Ransomware-Schutz: Backups, Updates und Awareness richtig kombinieren

Warum Ransomware für KMU ein ernstes Geschäftsrisiko ist

Ransomware gehört seit Jahren zu den größten Cyberbedrohungen für Unternehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft sie in seinen Lageberichten regelmäßig als eine der gravierendsten Gefahren für Wirtschaft und Verwaltung ein. Bei einem Angriff verschlüsseln Kriminelle Daten und Systeme und fordern ein Lösegeld für die Entschlüsselung. Häufig kommt eine zweite Druckstufe hinzu: Die Angreifer drohen damit, zuvor abgeflossene Daten zu veröffentlichen. Was genau hinter dem Begriff steckt, erklärt unser Lexikoneintrag zu Ransomware.

Gerade kleine und mittlere Unternehmen sind betroffen, weil ihnen oft eigene Sicherheitsteams fehlen und IT-Verantwortung nebenbei wahrgenommen wird. Ein Ausfall von Warenwirtschaft, E-Mail oder Produktionssteuerung kann den Betrieb tagelang lähmen. Wirksamer Schutz entsteht dabei nicht durch ein einzelnes Produkt, sondern durch das Zusammenspiel mehrerer Ebenen. Drei Säulen sind besonders wichtig: Backups, Updates und Security Awareness.

Säule 1: Backups, die im Ernstfall wirklich funktionieren

Eine funktionierende Datensicherung ist die letzte Verteidigungslinie. Wenn alle anderen Maßnahmen versagen, entscheidet sie darüber, ob ein Unternehmen seine Daten aus eigener Kraft wiederherstellen kann. Viele Ransomware-Varianten versuchen allerdings gezielt, erreichbare Sicherungen zu verschlüsseln oder zu löschen. Ein Backup, das dauerhaft mit dem Netzwerk verbunden ist, bietet deshalb nur eingeschränkten Schutz.

Die 3-2-1-Regel als bewährte Grundlage

Als Orientierung hat sich die 3-2-1-Regel etabliert:

• 3 Kopien der Daten vorhalten, also die Originaldaten und zwei Sicherungen.
• 2 unterschiedliche Speichermedien nutzen, etwa ein lokales Speichersystem und einen externen Speicher oder Cloud-Dienst.
• 1 Kopie räumlich getrennt und idealerweise offline oder unveränderbar aufbewahren.

Besonders wertvoll sind Offline-Backups, die nach der Sicherung physisch vom Netz getrennt werden, sowie unveränderbare Backups (Immutable Storage), die für einen definierten Zeitraum weder geändert noch gelöscht werden können. Zugänge zur Backup-Infrastruktur sollten getrennt von den regulären Administratorkonten verwaltet und mit Mehr-Faktor-Authentisierung abgesichert werden.

Wiederherstellung regelmäßig testen

Ein Backup ist nur so gut wie seine Wiederherstellung. Unternehmen sollten in festen Abständen prüfen, ob sich Daten und ganze Systeme tatsächlich zurückspielen lassen und wie lange das dauert. Hilfreich ist es, vorab festzulegen, welche Systeme zuerst wiederhergestellt werden müssen und welcher Datenverlust im Ernstfall noch tragbar wäre. Diese Überlegungen sollten dokumentiert und mit der Geschäftsführung abgestimmt werden.

Säule 2: Updates und konsequentes Patch-Management

Angreifer nutzen häufig bekannte Schwachstellen in Betriebssystemen, Anwendungen, VPN-Zugängen oder Firewalls aus, für die längst Sicherheitsupdates verfügbar sind. Ein strukturiertes Patch-Management schließt diese Lücken, bevor sie ausgenutzt werden können.

Bewährt haben sich folgende Grundsätze:

1. Inventar führen: Nur wer weiß, welche Hard- und Software im Einsatz ist, kann sie aktuell halten.
2. Automatische Updates aktivieren, wo dies betrieblich möglich ist, insbesondere bei Betriebssystemen, Browsern und Office-Anwendungen.
3. Kritische Updates priorisieren: Sicherheitswarnungen von Herstellern und des BSI im Blick behalten und besonders bei aus dem Internet erreichbaren Systemen zügig handeln.
4. Veraltete Systeme ablösen: Software, für die der Hersteller keine Sicherheitsupdates mehr liefert, sollte ersetzt oder zumindest stark abgeschottet werden.
5. Verantwortlichkeiten festlegen: Klare Zuständigkeiten verhindern, dass Updates im Tagesgeschäft liegen bleiben, auch wenn ein externer IT-Dienstleister eingebunden ist.

Säule 3: Security Awareness als menschliche Schutzschicht

Viele Ransomware-Vorfälle beginnen nicht mit einer technischen Lücke, sondern mit einer Täuschung. Ein häufiger Einstiegspunkt sind manipulierte E-Mails mit schädlichen Anhängen oder Links, über die Zugangsdaten abgegriffen oder Schadsoftware eingeschleust wird. Grundlagen dazu finden Sie in unserem Beitrag Was ist Phishing?.

