Ransomware entfernen 2026: Diese Möglichkeiten haben Sie

Kaum eine Malware ist so gefährlich wie Ransomware. Sie verschlüsselt Ihre Dateien und macht sie unbrauchbar – oder sperrt sogar das ganze Betriebssystem. Die Angreifer verlangen anschließend Lösegeld, um den Zugriff auf Ihre Daten wieder freizugeben.

Warum Sie dieses Lösegeld auf keinen Fall bezahlen sollten und wie Sie im Ernstfall richtig reagieren, erfahren Sie in diesem Artikel.

Ransomware, auch „Erpressungstrojaner“ oder „Erpressersoftware“ genannt, ist eine der gefährlichsten Formen von Malware. Sie trifft private Nutzer ebenso wie Unternehmen und Behörden.

So kann ein Angriff aussehen: Sie starten Ihren Computer, und plötzlich sind alle Ihre Dokumente, Fotos und Daten verschlüsselt und lassen sich nicht mehr öffnen. Vielleicht fährt der PC auch gar nicht mehr normal hoch und zeigt Ihnen stattdessen eine markante Lösegeldforderung: Zahlen Sie innerhalb weniger Tage eine bestimmte Summe in Bitcoin, um Ihr System wieder „freizukaufen“.

Sobald Sie merken, dass Ihr Gerät von Ransomware befallen ist, zählt jede Minute. Bleiben Sie ruhig und besonnen und folgen Sie unserer Schritt-für-Schritt-Anleitung, um Ihre Daten zu retten und die Schadsoftware von Ihrem System zu entfernen.

Trennen Sie das System vom LAN-Kabel und deaktivieren Sie WLAN und Bluetooth, damit sich die Schadsoftware nicht weiter ausbreiten oder mit den Servern der Angreifer kommunizieren kann.

Ransomware verbreitet sich gerne über das Netzwerk auf andere Geräte – Ihr Notebook, NAS-Systeme (Netzwerkspeicher), Heimserver, andere Computer, Smartphones und sogar Smart-TVs. Je schneller Sie das verhindern, desto besser.

Trennen Sie das betroffene Gerät deshalb sofort vom Netzwerk. Ziehen Sie das LAN-Kabel ab und deaktivieren Sie WLAN sowie Bluetooth. Den WLAN-Schalter finden Sie bei Windows unter „Start“ → „Einstellungen“ → „Netzwerk und Internet“:

Bluetooth können Sie in den Einstellungen unter „Bluetooth und Geräte“ deaktivieren:

Wichtig: Das Internet bleibt ab diesem Zeitpunkt getrennt, bis die Ransomware vollständig von Ihrem System entfernt ist. Alle weiteren Schritte, die eine Internetverbindung erfordern (z. B. das Herunterladen von Tools), führen Sie über ein zweites, nicht infiziertes Gerät durch.

Machen Sie Screenshots von der Lösegeldforderung, notieren Sie die Dateiendungen der verschlüsselten Dateien (z. B. .locky, .encrypted, .wncry), den Zeitpunkt des Angriffs und welche Laufwerke betroffen sind. Diese Informationen brauchen Sie später für die Anzeige bei den Behörden und für die Identifikation der Ransomware.

Wichtig ist, dass Sie die verschlüsselten Daten nicht löschen. Sichern Sie sie stattdessen auf einem externen Datenträger – einem USB-Stick oder einer externen Festplatte – und bewahren Sie sie auf. Sie können später versuchen, die Dateien mit einer Entschlüsselungssoftware wiederherzustellen.

Achtung bei Cloud-Speichern: Dienste wie OneDrive oder Google Drive synchronisieren Daten automatisch. Dabei können verschlüsselte Dateien das ursprüngliche, lesbare Backup überschreiben. Trennen Sie die Cloud-Synchronisierung, bevor es dazu kommt, und sichern Sie Ihre Daten lieber manuell.

Ransomware ist eine Straftat. Nachdem Sie Ihre Daten gesichert haben, melden Sie den Ransomware-Angriff umgehend bei der nächsten Polizeidienststelle oder über die Onlinewache der Polizei und erstatten Sie Anzeige.

Geben Sie dabei alle dokumentierten Beweise an, die Sie gesammelt haben: Screenshots, die Lösegeldforderung, die Ransomware-Variante, betroffene Dateiendungen und Laufwerke sowie den Zeitpunkt des Angriffs.

Wenn Sie die Ransomware selbst entfernen und im nächsten Schritt Ihre Daten wiederherstellen möchten, brauchen Sie dafür ein Anti-Malware-Programm, eine passende Entschlüsselungssoftware – und etwas Zeit.

Alle folgenden Downloads und Recherchen führen Sie auf einem sauberen Zweitgerät durch – nicht auf dem infizierten PC. Die heruntergeladenen Tools übertragen Sie anschließend per USB-Stick auf den infizierten Rechner.

