Ransomware

Ransomware ist eine Form von Malware, die Daten auf einem Computer oder in einem Netzwerk verschlüsselt oder den Zugriff auf Systeme blockiert, um anschließend ein Lösegeld (englisch: ransom) zu erpressen. Erst nach Zahlung, meist in Kryptowährungen wie Bitcoin, versprechen die Angreifer, die Daten wieder freizugeben. Ransomware zählt laut BSI zu den größten Cyberbedrohungen für Unternehmen und Behörden.

Stell dir Ransomware wie einen digitalen Erpresser vor: Er bricht in dein Haus ein, tauscht alle Schlösser aus und verlangt Geld, damit du wieder in deine eigenen Räume kommst. Anders als bei einem Einbruch werden bei Ransomware keine physischen Gegenstände gestohlen. Stattdessen werden deine Daten als Geisel genommen. Die Auswirkungen treten sofort ein: Geschäftsprozesse stehen still, Mitarbeiter können nicht arbeiten, und im schlimmsten Fall sind Jahre an Arbeit und Daten verloren.

Wie funktioniert ein Ransomware-Angriff?

Ein Ransomware-Angriff läuft typischerweise in mehreren Phasen ab. Das Verständnis dieser Phasen hilft dir, Angriffe zu erkennen und Schutzmaßnahmen zu ergreifen.

1. Infiltration: Die Ransomware gelangt auf das System, meist durch Phishing-E-Mails mit infizierten Anhängen, kompromittierte Websites (Drive-by-Downloads), unsichere RDP-Zugänge oder Sicherheitslücken in Software.
2. Ausbreitung: Die Malware verbreitet sich im Netzwerk und identifiziert alle erreichbaren Systeme und Dateien. Moderne Ransomware nutzt dabei oft legitime Systemtools (Living-off-the-Land-Techniken).
3. Datenexfiltration: Bei modernen Angriffen (Double Extortion) werden sensible Daten vor der Verschlüsselung kopiert und an die Angreifer übertragen.
4. Verschlüsselung: Die Ransomware verschlüsselt Dateien mit starken kryptografischen Algorithmen wie AES-256. Der Entschlüsselungsschlüssel wird auf Servern der Angreifer gespeichert.
5. Erpressung: Eine Lösegeldforderung erscheint auf dem Bildschirm, oft mit Countdown und Drohungen, die Daten zu löschen oder zu veröffentlichen.

Arten von Ransomware

Je nach Funktionsweise unterscheidet man verschiedene Ransomware-Typen. Jeder Typ erfordert unterschiedliche Gegenmaßnahmen.

Crypto-Ransomware (Verschlüsselungstrojaner)

Crypto-Ransomware ist die häufigste und gefährlichste Variante. Sie verschlüsselt Dateien mit militärischer Verschlüsselung (AES-256, RSA-2048), sodass ohne den richtigen Schlüssel kein Zugriff mehr möglich ist. Bekannte Beispiele sind WannaCry, Locky und LockBit. Diese Variante ist besonders tückisch, weil die Daten ohne den Entschlüsselungsschlüssel praktisch für immer verloren sind. Selbst die besten IT-Experten können die Verschlüsselung nicht knacken.

Locker-Ransomware

Locker-Ransomware verschlüsselt nicht einzelne Dateien, sondern sperrt den Zugang zum gesamten System. Ein Sperrbildschirm zeigt die Lösegeldforderung an, oft mit einem Countdown, um psychologischen Druck aufzubauen. Maus und Tastatur funktionieren nur eingeschränkt, gerade genug, um die Zahlung durchzuführen. Diese Variante ist oft leichter zu entfernen als Crypto-Ransomware, da die Dateien selbst nicht verschlüsselt sind.

Scareware

Scareware nutzt psychologische Manipulation statt tatsächlicher Verschlüsselung. Sie behauptet, einen Virus gefunden zu haben oder illegale Aktivitäten entdeckt zu haben, und fordert zur Zahlung auf. Manche Varianten geben sich als Polizeibehörden aus und drohen mit Strafverfolgung. Obwohl technisch harmloser, ist Scareware gefährlich, weil verunsicherte Nutzer oft trotzdem zahlen.

Double Extortion – die moderne Erpressungstaktik

Seit 2019 hat sich Double Extortion (doppelte Erpressung) als Standard etabliert. Dabei verschlüsseln Angreifer nicht nur die Daten, sondern stehlen sie vorher. Das gibt ihnen zwei Druckmittel:

• Erstens: Ohne Zahlung bleiben die Daten verschlüsselt und unzugänglich
• Zweitens: Die gestohlenen Daten werden veröffentlicht oder an Konkurrenten verkauft

Diese Taktik macht Backups allein wertlos: Selbst wenn du deine Daten wiederherstellen kannst, droht dir immer noch die Veröffentlichung sensibler Informationen. Der Colonial Pipeline-Angriff 2021 demonstrierte die Wirksamkeit: Die Angreifer erbeuteten 100 GB Daten und erzwangen eine Zahlung von 5 Millionen Dollar, obwohl das Unternehmen Backups hatte.

