlene Cloud-Identitäten SaaS-Portale und Admin-Konsolen zu hochkarätigen Zielen, wodurch Angreifer sich lateral über E-Mail, Collaboration-Tools und Geschäftsanwendungen bewegen können, ohne überhaupt Malware einsetzen zu müssen.

ESET begegnet diesem Problem mit einem einheitlichen Ansatz, der auf ESET Cloud Office Security basiert und E-Mail- sowie Kollaborationsplattformen vor Phishing, Identitätsbetrug und bösartigen Links schützt, kombiniert mit MFA (wie bereits erwähnt), um den Cloud- und Fernzugriff abzusichern.

4) Verringerung der Angriffsfläche auf Endgeräten

Die Reduzierung der Angriffsfläche funktioniert am besten, wenn sie konsistente Präventionsschichten und Verhaltensüberwachung über alle Endpunkte hinweg umfasst. Der Einblick in die Ausführung abnormaler Prozesse, die Nutzung von Berechtigungen und laterale Bewegungen ist ebenso wichtig wie das Blockieren bekannter Malware.

ESET kombiniert mehrschichtige Endpunkt- und Serverprävention mit Verhaltenserkennung und zentraler Transparenz, um böswilliges Verhalten aufzudecken. Durch die Kombination starker Standardprävention auf Endpunkten mit XDR-gesteuerter Überwachung zur Aufdeckung verdächtiger Aktivitäten trägt ESET aktiv dazu bei, die Angriffsfläche zu verkleinern.

Diese Transparenz ist entscheidend für die Ransomware-Abwehr, da Angreifer häufig ihre Tools und Vorgehensweisen ändern, um statische Signaturen zu umgehen. Der Ransomware Shield von ESET überwacht und bewertet laufende Prozesse auf der Grundlage von Verhalten und Reputation und erkennt sowie blockiert Aktivitäten, die Ransomware ähneln, in Echtzeit.

Zusammen bilden die Reduzierung der Angriffsfläche und der verhaltensbasierte Ransomware-Schutz eine kontinuierliche Kontrolle, die von der Einschränkung der Möglichkeiten für Angreifer bis hin zur Schadensbegrenzung reicht, wenn Prävention allein nicht ausreicht.

5) Segmentieren Sie Netzwerke, damit eine einzelne Infektion nicht zu einem unternehmensweiten Ausfall führt

Die Netzwerksegmentierung reduziert die laterale Bewegung und begrenzt den Ausbreitungsradius, wenn ein Angreifer zunächst Fuß gefasst hat. Verschiedene Ransomware-Richtlinien empfehlen durchweg die Netzwerksegmentierung aus stichhaltigen Gründen: Sie verhindert, dass ein einzelnes kompromittiertes System zu einem vollständigen Betriebsausfall führt.

ESET verfolgt bei der Segmentierung einen mehrschichtigen Ansatz, der hostbasierte Mikrosegmentierung, automatisierte Endpunktisolierung und Verhaltensüberwachung kombiniert. Diese über ESET PROTECT bereitgestellte Segmentierung auf Geräteebene stellt sicher, dass selbst bei Kompromittierung eines einzelnen Rechners dessen Fähigkeit, andere zu erreichen, eingeschränkt wird, wodurch Vorfälle eingedämmt werden, bevor sie sich ausbreiten.

6) Schulen Sie Mitarbeiter darin, Taktiken zu erkennen, die zu Ransomware führen

Wie bereits erwähnt, ist Schulung am effektivsten, wenn sie sich auf die Köder konzentriert, denen Mitarbeiter tatsächlich begegnen, sei es interne Identitätsfälschung, Nachrichten mit HR- oder IT-Bezug oder URL-basierte Aufforderungen zur Eingabe von Anmeldedaten. Allgemeine Ratschläge allein reichen nicht aus, da Phishing zunehmend auf Vertrauen und routinemäßige Arbeitsabläufe abzielt.

ESET stärkt die menschliche Komponente durch kontinuierliche Schulungen mit dem ESET Cybersecurity Awareness Training, gepaart mit technischen Kontrollen in ESET Cloud Office Security zum Schutz von Microsoft 365 und Google Workspace, wo viele Angriffe zum Abgreifen von Anmeldedaten ihren Ursprung haben.

