Ransomware-Schutz für kleine Unternehmen

Ransomware ist Schadsoftware, die Daten verschlüsselt und anschließend Lösegeld für die Entschlüsselung verlangt. Für einen kleinen Betrieb bedeutet ein solcher Angriff oft: Kein Zugriff auf Aufträge, Patientenakten oder Buchhaltung, im schlimmsten Fall für Tage. Dass das kein reines Problem großer Konzerne ist, zeigt das Bundeslagebild Cybercrime 2025 des Bundeskriminalamts: Rund 90 Prozent der angezeigten Ransomware-Angriffe betrafen kleine und mittlere Unternehmen. Insgesamt wurden 1.041 Angriffe angezeigt, rund zehn Prozent mehr als im Vorjahr.

Hinzu kommt: Laut Bundeslagebild ließen sich rund drei Viertel der Fälle der sogenannten doppelten Erpressung zuordnen. Die Täter stehlen dabei Daten, bevor sie diese verschlüsseln, und drohen mit der Veröffentlichung. Ein gutes Backup bringt Ihre Daten zurück, verhindert aber nicht, dass Kundendaten im Netz landen. Deshalb geht es in diesem Ratgeber um Vorbeugung: Wie verhindern Sie, dass Angreifer überhaupt hineinkommen und sich ausbreiten? Wie Sie Ihre Datensicherung angriffsfest machen, lesen Sie in unserem Ratgeber Backup und Wiederherstellung.

Wie Ransomware ins Unternehmen gelangt

Das BSI und das Landeskriminalamt Nordrhein-Westfalen nennen vor allem diese Wege:

E-Mail-Anhänge und Links, die Mitarbeitende öffnen, oft getarnt als Rechnung oder Nachricht eines bekannten Absenders.
Sicherheitslücken in veralteter Software, besonders in Systemen, die aus dem Internet erreichbar sind, wie Firewalls, VPN-Zugänge oder Webserver.
Schlecht geschützte Fernzugänge und gestohlene Zugangsdaten ohne zweiten Faktor.
Konten mit weitreichenden Administratorrechten, die das Ausbreiten im Netzwerk erleichtern.

Die gute Nachricht: Gegen jeden dieser Wege gibt es bewährte Maßnahmen. Keine davon ist für sich allein ausreichend, zusammen erschweren sie Angreifern das Vorgehen aber erheblich.

1. Updates zügig einspielen

Das BSI führt Patches und Updates an erster Stelle seiner Top-10-Maßnahmen gegen Ransomware. Sicherheitsupdates sollten zeitnah eingespielt werden, idealerweise über eine zentrale Softwareverteilung. Vorrang haben kritische Lücken und Systeme, die direkt aus dem Internet erreichbar sind, also etwa Firewall, VPN-Gateway oder Webserver. Das LKA Nordrhein-Westfalen rät außerdem, nicht benötigte Dienste und Programme abzuschalten. Was nicht läuft, kann auch nicht angegriffen werden.

In der Praxis heißt das: Jemand muss dafür zuständig sein, regelmäßig zu prüfen, ob alle Geräte aktuell sind, einschließlich Server, Router und Firewall. Geräte, für die der Hersteller keine Updates mehr liefert, gehören ausgetauscht.

2. Mehrfaktor-Authentifizierung überall dort, wo es zählt

Ein gestohlenes Passwort allein sollte nicht genügen, um sich anzumelden. Das BSI empfiehlt eine Zwei-Faktor-Authentisierung insbesondere für Fernzugänge und Administratorkonten. Die Empfehlungen zum Bundeslagebild nennen darüber hinaus E-Mail, Cloud-Dienste und Online-Banking. Beim zweiten Faktor handelt es sich meist um eine Bestätigung per App auf dem Smartphone. Der Mehraufwand im Alltag ist gering, der Schutzgewinn groß.

3. Fernzugänge absichern

Homeoffice, Fernwartung durch den Softwarehersteller, Zugriff von unterwegs: Fernzugänge sind praktisch und zugleich ein beliebtes Ziel. Das BSI empfiehlt, Fernzugriffe nur über ein VPN in Verbindung mit einem zweiten Faktor zu erlauben. Die Cybersicherheitsagentur Baden-Württemberg ergänzt organisatorische Regeln:

Nur Fernzugänge erlauben, die wirklich notwendig sind.
Zugänge für Dienstleister nur bei Bedarf freischalten und danach wieder schließen.
Jedes Konto genau einer Person zuordnen, keine Sammelzugänge.
Fehlgeschlagene Anmeldeversuche protokollieren und Fernzugänge regelmäßig überprüfen.

