Ransomware: Was ist Ransomware und wie schütze ich mich?
Stellen Sie sich vor, Sie starten morgens Ihren Computer – und statt Ihres gewohnten Desktops begrüßt Sie ein markanter Sperrbildschirm mit einer Lösegeldforderung. Alle Ihre Fotos, Dokumente und wichtigen Dateien sind verschlüsselt und nicht mehr zugänglich. Hinter solchen Angriffen steckt eine besonders gefährliche Form von Schadsoftware: Ransomware.
In diesem Artikel erfahren Sie, was Ransomware ist, wie Sie einen Angriff erkennen und was Sie im Ernstfall tun sollten.
Ransomware ist eine Schadsoftware, die Ihre Dateien verschlüsselt oder den Zugriff auf Ihren Computer sperrt. Für die Freigabe fordern die Angreifer Lösegeld – meist in Kryptowährungen wie Bitcoin.
Typische Einfallstore sind Phishing-E-Mails mit schädlichen Anhängen, manipulierte Websites und veraltete Software mit ungepatchten Sicherheitslücken.
Im Ernstfall sollten Sie das Gerät sofort vom Netzwerk trennen, den Angriff mit Screenshots dokumentieren und Anzeige bei der Polizei erstatten. Zahlen Sie auf keinen Fall Lösegeld – es gibt keine Garantie auf Entschlüsselung.
Einen hundertprozentigen Schutz vor Ransomware gibt es nicht. Sie können das Risiko aber deutlich verringern, wenn Sie Ihr Betriebssystem und alle Programme aktuell halten und eine Firewall sowie einen aktuellen Virenschutz verwenden.
Zudem sollten Sie regelmäßig Backups Ihrer wichtigen Daten erstellen. So können Sie verschlüsselte Dateien im Ernstfall wiederherstellen.
Was ist Ransomware?
Ransomware ist eine spezielle Art von Schadsoftware (Malware), die Ihre Dateien als Geisel nimmt. Der Begriff setzt sich aus den englischen Wörtern „ransom“ (Lösegeld) und „software“ zusammen – daher auch die deutsche Bezeichnung „Erpressersoftware“ oder „Erpressertrojaner“.
Das Prinzip ist einfach: Die Schadsoftware verschlüsselt wichtige Dateien auf Ihrem Computer, sodass diese sich nicht mehr öffnen oder lesen lassen und damit unbrauchbar werden. Für die Freigabe der Daten fordern die Kriminellen dann Lösegeld – meist in Form von Kryptowährungen wie Bitcoin, da diese schwerer nachzuverfolgen sind.
Welche Arten von Ransomware gibt es?
Nicht jede Ransomware funktioniert gleich. Im Laufe der Jahre haben Cyberkriminelle verschiedene Varianten entwickelt, die sich in ihrer Vorgehensweise und Bedrohungsintensität unterscheiden.
Verschlüsselungs-Ransomware (Crypto-Ransomware)
Die häufigste und gefährlichste Variante von Ransomware verschlüsselt gezielt Dateien – Dokumente, Fotos, Videos. Das Betriebssystem selbst bleibt funktionsfähig, damit das Opfer die Lösegeldforderung lesen und die Zahlung durchführen kann. Die verwendete Verschlüsselungstechnik ist praktisch unknackbar, was eine Wiederherstellung der Daten für die meisten Menschen unmöglich macht.Locker-Ransomware
Im Gegensatz zur Crypto-Variante verschlüsselt Locker-Ransomware keine einzelnen Dateien, sondern sperrt den Zugang zum gesamten Betriebssystem. Nach dem Start des Computers erscheint lediglich der Sperrbildschirm mit der Lösegeldforderung – alle anderen Funktionen sind blockiert. Oft kann das System bei dieser Variante durch das Booten von einem externen Datenträger oder durch Entfernen der Festplatte gerettet werden.Doppelte Erpressung
Bei der doppelten Erpressung werden die Daten vor der Verschlüsselung gestohlen. Selbst wenn das Opfer über Backups verfügt und das Lösegeld nicht zahlt, drohen die Angreifer damit, die sensiblen Daten zu veröffentlichen oder an Konkurrenten zu verkaufen, was besonders für Unternehmen kritisch werden kann.Ransomware-as-a-Service
Cyberkriminelle vermieten mittlerweile fertige Ransomware-Pakete an andere Kriminelle – inklusive „Kundenservice“. Das hat die Zahl der Angriffe stark erhöht, weil nun auch technisch weniger versierte Täter mitmischen können.
