Wenn ein Unternehmen an Ransomware denkt, entsteht meistens sofort ein klares Bild: Der Bildschirm ist gesperrt, Dateien sind verschlüsselt, nichts geht mehr und irgendwo steht eine Lösegeldforderung. Genau dieses Bild bleibt hängen. In der Praxis beginnt ein Ransomware-Vorfall aber meistens nicht mit der Verschlüsselung. Er beginnt viel früher.
Oft startet der Angriff mit einem schlecht gesicherten Zugang, einem alten Benutzerkonto, einem fehlenden Update, einer zu großzügigen Berechtigung, einem Backup, das nie getestet wurde, oder mit einer E-Mail, die im stressigen Alltag glaubwürdig genug aussah.
Das Gemeine an Ransomware ist nicht nur die Schadsoftware selbst. Das Gemeine ist, dass viele Angriffe genau die Schwächen ausnutzen, die in Unternehmen über Jahre gewachsen sind. Nicht aus böser Absicht, sondern weil der Betrieb laufen musste.
Ransomware ist kein reines Technikproblem
Ransomware ist kein Problem, das man mit einem einzelnen Produkt sauber erledigt. Natürlich braucht man gute Schutztechnik: Firewall, Endpoint-Schutz, Mehr-Faktor-Authentifizierung, Backup, Monitoring und Updates. Aber wer glaubt, man könne Ransomware einfach durch den Kauf einer Sicherheitslösung abhaken, macht es sich zu leicht.
Ransomware trifft Unternehmen dort, wo Technik, Organisation und Verantwortung nicht sauber zusammenspielen.
Ein Unternehmen hat vielleicht eine Firewall. Gut. Aber der Fernzugriff ist schlecht abgesichert. Es gibt ein Backup. Gut. Aber niemand hat je eine Rücksicherung getestet. Es gibt Virenschutz. Gut. Aber lokale Administratorrechte sind überall verteilt. Es gibt Microsoft 365. Gut. Aber MFA ist nur bei einigen Benutzern aktiv. Es gibt einen IT-Dienstleister. Gut. Aber keine aktuelle Dokumentation und keinen klaren Notfallplan.
Angreifer brauchen nicht zehn offene Türen. Eine reicht.
Warum gerade der Mittelstand gefährdet ist
Viele kleine und mittelständische Unternehmen glauben: „Für uns interessiert sich doch niemand.“ Das ist ein gefährlicher Irrtum.
Ransomware-Angriffe laufen heute häufig nicht so, dass ein Angreifer wochenlang persönlich vor einem Firmenlogo sitzt und genau dieses Unternehmen auswählt. Oft wird automatisiert gesucht: nach offenen Systemen, verwundbaren Diensten, gestohlenen Zugangsdaten, schlecht gesicherten Remote-Zugängen, alten VPN-Lösungen, bekannten Schwachstellen oder Benutzern ohne Mehr-Faktor-Authentifizierung.
Wer gefunden wird, wird interessant. Nicht, weil er berühmt ist. Sondern weil er erreichbar ist.
Für Angreifer ist ein mittelständisches Unternehmen oft attraktiv, weil dort genug Schaden entstehen kann, aber die Sicherheitsstrukturen nicht immer auf dem Niveau größerer Organisationen sind. Gleichzeitig hängen Produktion, Verwaltung, Kommunikation und Abrechnung stark an der IT. Wenn E-Mail, Warenwirtschaft, Dateien, Server, Cloud-Zugänge oder Branchenprogramme ausfallen, steht der Betrieb schnell still.
Der eigentliche Schaden ist nicht nur die Verschlüsselung
Viele denken bei Ransomware nur an verschlüsselte Dateien. Das ist aber nur ein Teil des Problems. Moderne Angriffe laufen oft in mehreren Schritten: Zuerst verschaffen sich Angreifer Zugang. Dann schauen sie sich im Netzwerk um. Sie suchen nach wichtigen Daten, Servern, Benutzerkonten und Backups. Oft werden Daten kopiert, bevor etwas verschlüsselt wird. Erst danach kommt die eigentliche Erpressung.
Das heißt: Es geht nicht mehr nur darum, ob Dateien wiederhergestellt werden können. Es geht auch um die Frage, ob vertrauliche Daten abgeflossen sind: Kundendaten, Vertragsunterlagen, E-Mails, Angebote, Personaldaten, Zugangsdaten, Projektdokumente und interne Informationen.
Ein Unternehmen hat dann nicht nur ein technisches Problem, sondern auch ein Vertrauensproblem, ein Datenschutzproblem, ein Kommunikationsproblem und unter Umständen ein rechtliches Problem.
Fehler 1: Man verlässt sich auf ein Backup, ohne den Restore zu kennen
Backup ist wichtig. Ohne Backup wird es im Ernstfall bitter. Aber ein Backup ist nur dann etwas wert, wenn die Wiederherstellung funktioniert.
