Aktualisiert: August 2026
Inhalt
950 Ransomware-Anzeigen registrierte das BSI im Berichtszeitraum Juli 2024 bis Juni 2025 – rund 80 Prozent der betroffenen Organisationen waren kleine und mittlere Unternehmen. Wer erst während eines laufenden Angriffs anfängt zu überlegen, was jetzt zu tun ist, hat bereits verloren. Dieser Artikel ist der Notfallplan, den Sie vorher lesen sollten.
Was ist ein Ransomware-Angriff?
Ransomware ist Schadsoftware, die Dateien auf Servern, Arbeitsplätzen und Netzlaufwerken verschlüsselt und für die Entschlüsselung Lösegeld fordert – meist in Kryptowährung. Der Zugang erfolgt häufig über Phishing-Mails, ungepatchte Schwachstellen oder kompromittierte Fernzugänge (RDP, VPN). Laut BSI-Lagebericht 2025 ging bei 72 Prozent der gemeldeten Fälle zusätzlich ein Datenleak einher: Die Angreifer kopieren Daten vor der Verschlüsselung ab und drohen mit Veröffentlichung, um den Druck zur Zahlung zu erhöhen („Double Extortion“).
Sofortmaßnahmen: Die ersten 60 Minuten
Sobald der Verdacht auf einen aktiven Ransomware-Befall besteht, zählt jede Minute. Die Reihenfolge ist entscheidend:
- Netzwerk trennen. Betroffene Systeme sofort vom Netzwerk isolieren (LAN-Kabel ziehen, WLAN deaktivieren) – nicht herunterfahren, das kann forensische Spuren zerstören.
- Beweise sichern. Screenshots der Lösegeldforderung, betroffene Systeme dokumentieren, Logs nicht überschreiben lassen.
- Krisenstab aktivieren. Verantwortliche informieren, IT-Notfallplan (falls vorhanden) auslösen, externen IT-Dienstleister oder Incident-Response-Partner einschalten.
- Strafanzeige erstatten. Bei der örtlichen Polizei bzw. der Zentralen Ansprechstelle Cybercrime (ZAC) des jeweiligen Bundeslandes.
- Meldepflichten prüfen. Betroffene Unternehmen im Anwendungsbereich von NIS2 müssen den Vorfall fristgerecht melden (siehe nächster Abschnitt).
Ohne dokumentierten Notfallplan verliert der Krisenstab in genau dieser Phase wertvolle Zeit mit Abstimmungsfragen, die vorher hätten geklärt sein müssen: Wer entscheidet? Wer informiert Kunden? Wer schaltet den Rechtsbeistand ein?
Meldepflicht nach NIS2
Für wichtige und besonders wichtige Einrichtungen im Anwendungsbereich der NIS2-Richtlinie gilt eine gestufte Meldepflicht nach § 32 BSIG-neu:
- Innerhalb von 24 Stunden: Frühwarnung an das BSI (erste Einschätzung, ob rechtswidrige Handlung vorliegt)
- Innerhalb von 72 Stunden: Aktualisierte Meldung mit erster Bewertung des Vorfalls
- Innerhalb eines Monats: Abschlussbericht mit Detailanalyse und Gegenmaßnahmen
Diese Fristen laufen unabhängig davon, ob das Unternehmen sich noch in der akuten Krisenbewältigung befindet. Ein vorbereiteter Notfallplan sollte deshalb bereits festlegen, wer diese Meldungen verantwortet.
Sollte man Lösegeld zahlen?
BSI und BKA raten übereinstimmend von einer Zahlung ab. Die Gründe: Eine Zahlung finanziert die Angreifer-Infrastruktur, es gibt keine Garantie für eine funktionierende Entschlüsselung, und Unternehmen, die einmal gezahlt haben, geraten überproportional häufig erneut ins Visier derselben oder verwandter Gruppen. Stattdessen empfiehlt sich der Weg über getestete, vom Netz getrennte Backups – und genau hier zeigt sich, warum Business Continuity & Disaster Recovery mehr ist als ein einfaches Backup: Wiederherstellung muss im Ernstfall tatsächlich funktionieren, nicht nur auf dem Papier.
Wie schützt sich ein KMU wirksam?
Die wichtigsten präventiven Maßnahmen, die sich in der Praxis bewähren:
- Getestete Backups nach der 3-2-1-Regel – mindestens eine Kopie offline oder unveränderlich gespeichert, damit Ransomware sie nicht mitverschlüsseln kann
- Endpoint Detection & Response (EDR/MDR) mit 24/7-Überwachung, um Angriffe frühzeitig zu erkennen statt erst bei der Verschlüsselung
- Mitarbeiterschulungen gegen Phishing – nach wie vor der häufigste Einfallsvektor
- Netzwerksegmentierung, damit sich ein Befall nicht ungehindert über das gesamte Netz ausbreitet
- Regelmäßige Pentests, um Schwachstellen zu finden, bevor Angreifer sie finden
Mehr zu Erkennung und Abwehr auf Endpoint-Ebene: EDR, MDR & SIEM Heidelberg. Zur technischen Überprüfung der eigenen Angriffsfläche: Automatisiertes Pentesting als Managed Service.