Backups sind notwendig, reichen aber nicht aus

Backups sind eine zentrale Maßnahme zur Widerstandsfähigkeit gegen Ransomware, doch Angreifer versuchen aktiv, sie aus dem Entscheidungsbaum zu entfernen. Für kleine und mittlere Unternehmen stehen oft längere Ausfallzeiten und irreversibler Datenverlust auf dem Spiel. Ransomware-Gruppen sind äußerst anpassungsfähig in der Art und Weise, wie sie ihre Forderungen stellen, und neigen dazu, KMUs als leichtere Ziele zu betrachten, insbesondere weil kleinere Organisationen weniger wahrscheinlich aktuelle, leicht wiederherstellbare Backups auf dem gleichen Niveau wie größere Unternehmen vorhalten.

Im Jahr 2024 gaben 94 % der Unternehmen an, dass Angreifer während eines Ransomware-Angriffs versuchten, ihre Backups zu kompromittieren. Verizons DBIR 2026 bekräftigt, dass die Unterbrechung der Verfügbarkeit eine zentrale Auswirkung von Ransomware ist, wobei verbesserte Kodierung nun auch längere Betriebsunterbrechungen erfasst und damit verdeutlicht, dass die Wiederherstellung unter Angriffsbedingungen ungewiss bleibt.

Für KMU bedeutet dies eine Verlagerung der Backup-Strategie hin zum 3-2-1- oder besser noch zum 3-2-1-1-0-Modell, das die traditionelle Backup-Strategie erweitert, indem es eine unveränderliche oder Offline-Kopie sowie fehlerfreie Wiederherstellungstests vorschreibt – in Anerkennung der Tatsache, dass Ransomware mittlerweile aktiv auf Backup-Systeme abzielt. Das 3-2-1-1-0-Modell wandelt Backups von einem Compliance-Instrument in eine Maßnahme zur Gewährleistung der Ausfallsicherheit um.

Diese operative Sichtweise wird durch das NIST-Dokument „Ransomware Risk Management: A Cybersecurity Framework 2.0 Community Profile“ untermauert, das die Ransomware-Bereitschaft als koordiniertes Bündel von Zielen in den Bereichen Schutz, Erkennung, Reaktion und Wiederherstellung behandelt und nicht als einzelne Kontrollmaßnahme.

Das NIST betont ausdrücklich die Notwendigkeit, die Integrität von Backups zu überprüfen, Wiederherstellungsprozesse zu testen und Reaktionsannahmen im Voraus zu validieren, da Ransomware-Vorfälle unter extremem Zeitdruck und großer Unsicherheit ablaufen. In diesem Modell ist die Wiederherstellung eine aktiv trainierte Fähigkeit, die bei echten Angriffen und nicht nur in der Theorie funktionieren muss.

Den Kreis schließen: Was „genug“ tatsächlich bedeutet

Backups zu haben ist das Mindeste; die Widerstandsfähigkeit hängt davon ab, ob sie Angriffssituationen überstehen und schnell und zuverlässig wiederhergestellt werden können.

Insbesondere für KMU bedeutet dies, Backups so zu konzipieren, dass sie gezielter Sabotage standhalten, Wiederherstellungen regelmäßig zu validieren und die Wiederherstellung in eine umfassendere Planung der Reaktion auf Vorfälle zu integrieren. Alles andere überlässt die Wiederherstellung dem Zufall und gibt Ransomware-Betreibern genau den Hebel in die Hand, den sie ausdrücklich zu schaffen versuchen.

Wiederherstellung gehört zur Präventionsstrategie

Das endgültige Ergebnis eines Angriffs wird dadurch bestimmt, was geschieht, nachdem der Angreifer Fuß gefasst hat – insbesondere unter Zeitdruck. Diese Unterscheidung ist wichtig, da Betriebsunterbrechungen das vorherrschende Ergebnis sind: Der IBM-Bericht „Cost of a Data Breach 2025“ ergab, dass 86 % der Unternehmen nach einer Datenpanne Betriebsunterbrechungen erlebten, was unterstreicht, wie sehr die Wiederherstellungsleistung letztlich die Auswirkungen bestimmt.

Längere Ausfälle schaffen Verhandlungsmacht, selbst wenn die Daten letztendlich wiederhergestellt werden können. Unternehmen, die betroffene Systeme isolieren, eine saubere Wiederherstellung durchführen und den Betrieb schnell wieder aufnehmen können, verringern sowohl den Schadensumfang als auch die Verhandlungsmacht des Angreifers. In der Praxis beeinflusst die Wiederherstellungsfähigkeit die Anreize für Angreifer ebenso stark wie die Perimeter-Abwehr. Genau aus diesem Grund bündelt die CISA Präventionsleitlinien mit einer Checkliste für die Reaktion, anstatt sie als separate Themen zu behandeln.

