Ransomware-Schutz für Unternehmen – 10 Maßnahmen gegen Verschlüsselungstrojaner

Ein Ransomware-Angriff kann den Geschäftsbetrieb eines Unternehmens innerhalb kürzester Zeit erheblich beeinträchtigen. Dateien sind plötzlich verschlüsselt, Mitarbeiter können nicht mehr auf ihre Programme zugreifen und wichtige Server fallen aus.

Besonders kritisch wird es, wenn nicht nur einzelne Computer betroffen sind, sondern auch zentrale Dateiserver, Netzlaufwerke und Datensicherungen.

Dabei sind längst nicht nur große Konzerne gefährdet. Auch kleine und mittelständische Unternehmen, Handwerksbetriebe, Steuerkanzleien und Arztpraxen können Ziel solcher Angriffe werden.

Doch wie lässt sich ein Unternehmen zuverlässig vor Ransomware schützen?

Ein wirksamer Ransomware-Schutz für Unternehmen besteht aus mehreren aufeinander abgestimmten Sicherheitsmaßnahmen. Dazu gehören moderner Virenschutz, regelmäßige Sicherheitsupdates, geschützte Benutzerkonten, sichere Backups und eine überwachte IT-Infrastruktur.

In diesem Leitfaden erfahren Sie, wie Ransomware funktioniert, welche Sicherheitsmaßnahmen besonders wichtig sind und wie kleine Unternehmen ihre IT-Infrastruktur sinnvoll absichern können.

Was ist Ransomware?

Ransomware ist eine Form von Schadsoftware, die darauf abzielt, Daten oder IT-Systeme unzugänglich zu machen und anschließend eine Lösegeldforderung zu stellen.

Besonders bekannt sind sogenannte Verschlüsselungstrojaner.

Diese verschlüsseln Dateien, sodass sie ohne den passenden Schlüssel nicht mehr regulär geöffnet werden können.

Typische betroffene Daten sind:

• Word- und Excel-Dokumente
• PDF-Dateien
• Kundendaten
• Buchhaltungsunterlagen
• Datenbanken
• Projektdateien
• Dateien auf Netzlaufwerken
• Daten auf Servern

Häufig erscheint nach der Verschlüsselung eine Lösegeldforderung.

Die Angreifer versprechen, die Daten gegen Bezahlung wieder freizugeben.

Was ist Double Extortion?

Moderne Ransomware-Angriffe beschränken sich nicht immer auf die Verschlüsselung von Dateien.

Bei der sogenannten Double Extortion werden zusätzlich Daten aus dem Unternehmensnetzwerk gestohlen.

Anschließend drohen die Angreifer damit, vertrauliche Informationen zu veröffentlichen.

Das können beispielsweise sein:

• Kundendaten
• Mitarbeiterdaten
• Geschäftsunterlagen
• Verträge
• Finanzinformationen
• Interne E-Mails

Dadurch kann ein Ransomware-Angriff auch dann erhebliche Folgen haben, wenn funktionierende Backups vorhanden sind.

Wichtig: Eine Datensicherung schützt vor dauerhaftem Datenverlust, verhindert aber nicht automatisch den Diebstahl vertraulicher Informationen.

Wie gelangt Ransomware in ein Unternehmen?

Ransomware kann über unterschiedliche Wege in eine IT-Infrastruktur gelangen.

1. Phishing-E-Mails

Mitarbeiter erhalten eine vermeintlich vertrauenswürdige Nachricht.

Beispielsweise:

• Angebliche Rechnung
• Paketbenachrichtigung
• Bewerbungsunterlagen
• Microsoft-365-Anmeldung
• Aufforderung zur Passwortänderung

Über einen schädlichen Anhang oder Link können Zugangsdaten gestohlen oder Schadsoftware eingeschleust werden.

2. Sicherheitslücken

Veraltete Betriebssysteme und Anwendungen können bekannte Schwachstellen enthalten.

Angreifer nutzen diese, um unberechtigt auf Systeme zuzugreifen.

3. Unsichere Remote-Zugänge

Direkt erreichbare RDP-Dienste, schlecht abgesicherte VPN-Zugänge oder kompromittierte Fernwartungskonten können Einfallstore sein.

4. Gestohlene Zugangsdaten

Ein Angreifer muss nicht zwangsläufig Schadsoftware einschleusen.

Teilweise reicht ein gültiges Benutzerkonto, um Zugriff auf interne Systeme zu erhalten.

5. Kompromittierte Dienstleister oder Software

Auch externe IT-Zugänge, Fernwartungswerkzeuge oder manipulierte Software können ein Risiko darstellen.

6. Bewegung innerhalb des Netzwerks

Nach dem ersten Zugriff versuchen Angreifer häufig, weitere Geräte und Server zu erreichen.

Dieses Vorgehen wird als Lateral Movement bezeichnet.

Ziel kann beispielsweise sein, Administratorrechte zu erlangen und anschließend möglichst viele Systeme gleichzeitig zu verschlüsseln.

Welche Folgen kann ein Ransomware-Angriff haben?

Die Auswirkungen hängen davon ab, welche Systeme betroffen sind und wie gut das Unternehmen vorbereitet ist.

Mögliche Folgen sind:

• Ausfall von Arbeitsplätzen
• Nicht erreichbare Dateiserver
• Unterbrechung der Buchhaltung
• Ausfall von Warenwirtschaftssystemen
• Nicht verfügbare Kundendaten
• Produktionsunterbrechungen
• Verlust wichtiger Dokumente
• Kosten für IT-Forensik und Wiederherstellung
• Datenschutzrechtliche Folgen
• Reputationsschäden

Beispiel: Ransomware in einem Unternehmen mit 15 Mitarbeitern

Ein Mitarbeiter öffnet eine schädliche Datei.