4. Administratorrechte begrenzen

Wer mit Administratorrechten im Internet surft oder E-Mails liest, gibt einer Schadsoftware im Ernstfall dieselben Rechte. Das BSI rät daher, privilegierte Konten nur für Verwaltungsaufgaben zu nutzen und im Alltag mit normalen Benutzerkonten zu arbeiten. Das LKA Nordrhein-Westfalen empfiehlt, die Zahl solcher Konten so gering wie möglich zu halten. Das gilt auch für den Chef: Ein eigenes Admin-Konto, das nur bei Bedarf verwendet wird, ist sicherer als dauerhafte Vollrechte.

5. Mitarbeitende einbeziehen

Viele Angriffe beginnen mit einer E-Mail. Das BSI empfiehlt, Mitarbeitende für die typischen Infektionswege zu sensibilisieren und ein gesundes Misstrauen gegenüber unerwarteten Inhalten zu fördern. Technisch rät das BSI, die automatische Ausführung von Makros in Office-Dokumenten zu unterbinden und nur signierte Makros zuzulassen. Das LKA Nordrhein-Westfalen empfiehlt, alle Beschäftigten regelmäßig zu schulen, auch im Umgang mit Anhängen von scheinbar bekannten Absendern. Wichtig ist eine Kultur, in der eine Meldung bei der IT ausdrücklich erwünscht ist, auch wenn man vielleicht schon geklickt hat.

6. Das Netzwerk aufteilen

In vielen kleinen Betrieben hängt alles in einem einzigen Netz: Arbeitsplätze, Server, Drucker, Telefonanlage und manchmal das Gäste-WLAN. Gelangt ein Angreifer auf einen Rechner, erreicht er von dort alles andere. Das BSI und das LKA Nordrhein-Westfalen empfehlen deshalb, das Netzwerk in getrennte Bereiche aufzuteilen. So lässt sich die Ausbreitung einer Schadsoftware auf einzelne Bereiche begrenzen. Ein erster, gut umsetzbarer Schritt ist häufig die Trennung von Gäste-WLAN, Arbeitsplätzen und Servern.

7. Angriffe früh erkennen

Ransomware-Angriffe laufen oft in mehreren Phasen ab: Eindringen, Umsehen, Rechte ausweiten, Daten abziehen und erst ganz am Ende verschlüsseln. Wer Auffälligkeiten früh bemerkt, kann den Angriff stoppen, bevor der eigentliche Schaden entsteht. Das BSI hat dafür eigene Top-10-Maßnahmen zur Erkennung veröffentlicht. Dazu zählen etwa die Überwachung von Fernanmeldungen, das Erkennen von Werkzeugen zum Auslesen von Passwörtern und Warnungen, wenn Sicherungskopien gelöscht oder Schutzprogramme abgeschaltet werden.

Für ein kleines Unternehmen ohne eigene IT-Abteilung ist eine solche Überwachung kaum selbst zu leisten. Eine Möglichkeit ist ein Managed-Detection-and-Response-Dienst. Bei Sophos MDR etwa überwachen Analysten des Herstellers die angebundenen Systeme rund um die Uhr und können je nach vereinbartem Umfang auch eingreifen, um einen Angriff einzudämmen.

Wenn es doch passiert

Absolute Sicherheit gibt es nicht. Deshalb gehört zur Vorbeugung auch ein Notfallplan. Das BSI empfiehlt, geschäftskritische Systeme vorab festzulegen und wichtige Telefonnummern auf Papier bereitzuhalten. Im Ernstfall rät das LKA Nordrhein-Westfalen, nicht selbst mit Entschlüsselungsversuchen zu experimentieren, Fachleute hinzuzuziehen, Anzeige bei der Polizei zu erstatten und kein Lösegeld zu zahlen. Die ausführlichen Schritte für die ersten Stunden finden Sie in unserem Backup-Ratgeber.

Fazit

Wirksamer Schutz vor Ransomware besteht aus mehreren Schichten: aktuelle Systeme, Mehrfaktor-Authentifizierung, sichere Fernzugänge, sparsam vergebene Administratorrechte, aufmerksame Mitarbeitende, ein aufgeteiltes Netzwerk und eine Überwachung, die Angriffe früh bemerkt. Vieles davon lässt sich auch in kleinen Betrieben mit überschaubarem Aufwand umsetzen.

Wie Secundo IT unterstützt

Secundo IT prüft gemeinsam mit Ihnen, wo die Einfallstore in Ihrem Unternehmen liegen, und setzt die passenden Maßnahmen um: von Update-Prozessen und Mehrfaktor-Authentifizierung über sichere Fernzugänge und Netzwerktrennung bis zu Schulungen für Ihr Team. Für die laufende Überwachung bieten wir Sophos MDR an.

Sie möchten wissen, wie gut Ihr Betrieb gegen Ransomware aufgestellt ist? Sprechen Sie uns an. Zur Kontaktseite

Ransomware: Wie kleine Unternehmen sich wirksam schützen