Das Entfernen der Ransomware allein entschlüsselt Ihre Daten nicht – dafür ist eine passende Entschlüsselungssoftware (ein sogenannter „Decryptor“) erforderlich.

Da nicht jede Ransomware gleich ist, müssen wir zunächst herausfinden, mit welcher Variante wir es zu tun haben, um den richtigen Decryptor zu finden. Erst danach sollten Sie versuchen, die Schadsoftware von Ihrem System zu entfernen. So gehen Sie vor:

Schritt 1: Kopieren Sie eine verschlüsselte Beispieldatei und die Lösegeldforderung (als Textdatei) per USB-Stick vom infizierten PC auf Ihr sauberes Zweitgerät. Laden Sie diese Dateien dann auf einem der folgenden Dienste hoch:

Schritt 2: Wenn Sie die Ransomware-Variante kennen, können Sie unter „Entschlüsselungs-Werkzeuge“ nach dem passenden Tool suchen. Aktuell bietet NoMoreRansom über 136 kostenlose Entschlüsselungs-Werkzeuge für verschiedene Ransomwaretypen zum Download an.

Schritt 3: Speichern Sie die heruntergeladene Entschlüsselungssoftware auf einem USB-Stick. Es ist wichtig, zuerst die Ransomware von Ihrem System zu entfernen, bevor Sie versuchen, Ihre Daten zu entschlüsseln, da sie ansonsten direkt wieder infiziert werden.

Haben Sie Ihre Daten gesichert und die Ransomware-Variante identifiziert, geht es im nächsten Schritt darum, das System von der Schadsoftware zu säubern.

Neben dem integrierten Viren- und Bedrohungsschutz von Windows, der auch einen Malware-Scanner umfasst, empfehlen wir den Einsatz mindestens eines weiteren Tools. Der Windows-eigene Schutz bietet zwar eine solide Grundlage und erkennt die meisten bekannten Bedrohungen, kann jedoch besonders bei neuartiger Schadsoftware an seine Grenzen stoßen.

Spezialisierte Lösungen wie Malwarebytes, Norton oder Bitdefender bieten zusätzliche Erkennungsmechanismen und erkennen manche Bedrohungen, die ein einzelner Scanner möglicherweise übersieht.

Laden Sie über einen zweiten, sauberen PC ein Anti-Malware-Programm herunter und speichern Sie es auf Ihrem USB-Stick.

Als Nächstes starten Sie den infizierten Computer im abgesicherten Modus. In diesem Modus startet Windows nur mit den nötigsten Funktionen – die Schadsoftware bleibt dabei in den meisten Fällen inaktiv.

Das hat zwei Vorteile: Sie können die Ransomware bekämpfen, ohne dass sie sich weiter ausbreitet, und Sie gelangen wieder an Ihre Daten – selbst wenn das System im Normalbetrieb vollständig gesperrt ist.

So gehen Sie vor:

Schritt 1: Klicken Sie auf „Start“ → „Ein/Aus“ und halten Sie die Umschalttaste gedrückt, während Sie auf „Neu starten“ klicken.

Alternativ gehen Sie über „Start“ → „Einstellungen“ → „System“ → „Wiederherstellung“ und klicken unter „Erweiterter Start“ auf „Jetzt neu starten“.

Schritt 2: Nach dem Neustart erscheint ein Bildschirm mit „Option auswählen“. Wählen Sie hier: „Problembehandlung“ → „Erweiterte Optionen“ → „Starteinstellungen“ und lassen Sie den PC erneut neu starten.

Schritt 3: In der nun folgenden Auswahl drücken Sie die Taste „5“, um den abgesicherten Modus mit Netzwerktreibern zu starten.

Manche Ransomware-Varianten blockieren den Zugriff auf Windows komplett. Sie sehen nur noch die Lösegeldforderung und können das System nicht mehr normal bedienen. In diesem Fall können Sie versuchen, den abgesicherten Modus zu erzwingen:

Schalten Sie den PC während des Startvorgangs mehrfach aus und wieder ein (3–4 Mal), indem Sie den Einschaltknopf jedes Mal gedrückt halten. Windows erkennt das Problem und zeigt automatisch die erweiterten Startoptionen an.

Funktioniert auch das nicht, bleibt nur noch, den abgesicherten Modus zu umgehen und stattdessen von einem bootfähigen USB-Stick einen Notfall-Scanner zu starten.

Wenn sich Ihr Computer im abgesicherten Modus befindet, führen Sie einen vollständigen System-Scan durch. In erster Instanz nutzen wir dafür den Windows-integrierten Viren- und Bedrohungsschutz. Unter Windows 11 erreichen Sie ihn über „Einstellungen“ → „Datenschutz und Sicherheit“ → „Windows-Sicherheit“.

Über den Punkt „Scanoptionen“ wählen Sie statt der Schnellüberprüfung den vollständigen System-Scan aus.