Der Angreifer erhält Zugriff auf den Computer und kann über kompromittierte Zugangsdaten weitere Systeme erreichen.

Anschließend werden Dateien auf einem zentralen Windows-Dateiserver verschlüsselt.

Die Mitarbeiter können nicht mehr auf Kundenordner, Angebote und Rechnungen zugreifen.

Besitzt das Unternehmen keine unabhängigen Backups, kann die Wiederherstellung erheblich erschwert werden.

Existieren dagegen geschützte Sicherungen und ein vorbereiteter Notfallplan, können die betroffenen Systeme nach Bereinigung und Überprüfung aus einem geeigneten Sicherungsstand wiederhergestellt werden.

Die 10 wichtigsten Maßnahmen für wirksamen Ransomware-Schutz

Ein einzelnes Sicherheitsprodukt kann nicht sämtliche Angriffsmöglichkeiten abdecken.

Deshalb empfiehlt sich ein mehrstufiges Sicherheitskonzept.

Maßnahme	Hauptziel	Priorität für KMU
1. Endpoint-Security	Schadsoftware erkennen und blockieren	Sehr hoch
2. Patchmanagement	Bekannte Sicherheitslücken schließen	Sehr hoch
3. Sichere Backups	Daten und Systeme wiederherstellen	Sehr hoch
4. MFA und sichere Konten	Kontoübernahmen erschweren	Sehr hoch
5. Firewall und Segmentierung	Angriffswege begrenzen	Hoch
6. E-Mail-Sicherheit	Phishing und Schadanhänge reduzieren	Hoch
7. Benutzerrechte begrenzen	Missbrauch von Berechtigungen verhindern	Hoch
8. Monitoring	Angriffe frühzeitig erkennen	Hoch
9. Mitarbeiterschulungen	Sicherheitsbewusstsein verbessern	Hoch
10. Notfallplan	Schäden begrenzen und Wiederanlauf beschleunigen	Sehr hoch

1. Endpoint-Security und Virenschutz einsetzen

Ein professioneller Endpoint-Schutz gehört zu den grundlegenden Sicherheitsmaßnahmen.

Dabei wird auf Computern und Servern eine Sicherheitssoftware eingesetzt, die verdächtige Aktivitäten erkennen und bestimmte Angriffe verhindern kann.

Reicht ein normaler Virenscanner gegen Ransomware?

Ein klassischer Virenscanner kann bekannte Schadsoftware anhand von Signaturen erkennen.

Moderne Angriffe verwenden jedoch teilweise neue Schadsoftware, legitime Administrationswerkzeuge oder Techniken, die nicht allein über Signaturen erkannt werden können.

Deshalb sind zusätzliche Schutzmechanismen sinnvoll.

Was ist EDR?

EDR steht für Endpoint Detection and Response.

EDR-Lösungen erfassen und analysieren sicherheitsrelevante Aktivitäten auf Endgeräten.

Je nach Produkt können sie beispielsweise:

• Verdächtige Prozesse erkennen
• Auffällige Dateiänderungen untersuchen
• Sicherheitsereignisse korrelieren
• Angriffsverhalten analysieren
• Betroffene Geräte isolieren
• Sicherheitsvorfälle dokumentieren

ESET, Microsoft Defender oder andere Lösungen?

Für Unternehmen stehen verschiedene Sicherheitsplattformen zur Verfügung.

Beispielsweise:

• ESET PROTECT
• Microsoft Defender for Business
• Microsoft Defender for Endpoint
• Sophos Endpoint
• Andere geeignete Endpoint-Security-Lösungen

Entscheidend ist weniger der Herstellername als die tatsächlich verfügbaren Funktionen, deren Konfiguration und die laufende Überwachung.

Empfehlung für kleine Unternehmen

Verwenden Sie eine zentral verwaltete Endpoint-Security-Lösung.

Achten Sie darauf, dass:

• Alle unterstützten Arbeitsplätze geschützt sind
• Server entsprechend abgesichert werden
• Schutzmodule aktiviert sind
• Sicherheitsmeldungen zentral sichtbar sind
• Manipulationsschutz verwendet wird, sofern verfügbar
• Sicherheitsvorfälle bearbeitet werden

Wichtig: Ein installierter Virenscanner ist nicht automatisch ein vollständig betreuter Ransomware-Schutz.

2. Regelmäßiges Patchmanagement einrichten

Viele Cyberangriffe nutzen bekannte Sicherheitslücken.

Diese befinden sich beispielsweise in:

• Windows
• Windows Server
• Webbrowsern
• Microsoft Office
• PDF-Programmen
• VPN-Gateways
• Firewalls
• NAS-Systemen
• Drittanbieteranwendungen

Wer Sicherheitsupdates über längere Zeit nicht installiert, erhöht das Risiko eines erfolgreichen Angriffs.

Was ist Patchmanagement?

Patchmanagement bezeichnet die organisierte Verwaltung und Installation von Softwareupdates.

Dazu gehören:

1. Erkennen installierter Software
2. Identifizieren verfügbarer Updates
3. Bewerten von Sicherheitslücken
4. Planen der Installation
5. Verteilen der Updates
6. Überprüfen des Ergebnisses

Warum sind automatische Updates allein nicht ausreichend?

Nicht jede Anwendung aktualisiert sich zuverlässig automatisch.

