Was ist Ransomware und wie schützen Sie sich davor?

Ransomware ist Schadsoftware, die Ihre Dateien verschlüsselt oder Ihr Gerät sperrt und die Freigabe nur gegen Lösegeld verspricht. Den wirksamsten Schutz bieten aktuelle Updates, Misstrauen gegenüber Anhängen und Links sowie eine Datensicherung, die nach dem Kopieren vom Rechner getrennt wird. Wer bereits betroffen ist, sollte nicht zahlen, sondern das Gerät vom Netz nehmen und Anzeige erstatten.

Was ist Ransomware genau?

Ransomware ist ein Sammelbegriff für Schadprogramme, die Daten oder ganze Systeme in Geiselhaft nehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt sie als Schadprogramme, die auf die Blockade des Computersystems oder die Verschlüsselung der Betriebs- und Nutzerdaten abzielen. Der Name setzt sich aus dem englischen „ransom“ für Lösegeld und „Software“ zusammen.

Es gibt zwei Grundformen. Ältere Varianten sperren lediglich den Bildschirm und zeigen eine Drohbotschaft, die Dateien selbst bleiben unberührt. Heute dominiert die verschlüsselnde Variante: Das Programm durchsucht Festplatten, angeschlossene USB-Laufwerke und erreichbare Netzlaufwerke und verschlüsselt alles, was nach persönlichen Daten aussieht. Ohne den passenden Schlüssel lassen sich die Dateien nicht mehr öffnen. Am häufigsten trifft es laut BSI Windows-Rechner, grundsätzlich kann aber jedes System befallen werden.

Wie läuft ein Angriff ab?

Ein Ransomware-Angriff folgt fast immer demselben Muster, auch wenn die Details je nach Tätergruppe variieren.

1. Eindringen: Die Schadsoftware gelangt auf das Gerät, etwa über einen geöffneten Anhang oder eine nicht geschlossene Sicherheitslücke.
2. Ausbreiten und Kopieren: Bei gezielten Angriffen sehen sich die Täter zunächst um, suchen weitere Geräte im Netzwerk und kopieren interessante Daten auf eigene Server.
3. Verschlüsseln: Dann werden die Dateien verschlüsselt, oft innerhalb weniger Minuten. Häufig erhalten sie eine neue Dateiendung.
4. Erpressen: Auf dem Bildschirm oder in einer Textdatei erscheint die Lösegeldforderung, meist mit Frist und Zahlungsanweisung in einer Kryptowährung wie Bitcoin.

Gegen Privatleute laufen Angriffe meist automatisiert und breit gestreut. Unternehmen, Kliniken und Behörden werden dagegen oft gezielt ausgespäht, weil dort höhere Summen zu holen sind.

Über welche Wege gelangt Ransomware auf den Rechner?

Die meisten Infektionen beginnen mit einer Handlung des Nutzers oder mit einer Lücke, für die längst ein Update bereitsteht. Die Initiative No More Ransom nennt unsichere oder betrügerische Websites, Software-Downloads und schädliche Anhänge als typische Einfallstore. Das BSI weist außerdem auf Emotet hin, ein Schadprogramm, das in der Vergangenheit häufig als Türöffner für Ransomware diente.

Wie wichtig Updates sind, zeigt der Fall WannaCry aus dem Jahr 2017. Die Ransomware nutzte eine Lücke in Windows, für die Microsoft laut BSI bereits acht Wochen vor dem Ausbruch einen Patch bereitgestellt hatte. Wer das Update eingespielt hatte, war gegen diesen Weg geschützt.

Double Extortion: Warum ein Backup allein nicht mehr reicht

Bei der doppelten Erpressung, englisch Double Extortion, stehlen die Täter Ihre Daten, bevor sie sie verschlüsseln. Selbst wer alles aus einer Sicherung wiederherstellen kann, wird dann ein zweites Mal unter Druck gesetzt: Zahlen Sie nicht, landen die Daten auf einer Leak-Seite im Darknet oder werden zum Verkauf angeboten. Manche Gruppen drohen zusätzlich mit Überlastungsangriffen auf Websites oder kündigen an, Geschäftspartner und Kunden des Opfers direkt anzuschreiben.

Für Unternehmen ist das besonders heikel, weil vertrauliche Kundendaten betroffen sein können. Aber auch für Privatleute ist die Lage unangenehm. Gescannte Ausweise, Steuerunterlagen, Kontoauszüge oder private Fotos sind für Kriminelle wertvoll, etwa für Identitätsdiebstahl. Daraus folgt eine wichtige Erkenntnis: Ein Backup rettet Ihre Dateien, aber es verhindert nicht, dass Kopien in fremde Hände geraten. Vorbeugung bleibt deshalb genauso wichtig wie die Datensicherung. Sensible Dokumente, die Sie selten brauchen, können Sie zusätzlich verschlüsselt ablegen.

Wie verbreitet ist Ransomware in Deutschland?