Da meist kein Scanner allein alle Bedrohungen findet, lassen Sie das System als Nächstes mit dem zweiten Malware-Scanner überprüfen, den Sie auf Ihrem USB-Stick gespeichert haben.

Wenn eines der Tools schädliche Malware findet, wird sie in Quarantäne verschoben und anschließend gelöscht.

Starten Sie Ihren PC danach ganz normal und beobachten Sie, ob sich das System wie gewohnt verhält. Erscheint keine Lösegeldforderung mehr, haben Sie die Ransomware höchstwahrscheinlich erfolgreich beseitigt.

Falls das Problem jedoch weiterhin besteht, führt kein Weg an einer kompletten Neuinstallation von Windows vorbei: Formatieren Sie dazu alle Laufwerke und richten Sie das System von Grund auf neu ein.

Wenn das System frei von Malware ist, können Sie als Nächstes versuchen, die zuvor gesicherten verschlüsselten Daten wiederherzustellen. Dazu verwenden Sie die im Kapitel „Ransomware identifizieren“ heruntergeladene Entschlüsselungssoftware.

Da nicht alle Decryptoren gleich funktionieren, lässt sich der genaue Ablauf hier nicht einheitlich beschreiben: Während einige Tools die Dateien vollautomatisch entschlüsseln, benötigen andere unter anderem eine unverschlüsselte Vergleichsdatei. Lesen Sie deshalb vor der Nutzung die Anleitung des jeweiligen Tools sorgfältig durch.

Nicht nur Computer, sondern auch mobile Geräte können Ziel von Ransomware-Angriffen sein. Besonders Android-Smartphones sind aufgrund ihres großen Benutzerkreises ein beliebtes Ziel für Cyberkriminelle.

Die Schadsoftware gelangt dabei auf zwei typischen Wegen auf das Gerät:

Um Ransomware auf dem Smartphone zu entfernen, gehen Sie folgendermaßen vor:

Prüfen Sie über „Einstellungen“ → „Apps“ und mit Tippen auf die einzelnen Apps, welche Rechte diese besitzen, und entziehen Sie verdächtigen Apps insbesondere den Zugriff auf die Geräteverwaltung oder Eingabehilfen. Ansonsten können diese eine Deinstallation aktiv verhindern.

Starten Sie Ihr Smartphone im abgesicherten Modus (Safe Mode). In diesem Modus werden nur vorinstallierte System-Apps geladen, sodass die Schadsoftware inaktiv bleibt und sich leichter entfernen lässt. Bei den meisten Herstellern halten Sie dafür die Ein-/Aus-Taste gedrückt und tippen anschließend lange auf „Ausschalten“.

Alternativ schalten Sie das Gerät aus und halten beim erneuten Einschalten, wenn das „Powered by Android“-Logo erscheint, die Lautstärke-runter-Taste gedrückt.

Suchen Sie im abgesicherten Modus unter „Einstellungen“ → „Apps“ nach kürzlich installierten oder unbekannten Anwendungen und deinstallieren Sie diese. Misstrauen Sie dabei besonders Apps, die Sie nicht bewusst installiert haben oder die ungewöhnlich viele Berechtigungen erfordern.

Nutzen Sie Google Play Protect oder eine zusätzliche Sicherheits-App wie Malwarebytes, um einen vollständigen Scan des Geräts durchzuführen und verbliebene Bedrohungen zu entfernen.

Lässt sich die Ransomware auf diese Weise nicht vollständig entfernen, bleibt als letztes Mittel das Zurücksetzen auf die Werkseinstellungen. Dabei werden alle Daten auf dem Gerät gelöscht – sichern Sie daher, sofern möglich, noch vorhandene wichtige Daten vorab über die Cloud oder einen Computer.

Der beste Schutz vor Ransomware ist – wie bei allen Bedrohungen im Internet – eine gute Vorsorge. Mit den folgenden Maßnahmen senken Sie das Risiko eines Ransomware-Angriffs deutlich:

Noch mehr Tipps, wie Sie sich optimal vor Ransomware und anderen Bedrohungen schützen können, erfahren Sie in unserem ausführlichen Artikel:

Ein Ransomware-Angriff ist eine ernste Situation – aber keine hoffnungslose. Als Faustregel gilt: Zahlen Sie an die Angreifer kein Lösegeld. Mit den richtigen Schritten (und eventuell professioneller Hilfe) lässt sich die Schadsoftware in vielen Fällen entfernen. Je nach Ransomware-Familie stehen zudem Entschlüsselungswerkzeuge (Decryptoren) zur Verfügung, mit denen Sie verschlüsselte Daten wiederherstellen können.

Den besten Schutz bietet jedoch eine gute Vorsorge. Regelmäßige Backups auf einem externen Datenträger sowie ein umsichtiger Umgang mit verdächtigen E-Mails, Apps und Websites verringern das Risiko eines erfolgreichen Ransomware-Angriffs erheblich.