Was ist Ransomware? Ransomware beschreibt Schadsoftware, die Daten auf einem Computer oder in einem Netzwerk verschlüsselt und für die Entschlüsselung Lösegeld fordert. Ohne den passenden Entschlüsselungscode bleiben Dateien, Systeme und teilweise ganze Unternehmensprozesse blockiert. Die Angreifer versprechen gegen Zahlung einen Schlüssel zur Wiederherstellung. Eine Garantie dafür gibt es nicht. Für Unternehmen bedeutet ein erfolgreicher Angriff meist einen vollständigen Stillstand des Betriebs, bis die Systeme wiederhergestellt sind. Was bedeutet der Begriff „Ransomware"? Der Begriff setzt sich aus den englischen Wörtern „ransom" (Lösegeld) und „software" zusammen. Er beschreibt damit exakt das Funktionsprinzip: Software, die als Druckmittel für eine Lösegeldforderung eingesetzt wird. Im Deutschen wird der Begriff synonym auch als „Erpressungstrojaner" oder „Verschlüsselungstrojaner" verwendet. Fachlich korrekt ist die Bezeichnung Ransomware, da sie sowohl Verschlüsselungs- als auch reine Sperr-Varianten umfasst. Wie funktioniert ein Ransomware-Angriff? Ein Ransomware-Angriff durchläuft in der Regel vier Phasen: Erstzugang, laterale Bewegung im Netzwerk, Verschlüsselung und Lösegeldforderung. Angreifer benötigen meist Tage bis Wochen, bevor sie die eigentliche Verschlüsselung auslösen. In einigen Fällen findet mit der Daten Exfiltration eine weitere Phase statt. Sensible Daten werden vor dem Verschlüsseln ins Internet hochgeladen. Die Angreifer drohen, diese Daten zu veröffentlichen, um den Druck weiter zu erhöhen, und Unternehmen zur Zahlung des Lösegelds zu drängen. Im ersten Schritt verschaffen sich die Täter Zugang zum Netzwerk. Häufige Wege sind Phishing-Mails mit schädlichem Anhang, das Ausnutzen ungepatchter Software-Schwachstellen oder der Einsatz gestohlener Zugangsdaten. Nach dem Erstzugang bewegen sich Angreifer gezielt weiter durch das Netzwerk. Diese sogenannte laterale Bewegung dient dazu, höhere Berechtigungen zu erlangen und möglichst viele Systeme zu erreichen. Ziel ist es, Backups zu identifizieren und im besten Fall ebenfalls zu kompromittieren. Erst wenn die Täter ihre Position im Netzwerk gesichert haben, starten sie die Verschlüsselung. Dateien werden dabei so verändert, dass sie ohne kryptografischen Schlüssel unlesbar bleiben. Im Anschluss erhält das Opfer eine Lösegeldforderung, meist in Kryptowährung und mit einer Zahlungsfrist. Welche Arten von Ransomware gibt es? Fachlich lassen sich drei Hauptformen unterscheiden: Krypto-Ransomware Verschlüsselt gezielt Dateien wie Dokumente, Datenbanken oder Bilder. Das Betriebssystem selbst bleibt oft nutzbar, einzelne Dateien sind jedoch gesperrt. Locker-Ransomware Sperrt den kompletten Zugriff auf ein System, etwa durch einen blockierenden Sperrbildschirm. Einzelne Dateien werden dabei nicht verschlüsselt. Double Extortion (doppelte Erpressung) Kombiniert Verschlüsselung mit dem vorherigen Kopieren sensibler Daten. Zahlt das Opfer nicht, drohen die Täter mit der Veröffentlichung der gestohlenen Daten im Darknet. Bei 72 Prozent der vom BSI erfassten Fälle kam es zusätzlich zu einem Datenleck. Diese Form der doppelten Erpressung erhöht den Druck auf betroffene Unternehmen.Beispiel aus der Praxis: Ein mittelständisches Industrieunternehmen bemerkte an einem Montagmorgen verschlüsselte Laufwerke und eine Lösegeldforderung. Die Angreifer nutzten einen ungeschützten Remotezugang aus, der für einen Dienstleister vorgesehen war. IT Security Spezialisten konnten die weitere Ausbreitung der Ransomware verhindern und die vorhandenen Sicherheitslücken schließen. Glücklicherweise setzte das Unternehmen auf eine dezentrale Datensicherung, die nicht durch den Angreifer kompromittiert werden konnte. Deshalb wurden alle Daten erfolgreich wiederhergestellt. Es bleibt allerdings weiterhin unklar, ob es unsichtbare Schäden durch den Verlust und Weiterverkauf von internen Firmendaten gab. Wie gelangt Ransomware in Unternehmensnetzwerke? Der häufigste Einfallsweg bleibt die Phishing-Mail mit infiziertem Anhang oder Link. Mitarbeitende öffnen unbewusst eine präparierte Datei, die im Hintergrund Schadcode ausführt. Ein zweiter zentraler Weg sind ungepatchte