Montagmorgen, 7:30 Uhr. Die ersten Mitarbeitenden fahren ihre Rechner hoch — und statt des Desktops erscheint eine Textdatei: Ihre Daten seien verschlüsselt, gegen Zahlung gebe es den Schlüssel zurück. Dieses Szenario ist kein Hollywood-Stoff, sondern laut BSI-Lagebericht seit Jahren die größte Cyberbedrohung für Unternehmen in Deutschland — und es trifft längst nicht mehr nur Konzerne. Gerade kleine Betriebe, Praxen und Pflegeeinrichtungen sind attraktive Ziele: wertvolle Daten, dünne IT-Decke, hoher Druck, schnell wieder arbeitsfähig zu sein. In diesem Beitrag zeigen wir, was in den ersten Stunden eines Angriffs zu tun ist, wie eine Architektur aussieht, an der Ransomware sich die Zähne ausbeißt — und wie der Weg zurück in den Normalbetrieb gelingt, wenn es doch passiert ist.
Teil 1: Der Ernstfall — was in den ersten Stunden zählt
Trennen statt abschalten. Isolieren Sie betroffene Geräte sofort vom Netzwerk: Netzwerkkabel ziehen, WLAN deaktivieren. Aber: Rechner möglichst nicht herunterfahren — im Arbeitsspeicher liegen Spuren, die für die Analyse wertvoll sind. Trennen unterbricht die Ausbreitung, Ausschalten vernichtet Beweise.
Backups schützen — nichts anschließen, alles isolieren. Der verständliche Reflex, sofort die Sicherung einzuspielen, ist im Ernstfall gefährlich: Solange die Schadsoftware aktiv ist, verschlüsselt sie jede Sicherung, die sie erreichen kann — die angeschlossene USB-Festplatte genauso wie das NAS, den Backup-Server oder die Sicherungsfreigabe im Netzwerk. Deshalb gilt beides: Externe Datenträger bleiben getrennt, und Backup-Systeme im Netzwerk werden sofort isoliert — Netzwerkverbindung kappen, bevor die Verschlüsselung sie erreicht. Das Backup ist in dieser Lage Ihr wertvollstes Gut; es wird erst wieder verbunden, wenn die Umgebung nachweislich sauber ist.
Professionelle Hilfe holen — sofort. Jetzt zählt Erfahrung, nicht Ausprobieren: Eigenmächtige Aufräumversuche verschlimmern die Lage fast immer. Holen Sie sich Spezialisten, die Ransomware-Vorfälle schon begleitet haben — für Unternehmen in der Uckermark, in Oberhavel und im Barnim sind wir dieser Ansprechpartner: Unser IT-Notdienst bewertet die Lage, stoppt die Ausbreitung und legt die Reihenfolge der nächsten Schritte fest — das meiste davon beginnt binnen Minuten per Fernzugriff.
Sofort bei der ZAC melden. Erstatten Sie umgehend Anzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) Ihres Bundeslandes — für Brandenburg erreichbar über das dortige Landeskriminalamt. Die ZAC ist speziell für Cyberangriffe auf Unternehmen eingerichtet, arbeitet diskret und kennt die aktuellen Tätergruppen; eine frühe Meldung verbessert die Chancen der Ermittler und schadet Ihnen nicht.
Dokumentieren. Fotografieren Sie die Erpressernachricht und notieren Sie den zeitlichen Ablauf: Wann fiel was zum ersten Mal auf? Diese Informationen brauchen Polizei, Versicherung — und je nach Fall die Datenschutz-Aufsichtsbehörde.
Meldepflichten im Blick behalten. Sind personenbezogene Daten betroffen — und das ist bei Ransomware fast immer anzunehmen —, greift die 72-Stunden-Meldefrist nach Art. 33 DSGVO an die Aufsichtsbehörde. Für Einrichtungen im Gesundheitswesen können weitere Pflichten hinzukommen. Als IHK-zertifizierter Datenschutzbeauftragter unterstützen wir über unseren Bereich Datenschutz & Compliance bei Bewertung und fristgerechter Meldung.