Außerdem können Updates fehlschlagen oder Neustarts erforderlich machen.

Ein zentrales Patchmanagement ermöglicht es, den Aktualisierungszustand mehrerer Geräte zu überwachen.

Beispiel

Ein Unternehmen besitzt 20 Windows-Arbeitsplätze.

Auf fünf Computern ist eine veraltete PDF-Anwendung installiert.

Ohne zentrale Überwachung bleibt dies möglicherweise unbemerkt.

Mit geeignetem Patchmanagement können solche Abweichungen erkannt und behoben werden.

Empfehlung

Sicherheitskritische Updates sollten risikobasiert und zeitnah installiert werden.

Besonders hohe Priorität besitzen beispielsweise aktiv ausgenutzte Schwachstellen auf öffentlich erreichbaren Systemen.

3. Ransomware-sichere Backups einrichten

Backups gehören zu den wichtigsten Maßnahmen, um die Folgen eines erfolgreichen Ransomware-Angriffs zu begrenzen.

Allerdings ist nicht jedes Backup ausreichend geschützt.

Warum können normale Backups gefährdet sein?

Angreifer versuchen häufig, vor der eigentlichen Verschlüsselung auch Datensicherungen zu löschen oder unbrauchbar zu machen.

Besonders gefährdet sind Backups, die:

• Dauerhaft beschreibbar eingebunden sind
• Mit denselben Administratorkonten verwaltet werden
• Ohne zusätzliche Zugriffssicherung erreichbar sind
• Ausschließlich auf demselben Server liegen
• Nicht regelmäßig geprüft werden

Was ist die 3-2-1-Backup-Regel?

Die 3-2-1-Regel empfiehlt:

3 Datenkopien

Die Produktivdaten und zwei zusätzliche Sicherungen.

2 unterschiedliche Speicherlösungen

Die Daten sollten nicht ausschließlich von demselben Speichersystem abhängig sein.

1 externe Kopie

Mindestens eine Sicherung sollte an einem anderen Standort aufbewahrt werden.

Was bedeutet 3-2-1-1-0?

Eine erweiterte Backup-Strategie ergänzt:

1 unveränderbare oder offline aufbewahrte Kopie

Diese soll gegen unberechtigtes Löschen oder Verschlüsseln geschützt sein.

0 ungeprüfte Backup-Fehler

Die Sicherungen werden überwacht und durch Wiederherstellungstests überprüft.

Was sind Immutable Backups?

Immutable bedeutet unveränderbar.

Bei geeigneten Backup-Lösungen können Sicherungsstände für einen festgelegten Zeitraum gegen Veränderung oder Löschung geschützt werden.

Die tatsächliche Schutzwirkung hängt von der technischen Umsetzung und der Absicherung der Verwaltungszugänge ab.

Beispiel für ein Unternehmen

Windows Server und Arbeitsplätze

↓

Lokaler Backup-Server oder Synology NAS

↓

Zusätzliches geschütztes Backup an einem anderen Standort

So kann eine schnelle lokale Wiederherstellung mit einer unabhängigen externen Sicherung kombiniert werden.

Ist ein NAS automatisch ransomware-sicher?

Nein.

Auch eine Synology- oder QNAP-NAS kann von einem Angriff betroffen sein.

Beispielsweise, wenn ein kompromittierter Benutzer Schreibzugriff auf die gespeicherten Dateien besitzt.

Deshalb sind zusätzliche Schutzmaßnahmen notwendig.

Dazu gehören geeignete Snapshots, getrennte Backup-Zugänge und unabhängige Sicherungen.

Wichtig: Auch Microsoft 365, OneDrive und SharePoint sollten bei der Backup-Planung berücksichtigt werden. Synchronisierung und Papierkorb ersetzen nicht automatisch eine unabhängige Datensicherung.

4. Multi-Faktor-Authentifizierung und sichere Passwörter verwenden

Gestohlene Zugangsdaten sind ein häufiges Einfallstor für Cyberangriffe.

Besonders kritisch sind Konten mit umfangreichen Berechtigungen.

Beispielsweise:

• Microsoft-365-Administratoren
• Domain-Administratoren
• VPN-Benutzer
• Firewall-Administratoren
• Backup-Administratoren
• Fernwartungskonten

Was ist MFA?

MFA steht für Multi-Faktor-Authentifizierung.

Neben dem Passwort muss der Benutzer einen weiteren Faktor nachweisen.

Beispielsweise:

• Sicherheitsschlüssel
• Authenticator-App
• Gerätegebundene passwortlose Anmeldung

Phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder geeignete Passkeys bieten einen besonders starken Schutz gegen bestimmte Formen des Zugangsdaten-Phishings.

Warum ist MFA so wichtig?

Wenn ein Angreifer das Passwort eines Mitarbeiters kennt, kann eine korrekt konfigurierte MFA den unberechtigten Zugriff erheblich erschweren.

MFA schützt jedoch nicht vor allen Angriffen, beispielsweise vor bestimmten Sitzungsübernahmen.

Passwortmanager einsetzen

Ein Passwortmanager erleichtert die Verwendung langer, unterschiedlicher Passwörter.

Für Unternehmen können Lösungen wie Bitwarden interessant sein.

Damit lassen sich Zugangsdaten zentral verwalten und berechtigten Mitarbeitern zur Verfügung stellen.

Empfehlung

• MFA für Microsoft 365 aktivieren
• VPN-Zugänge mit MFA absichern
• Administratorzugänge besonders schützen
• Individuelle Benutzerkonten verwenden
• Gemeinsame Passwörter vermeiden
• Passwortmanager einsetzen

5. Firewall und Netzwerksegmentierung umsetzen

Eine Firewall ist ein wichtiger Bestandteil der Netzwerksicherheit.