Ransomware-as-a-Service

Ransomware-as-a-Service (RaaS) hat die Cyberkriminalität industrialisiert. Ähnlich wie bei legitimen Software-as-a-Service-Angeboten können Kriminelle ohne technisches Wissen fertige Ransomware-Pakete mieten. Die Entwickler stellen die Schadsoftware, Zahlungsinfrastruktur und sogar “Kundenservice” für Opfer bereit. Im Gegenzug erhalten sie einen Anteil des Lösegelds, typischerweise 20–30%.

Dieses Modell hat die Einstiegshürde für Cyberkriminalität drastisch gesenkt. LockBit, eine der gefährlichsten RaaS-Plattformen, führte zwischen 2022 und 2024 über 7.000 Angriffe weltweit durch. Die Gruppe bot sogar Marketingkampagnen und wettbewerbsfähige Provisionen für “Affiliates”, ein Zeichen für die Professionalisierung dieser kriminellen Strukturen.

Bekannte Ransomware-Familien

Im Laufe der Jahre haben verschiedene Ransomware-Familien für Schlagzeilen gesorgt. Hier die wichtigsten Beispiele, die du als IT-Fachkraft kennen solltest:

Verbreitungswege von Ransomware

Um dich zu schützen, musst du verstehen, wie Ransomware auf Systeme gelangt. Die häufigsten Einfallstore sind:

Phishing-E-Mails

Phishing bleibt der häufigste Angriffsvektor. Angreifer versenden täuschend echte E-Mails mit infizierten Anhängen (als Rechnung, Bewerbung oder Lieferschein getarnt) oder Links zu kompromittierten Websites. Locky verbreitete sich 2016 fast ausschließlich über gefälschte Rechnungs-E-Mails mit Word-Dokumenten, die Makros enthielten.

Remote Desktop Protocol (RDP)

Unsicher konfigurierte RDP-Zugänge sind ein beliebtes Ziel. Angreifer scannen das Internet nach offenen RDP-Ports (TCP 3389) und führen Brute-Force-Angriffe auf schwache Passwörter durch. Sobald sie Zugang haben, können sie sich im Netzwerk bewegen und Ransomware manuell installieren. Besonders seit der Corona-Pandemie und der Zunahme von Homeoffice ist dieser Angriffsvektor stark gestiegen.

Sicherheitslücken und Zero-Day-Exploits

Ungepatchte Software ist eine offene Tür für Ransomware. WannaCry nutzte die EternalBlue-Schwachstelle in Windows SMB, für die Microsoft bereits Monate zuvor einen Patch veröffentlicht hatte. Trotzdem waren Millionen Systeme noch anfällig. 2023/2024 nutzten Ransomware-Gruppen verstärkt Zero-Day-Exploits, also Schwachstellen, für die noch keine Patches existieren. Eine einzelne Ransomware-Gruppe kompromittierte über 8.000 Unternehmen durch Ausnutzung weniger Zero-Days.

Supply-Chain-Angriffe

Bei Supply-Chain-Angriffen kompromittieren Angreifer Software-Lieferanten, um über deren Updates Tausende Kunden zu infizieren. Der Kaseya-Angriff 2021 traf über eine einzige Schwachstelle in der IT-Management-Software Tausende von Unternehmen weltweit. Diese Angriffe sind besonders gefährlich, weil die Malware über vertrauenswürdige Kanäle verbreitet wird.

Schutzmaßnahmen gegen Ransomware

Einen hundertprozentigen Schutz gibt es nicht, aber mit den richtigen Maßnahmen kannst du das Risiko drastisch senken und im Ernstfall schnell wiederherstellen.

Backups nach dem 3-2-1-Prinzip

Die wichtigste Maßnahme sind regelmäßige, sichere Backups. Das 3-2-1-Prinzip empfiehlt:

• 3 Kopien deiner Daten
• auf 2 verschiedenen Medientypen
• davon 1 Kopie offline oder an einem anderen Standort

Kritisch dabei: Backups müssen vom Produktivnetzwerk getrennt sein. Viele Ransomware-Varianten suchen gezielt nach Backup-Systemen und verschlüsseln diese mit. Ein unveränderlicher (immutable) Backup-Speicher, auf den nach dem Schreiben nicht mehr zugegriffen werden kann, bietet zusätzlichen Schutz.

