Wie ein einziger Klick dein Unternehmen Millionen kosten kann

Ransomware 101: Kenn deinen Gegner

Ransomware ist der Sammelbegriff für Schadsoftware, die deine Systeme verschlüsselt oder sperrt, bis eine Zahlung erfolgt. Das Ökosystem dahinter ist eine ausgewachsene, professionelle Industrie geworden. Crypto-Ransomware verschlüsselt Dateien mit starker Kryptografie; Opfer brauchen den Key des Angreifers, um wieder ranzukommen. Bekannte Familien sind LockBit, BlackCat und Royal.

Locker-Ransomware geht gröber vor und sperrt das komplette System, also Desktop und Anwendungen. In Unternehmen ist sie seltener, taucht aber bei gezielten Angriffen gegen bestimmte Branchen immer noch auf.

Das dominierende Geschäftsmodell 2025 ist Ransomware-as-a-Service. Affiliates mieten Ransomware-Kits von Entwicklern, die an jedem erfolgreichen Lösegeld einen Anteil kassieren. Das hat die Einstiegshürde gesenkt und die Doppel- und Dreifach-Erpressungskampagnen hervorgebracht, die wir heute regelmässig sehen: Angreifer drohen damit, Daten zu leaken, Kunden zu belästigen oder die Infrastruktur per DDoS lahmzulegen, wenn das Opfer nicht zahlt. Der eine Klick ist nur der Auftakt.

Anatomie eines modernen Ransomware-Angriffs

Ransomware-Gruppen folgen einer feingetunten Abfolge. Wer jede Phase kennt, kann Kontrollen genau dort setzen, wo sie den Angriff wirklich stören.

1. 1

   Erstzugriff

   Phishing-Mails, bösartige Anhänge, kompromittierte Websites oder gestohlene Zugangsdaten. Angreifern reicht ein Klick oder ein geleaktes Passwort.
2. 2

   Fuss fassen und Rechte ausweiten

   Angreifer installieren Loader, nutzen legitime Tools (PowerShell, PsExec) und eskalieren Rechte, um sich lateral im Netz zu bewegen. Ruhephasen können sich über Wochen ziehen.
3. 3

   Aufklärung und Datendiebstahl

   Sie kartieren dein Netzwerk, identifizieren Backups und ziehen heimlich sensible Dateien ab. Die doppelte Erpressung beginnt schon hier, noch vor der Verschlüsselung.
4. 4

   Die Verschlüsselung

   Die Payloads laufen parallel auf Endgeräten, Servern und Backups an. Wenn die Alarme anschlagen, ist der Schaden längst angerichtet.
5. 5

   Verhandlung und Wiederherstellung

   Erpresserbriefe fordern Zahlung. Die Opfer rennen, um Systeme wiederherzustellen, Verhandler einzubinden und Stakeholder zu informieren.

Die echten Kosten jenseits des Lösegelds

Das Lösegeld ist nur ein Teil des finanziellen Schadens. Der IBM-Bericht „Cost of a Data Breach" 2025 beziffert die Gesamtkosten im Schnitt auf 5,02 Millionen Dollar, bevor Bussgelder oder Klagen überhaupt dazukommen. Das Lösegeld selbst liegt im Median bei etwa 1,54 Millionen Dollar (Coveware Q2 2025), und da sind Krypto-Gebühren, Anwaltskosten, Verhandler und Kredit-Monitoring noch nicht drin.

Der zweitgrösste Posten ist der Betriebsausfall. Ein Ausfall von 15 Tagen ist typisch. Das bedeutet: entgangener Umsatz, verpasste SLAs, Überstunden und verspätete Lieferungen. In der Fertigung und Logistik kann eine Woche Stillstand schlimmer sein als das Lösegeld selbst.

Bussgelder der Regulierer (DSGVO, CCPA und ihre Äquivalente) können 4 % des Jahresumsatzes erreichen. Die Meldepflichten ziehen Aufsichtsbehörden und eine Welle an Klagen nach sich. Und dann sind da noch die Wiederaufbau-Kosten (Geräte neu aufsetzen, Tooling erneuern, IR-Retainer), im Schnitt rund 750.000 Dollar. Bleibt der Reputationsschaden. Kunden zögern, Partner verhandeln nach, Mitarbeiter verlieren das Vertrauen. Dieser Schaden hängt lange nach, auch wenn die Systeme längst wieder laufen.

Warum Firmen trotzdem zahlen

Obwohl das FBI davon abrät zu zahlen, sehen viele Organisationen keine andere Wahl. Angreifer nutzen drei geschäftliche Realitäten aus.

Die erste sind nicht getestete Backups. Air-Gap-Backups nützen nichts, wenn sie nie geprobt wurden, und Angreifer gehen zuerst an die Backup-Repositories, um dir genau diesen Rettungsanker zu kappen. Wenn die Wiederherstellung unsicher und die Ausfallzeit teuer ist, rechnet sich das Lösegeld plötzlich.