Sie kann Verbindungen zwischen unterschiedlichen Netzwerken kontrollieren.

Allerdings schützt eine Firewall allein nicht vollständig vor Ransomware.

Warum reicht eine Firewall nicht aus?

Ein Mitarbeiter kann beispielsweise über eine Phishing-E-Mail kompromittiert werden.

Der Angriff beginnt dann innerhalb des Unternehmensnetzwerks.

Deshalb sollte nicht nur der Internetzugang geschützt werden.

Auch die Kommunikation zwischen internen Systemen muss berücksichtigt werden.

Was ist Netzwerksegmentierung?

Bei der Netzwerksegmentierung wird ein Netzwerk in mehrere Bereiche aufgeteilt.

Beispielsweise mithilfe von VLANs und passenden Firewallregeln.

Beispiel für ein Unternehmensnetzwerk

Netzwerk	Zweck
VLAN 10	Arbeitsplätze
VLAN 20	Server
VLAN 30	VoIP
VLAN 40	Drucker
VLAN 50	Gäste-WLAN
VLAN 60	Management
VLAN 70	Backup-Systeme

Zwischen diesen Netzwerken werden nur die tatsächlich benötigten Verbindungen erlaubt.

Warum schützt das vor Ransomware?

Ein kompromittierter Arbeitsplatz kann dadurch nicht automatisch sämtliche anderen Netzwerkbereiche erreichen.

Beispielsweise sollte ein normaler Arbeitsplatz keinen administrativen Zugriff auf Backup-Systeme benötigen.

Wichtig bei VLANs

Ein VLAN allein stellt noch keine vollständige Sicherheitsgrenze dar.

Entscheidend sind die Routing- und Firewallregeln zwischen den Netzwerken.

Wenn alle VLANs uneingeschränkt miteinander kommunizieren dürfen, ist die Schutzwirkung gering.

Welche Firewall eignet sich?

Je nach Anforderungen kommen beispielsweise infrage:

• UniFi Gateways
• OPNsense
• pfSense
• Sophos Firewall
• Fortinet FortiGate

Wichtiger als der Hersteller sind die richtige Konfiguration und ein geeignetes Berechtigungskonzept.

6. E-Mail-Sicherheit und Phishing-Schutz verbessern

E-Mails gehören zu den wichtigsten Kommunikationsmitteln im Unternehmen.

Gleichzeitig werden sie häufig für Phishing-Angriffe verwendet.

Wie erkennt man verdächtige E-Mails?

Typische Warnsignale können sein:

• Ungewöhnliche Absenderadresse
• Unerwartete Anhänge
• Aufforderung zur sofortigen Anmeldung
• Verdächtige Links
• Ungewöhnliche Zahlungsanweisungen
• Druck durch angebliche Fristen

Allerdings können auch professionell gestaltete Phishing-E-Mails täuschend echt aussehen.

Welche technischen Schutzmaßnahmen helfen?

• Spam- und Malwarefilter
• Prüfung gefährlicher Anhänge
• URL-Schutz
• SPF
• DKIM
• DMARC
• Geeignete Microsoft-365-Sicherheitsfunktionen
• Einschränkung riskanter Makros und Skripte

Schützen SPF, DKIM und DMARC vor Ransomware?

Diese Technologien helfen vor allem bei der Authentifizierung von E-Mail-Domänen und können bestimmte Formen des Domain-Spoofings reduzieren.

Sie verhindern jedoch nicht sämtliche Phishing-Angriffe.

Ein Angreifer kann beispielsweise eine eigene korrekt authentifizierte Domain verwenden.

Deshalb sind zusätzliche Schutzmaßnahmen erforderlich.

7. Benutzerrechte nach dem Least-Privilege-Prinzip vergeben

Nicht jeder Mitarbeiter benötigt Administratorrechte.

Trotzdem werden in manchen Unternehmen normale Benutzerkonten mit umfangreichen Berechtigungen ausgestattet.

Das erhöht die möglichen Auswirkungen einer Kompromittierung.

Was bedeutet Least Privilege?

Benutzer erhalten nur die Berechtigungen, die sie tatsächlich für ihre Arbeit benötigen.

Beispielsweise:

Ein Mitarbeiter der Buchhaltung benötigt Zugriff auf Buchhaltungsunterlagen.

Er benötigt aber normalerweise keine Administratorrechte auf dem Domain Controller.

Warum ist das wichtig?

Wenn ein Angreifer ein normales Benutzerkonto kompromittiert, kann eine restriktive Rechtevergabe die möglichen Schäden begrenzen.

Empfohlene Maßnahmen

• Keine lokalen Administratorrechte für normale Benutzer
• Separate Administratorkonten
• Unterschiedliche lokale Administratorpasswörter
• Windows LAPS einsetzen
• Berechtigungen auf Netzlaufwerken prüfen
• Dienstkonten absichern
• Nicht benötigte Konten deaktivieren
• Administrative Anmeldungen auf geeignete Systeme beschränken

Besonders wichtig: Active Directory

In Windows-Domänen sollte das Active Directory besonders geschützt werden.

Wird ein hochprivilegiertes Domänenkonto kompromittiert, können Angreifer unter Umständen zahlreiche Systeme kontrollieren.

Deshalb sollten Domain Controller, Administratorzugänge und Gruppenrichtlinien besonders abgesichert werden.