Wie ESET die Wiederherstellung nach Ransomware-Angriffen anders angeht

ESET betrachtet die Wiederherstellung als integrierten Bestandteil der Ransomware-Abwehr und nicht als separaten Nachgedanken. Sie basiert auf einer widerstandsfähigen Wiederherstellung und automatisierter Behebung, ermöglicht durch eine proprietäre Rollback-Technologie, die unabhängig vom Microsoft Volume Shadow Copy Service arbeitet und so die Abhängigkeit von Mechanismen verringert, die Angreifer häufig ins Visier nehmen oder deaktivieren.

Auf technischer Ebene ist Ransomware Remediation so konzipiert, dass es mit dem Ransomware Shield zusammenarbeitet. Wenn verdächtige Aktivitäten erkannt werden, erstellt der Endpunkt spontan Backups von vom Benutzer ausgewählten Dateien; sollte sich der Vorgang später als bösartig erweisen, werden diese Dateien automatisch an ihren ursprünglichen Speicherorten wiederhergestellt.

Diese Wiederherstellungsfunktion auf Endpunkt-Ebene soll Verschlüsselungsversuche bereits in der frühesten Phase abwehren und ergänzt herkömmliche Backup- und Disaster-Recovery-Strategien, indem sie den Schaden begrenzt, bevor umfassendere Wiederherstellungsmaßnahmen erforderlich werden.

Wenn Unternehmen MDR zur Ransomware-Prävention benötigen

KMUs verfügen oft nicht über eine 24/7-Überwachung, Kapazitäten zur Bedrohungssuche oder die nötige Tiefe bei der Incident Response. Unterdessen bleibt laut Verizons DBIR 2026 das Eindringen in Systeme das vorherrschende Muster von Sicherheitsverletzungen und macht etwa 60 % aller Vorfälle aus, was im letzten Berichtszeitraum insgesamt 14.309 Vorfälle ergab. Diese Eindringversuche werden überwiegend von externen Akteuren (88 %) verübt, wobei finanzielle Motive nach wie vor im Vordergrund stehen und Spionage etwa 15 % der Sicherheitsverletzungen ausmacht.

Die Auswirkungen haben sich entscheidend auf interne Umgebungen verlagert: 67 % der Sicherheitsverletzungen betreffen interne Daten, neben Zugangsdaten (28 %) und sensiblen Geheimnissen (13 %), was die Tiefe und operative Bedeutung moderner Einbrüche unterstreicht.

Diese Verschiebungen verdeutlichen, warum eine kontinuierliche Überwachung und eine geführte Reaktion durch MDR unerlässlich werden, sobald Angriffe über den ersten Zugriff hinausgehen. Managed Detection and Response (MDR) ist eine praktische Lösung für KMUs, da es genau dies bietet, ohne dass ein vollwertiges internes SOC erforderlich ist. Das MDR von ESET ist ein 24/7-Service, der KI-gestützte Automatisierung mit menschlicher Expertise kombiniert, einschließlich Überwachung, Threat Hunting, Eindämmung, Beseitigungsmaßnahmen und maßgeschneiderter Berichterstattung. In der Praxis schließt MDR die Lücken in der Abdeckung, die die meisten KMU-Teams nicht rund um die Uhr mit Personal abdecken können.

Wie eine effektive Strategie zur Ransomware-Prävention Unternehmen hilft

Bei der Ransomware-Prävention geht es darum, die Wahrscheinlichkeit zu verringern, dass ein anfänglicher Fehler, ein ungeschütztes System oder gestohlene Anmeldedaten zu einer vollständigen Betriebsunterbrechung führen.

Eine effektive Ransomware-Prävention erfordert eine praktische, durchgängige Strategie, die berücksichtigt, wie moderne Angriffe ablaufen, warum Identitäts- und Cloud-Dienste mittlerweile eine zentrale Rolle spielen und wo traditionelle Ansätze, wie das alleinige Verlassen auf Backups, oft zu kurz greifen.

Eine starke Strategie zur Ransomware-Prävention hilft Unternehmen zu verstehen, wie mehrschichtige Kontrollen zusammenwirken: Begrenzung gängiger Angriffspunkte, frühzeitige Erkennung böswilliger Aktivitäten und die Aufrechterhaltung der Fähigkeit, den Betrieb schnell und sicher wiederherzustellen. Sobald dies vollständig verstanden und umgesetzt ist, ergibt sich ein klareres Bild davon, was für die Reduzierung des Ransomware-Risikos in realen Geschäftsumgebungen am wichtigsten ist.