Viele Unternehmen haben irgendeine Sicherung. Die entscheidenden Fragen werden aber selten sauber beantwortet:
- Welche Systeme werden wirklich gesichert?
- Wie alt darf der letzte Datenstand maximal sein?
- Wie schnell müssen wir wieder arbeiten können?
- Sind auch Cloud-Daten berücksichtigt?
- Sind die Backups gegen Verschlüsselung geschützt?
- Können Angreifer die Sicherungen löschen?
- Wurde eine Rücksicherung getestet?
- Wer weiß im Notfall, wie das funktioniert?
Ein Backup, das nie getestet wurde, ist keine Gewissheit. Es ist eine Vermutung. Und im Ernstfall ist eine Vermutung zu wenig.
Fehler 2: Fernzugriffe werden zu leichtfertig behandelt
Remote-Zugänge sind bequem. Für Homeoffice, externe Dienstleister, Wartung und Support sind sie oft notwendig. Aber sie sind auch ein beliebter Angriffsweg.
Wenn ein Zugang von außen erreichbar ist, muss er besonders gut geschützt sein. Ein einfaches Passwort reicht nicht. Auch ein komplexes Passwort reicht allein nicht. Es braucht klare Regeln: VPN, Mehr-Faktor-Authentifizierung, eingeschränkte Rechte, Protokollierung, regelmäßige Prüfung und saubere Abschaltung nicht mehr benötigter Zugänge.
Fehler 3: Updates werden verschoben, bis es weh tut
Patch-Management ist kein beliebtes Thema. Es ist trocken, manchmal störend und passt selten gut in den Arbeitsalltag. Trotzdem ist es einer der wichtigsten Bausteine der IT-Sicherheit.
Viele Angriffe nutzen bekannte Schwachstellen aus. Nicht Schwachstellen, die niemand kannte, sondern Schwachstellen, für die es längst Updates gab. Deshalb braucht es einen geordneten Prozess: Was ist kritisch? Was muss kurzfristig passieren? Was kann ins Wartungsfenster? Welche Altlasten müssen ersetzt werden?
Patch-Management ist kein Schönheitsprogramm. Es ist Türschlosswartung.
Fehler 4: Zu viele Benutzer haben zu viele Rechte
Einer der häufigsten Denkfehler lautet: „Dann geben wir dem Benutzer einfach mehr Rechte, dann funktioniert es.“ Kurzfristig löst das Probleme. Langfristig schafft es Risiken.
Wenn zu viele Benutzer lokale Administratorrechte haben, wenn Freigaben zu breit gesetzt sind, wenn jeder alles sehen kann und alte Gruppen nie bereinigt werden, dann wird ein Angriff gefährlicher. Angreifer arbeiten meistens mit den Rechten, die sie vorfinden.
Rechteverwaltung ist deshalb keine Bürokratie. Sie ist Schadensbegrenzung.
Fehler 5: Microsoft 365 wird genutzt, aber nicht geführt
Microsoft 365 ist in vielen Unternehmen der zentrale Arbeitsraum geworden. E-Mail, Teams, OneDrive, SharePoint, Kalender, Dateien und interne Kommunikation hängen daran. Aber Microsoft 365 wird oft eingeführt und danach einfach wachsen gelassen.
Dann entstehen über die Zeit viele Teams, Gruppen, externe Freigaben, alte Benutzer, geteilte Dateien, private Ablagen und unklare Zuständigkeiten. Für den Alltag wirkt das praktisch. Für die Sicherheit ist es schwierig.
Im Ernstfall muss man wissen: Welche Daten sind geschäftskritisch? Welche Benutzer haben Zugriff? Welche externen Freigaben bestehen? Ist MFA konsequent aktiv? Wer ist Administrator? Welche Daten werden zusätzlich gesichert? Wie werden gelöschte oder manipulierte Inhalte wiederhergestellt?
Fehler 6: Es gibt keinen Notfallplan
Viele Unternehmen haben Versicherungen, Brandschutz, Schlüsselregelungen und Vertretungspläne. Aber bei IT-Notfällen fehlt oft ein klarer Ablauf.
Was passiert, wenn morgens plötzlich keine Daten mehr erreichbar sind? Wer wird informiert? Wer entscheidet, ob Systeme abgeschaltet werden? Wer spricht mit Mitarbeitern und Kunden? Wer prüft Datenschutzpflichten? Wer kontaktiert Versicherung, IT-Dienstleister oder Behörden? Welche Systeme haben Priorität?
Ein Notfallplan muss nicht aus einem dicken Ordner bestehen, den niemand liest. Für viele Unternehmen reicht zunächst ein klarer, praxistauglicher Ablauf: erste Schritte, Ansprechpartner, Prioritäten, Kommunikationswege, Wiederanlauf und Dokumentation.