8. IT-Monitoring und Angriffserkennung einrichten

Viele Unternehmen erkennen technische Probleme erst, wenn Mitarbeiter nicht mehr arbeiten können.

Bei Cyberangriffen kann das zu spät sein.

Ein zentrales Monitoring kann helfen, verdächtige Aktivitäten frühzeitig zu erkennen.

Was sollte überwacht werden?

Beispielsweise:

• Endpoint-Security-Meldungen
• Fehlgeschlagene Anmeldungen
• Auffällige Administratoraktivitäten
• Sicherheitsupdates
• Serverdienste
• Backup-Ergebnisse
• Firewall-Ereignisse
• Speicherplatz
• Ungewöhnliche Netzwerkaktivitäten

Was ist RMM?

RMM steht für Remote Monitoring and Management.

Damit können IT-Dienstleister unter anderem den Zustand von Arbeitsplätzen und Servern überwachen sowie Wartungsaufgaben zentral verwalten.

Ist RMM dasselbe wie EDR oder SOC?

Nein.

RMM dient hauptsächlich der technischen Überwachung und Verwaltung.

EDR konzentriert sich auf die Erkennung und Untersuchung von Sicherheitsbedrohungen auf Endgeräten.

Ein Security Operations Center (SOC) übernimmt weitergehende Aufgaben der Sicherheitsüberwachung und Vorfallbearbeitung.

Diese Lösungen können sich ergänzen, erfüllen aber unterschiedliche Aufgaben.

Warum ist 24/7-Monitoring sinnvoll?

Angriffe finden nicht nur während der Bürozeiten statt.

Eine kontinuierliche Überwachung kann helfen, kritische Ereignisse auch nachts oder am Wochenende zu erkennen.

Allerdings ist zwischen automatisierter Überwachung und tatsächlich rund um die Uhr besetzter Sicherheitsreaktion zu unterscheiden.

Ein Alarm allein stoppt noch keinen Angriff.

9. Mitarbeiter regelmäßig sensibilisieren

Technische Sicherheitsmaßnahmen sind entscheidend.

Trotzdem sollten Mitarbeiter wissen, wie sie mit verdächtigen Situationen umgehen.

Welche Themen sind wichtig?

• Phishing erkennen
• Verdächtige Anhänge vermeiden
• Sichere Passwörter verwenden
• MFA-Anfragen überprüfen
• Ungewöhnliche Anmeldungen melden
• Keine unbekannte Software installieren
• Verdächtige IT-Vorfälle sofort weitergeben

Beispiel: Ungewöhnliche MFA-Anfrage

Ein Mitarbeiter erhält eine unerwartete Aufforderung, eine Microsoft-365-Anmeldung zu bestätigen.

Obwohl er sich gerade nicht anmeldet, erscheint eine entsprechende Nachricht auf seinem Smartphone.

Der Mitarbeiter sollte die Anfrage nicht bestätigen und den Vorfall melden.

Wie häufig sollten Schulungen stattfinden?

Ein einmaliger Vortrag reicht häufig nicht aus.

Sinnvoll sind regelmäßige kurze Schulungen, ergänzt durch praktische Beispiele und verständliche Meldewege.

Wichtig ist eine Unternehmenskultur, in der verdächtige Ereignisse schnell gemeldet werden können.

10. Einen Ransomware-Notfallplan erstellen

Auch mit guten Sicherheitsmaßnahmen kann ein erfolgreicher Angriff nicht vollständig ausgeschlossen werden.

Deshalb benötigt jedes Unternehmen einen Notfallplan.

Was sollte ein Notfallplan enthalten?

• Zuständige Ansprechpartner
• Kontakt zum IT-Dienstleister
• Verfahren zur Isolation betroffener Systeme
• Vorgehen zur Sicherung von Beweisen
• Prioritäten für die Wiederherstellung
• Zugriff auf geschützte Backups
• Kommunikationswege
• Prüfung von Meldepflichten
• Dokumentation des Vorfalls

Warum ist ein Notfallplan wichtig?

Bei einem Angriff müssen häufig unter Zeitdruck Entscheidungen getroffen werden.

Ein vorbereiteter Ablauf hilft, Fehler zu vermeiden und den Geschäftsbetrieb schneller wiederherzustellen.

Ransomware-Schutz für Windows Server

Windows Server ist in vielen Unternehmen eine zentrale Komponente.

Darauf laufen beispielsweise:

• Active Directory
• Dateifreigaben
• Terminalserver
• Datenbanken
• Fachanwendungen
• Druckdienste

Ein erfolgreicher Angriff auf einen zentralen Server kann zahlreiche Mitarbeiter gleichzeitig betreffen.

Welche Maßnahmen sind sinnvoll?

• Aktuelle Sicherheitsupdates
• Geeigneter Endpoint-Schutz
• Eingeschränkte Administratorrechte
• Geschützte RDP-Zugänge
• Firewallregeln
• Protokollierung
• Sichere Backups
• Netzwerksegmentierung
• Regelmäßige Überprüfung der Konfiguration

RDP nicht direkt ins Internet freigeben

Der Remote Desktop Protocol-Dienst sollte nicht ohne geeignetes Sicherheitskonzept öffentlich erreichbar sein.

Für den externen Zugriff kommen beispielsweise sichere VPN-Verbindungen oder entsprechend abgesicherte Remote-Desktop-Gateway-Lösungen infrage.

Dabei sollten MFA und weitere Zugriffsbeschränkungen berücksichtigt werden.

Ransomware-Schutz für Microsoft 365

Auch Microsoft-365-Umgebungen können von Sicherheitsvorfällen betroffen sein.