Kein vorschnelles Lösegeld. BSI und Strafverfolgungsbehörden raten von Zahlungen ab — aus guten Gründen: Es gibt keine Garantie für funktionierende Schlüssel, Sie finanzieren das Geschäftsmodell der Täter, markieren sich als zahlungsbereites Ziel, und je nach Tätergruppe kann eine Zahlung sogar rechtlich problematisch sein.
Teil 2: Der bessere Weg — eine IT, an der Ransomware scheitert
Hundertprozentigen Schutz gibt es nicht — wer das verspricht, ist unseriös. Aber es gibt einen gewaltigen Unterschied zwischen einer IT, in der ein einziger falscher Klick das ganze Unternehmen lahmlegt, und einer Architektur, die einen Angriff auf einen kleinen Bereich begrenzt. Sicherheit ist keine Software, die man kauft — sie ist die Summe richtiger Strukturentscheidungen:
Saubere Domänen-Struktur. Ein ordentlich aufgebautes und gepflegtes Active Directory ist das Fundament: klare Organisationsstruktur, keine Altlasten-Konten, nachvollziehbare Gruppenrichtlinien. Viele erfolgreiche Angriffe nutzen gewachsene Unordnung — verwaiste Konten, vergessene Freigaben, historisch gewachsene Rechte.
Admin-Tiering: Verwaltungsebenen strikt trennen. Das wirksamste und am meisten unterschätzte Prinzip. Administrative Konten werden in Ebenen eingeteilt: Konten, die die Domäne verwalten (Tier 0), melden sich niemals an Servern oder Arbeitsplätzen an; Server-Administration (Tier 1) und Arbeitsplatz-Support (Tier 2) sind ebenso getrennt. Der Effekt: Selbst wenn ein Arbeitsplatz kompromittiert wird, findet die Schadsoftware dort keine Zugangsdaten, mit denen sie die Domäne übernehmen könnte. Genau dieser Sprung — vom einzelnen PC zur zentralen Infrastruktur — ist es, der aus einem Vorfall eine Katastrophe macht.
Minimalrechte konsequent. Kein Mitarbeiter arbeitet mit lokalen Administratorrechten, niemand hat mehr Zugriff, als seine Aufgabe erfordert. Was der angemeldete Benutzer nicht darf, darf auch die Schadsoftware nicht, die in seinem Namen läuft. Das begrenzt den Schaden eines Phishing-Klicks von „alles verschlüsselt" auf „ein Benutzerprofil betroffen".
Multi-Faktor-Authentifizierung überall. Gestohlene Passwörter sind das häufigste Einfallstor — MFA entwertet sie. Pflicht ist sie aus unserer Sicht für alle Fernzugänge (VPN), Microsoft 365 und sämtliche administrativen Konten. Der zweite Faktor kommt dabei per App — oder, noch sicherer, per Hardware-Schlüssel wie dem YubiKey: Der physische Schlüssel funktioniert nur an der echten Anmeldeseite und macht damit auch Phishing-Angriffe auf den zweiten Faktor wirkungslos. Warum MFA ohnehin zunehmend regulatorisch gefordert wird, lesen Sie in unserem Beitrag zur MFA-Pflicht 2026.
Netzwerksegmentierung. Produktion, Verwaltung, Gäste-WLAN und Servernetz gehören getrennt — mehr dazu auf unserer Seite Netzwerksicherheit. Eine Schadsoftware, die sich nicht seitwärts bewegen kann, bleibt ein lokales Problem.
Aktuelle Systeme. Die meisten Angriffe nutzen bekannte, längst geschlossene Lücken. Zentrales Patch-Management für Betriebssysteme und Anwendungen — bei uns mit opsi bzw. Microsoft Intune im Rahmen des Client- & Server-Managements — schließt sie flächendeckend, nicht nur dort, wo gerade jemand daran denkt.
