Schutz vor Ransomware
Ransomware-Schutz für kleine Betriebe: die Top-10-Maßnahmen des BSI verständlich erklärt, von Updates und Fernzugängen bis zu Offline-Backups und Notfallplan.
Ransomware-Schutz bedeutet, Ihren Betrieb so aufzustellen, dass Erpressungssoftware möglichst nicht eindringt und, falls doch, keinen bleibenden Schaden anrichtet. Ransomware verschlüsselt Ihre Daten und verlangt Lösegeld; oft werden vorher auch Daten gestohlen und mit Veröffentlichung gedroht.
Warum kleine Betriebe betroffen sind
Viele Angriffe laufen automatisiert. Gesucht wird nicht nach großen Namen, sondern nach offenen Türen: ein ungepatchter Fernzugang, ein Postfach ohne zweiten Faktor, ein Mitarbeiter, der einen Anhang öffnet. Kleine Betriebe sind dabei genauso Ziel wie große, haben aber oft weniger Reserven, um einen wochenlangen Ausfall zu überstehen.
Die fünf wichtigsten Maßnahmen
- Updates zeitnah einspielen, besonders bei Geräten mit Internetzugang.
- Fernzugänge und E-Mail mit einem zweiten Faktor absichern.
- Im Alltag ohne Administratorrechte arbeiten.
- Eine Datensicherung haben, die ein Angreifer im Netz nicht erreichen kann, und die Wiederherstellung testen.
- Einen Notfallplan mit Telefonnummern auf Papier bereithalten.
Diese Punkte decken sich mit den Top-10-Maßnahmen, die das BSI aus seiner Fallbearbeitung ableitet.
Der nächste Schritt
Gehen Sie die Liste mit Ihrer IT durch und lassen Sie sich jeden Punkt zeigen, nicht nur bestätigen. Was in einem Ernstfall konkret zu tun ist, beschreibt der Artikel zum Ransomware-Angriff.
Wie Ransomware-Angriffe ablaufen
Moderne Ransomware-Angriffe sind meist mehrstufig. Zuerst verschaffen sich Angreifer Zugang, häufig über Phishing-Mails mit schädlichen Anhängen oder Links, über kompromittierte Zugangsdaten zu Fernzugängen oder über ungepatchte Schwachstellen in Systemen mit Internetzugang. Danach erweitern sie ihre Rechte, erkunden das Netz, stehlen Daten und suchen nach Backups. Erst am Ende wird verschlüsselt, oft nachts oder am Wochenende. Viele Gruppen drohen zusätzlich mit der Veröffentlichung gestohlener Daten.
Für den Schutz heißt das: Jede Stufe bietet eine Chance, den Angriff zu stoppen oder seine Wirkung zu begrenzen.
Ransomware-Schutz nach den Top-10-Maßnahmen des BSI
Das BSI hat aus seiner Fallbearbeitung zehn Maßnahmen abgeleitet, die hier für kleine Betriebe eingeordnet werden.
1. Patches und Updates
Updates zeitnah einspielen, idealerweise zentral. Vorrang haben kritische Lücken und stark exponierte Systeme wie Firewalls, VPN-Gateways und Webserver.
2. Fernzugänge
Externe Zugriffe nur über VPN mit Zwei-Faktor-Authentisierung. Direkt aus dem Internet erreichbare Remote-Desktop-Dienste sind ein bekanntes Einfallstor und sollten nicht existieren.
3. E-Mails und Makros
E-Mails möglichst als reinen Text anzeigen und aktive Inhalte unterbinden, Makros restriktiv konfigurieren und Beschäftigte im Umgang mit E-Mails schulen. In der DIN SPEC 27076 ist das standardmäßige Deaktivieren von Makros eine TOP-Anforderung.
4. Ausführen von Programmen
Unerwünschte Software am Start hindern, etwa durch Application Whitelisting oder mindestens dadurch, dass Programme nur aus Verzeichnissen starten dürfen, in die Benutzer nicht schreiben können.
5. Virenschutz
Neue Ransomware-Varianten werden oft nicht über lokale Signaturen erkannt. Das BSI empfiehlt deshalb, Verhaltens- und Cloud-Funktionen der Schutzsoftware zu aktivieren.