Beispielsweise durch:

• Kompromittierte Benutzerkonten
• Phishing
• Missbrauch von Administratorrechten
• Manipulierte Dateien
• Schädliche Anwendungen mit erteilten Berechtigungen

Welche Maßnahmen sind wichtig?

• MFA
• Conditional Access bei geeigneter Lizenz
• Schutz privilegierter Konten
• Überprüfung von App-Berechtigungen
• E-Mail-Sicherheitsfunktionen
• Geräteverwaltung
• Protokollierung
• Unabhängige Datensicherung

Reicht OneDrive als Ransomware-Schutz?

OneDrive und SharePoint bieten unter anderem Versionierungs- und Wiederherstellungsfunktionen.

Diese können bei bestimmten Vorfällen helfen.

Sie ersetzen jedoch nicht automatisch eine unabhängige Backup-Strategie für geschäftskritische Daten.

Ransomware-Schutz für Synology NAS

Synology NAS-Systeme werden häufig als zentrale Dateiablage oder Backup-Ziel eingesetzt.

Dabei sollten insbesondere die Zugriffsberechtigungen sorgfältig geplant werden.

Empfohlene Maßnahmen

• DSM aktuell halten
• MFA für administrative Zugänge
• Unnötige Dienste deaktivieren
• Kein ungeschützter öffentlicher Verwaltungszugang
• Separate Benutzerkonten
• Eingeschränkte Freigabeberechtigungen
• Snapshots bei unterstützten Modellen
• Hyper Backup auf unabhängiges Ziel
• Backup-Verschlüsselung
• Wiederherstellungstests

Sind Snapshots ein ausreichender Ransomware-Schutz?

Snapshots können helfen, frühere Datenstände wiederherzustellen.

Lokale Snapshots allein ersetzen jedoch kein unabhängiges Backup.

Bei einem vollständigen Ausfall oder einer erfolgreichen Kompromittierung des NAS können auch lokale Sicherungsstände gefährdet sein.

Wie schützt man ein kleines Unternehmen mit zehn Mitarbeitern?

Ein Unternehmen mit zehn Arbeitsplätzen benötigt nicht zwangsläufig dieselbe Sicherheitsarchitektur wie ein großer Konzern.

Trotzdem sollten grundlegende Maßnahmen umgesetzt werden.

Beispiel einer sinnvollen Sicherheitsarchitektur

Arbeitsplätze

• Zentral verwaltete Endpoint-Security
• Regelmäßige Updates
• Keine lokalen Administratorrechte

Microsoft 365

• MFA
• Sichere Benutzerkonten
• Geeigneter E-Mail-Schutz

Netzwerk

• Firewall
• Getrenntes Gäste-WLAN
• Einschränkung unnötiger Zugriffe

Server und NAS

• Sicherheitsupdates
• Eingeschränkte Berechtigungen
• Monitoring
• Versionierte Backups

Externe Datensicherung

• Räumlich getrennt
• Gegen unberechtigtes Löschen geschützt
• Regelmäßig geprüft

Diese Maßnahmen schaffen eine deutlich bessere Ausgangslage als eine IT-Umgebung, die ausschließlich auf einen lokalen Virenscanner setzt.

Was kostet Ransomware-Schutz für Unternehmen?

Die Kosten hängen von der Unternehmensgröße und der vorhandenen Infrastruktur ab.

Wichtige Faktoren sind:

• Anzahl der Arbeitsplätze
• Anzahl der Server
• Endpoint-Security-Lizenzen
• Firewall
• Backup-Speicher
• Microsoft-365-Sicherheitsfunktionen
• Monitoring
• IT-Administration
• Schulungen
• Sicherheitsüberprüfungen

Braucht jedes Unternehmen eine teure Sicherheitslösung?

Nein.

Viele wichtige Maßnahmen lassen sich bereits mit vorhandenen Systemen umsetzen.

Beispielsweise:

• Benutzerrechte reduzieren
• MFA aktivieren
• Updates installieren
• RDP-Zugriffe absichern
• Backup-Konzept verbessern
• Nicht benötigte Dienste deaktivieren

Für Unternehmen mit höheren Anforderungen können zusätzliche Sicherheitslösungen sinnvoll sein.

Warum sollte man nicht nur auf Lizenzkosten achten?

Ein Sicherheitsprodukt verursacht nicht nur Lizenzkosten.

Es muss auch:

• Eingerichtet
• Konfiguriert
• Aktualisiert
• Überwacht
• Regelmäßig überprüft

werden.

Deshalb ist die laufende Betreuung ein wichtiger Bestandteil eines wirksamen Sicherheitskonzepts.

Was tun bei einem Ransomware-Angriff?

Wenn ein Ransomware-Angriff vermutet wird, zählt eine schnelle und koordinierte Reaktion.

Schritt 1: Betroffene Systeme isolieren

Trennen Sie kompromittierte Geräte möglichst schnell vom Netzwerk.

Das kann beispielsweise durch Deaktivieren der Netzwerkverbindung oder Isolation über eine geeignete Sicherheitsplattform erfolgen.

Schritt 2: IT-Verantwortliche informieren

Kontaktieren Sie unverzüglich die zuständige IT-Abteilung oder den IT-Dienstleister.

Schritt 3: Weitere Ausbreitung verhindern

Prüfen Sie, welche Konten, Server und Netzwerkbereiche betroffen sein könnten.

Gegebenenfalls müssen Zugänge gesperrt und weitere Systeme isoliert werden.