Ransomware gilt beim Bundeskriminalamt als eine der größten Bedrohungen im Bereich Cybercrime. Laut Bundeslagebild Cybercrime 2025 wurden in jenem Jahr 1.041 Ransomware-Angriffe angezeigt, rund zehn Prozent mehr als 2024. Betroffen waren vor allem Unternehmen und öffentliche Einrichtungen. Die bekannt gewordenen Lösegeldzahlungen summierten sich auf rund 15,5 Millionen US-Dollar, zugleich zahlten weniger Betroffene als zuvor.

Diese Zahlen bilden nur das Hellfeld ab. Viele Fälle werden nie angezeigt, gerade bei Privatpersonen, die einen verschlüsselten Laptop eher als Pech abhaken als als Straftat melden. Die tatsächliche Zahl dürfte also deutlich höher liegen.

So schützen Sie sich als Privatperson

Gegen Ransomware hilft keine einzelne Maßnahme, wohl aber eine Handvoll Gewohnheiten, die zusammen die meisten Angriffe ins Leere laufen lassen.

• Updates automatisch einspielen: Betriebssystem, Browser, Office-Programme und auch den Router aktuell halten. Das BSI nennt Updates als elementaren Schutz.
• Anhänge und Links skeptisch behandeln: Öffnen Sie keine Dateien aus unerwarteten Mails, auch nicht von bekannten Absendern, ohne kurz nachzufragen. Wie Sie gefälschte Nachrichten erkennen, lesen Sie in unserem Ratgeber Phishing erkennen.
• Virenschutz aktiv lassen: Unter Windows ist der Microsoft Defender eingebaut. Er sollte nicht abgeschaltet sein, solange kein anderes Schutzprogramm aktiv ist.
• Überwachten Ordnerzugriff einschalten: Windows bringt einen eigenen Ransomware-Schutz mit. Sie finden ihn unter Windows-Sicherheit, dann „Viren- und Bedrohungsschutz“ und ganz unten „Ransomware-Schutz verwalten“. Dort aktivieren Sie „Überwachter Ordnerzugriff“. Unbekannte Programme dürfen dann nicht mehr in geschützte Ordner wie Dokumente oder Bilder schreiben. Manche Spiele oder Tools müssen Sie anschließend von Hand freigeben.
• Mit Standardkonto arbeiten: Wer im Alltag kein Administratorkonto nutzt, erschwert Schadsoftware tiefe Eingriffe ins System.
• Konten absichern: Verwenden Sie für jeden Dienst ein eigenes Passwort und schalten Sie, wo möglich, die Zwei-Faktor-Anmeldung ein. Tipps dazu finden Sie unter Wie erstelle ich ein sicheres Passwort?
• Software nur aus seriösen Quellen: Gecrackte Programme sind einer der bequemsten Wege, sich Schadsoftware freiwillig zu installieren.

Das richtige Backup: getrennt, mehrfach und getestet

Eine Datensicherung schützt nur dann vor Ransomware, wenn die Schadsoftware sie nicht erreichen kann. Ein USB-Laufwerk, das dauerhaft am Rechner steckt, wird im Ernstfall einfach mitverschlüsselt. Gleiches gilt für ein Netzlaufwerk, das als Laufwerksbuchstabe eingebunden ist. Das BSI empfiehlt regelmäßige Sicherheitskopien ausdrücklich, damit sich Daten ohne Zahlung wiederherstellen lassen.

Bewährt hat sich die sogenannte 3-2-1-Regel: drei Kopien Ihrer wichtigen Daten, auf zwei verschiedenen Speichermedien, davon eine außer Haus. Für den Hausgebrauch lässt sich das so umsetzen:

• Die Originale liegen auf dem Rechner.
• Eine Kopie entsteht regelmäßig auf einer externen Festplatte, die Sie nur zum Sichern anschließen und danach wieder abziehen.
• Eine weitere Kopie liegt in einem Cloud-Speicher mit Versionsverlauf oder auf einer zweiten Festplatte, die bei Verwandten oder im Büro lagert.

Rotieren Sie bei Bedarf zwischen zwei externen Platten. So bleibt immer eine Sicherung übrig, selbst wenn eine Infektion genau während des Backups zuschlägt. Testen Sie außerdem gelegentlich, ob sich einzelne Dateien tatsächlich zurückholen lassen. Ein Backup, das sich nicht einspielen lässt, ist wertlos.

Was tun, wenn Ransomware zugeschlagen hat?