Technische Filter fangen viele dieser Nachrichten ab, aber nicht alle. Deshalb sind aufmerksame Mitarbeitende eine wichtige zusätzliche Schutzschicht. Ziel eines Security-Awareness-Trainings ist es nicht, Beschäftigte zu verunsichern, sondern ihnen Sicherheit im Umgang mit verdächtigen Situationen zu geben. Wichtige Inhalte sind:

• typische Merkmale betrügerischer Nachrichten, etwa ungewöhnlicher Zeitdruck oder unerwartete Zahlungs- und Login-Aufforderungen
• der sorgsame Umgang mit Anhängen, Links, Makros und externen Datenträgern
• sichere Passwörter und die Nutzung von Mehr-Faktor-Authentisierung
• ein klarer, einfacher Meldeweg für verdächtige E-Mails und Auffälligkeiten

Entscheidend ist eine positive Fehlerkultur: Wer schnell meldet, dass er versehentlich auf einen Link geklickt hat, verschafft der IT wertvolle Zeit. Realitätsnahe, datenschutzkonform durchgeführte Phishing-Simulationen helfen, das Gelernte im Arbeitsalltag zu festigen und den Fortschritt messbar zu machen, ohne einzelne Personen bloßzustellen.

Das Zusammenspiel: Warum keine Säule allein ausreicht

Jede der drei Säulen hat Grenzen. Updates schließen bekannte Lücken, schützen aber nicht vor Täuschung. Awareness senkt die Wahrscheinlichkeit erfolgreicher Angriffe, kann menschliche Fehler aber nie vollständig ausschließen. Backups ermöglichen die Wiederherstellung, verhindern jedoch weder den Betriebsausfall noch den möglichen Abfluss von Daten.

Erst in Kombination entsteht ein mehrschichtiger Schutz nach dem Prinzip „Defense in Depth“: Awareness und Patch-Management reduzieren die Zahl erfolgreicher Einbruchsversuche, weitere technische Maßnahmen begrenzen den Schaden, und Backups sichern die Handlungsfähigkeit im schlimmsten Fall.

Ergänzende Maßnahmen, die den Schutz abrunden

• Mehr-Faktor-Authentisierung für Fernzugänge, E-Mail und Cloud-Dienste
• Minimale Rechte: Mitarbeitende arbeiten nicht mit Administratorrechten, privilegierte Konten werden gesondert geschützt
• Netzwerksegmentierung, damit sich Schadsoftware nicht ungehindert ausbreiten kann
• aktueller Schutz für Endgeräte sowie die Auswertung sicherheitsrelevanter Protokolle
• Abschaltung nicht benötigter Dienste und Fernzugänge

Notfallplan: Vorbereitet sein, bevor es ernst wird

Im Ernstfall zählt jede Stunde. Ein schriftlicher Notfallplan sollte festlegen, wer intern entscheidet, wie betroffene Systeme vom Netz getrennt werden, welche externen Ansprechpartner (IT-Dienstleister, Versicherung, Polizei, Datenschutzaufsicht) informiert werden und wie die Kommunikation mit Kunden und Beschäftigten abläuft. Kontaktdaten sollten auch offline verfügbar sein. Das BSI rät grundsätzlich davon ab, Lösegeld zu zahlen, da eine Entschlüsselung nicht garantiert ist und kriminelle Strukturen gestärkt werden. Den Plan regelmäßig zu üben, deckt Lücken auf, bevor sie im Ernstfall Schaden anrichten.

Rechtlicher Rahmen: NIS2 und DSGVO im Blick behalten

Für viele Unternehmen gewinnt das Thema auch regulatorisch an Bedeutung. Die europäische NIS2-Richtlinie, deren Umsetzung in Deutschland mit Änderungen des BSI-Gesetzes verbunden ist, nennt unter den Risikomanagementmaßnahmen unter anderem Backup-Management, die Bewältigung von Sicherheitsvorfällen, grundlegende Cyberhygiene sowie Schulungen. Ob und in welchem Umfang ein Unternehmen betroffen ist, hängt unter anderem von Sektor und Größe ab und sollte im Einzelfall geprüft werden. Einen Überblick bietet unsere Seite zu NIS2.

Unabhängig davon kann ein Ransomware-Vorfall eine Verletzung des Schutzes personenbezogener Daten im Sinne der DSGVO darstellen. In solchen Fällen besteht grundsätzlich eine Meldepflicht gegenüber der zuständigen Aufsichtsbehörde, in der Regel innerhalb von 72 Stunden nach Bekanntwerden, sofern ein Risiko für die betroffenen Personen nicht ausgeschlossen werden kann. Diese Hinweise ersetzen keine Rechtsberatung; im Zweifel sollten Datenschutzbeauftragte oder Fachanwälte hinzugezogen werden.

Fazit: Ransomware-Schutz ist Teamarbeit

Wirksamer Ransomware-Schutz entsteht, wenn Technik, Organisation und Menschen zusammenwirken. Getestete, vom Netz getrennte Backups, ein verlässliches Patch-Management und gut informierte Mitarbeitende ergänzen sich gegenseitig und machen ein Unternehmen deutlich widerstandsfähiger. Wer diese Grundlagen schrittweise umsetzt und regelmäßig überprüft, schafft eine solide Basis, auch mit begrenzten Ressourcen.

SECMIND unterstützt kleine und mittlere Unternehmen dabei, die menschliche Schutzschicht systematisch zu stärken: mit praxisnahen Awareness-Trainings und datenschutzkonformen Phishing-Simulationen, die sich in bestehende Sicherheitskonzepte einfügen.