Schritt 4: Beweise sichern

Sicherheitsprotokolle, betroffene Systeme und relevante Informationen sollten möglichst erhalten bleiben.

Ein vorschnelles Zurücksetzen kann die spätere Untersuchung erschweren.

Schritt 5: Umfang des Angriffs untersuchen

Vor einer Wiederherstellung muss geklärt werden, wie der Angreifer Zugriff erhalten hat und welche Systeme kompromittiert wurden.

Schritt 6: Backups überprüfen

Prüfen Sie, welche Sicherungen verfügbar und vertrauenswürdig sind.

Schritt 7: Systeme sicher wiederherstellen

Betroffene Systeme sollten aus einer nachweislich sauberen Grundlage wiederhergestellt werden.

Eine reine Entschlüsselung der Dateien garantiert nicht, dass der Angreifer keinen weiteren Zugriff besitzt.

Schritt 8: Meldepflichten prüfen

Wenn personenbezogene Daten betroffen sind, müssen mögliche Meldepflichten nach der DSGVO geprüft werden.

Bei einer meldepflichtigen Verletzung des Schutzes personenbezogener Daten gilt grundsätzlich die 72-Stunden-Frist gegenüber der zuständigen Datenschutzaufsichtsbehörde, soweit die gesetzlichen Voraussetzungen erfüllt sind.

Je nach Unternehmen und Vorfall können weitere Meldepflichten bestehen.

Schritt 9: Zugangsdaten erneuern

Kompromittierte Konten und Zugangsdaten müssen abgesichert beziehungsweise geändert werden.

Schritt 10: Sicherheitsmaßnahmen verbessern

Nach dem Vorfall sollten die Ursachen ausgewertet und die Schutzmaßnahmen entsprechend angepasst werden.

Sollte man bei Ransomware Lösegeld bezahlen?

Eine Lösegeldzahlung wird grundsätzlich nicht empfohlen.

Es besteht keine Garantie, dass die Angreifer die Daten tatsächlich wiederherstellen.

Außerdem kann eine Zahlung weitere Erpressungsversuche begünstigen.

Je nach Empfänger können zusätzliche rechtliche Risiken bestehen.

Betroffene Unternehmen sollten professionelle Incident-Response-Unterstützung hinzuziehen und gegebenenfalls Strafverfolgungsbehörden sowie ihre Cyberversicherung kontaktieren.

Checkliste: Ransomware-Schutz für Unternehmen

Arbeitsplätze und Server

• Endpoint-Security zentral verwaltet
• Sicherheitsupdates regelmäßig installiert
• Veraltete Betriebssysteme ersetzt oder isoliert
• Lokale Administratorrechte eingeschränkt
• Nicht benötigte Dienste deaktiviert

Benutzer und Zugänge

• MFA aktiviert
• Administratorzugänge getrennt
• Passwortmanager eingeführt
• Berechtigungen regelmäßig überprüft
• Ehemalige Mitarbeiterkonten deaktiviert

Netzwerk

• Firewall korrekt konfiguriert
• RDP nicht ungeschützt öffentlich erreichbar
• Gäste-WLAN getrennt
• Server und Clients sinnvoll segmentiert
• Backup-Systeme zusätzlich geschützt

Datensicherung

• Regelmäßige Backups vorhanden
• 3-2-1-Strategie berücksichtigt
• Externe Sicherung vorhanden
• Unveränderbare oder Offline-Kopie vorhanden
• Backup-Ergebnisse überwacht
• Wiederherstellung erfolgreich getestet

Organisation

• Mitarbeiter sensibilisiert
• Notfallkontakte dokumentiert
• Incident-Response-Plan vorhanden
• Sicherheitsereignisse werden überwacht
• Kritische Systeme dokumentiert
• Sicherheitskonzept wird regelmäßig überprüft

Fazit: Wie schützt man ein Unternehmen richtig vor Ransomware?

Ransomware gehört zu den Cyberbedrohungen, die den Geschäftsbetrieb kleiner und mittelständischer Unternehmen erheblich beeinträchtigen können.

Ein wirksamer Schutz besteht nicht aus einem einzelnen Produkt.

Entscheidend ist die Kombination mehrerer Maßnahmen.

Besonders wichtig sind:

• Professionelle Endpoint-Security
• Regelmäßiges Patchmanagement
• Sichere und unabhängige Backups
• Multi-Faktor-Authentifizierung
• Eingeschränkte Benutzerrechte
• Firewall und Netzwerksegmentierung
• E-Mail-Sicherheit
• Zentrale Überwachung
• Mitarbeiterschulungen
• Ein vorbereiteter Notfallplan

Unsere Empfehlung: Unternehmen sollten zunächst die grundlegenden Sicherheitsmaßnahmen zuverlässig umsetzen und anschließend die Schutzmaßnahmen anhand ihrer tatsächlichen Risiken erweitern.

Dabei sollten nicht nur die Arbeitsplätze, sondern auch Server, Microsoft 365, Netzwerkgeräte und Backup-Systeme berücksichtigt werden.

Ransomware-Schutz für Unternehmen mit Unetifi

Sie möchten Ihr Unternehmen besser vor Ransomware schützen oder wissen nicht, ob Ihre vorhandenen Sicherheitsmaßnahmen ausreichend sind?

Unetifi unterstützt kleine und mittelständische Unternehmen bei der Planung, Umsetzung und Betreuung professioneller IT-Sicherheitslösungen.