Bleiben Sie ruhig und zahlen Sie nicht. Das BSI und die Polizei raten übereinstimmend vom Lösegeld ab, weil eine Zahlung keine Garantie bietet, dass Sie Ihre Daten zurückbekommen. Die polizeiliche Kriminalprävention weist zudem darauf hin, dass Täter nach einer Zahlung weitere Forderungen stellen können. Gehen Sie stattdessen in dieser Reihenfolge vor:

1. Vom Netz trennen: Ziehen Sie das Netzwerkkabel, schalten Sie WLAN ab und entfernen Sie externe Laufwerke. Das verhindert, dass sich die Schadsoftware auf weitere Geräte oder Ihr Backup ausbreitet.
2. Beweise sichern: Fotografieren Sie die Lösegeldforderung mit dem Smartphone und notieren Sie Datum, Uhrzeit und die neue Dateiendung. Löschen Sie die Erpressernachricht nicht.
3. Anzeige erstatten: Melden Sie den Angriff bei der Polizei, entweder auf der Dienststelle oder über die Onlinewache Ihres Bundeslandes. Das zentrale Portal leitet Sie zur zuständigen Landespolizei weiter. Für akute Notfälle ist es nicht gedacht, dafür gilt die 110.
4. Entschlüsselung prüfen: Auf nomoreransom.org bietet die gleichnamige Initiative kostenlose Entschlüsselungswerkzeuge für bestimmte Ransomware-Familien an. Gegründet wurde sie von der niederländischen Polizei, dem Europäischen Zentrum zur Bekämpfung der Cyberkriminalität bei Europol sowie den Sicherheitsfirmen Kaspersky und McAfee. Über den „Crypto Sheriff“ auf der Seite lässt sich ermitteln, um welche Variante es sich handelt und ob ein Werkzeug existiert. Für viele aktuelle Varianten gibt es allerdings keins.
5. Passwörter ändern: Ändern Sie von einem sauberen Gerät aus die Passwörter wichtiger Konten, vor allem E-Mail und Online-Banking. Die Täter könnten Zugangsdaten mitgelesen haben.
6. System neu aufsetzen: Formatieren Sie die Festplatte und installieren Sie das Betriebssystem neu. Erst danach spielen Sie Ihr Backup zurück. Wer sich das nicht zutraut, holt sich Hilfe von einem IT-Dienstleister vor Ort.

Haben Sie kein Backup und kein Entschlüsselungswerkzeug gefunden, bewahren Sie die verschlüsselten Dateien trotzdem auf, etwa auf einer separaten Festplatte. Ermittler beschlagnahmen gelegentlich Server von Tätergruppen, danach erscheinen manchmal neue Werkzeuge bei No More Ransom.

Häufige Fragen

Kann auch mein Smartphone oder Mac von Ransomware betroffen sein?

Ja, grundsätzlich können alle Systeme befallen werden. Am häufigsten trifft es laut BSI aber Windows-Rechner. Auf Smartphones kommen eher Sperrbildschirm-Varianten vor, die über Apps aus unsicheren Quellen auf das Gerät gelangen.

Reicht ein Virenschutzprogramm als Schutz aus?

Nein. Ein Virenscanner erkennt bekannte Schadsoftware zuverlässig, neue Varianten rutschen aber gelegentlich durch. Er ist eine Schutzschicht unter mehreren. Ohne aktuelle Updates und ein getrenntes Backup bleibt ein Restrisiko, das Sie selbst in der Hand haben.

Bekomme ich meine Daten zurück, wenn ich zahle?

Das ist nicht sicher. Es kommt vor, dass Täter nach der Zahlung keinen Schlüssel liefern, dass der Schlüssel nicht funktioniert oder dass sie mehr Geld verlangen. Zudem finanzieren Sie mit jeder Zahlung weitere Angriffe. BSI und Polizei raten deshalb davon ab.

Ist ein NAS im Heimnetz ein sicheres Backup?

Nur eingeschränkt. Ein NAS, das als Netzlaufwerk ständig erreichbar ist, kann bei einem Angriff mitverschlüsselt werden. Sicherer wird es mit Snapshot-Funktionen, die ältere Stände schreibgeschützt aufbewahren, und mit einer zusätzlichen Kopie auf einer Festplatte, die nicht dauerhaft angeschlossen ist.

Woran merke ich, dass Ransomware aktiv ist?

Meist erst, wenn es zu spät ist: Dateien lassen sich nicht mehr öffnen, tragen seltsame Endungen, und eine Lösegeldforderung erscheint. Vorher fallen manchmal eine ungewöhnlich hohe Festplattenaktivität oder ein plötzlich sehr langsamer Rechner auf. Weitere Warnzeichen beschreibt unser Ratgeber zum Thema Computervirus erkennen.

Quellen

• BSI: Ransomware
• Bundesregierung: Bundeslagebild Cybercrime 2025
• Polizeiliche Kriminalprävention: Ransomware
• No More Ransom: Über das Projekt
• Dr. Datenschutz: Double Extortion
• Stiftung Warentest: So erstatten Sie eine Online-Anzeige
• PC-Welt: Ransomware-Schutz in Windows 11 aktivieren

Weiterlesen auf Safety-IT

• Phishing erkennen: So entlarven Sie gefälschte E-Mails und SMS
• Computervirus erkennen
• Welche Grundregeln der IT-Sicherheit sollte jeder kennen?
• Was bedeutet Verschlüsselung und wie funktioniert sie?