Was gehört in einen IT-Notfallplan?
Ein belastbarer IT-Notfallplan beantwortet vor dem Ernstfall – nicht währenddessen – mindestens diese Fragen:
- Wer ist im Krisenstab, und wer vertritt wen bei Abwesenheit?
- Welche Systeme haben welche Priorität bei der Wiederherstellung (RTO/RPO)?
- Wo liegen die Backups, und wann wurden sie zuletzt erfolgreich getestet?
- Wer informiert Kunden, Partner und ggf. Aufsichtsbehörden – und mit welchem Wortlaut?
- Welche externen Ansprechpartner (IT-Dienstleister, Rechtsbeistand, Cyber-Versicherung) sind wie erreichbar?
Details zu Wiederherstellungszeiten und Backup-Konzeption: Backup & Disaster Recovery Heidelberg.
Häufig gestellte Fragen
Was ist ein Ransomware-Angriff und wie funktioniert er?
Ransomware verschlüsselt Dateien auf Servern und Arbeitsplätzen und fordert Lösegeld für die Entschlüsselung. Der Zugang erfolgt meist über Phishing-Mails oder ungepatchte Schwachstellen. Laut BSI-Lagebericht 2025 ging bei 72 Prozent der gemeldeten Fälle zusätzlich ein Datenleak einher – Angreifer kopieren Daten vor der Verschlüsselung und drohen mit Veröffentlichung.
Was sollte ein KMU sofort tun, wenn es von Ransomware betroffen ist?
Betroffene Systeme sofort vom Netzwerk trennen (nicht herunterfahren), Beweise wie Screenshots der Lösegeldforderung sichern, den Krisenstab aktivieren, Strafanzeige bei der Polizei bzw. der Zentralen Ansprechstelle Cybercrime erstatten und – falls im NIS2-Anwendungsbereich – die Meldefristen an das BSI einhalten.
Wie stark sind KMU in Deutschland von Ransomware betroffen?
Das BSI registrierte im Berichtszeitraum Juli 2024 bis Juni 2025 insgesamt 950 Ransomware-Anzeigen. Rund 80 Prozent der betroffenen Organisationen waren kleine und mittlere Unternehmen – deutlich häufiger als Großunternehmen, da KMU seltener über eigene IT-Sicherheitsabteilungen verfügen.
Sollte man Lösegeld bei einem Ransomware-Angriff zahlen?
BSI und BKA raten von einer Zahlung ab. Sie finanziert die Angreifer-Infrastruktur, garantiert keine funktionierende Entschlüsselung und macht das Unternehmen häufig zum wiederholten Ziel. Der empfohlene Weg ist die Wiederherstellung aus getesteten, vom Netz getrennten Backups.
Welche Meldepflichten gelten nach NIS2 bei einem Ransomware-Vorfall?
Wichtige und besonders wichtige Einrichtungen im NIS2-Anwendungsbereich müssen nach § 32 BSIG-neu binnen 24 Stunden eine Frühwarnung, binnen 72 Stunden eine aktualisierte Meldung und binnen eines Monats einen Abschlussbericht an das BSI übermitteln.
Wie kann ich mein Unternehmen vor Ransomware schützen?
Zentrale Maßnahmen sind getestete Offline-Backups nach der 3-2-1-Regel, Endpoint Detection & Response (EDR/MDR) mit 24/7-Überwachung, regelmäßige Mitarbeiterschulungen gegen Phishing, Netzwerksegmentierung und ein dokumentierter, geübter IT-Notfallplan.
Was kostet ein IT-Notfallplan für ein KMU?
Der Aufwand hängt von Unternehmensgröße, Systemlandschaft und bestehender IT-Reife ab. Entscheidend ist weniger der Preis als die Frage, ob der Plan im Ernstfall tatsächlich funktioniert – ungetestete Pläne und ungetestete Backups sind der häufigste Grund, warum Unternehmen nach einem Angriff länger stillstehen als nötig.
Notfallplan noch nicht getestet – oder gar nicht vorhanden?
Wir prüfen mit Ihnen, ob Ihr Backup im Ernstfall wirklich funktioniert, und bauen bei Bedarf einen belastbaren IT-Notfallplan für Ihr Unternehmen auf.