Die zweite ist der SLA-Druck. Börsennotierte Unternehmen und kritische Infrastruktur können sich keine langen Ausfälle leisten. Zu zahlen wirkt billiger als wochenlang entgangener Umsatz und regulatorischer Ärger, selbst wenn das Board es eigentlich besser weiss.

Die dritte ist die Daten-Erpressung. Drohen Angreifer damit, sensible Daten oder Kundendaten zu leaken, ist die Zahlung oft der einzige Weg, eine Reputationskatastrophe zu vermeiden. Prävention ist deutlich günstiger, als aus einer dieser Positionen heraus zu verhandeln.

Prävention, die wirklich funktioniert

Checklisten gibt es überall, aber nicht alle Massnahmen haben den gleichen Effekt. Drei Praktiken bringen in den meisten Organisationen den Grossteil der Risikoreduktion.

Hochriskantes Surfen isolieren. Finance, HR, Lieferanten-Management und Security-Teams sollten externe Inhalte in einem isolierten Browser prüfen. Selbst wenn ein Phishing-Link Ransomware mitbringt, zündet sie in der Cloud und nicht auf einer Produktionsmaschine. Allein diese eine Änderung schaltet den häufigsten Auslieferungsweg moderner Ransomware aus.

Netzwerk segmentieren und überwachen. Laterale Bewegungen dürfen nie einfach sein. Identitätsbasierte Segmentierung, Least-Privilege-Zugriffe und Verhaltensanalytik fangen ungewöhnliche Verschlüsselungsaktivitäten früh genug ab. Hier geht es weniger um Prävention als um Eindämmung, und genau die Eindämmung verhindert, dass aus einem sechsstelligen Vorfall einer im Millionenbereich wird.

Backups wie Brandübungen proben. Teste Wiederherstellungen vierteljährlich. Halte mehrere offline, unveränderliche Backups vor. Dokumentiere Wiederherstellungszeiten, damit die Führung versteht, was „15 Tage" wirklich heisst, bevor sie unter Druck eine Lösegeld-Entscheidung treffen muss.

Das Problem mit ungeprüften Links

Mitarbeiter bekommen ständig unbekannte Links. Verdächtige Rechnungen, Vertragsportale, Versandbenachrichtigungen. Ihnen zu sagen, sie sollen einfach nie klicken, ist unrealistisch. Ihr Job verlangt es nun mal. Gib ihnen stattdessen einen sicheren Weg, Inhalte zu prüfen.

Der Ablauf mit einem isolierten Browser ist denkbar einfach. Öffne den Link in einer Browser.lol-Sitzung, damit nichts die lokale Maschine berührt. Halte das Ganze per Video oder Screenshot als Beweis fest, ohne dir etwas einzufangen. Verlangt die Seite einen Download, öffne die Datei zuerst in der isolierten Umgebung. Schliesst du die Sitzung, räumt Browser.lol den Container ab und nimmt Malware, Cookies und Tracker gleich mit. Der ganze Vorgang dauert ein, zwei Minuten, kurz genug, dass Leute ihn auch wirklich durchziehen.

Das Wichtigste zur Incident Response

Vorbereitung macht den Unterschied zwischen einem eingedämmten Vorfall und einer Krise, die sich hinzieht. Rutscht Ransomware doch durch, dann zählt schnelles und methodisches Handeln.

Die Sofortmassnahmen: infizierte Maschinen vom Netz trennen, deinen Incident-Response-Partner und die Rechtsabteilung aktivieren und Logs sowie forensische Beweise sichern, bevor irgendetwas neu aufgesetzt wird. Wer zu früh neu aufsetzt, zerstört Beweise, die Versicherung und Ermittlungsbehörden noch brauchen werden.

Der Kommunikationsplan ist genauso wichtig. Informiere Führungsebene und kritische Stakeholder innerhalb von Minuten. Halte vorab freigegebene Textbausteine für Mitarbeiter, Kunden und Behörden bereit. Dokumentiere jede Entscheidung, denn Ermittler und Versicherer werden danach fragen. Ein Vorfall ohne saubere Notizen lässt sich sehr viel schwerer abschliessen.

Ein 21-Tage-Aktionsplan

Wenn du ein Resilienz-Programm von Grund auf aufziehst, schlägt ein Sprint in Phasen jedes Mal den Big-Bang-Rollout.

Ein Klick muss keine Krise werden

Ransomware lebt von der menschlichen Natur. Neugier, Zeitdruck, Vertrauen. Deine Verteidigung muss diese Realität annehmen, nicht gegen sie ankämpfen. Gib deinem Team Werkzeuge, bei denen sicheres Verhalten von Haus aus voreingestellt ist: isolierte Browser für riskante Inhalte, geprobte Backups und ein Response-Plan, der ohne lange Diskussionen anläuft.

Trifft die nächste verdächtige E-Mail ein, sollten deine Mitarbeiter nicht raten müssen. Sie sollten einen Button „Sicher öffnen" haben, der die Bedrohung direkt in die Eindämmung schickt. Wie gross der Unterschied zwischen kurzem Schrecken und Shutdown ausfällt, hängt davon ab, wie gut du dich vorbereitet hast, bevor überhaupt jemand klickt.