Patch-Management

Halte alle Systeme aktuell. Die Ausnutzung bekannter Schwachstellen ist einer der Hauptinfektionswege. Ein strukturiertes Patch-Management mit zeitnaher Installation von Sicherheitsupdates schließt diese Einfallstore. WannaCry hätte mit einem einzigen Windows-Update verhindert werden können. Der Patch war zwei Monate vor dem Ausbruch verfügbar.

Mitarbeiterschulung

Der Mensch bleibt oft das schwächste Glied. Regelmäßige Schulungen zu Phishing-Erkennung, sicherem Umgang mit E-Mails und verdächtigen Dateien sind unerlässlich. Simulierte Phishing-Übungen helfen, das Bewusstsein zu schärfen und Schwachstellen im menschlichen Faktor zu identifizieren.

Technische Schutzmaßnahmen

Ergänzend solltest du folgende technische Maßnahmen implementieren:

• Multi-Faktor-Authentifizierung (MFA): Besonders für Remote-Zugänge, Admin-Accounts und E-Mail
• Netzwerksegmentierung: Trennung kritischer Systeme, um laterale Bewegung zu erschweren
• Principle of Least Privilege: Benutzer und Prozesse erhalten nur minimal notwendige Rechte
• Endpoint Detection and Response (EDR): Moderne Sicherheitssoftware erkennt auch unbekannte Ransomware anhand ihres Verhaltens
• E-Mail-Filterung: Blockierung verdächtiger Anhänge und Links
• Deaktivierung von Makros: In Office-Dokumenten standardmäßig deaktivieren

Was tun bei einem Ransomware-Angriff?

Wenn es doch passiert, ist schnelles und überlegtes Handeln entscheidend:

1. Isolieren: Betroffene Systeme sofort vom Netzwerk trennen (Netzwerkkabel ziehen, WLAN deaktivieren), um weitere Ausbreitung zu verhindern
2. Nicht herunterfahren: Manche forensische Spuren befinden sich nur im RAM und gehen beim Herunterfahren verloren
3. Dokumentieren: Screenshots der Lösegeldforderung machen, Zeitpunkte notieren
4. Incident Response Team informieren: Interne IT-Sicherheit, ggf. externe Experten hinzuziehen
5. Behörden einschalten: Anzeige bei der Polizei erstatten, BSI informieren
6. Nicht vorschnell zahlen: Zahlung garantiert keine Entschlüsselung und finanziert weitere Angriffe
7. Entschlüsselungstools prüfen: Das No More Ransom-Projekt bietet kostenlose Entschlüsselungstools für viele bekannte Ransomware-Familien
8. Wiederherstellung aus Backups: Nach vollständiger Bereinigung Systeme neu aufsetzen und Daten wiederherstellen

Ransomware im Gesundheitswesen

Krankenhäuser und Gesundheitseinrichtungen sind besonders attraktive Ziele für Ransomware-Angreifer. Sie verfügen über sensible Patientendaten, und jede Minute Ausfallzeit kann Menschenleben kosten. Der Druck zu zahlen ist daher enorm. Seit 2015 ist die Zahl der Angriffe auf den Gesundheitssektor um 300% gestiegen. Studien zeigen erschreckende Auswirkungen: Nach Ransomware-Angriffen auf Krankenhäuser steigen die Herzstillstand-Fälle in umliegenden Kliniken um 81%, weil Patienten umgeleitet werden müssen.

Rechtliche Aspekte

Mit der NIS-2-Richtlinie, die in Deutschland ab Dezember 2025 gilt, verschärfen sich die Anforderungen an die Cybersicherheit für Unternehmen deutlich. Etwa 29.500 Organisationen fallen unter die neue Regulierung und müssen Risikomanagementmaßnahmen implementieren sowie Sicherheitsvorfälle melden. Die Frage, ob Lösegeldzahlungen versichert werden sollten, bleibt umstritten. Ein generelles Verbot wurde jedoch nicht eingeführt. Unternehmen sollten sich der rechtlichen Risiken bewusst sein: Die DSGVO fordert bei Datenschutzverletzungen eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden.

Ransomware in der IT-Ausbildung

Als angehender Fachinformatiker für Systemintegration wirst du Backup-Konzepte umsetzen, Sicherheitsrichtlinien konfigurieren und im Ernstfall bei der Wiederherstellung helfen. In der Anwendungsentwicklung ist sicheres Programmieren wichtig, um Sicherheitslücken zu vermeiden, die als Einfallstor dienen könnten. Das Thema Ransomware ist auch prüfungsrelevant. Sowohl die Funktionsweise als auch Schutzmaßnahmen werden in der AP1 abgefragt.

Quellen und weiterführende Links

• BSI - Ransomware-Angriffe - Offizielle Informationen des Bundesamts für Sicherheit in der Informationstechnik
• No More Ransom - Kostenlose Entschlüsselungstools und Präventionstipps
• Kaspersky - Ransomware-Typen - Übersicht bekannter Ransomware-Familien