Bekannte Ransomware-Angriffe
Der erste dokumentierte Ransomware-Angriff war der „AIDS-Trojaner“ von 1989. Der Biologe Joseph Popp verschickte 20.000 infizierte Disketten an Teilnehmer einer AIDS-Konferenz mit einer Malware, die auf den PCs der Betroffenen Verzeichnisse versteckte und Dateinamen verschlüsselte.
Für die Wiederherstellung sollten 189 US-Dollar per Post nach Panama geschickt werden. Die Verschlüsselung war allerdings recht primitiv und konnte von Experten schnell geknackt werden.
Seit den 2000er Jahren ist Ransomware eine kontinuierlich wachsende Bedrohung. Hier sind einige der bekanntesten Fälle, die weltweit für Aufsehen gesorgt haben:
Name | Besonderheit | Geschätzter Schaden |
|---|---|---|
WannaCry (2017) | Nutzte eine NSA-Sicherheitslücke, infizierte über 230.000 Computer in 150 Ländern binnen weniger Tage und legte britische Krankenhäuser lahm. | ca. 4–8 Mrd. USD |
NotPetya (2017) | Ransomware, die aber primär auf Zerstörung ausgelegt war. Sie verbreitete sich über die Update-Funktion einer ukrainischen Buchhaltungssoftware weltweit. | ca. 10 Mrd. USD |
Emotet | Ursprünglich Banking-Trojaner, entwickelte sich zum gefährlichsten Malware-Netzwerk weltweit und diente als Türöffner für andere Ransomware. | Mehrere Mrd. USD |
LockBit | Professionelle russischsprachige Gruppierung, die Ransomware-as-a-Service anbietet und Organisationen erpresst. | Hunderte Mio. USD |
Colonial Pipeline | Angriff auf die größte US-Kraftstoffpipeline führte zu Versorgungsengpässen an der Ostküste. | Millionenschäden |
Wie gelangt Ransomware auf mein Gerät?
Das größte Risiko für einen Ransomware-Angriff ist die eigene Unachtsamkeit. Wenn Sie die typischen Einfallstore kennen, über die die Schadware auf den Computer und ins Netzwerk gelangt, können Sie das Risiko eines Angriffs deutlich reduzieren.
Hier sind einige typische Einfallstore für Ransomware:
Phishing-E-Mails
Cyberkriminelle versenden E-Mails, die scheinbar von vertrauenswürdigen Absendern wie Banken, Behörden oder Kollegen stammen. Sie enthalten schädliche Dateianhänge – oft als Rechnungen oder andere wichtige Dokumente getarnt – oder Links zu manipulierten Websites. Ein unbedachter Klick genügt, um die Schadsoftware auf Ihrem System zu aktivieren.Infizierte Websites und Drive-by-Downloads
Allein der Besuch einer kompromittierten Website kann Schadsoftware über Sicherheitslücken im Browser oder Plugins unbemerkt auf Ihr System einschleusen. Auch seriöse Seiten können betroffen sein, wenn Angreifer schädlichen Code in Werbeanzeigen verstecken (Malvertising).Unsichere Remote-Desktop-Verbindungen
Schlecht gesicherte Fernzugriffe (etwa fürs Homeoffice) werden von Angreifern gezielt gesucht. Schwache Passwörter sind dabei das Hauptproblem. Sind die Angreifer einmal auf Ihrem System, können sie Ransomware manuell installieren.Infizierte USB-Sticks und externe Datenträger
Auch USB-Sticks und externe Datenträger können Schadsoftware enthalten. Bereits das Anschließen eines infizierten Speichermediums reicht aus, um Ransomware auf das System zu übertragen.Veraltete Software und fehlende Updates
Veraltete Software ist ein Geschenk für Cyberkriminelle. Der WannaCry-Angriff konnte sich nur deshalb verbreiten, weil viele Systeme einen bereits seit Monaten verfügbaren Sicherheitspatch nicht installiert hatten. Besonders kritisch sind ungepatchte Betriebssysteme, Browser, Office-Anwendungen und Server-Software.