Schwachstellen in Servern, Betriebssystemen oder Anwendungen. Bekannt gewordene Sicherheitslücken werden von Angreifern gezielt und häufig kurz nach ihrer Veröffentlichung ausgenutzt, solange Systeme nicht aktualisiert sind. Kompromittierte Zugangsdaten stellen den dritten wichtigen Zugangsweg dar. Diese stammen häufig aus früheren Datenlecks anderer Dienste oder aus gezieltem Diebstahl. Besonders exponiert ist dabei das Remote-Desktop-Protokoll (RDP), ein Standardverfahren für den Fernzugriff auf Windows-Systeme. Ist RDP ungeschützt aus dem Internet erreichbar, können Angreifer gestohlene oder erratene Zugangsdaten direkt zum Einloggen nutzen. Ransomware-Angriffe 2026: Aktuelle Zahlen zur Bedrohungslage Ransomware gehört zu den relevantesten Cyber-Bedrohungen für Unternehmen in Deutschland. Laut dem BSI-Lagebericht zur IT-Sicherheit in Deutschland (2025) registrierte das Bundesamt für Sicherheit in der Informationstechnik im Berichtszeitraum von Juli 2024 bis Juni 2025 insgesamt 950 Ransomware-Angriffe. Rund 80 Prozent dieser Angriffe richteten sich gegen kleine und mittlere Unternehmen. Kleinere Betriebe verfügen oft über weniger Ressourcen für IT-Sicherheit und sollten Ransomware deshalb nicht als reines Großkonzern-Risiko einstufen. Bei 72 Prozent der erfassten Fälle kam es zusätzlich zu einem Datenleck. Die Täter kombinierten damit die Verschlüsselung mit der Drohung, gestohlene Daten zu veröffentlichen. Die EU-weiten Zahlen der European Union Agency for Cybersecurity bestätigen dieses Bild. Der ENISA Threat Landscape 2025 analysierte im selben Berichtszeitraum, Juli 2024 bis Juni 2025, rund 4.875 Sicherheitsvorfälle in der gesamten EU. Ransomware machte laut ENISA (2025) rund 81 Prozent aller erfassten Cybercrime-Vorfälle aus und blieb damit die wirkungsvollste und finanziell schädlichste Bedrohung für Unternehmen. Die deutschen BSI-Zahlen fügen sich damit in einen klaren europäischen Trend: Ransomware bleibt branchen- und länderübergreifend die dominierende Angriffsform. Häufig gestellte Fragen zu Ransomware Was ist der Unterschied zwischen Malware und Ransomware? Malware ist der Oberbegriff für jede Art von Schadsoftware, etwa Viren, Trojaner, Spyware oder Würmer. Ransomware ist eine spezifische Unterkategorie von Malware, die sich durch das Ziel der Erpressung auszeichnet. Jede Ransomware ist damit Malware, aber nicht jede Malware ist Ransomware. Kann Ransomware auch Backups verschlüsseln? Ja, sofern Backups zum Zeitpunkt des Angriffs mit dem Netzwerk verbunden und für die Schadsoftware erreichbar sind. Angreifer suchen gezielt nach Backup-Systemen, um Wiederherstellungsmöglichkeiten des Opfers zu zerstören. Getrennt gelagerte, offline gehaltene Backups sind dagegen vor einer Verschlüsselung geschützt. Wie lange dauert ein Ransomware-Angriff? Die Verschlüsselung selbst läuft oft innerhalb von Minuten bis wenigen Stunden ab. Die vorbereitende Phase mit Erstzugang und lateraler Bewegung im Netzwerk zieht sich dagegen häufig über mehrere Tage bis Wochen hin, bevor die eigentliche Verschlüsselung ausgelöst wird. Wie schützen sich Unternehmen vor Ransomware? Wirksamer Schutz basiert auf technischer Erkennung, organisatorischen Prozessen und regelmäßig getesteten Backups. Welche konkreten Erkennungs- und Abwehrtechnologien dabei zum Einsatz kommen, beschreibt die Seite Ransomware-Schutz für Unternehmen im Detail. Wer bereits von einem Angriff betroffen ist oder wissen möchte, welche Sofortmaßnahmen im Ernstfall greifen, findet die vollständige Handlungsanleitung im Artikel Ransomware-Angriff: Was tun? Sofortmaßnahmen und Prävention im Überblick. < Zurück zur Übersicht
Krypto-Ransomware Verschlüsselt gezielt Dateien wie Dokumente, Datenbanken oder Bilder. Das Betriebssystem selbst bleibt oft nutzbar, einzelne Dateien sind jedoch gesperrt.
Locker-Ransomware Sperrt den kompletten Zugriff auf ein System, etwa durch einen blockierenden Sperrbildschirm. Einzelne Dateien werden dabei nicht verschlüsselt.
Double Extortion (doppelte Erpressung) Kombiniert Verschlüsselung mit dem vorherigen Kopieren sensibler Daten. Zahlt das Opfer nicht, drohen die Täter mit der Veröffentlichung der gestohlenen Daten im Darknet.