Häufig gestellte Fragen zur schemabereiten Implementierung

Wie lässt sich Ransomware verhindern?

Die Ransomware-Prävention stützt sich auf eine mehrschichtige Risikominderung statt auf eine einzelne Kontrollmaßnahme. Eine wirksame Prävention konzentriert sich auf die Sicherung von Identitäten durch MFA, das schnelle Patchen von Systemen mit Internetanbindung, den Schutz von E-Mail- und Cloud-Diensten, die Einschränkung lateraler Bewegungen und die frühzeitige Erkennung böswilligen Verhaltens. Da moderne Angriffe oft Datendiebstahl und Erpressung beinhalten, muss Prävention über das bloße Stoppen der Dateiverschlüsselung hinausgehen.

Gibt es einen einzigen besten Schutz gegen Ransomware?

Keine einzelne Maßnahme kann Ransomware allein stoppen. Ein starker Schutz kombiniert Identitätshärtung, Reduzierung der Angriffsfläche, verhaltensbasierte Erkennung und Wiederherstellungsbereitschaft. Zusammen verringern diese Ebenen die Wahrscheinlichkeit eines ersten Zugriffs und begrenzen die Auswirkungen, falls Angreifer Fuß fassen.

Was ist die 3-2-1-Regel für Ransomware-Backups?

Die 3-2-1-Regel bedeutet, drei Kopien der Daten auf zwei verschiedenen Medientypen aufzubewahren, wobei eine Kopie extern gespeichert wird. In Ransomware-Szenarien erweitern viele Unternehmen dies zu einem 3-2-1-1-0-Ansatz, indem sie eine unveränderliche oder Offline-Kopie hinzufügen und die Wiederherstellung regelmäßig testen, um sicherzustellen, dass Backups unter realen Angriffsbedingungen nutzbar bleiben.

Können Backups Ransomware-Angriffe verhindern?

Backups verhindern keine Ransomware-Angriffe, sind aber für die Wiederherstellung entscheidend. In vielen Fällen zielen Angreifer gezielt auf Backups ab und deaktivieren diese, um den Druck zu erhöhen. Backups sind am effektivsten, wenn sie von Produktionssystemen isoliert, vor Manipulationen geschützt und regelmäßig getestet werden, um eine zuverlässige Wiederherstellung sicherzustellen.

Warum ist MFA wichtig für die Ransomware-Prävention?

Gestohlene Anmeldedaten sind einer der häufigsten Einstiegspunkte für Ransomware-Betreiber. MFA mindert den Nutzen von durchgesickerten Passwörtern, indem sie einen zusätzlichen Verifizierungsfaktor für den Zugriff auf VPNs, Webmail, Cloud-Admin-Portale und Remote-Desktops verlangt. Dies schränkt Angriffe, die ausschließlich auf Anmeldedaten abzielen, erheblich ein.

Wie führt Phishing zu Ransomware?

Phishing führt in der Regel zu Ransomware, indem es den Diebstahl von Anmeldedaten ermöglicht, anstatt Malware direkt zu verbreiten. Sobald Angreifer gültige Anmeldedaten erhalten haben, können sie über legitime Dienste auf Systeme zugreifen, sich lateral bewegen, Daten stehlen und später Ransomware oder Erpressungstaktiken einsetzen.

Sollte ein Unternehmen das Lösegeld zahlen?

Die Zahlung eines Lösegelds garantiert keine Datenwiederherstellung und kann das Risiko weiterer Angriffe erhöhen. Obwohl Lösegeldzahlungen nicht grundsätzlich verboten sind, können sie Unternehmen je nach Rechtsordnung und Umständen Sanktionen sowie regulatorischen oder rechtlichen Risiken aussetzen. Eine wirksame Vorbereitung konzentriert sich darauf, sicherzustellen, dass die Zahlung nicht die einzige Option ist, indem eine schnelle Eindämmung, eine widerstandsfähige Wiederherstellung und die Fähigkeit zur Wiederaufnahme des Betriebs ohne Verhandlungen mit den Angreifern ermöglicht werden.

Was unterscheidet moderne Ransomware von älterer Ransomware?

Moderne Ransomware kombiniert in der Regel Systemverschlüsselung mit Datendiebstahl und Erpressung, und manche Kampagnen setzen ausschließlich auf Datenerpressung. Diese Entwicklung verlagert den Schwerpunkt der Prävention weg von der reinen Malware-Blockierung hin zu Identitätsschutz, Einblick in das Verhalten der Angreifer und schnellen Reaktionsmöglichkeiten.