Woran erkenne ich Ransomware?
Das Tückische an Ransomware ist, dass wir sie häufig erst bemerken, wenn es bereits zu spät ist. Gleichzeitig steckt nicht hinter jeder Fehlfunktion des Computers gleich Schadsoftware. Es gibt jedoch einige typische Warnsignale.
Ein erstes Anzeichen können Dateien mit ungewöhnlichen Endungen wie .locked, .crypt, .encrypted oder .a1b2c3 sein, die sich plötzlich nicht mehr öffnen lassen. Auch eine dauerhaft hohe CPU- oder Festplattenauslastung, ein deaktivierter Virenschutz oder ungewöhnlich hoher Netzwerkverkehr zu unbekannten Servern können (müssen aber nicht) auf eine Infektion hindeuten.
Spätestens wenn eine Lösegeldforderung auf dem Bildschirm erscheint – etwa als Vollbildmeldung oder Textdatei –, ist klar, dass das System von Ransomware betroffen ist.
Was tun bei einem Ransomware-Angriff?
Wenn Sie einen Ransomware-Angriff bemerken, sollten Sie einen kühlen Kopf bewahren und rasch handeln, denn jede Minute zählt.
Wichtig: Schalten Sie das Gerät nicht aus! In manchen Fällen löst ein Neustart erst die vollständige Verschlüsselung aus.
So gehen Sie vor:
1) Gerät sofort vom Netzwerk trennen
Der erste und wichtigste Schritt: WLAN deaktivieren oder das Netzwerkkabel ziehen. So verhindern Sie, dass sich die Schadsoftware im Netzwerk ausbreitet.2) Dateien sichern
Kopieren Sie die verschlüsselten Dateien auf ein externes Medium (USB‑Stick, Festplatte) und trennen Sie es danach vom Rechner. Vorsicht bei Cloud-Speichern, die Daten automatisch synchronisieren. Die verschlüsselten Daten können das „normale“ Backup der Daten überschreiben!3) Beweise dokumentieren
Machen Sie Screenshots der Lösegeldforderung und notieren Sie, welche Dateien oder Systeme betroffen sind. Diese Informationen sind wichtig für die spätere Analyse und für Behörden.4) Anzeige erstatten und Behörden informieren
Erstatten Sie Anzeige bei der Polizei und informieren Sie das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSI bietet unter bsi.bund.de weiterführende Hilfe und Handlungsempfehlungen für Betroffene.5) Ransomware identifizieren und entfernen
Wenn es sich um einen privaten Rechner handelt und keine kritischen Daten betroffen sind, können Sie versuchen, die Ransomware selbst zu entfernen und anschließend Ihre Daten zu entschlüsseln. Nutzen Sie dafür Plattformen wie Nomoreransom.org und ein Anti-Malware-Tool und folgen Sie unserer Schritt-für-Schritt-Anleitung:
Sollten Sie sich unsicher sein oder hat sich die Schadsoftware bereits im Netzwerk ausgebreitet, raten wir dringend dazu, sich professionelle Hilfe zu holen.