Fehler 7: Man wartet, bis etwas passiert
Das ist der teuerste Fehler. Viele Unternehmen handeln erst, wenn ein Vorfall passiert ist. Dann ist plötzlich Budget da. Dann wird über MFA gesprochen. Dann fragt man nach Backup. Dann werden alte Server auffällig. Dann will man wissen, wer welche Rechte hat. Dann sucht man Dokumentation. Dann stellt man fest, dass der letzte Restore nie getestet wurde.
IT-Sicherheit ist im Alltag selten dringend, solange alles läuft. Aber genau darin liegt das Risiko. Eine funktionierende IT ist nicht automatisch eine sichere IT. Und eine sichere IT ist nicht automatisch gut vorbereitet, wenn niemand sie strukturiert führt.
Was Unternehmen jetzt konkret prüfen sollten
Der richtige erste Schritt ist nicht Panik. Der richtige erste Schritt ist Klarheit.
- Gibt es ein aktuelles, getestetes Backup?
- Sind die Sicherungen vor Manipulation geschützt?
- Sind Microsoft-365-Daten berücksichtigt?
- Ist MFA für alle wichtigen Zugänge aktiv?
- Sind externe Zugriffe sauber abgesichert?
- Wer hat Administratorrechte?
- Sind alte Benutzerkonten deaktiviert oder gelöscht?
- Sind Server, Firewalls, VPNs und Fachanwendungen aktuell?
- Gibt es eine Übersicht über wichtige Systeme und Daten?
- Gibt es einen IT-Notfallplan?
Was wir bei EDV Systeme Donner darunter verstehen
Wir sehen IT-Sicherheit nicht als Sammlung einzelner Produkte. Für uns geht es zuerst um Beherrschbarkeit. Ein Unternehmen muss wissen, welche Systeme wichtig sind, wer Zugriff hat, welche Daten geschützt werden müssen, welche Sicherungen existieren und was im Ernstfall passiert.
Erst dann entscheidet man sauber über Technik. Wir schauen auf die Struktur: Benutzer und Rechte, Backups und Wiederherstellung, Microsoft 365, Firewall und Netzwerk, Fernzugriffe, Patch-Stand, Dokumentation, Notfallfähigkeit und Alltagstauglichkeit.
Gute Sicherheit fühlt sich nicht nach Angst an
Gute IT-Sicherheit macht den Alltag nicht komplizierter. Sie macht ihn ruhiger. Mitarbeiter wissen, wie sie sich anmelden. Zugänge sind geschützt. Rechte sind nachvollziehbar. Backups laufen und wurden getestet. Updates sind geplant. Externe Zugriffe sind kontrolliert. Im Notfall gibt es einen Ablauf.
Das ist der Unterschied zwischen improvisierter IT und geführter IT. Und genau dieser Unterschied entscheidet im Ernstfall darüber, ob ein Unternehmen handlungsfähig bleibt.
Mein Fazit
Ransomware ist keine abstrakte Gefahr für große Konzerne. Sie betrifft auch den Mittelstand. Nicht, weil jedes Unternehmen besonders bekannt ist, sondern weil Angreifer nach erreichbaren Schwachstellen suchen.
Die gute Nachricht ist: Man kann sehr viel tun. Nicht mit Panik. Nicht mit Aktionismus. Sondern mit sauberer Arbeit.
Wenn Sie nicht sicher sagen können, wie Ihr Unternehmen bei einem Ransomware-Vorfall reagieren würde, sollten wir miteinander sprechen – bevor der Ernstfall aus einer technischen Frage ein Unternehmensproblem macht.
Sie möchten Ihre IT-Sicherheitslage strukturiert prüfen lassen?
EDV Systeme Donner unterstützt kleine und mittelständische Unternehmen dabei, ihre IT sicherer, geordneter und belastbarer aufzustellen – verständlich, strukturiert und ohne unnötige Technikshow.
Häufige Fragen zu Ransomware im Mittelstand
Warum trifft Ransomware auch kleine und mittelständische Unternehmen?
Viele Angriffe suchen automatisiert nach erreichbaren Schwachstellen. Ein Unternehmen muss nicht bekannt sein, um interessant zu werden. Es reicht, wenn Systeme offen, veraltet oder schlecht abgesichert sind.
Reicht ein Backup gegen Ransomware?
Ein Backup ist wichtig, reicht aber nur dann, wenn die Wiederherstellung funktioniert, die Sicherungen geschützt sind und klar ist, wer im Ernstfall was tut.
Warum sind Fernzugriffe so kritisch?
Fernzugriffe sind von außen erreichbar und deshalb ein beliebter Angriffsweg. Sie brauchen MFA, klare Rechte, Protokollierung, regelmäßige Prüfung und saubere Abschaltung alter Zugänge.
Was sollte ein Unternehmen zuerst prüfen?
Die wichtigsten ersten Punkte sind getestete Backups, MFA, abgesicherte Fernzugriffe, Patch-Stand, Rechteverwaltung, Microsoft-365-Struktur, Dokumentation und ein klarer Notfallplan.