Unsere Leistungen umfassen unter anderem:

• IT-Sicherheitsüberprüfung
• Endpoint-Security mit ESET
• Zentrales Patchmanagement
• Managed-IT und RMM-Monitoring
• Firewall-Konfiguration
• Netzwerksegmentierung mit VLANs
• Microsoft-365-Sicherheit
• MFA und Benutzerverwaltung
• Passwortmanagement mit Bitwarden
• Server- und NAS-Sicherheit
• Backup-Konzepte
• Synology- und Cloud-Backups
• Überprüfung bestehender Sicherheitsmaßnahmen

Wir unterstützen Unternehmen in Augsburg, München, Fürstenfeldbruck und Umgebung sowie bei geeigneten Leistungen auch deutschlandweit.

Nutzen Sie unseren kostenlosen 45-Minuten-IT-Check, um Ihre vorhandene IT-Infrastruktur und mögliche Sicherheitsrisiken gemeinsam mit uns zu besprechen.

Jetzt Ransomware-Schutz für Ihr Unternehmen verbessern und IT-Check vereinbaren.

Häufig gestellte Fragen zum Ransomware-Schutz

Was ist der beste Schutz gegen Ransomware?

Der beste Schutz besteht aus mehreren Maßnahmen. Besonders wichtig sind Endpoint-Security, Sicherheitsupdates, MFA, eingeschränkte Benutzerrechte und unabhängige Backups.

Reicht ein Virenscanner gegen Ransomware?

Nein. Ein Virenscanner ist wichtig, kann aber nicht sämtliche Angriffe verhindern. Zusätzliche Schutzmaßnahmen wie EDR, Patchmanagement und sichere Backups sind sinnvoll.

Kann Ransomware auch Server verschlüsseln?

Ja. Windows Server, Dateiserver und andere zentrale Systeme können betroffen sein, wenn Angreifer entsprechende Zugriffsrechte erlangen.

Kann Ransomware ein NAS verschlüsseln?

Ja. Dateien auf NAS-Freigaben können beispielsweise über kompromittierte Benutzerkonten verschlüsselt werden. Deshalb sind eingeschränkte Berechtigungen und geschützte Backups wichtig.

Schützt eine Firewall vor Ransomware?

Eine Firewall kann bestimmte Angriffswege blockieren und die Kommunikation zwischen Netzwerkbereichen einschränken. Sie verhindert aber nicht alle Ransomware-Angriffe.

Was ist EDR?

EDR steht für Endpoint Detection and Response. Solche Lösungen erkennen und untersuchen verdächtige Aktivitäten auf Endgeräten und unterstützen die Reaktion auf Sicherheitsvorfälle.

Was ist der Unterschied zwischen Antivirus und EDR?

Antivirus konzentriert sich auf die Erkennung und Verhinderung von Schadsoftware. EDR ergänzt dies um weitergehende Überwachung, Analyse und Reaktionsmöglichkeiten.

Wie schützt MFA vor Ransomware?

MFA erschwert die unberechtigte Anmeldung mit gestohlenen Passwörtern. Dadurch können bestimmte Angriffswege reduziert werden.

Sind Backups ein ausreichender Ransomware-Schutz?

Nein. Backups ermöglichen die Wiederherstellung, verhindern aber nicht die ursprüngliche Kompromittierung oder den Diebstahl vertraulicher Daten.

Was bedeutet 3-2-1-Backup?

Die Regel empfiehlt drei Datenkopien auf zwei unterschiedlichen Speicherlösungen, davon mindestens eine an einem anderen Standort.

Was sind Immutable Backups?

Immutable Backups sind Sicherungen, die für einen festgelegten Zeitraum gegen Veränderung oder Löschung geschützt werden können.

Kann Microsoft 365 von Ransomware betroffen sein?

Ja. Beispielsweise können kompromittierte Konten oder synchronisierte Dateien betroffen sein. Deshalb sind MFA, sichere Berechtigungen und geeignete Backup-Strategien wichtig.

Was kostet Ransomware-Schutz für kleine Unternehmen?

Die Kosten hängen von der Anzahl der Geräte, den vorhandenen Systemen und den benötigten Sicherheitsleistungen ab. Viele grundlegende Maßnahmen lassen sich bereits mit vorhandenen Technologien umsetzen.

Braucht ein Unternehmen mit fünf Mitarbeitern Ransomware-Schutz?

Ja. Auch kleine Unternehmen können angegriffen werden. Ein angemessenes Sicherheitskonzept ist unabhängig von der Unternehmensgröße sinnvoll.

Was soll ich tun, wenn mein Unternehmen von Ransomware betroffen ist?

Betroffene Systeme sollten schnell isoliert und die zuständigen IT-Verantwortlichen informiert werden. Anschließend müssen der Vorfall untersucht, die Ausbreitung verhindert und eine sichere Wiederherstellung vorbereitet werden.

Sollte man bei Ransomware Lösegeld bezahlen?

Eine Zahlung wird grundsätzlich nicht empfohlen. Es gibt keine Garantie für eine erfolgreiche Wiederherstellung, und es können zusätzliche rechtliche Risiken bestehen.

Wie häufig sollte ein Unternehmen seine Sicherheit überprüfen?

Wichtige Sicherheitsereignisse sollten kontinuierlich überwacht werden. Zusätzlich sind regelmäßige technische Prüfungen und Überprüfungen nach größeren Änderungen sinnvoll.

Kann man Ransomware vollständig verhindern?

Ein vollständiger Schutz kann nicht garantiert werden. Durch geeignete technische und organisatorische Maßnahmen lassen sich Eintrittswahrscheinlichkeit und mögliche Schäden jedoch erheblich reduzieren.