Backups nach 3-2-1 — mit vollständig entkoppelter Kopie und Restore-Test. Das Backup ist die letzte Verteidigungslinie, und Angreifer wissen das: Moderne Ransomware sucht gezielt nach Sicherungen und Sicherungsservern. Deshalb reicht eine Kopie „auf dem NAS nebenan" nicht. Mindestens eine Sicherung gehört vollständig vom eigenen Netzwerk entkoppelt — offline auf getrennten Datenträgern oder außer Haus auf unveränderbarem Speicher (Immutable/Object Lock), auf den kein Konto aus Ihrer Domäne Schreib- oder Löschrechte hat. Dazu regelmäßige Wiederherstellungstests: Ein Backup, das noch nie zurückgespielt wurde, ist ein Versprechen — kein Schutz. Wie wir das aufbauen, zeigt unsere Seite Backup-Konzepte.
Wachsame Endpunkte und wache Menschen. Moderner Endpoint-Schutz erkennt Verschlüsselungsverhalten und stoppt es automatisch. Und weil fast jeder Angriff mit einer E-Mail beginnt, gehört die Sensibilisierung der Mitarbeitenden dazu — kurz, regelmäßig, ohne erhobenen Zeigefinger.
Ein Notfallplan auf Papier. Wenn die IT steht, hilft kein Notfallplan, der auf dem verschlüsselten Server liegt. Wer ruft wen an, in welcher Reihenfolge, wo liegen die wichtigsten Zugangsdaten für den Wiederanlauf? Eine Seite, ausgedruckt, an zwei Orten — im Ernstfall Gold wert.
Teil 3: Nach dem Angriff — der Weg zurück
Erst verstehen, dann wiederherstellen. Der größte Fehler nach einem Angriff: Systeme aus dem Backup zurückholen, bevor die Einfallspforte gefunden ist — und zwei Wochen später beginnt alles von vorn. Zuerst wird geklärt, wie die Angreifer hereinkamen und wie lange sie im Netz waren.
Neu aufsetzen statt bereinigen. Kompromittierten Systemen ist nicht zu trauen. Der sichere Weg ist die Neuinstallation aus sauberen Quellen und das Zurückspielen geprüfter Daten — nicht das „Säubern" befallener Maschinen. Mit einer Client-Management-Lösung wie opsi ist die automatisierte Neuinstallation ganzer Arbeitsplatzflotten eine Frage von Stunden, nicht Wochen.
Alle Zugangsdaten erneuern. Sämtliche Passwörter werden zurückgesetzt — inklusive der zentralen Dienstkonten, denn es ist davon auszugehen, dass die Angreifer Zugangsdaten kopiert haben. Spätestens jetzt wird MFA flächendeckend Pflicht.
Gestaffelt wieder anlaufen. Erst die kritischen Kernsysteme, dann der Rest — nach einer Prioritätenliste, die idealerweise vor dem Ernstfall existiert. Und am Ende: Lessons Learned. Jeder überstandene Vorfall ist die beste Argumentationshilfe für die Härtungsmaßnahmen aus Teil 2.
Fazit
Ein Ransomware-Angriff ist kein Schicksal. In den ersten Stunden entscheiden Ruhe und die richtige Reihenfolge über das Ausmaß des Schadens — und lange vorher entscheidet die Architektur, ob ein Klick auf die falsche Mail ein Ärgernis bleibt oder den Betrieb wochenlang stilllegt. Admin-Tiering, Minimalrechte, MFA mit Hardware-Schlüsseln, Segmentierung und getestete, vom Netzwerk entkoppelte Backups sind keine Konzern-Luxusthemen, sondern für jedes KMU umsetzbar. Wenn Sie wissen möchten, wo Ihr Unternehmen heute steht: Unsere Schwachstellenanalyse und das kostenlose IT-Audit zeigen es Ihnen — ehrlich und ohne Panikmache.