Nein: Offizielle Stellen wie das Bundeskriminalamt (BKA) und das Bundesamt für Sicherheit in der Informationstechnik (BSI) raten dringend davon ab, den Erpressern Geld zu zahlen. Es gibt keine Garantie, dass Sie Ihre Daten zurückbekommen, und jede Zahlung finanziert weitere Angriffe.
Mehr dazu lesen Sie im Infoblatt des BKA zum Thema Ransomware als PDF.
Wie kann ich mich vor Ransomware schützen?
Der wichtigste Schutz ist, so wenig Angriffsfläche wie möglich zu bieten: Halten Sie Ihr System mit Updates immer aktuell und nutzen Sie eine Firewall und einen Virenschutz. Entsprechende Funktionen sind bei Windows und macOS bereits integriert. Ergänzend können Antivirus-Programme von Drittanbietern weitere Sicherheitsfunktionen bieten.
Daneben gelten die allgemeinen Regeln für sicheres Surfen im Internet: Seien Sie vorsichtig bei verdächtigen E-Mails mit Dateianhängen, klicken Sie nicht unbedacht auf Links und laden Sie Software nur aus vertrauenswürdigen Quellen herunter. Wenn Sie unsicher sind, öffnen Sie keine Anhänge und geben Sie keine sensiblen Daten preis.
Da Ransomware in erster Linie auf Ihre persönlichen Daten abzielt, empfehlen wir zudem, regelmäßig Backups Ihrer Dateien anzulegen – vorzugsweise auf einer externen Festplatte. Das ist wichtig, da auch bei einer Entfernung der Ransomware Ihre Daten nicht automatisch wieder entschlüsselt werden.
Was Sie darüber hinaus noch beachten sollten, finden Sie in unserem ausführlichen Artikel zum Thema „Ransomware verhindern“:
Fazit: Ransomware – als Bedrohung nicht zu unterschätzen
Ransomware trifft längst nicht mehr nur große Konzerne, sondern zunehmend auch Privatpersonen und kleine Betriebe. Mit regelmäßigen Backups, aktueller Software und einem wachsamen Auge bei E-Mails und Downloads lässt sich das Risiko jedoch deutlich senken.
Sollte es trotzdem einmal passieren, gilt: Ruhe bewahren, das Gerät sofort vom Netzwerk trennen und sich bei Bedarf professionelle Hilfe holen. Auf Lösegeldforderungen sollten Sie keinesfalls eingehen, denn jede Zahlung finanziert die nächste Welle von Angriffen.
Häufig gestellte Fragen
Ransomware ist Schadsoftware, die Dateien auf dem befallenen Gerät verschlüsselt und sie damit unzugänglich macht. Danach fordern die Angreifer ein Lösegeld – meist in Kryptowährung –, um den Entschlüsselungsschlüssel herauszugeben. Die Verbreitung erfolgt typischerweise über Phishing-Mails, infizierte Downloads oder Sicherheitslücken.
Typische Anzeichen sind: Dateien lassen sich plötzlich nicht mehr öffnen oder haben fremde Endungen (z. B. .locked, .encrypted), eine Erpresser-Nachricht erscheint auf dem Bildschirm, der PC läuft extrem langsam, oder der Antivirus schlägt Alarm. Im schlimmsten Fall ist der Desktop durch eine Sperr-Meldung der Angreifer ersetzt.
Ransomware zu entfernen ist ein zweistufiger Prozess: Erst die Malware loswerden, dann die Dateien wiederherstellen. Zuerst den PC sofort vom Netzwerk trennen, damit sich die Schadsoftware nicht weiter ausbreitet. Dann im abgesicherten Modus starten und einen Anti-Malware-Scanner nutzen, um die Malware zu entfernen. Anschließend auf nomoreransom.org nachschauen, ob es ein kostenloses Entschlüsselungstool für die jeweilige Variante gibt.
Nein – Behörden und Sicherheitsexperten raten klar davon ab. Eine Zahlung garantiert keine Wiederherstellung der Daten, finanziert die Täter und macht Sie zum Ziel erneuter Angriffe.