6. Administratorkonten
Privilegierte Konten ausschließlich für Administrationsaufgaben nutzen, nicht für E-Mail oder Internet, und mit zweitem Faktor schützen.
7. Netzsegmentierung
Ein sauber getrenntes Netz begrenzt, wie weit sich Schadsoftware ausbreitet. Schon die Trennung von Servern, Arbeitsplätzen, Gästen und Geräten wie Druckern oder Kameras hilft.
8. Backups, Datensicherungskonzept und zentrale Datenhaltung
Offline-Backups, die nach der Sicherung vom Netz getrennt werden, sind laut BSI die wichtigste präventive Maßnahme. Wiederanlaufpläne sollten praktisch getestet werden. Zentrale Ablage mit Rechten nach dem Need-to-know-Prinzip erschwert die flächendeckende Verschlüsselung.
9. Härtung des Active Directory
Angreifer zielen häufig auf den zentralen Anmeldedienst. Das BSI verweist für die Härtung auf den IT-Grundschutz-Baustein APP.2.2. Kleine Betriebe ohne eigene Domäne sollten das Gleiche für ihren Cloud-Verzeichnisdienst bedenken.
10. Notfallplan
Für den schlimmsten Fall, dass alle Systeme verschlüsselt sind, braucht es einen Notfallplan mit regelmäßigen Übungen, eine Liste kritischer Systeme, alternative Kommunikationswege und eine Offline-Liste wichtiger Kontakte.
Priorisierung für kleine Betriebe
Nicht alles lässt sich auf einmal umsetzen. Eine praxistaugliche Reihenfolge:
- Sofort: Offline- oder unveränderbares Backup, zweiter Faktor für Fernzugänge, E-Mail und Administration, aus dem Internet erreichbare Dienste prüfen und schließen.
- In den nächsten Wochen: Update-Prozess für alle Systeme, getrennte Administrationskonten, Makros blockieren, Schutzsoftware mit Verhaltenserkennung.
- Mittelfristig: Netzsegmentierung, Einschränkung ausführbarer Programme, Notfallplan mit Übung.
Daten-Diebstahl mitdenken
Gegen die Drohung, gestohlene Daten zu veröffentlichen, hilft kein Backup. Hier wirken Maßnahmen, die den Zugriff begrenzen: Berechtigungen nach Bedarf, Verschlüsselung besonders sensibler Daten, Überwachung ungewöhnlich großer Datenabflüsse und das Löschen von Daten, die nicht mehr gebraucht werden.
Erkennen, bevor verschlüsselt wird
Zwischen Eindringen und Verschlüsselung vergeht oft Zeit. Warnzeichen sind zum Beispiel neue Administratorkonten, abgeschaltete Schutzsoftware, gelöschte Schattenkopien, ungewöhnliche Anmeldungen außerhalb der Arbeitszeit oder unbekannte Fernwartungsprogramme. Wer Meldungen der Schutzsoftware und der Cloud-Dienste tatsächlich liest, hat eine Chance, rechtzeitig einzugreifen.
Mitarbeitende einbinden
Viele Angriffe beginnen mit einer E-Mail. Kurze, regelmäßige Hinweise zu aktuellen Maschen wirken besser als eine jährliche Pflichtschulung. Mindestens ebenso wichtig ist eine Kultur, in der ein Klick auf einen verdächtigen Link sofort gemeldet wird. Wer Angst vor Ärger hat, schweigt, und der Angreifer gewinnt Zeit. Legen Sie fest, wen man anruft, und hängen Sie die Nummer sichtbar aus.
Prüffragen an Ihren IT-Dienstleister
- Welche unserer Systeme sind aus dem Internet erreichbar, und wie sind sie geschützt?
- Wie schnell werden kritische Updates für Firewall, VPN und Server eingespielt?
- Welche Sicherung kann ein Angreifer mit Administratorrechten in unserem Netz nicht löschen?
- Wann wurde zuletzt ein ganzer Server aus der Sicherung wiederhergestellt, und wie lange hat es gedauert?
- Wer bemerkt nachts oder am Wochenende, wenn die Schutzsoftware Alarm schlägt?
- Welche Ihrer eigenen Zugänge zu unseren Systemen sind mit zweitem Faktor geschützt?
Die Antworten zeigen schnell, wo der Schutz noch Lücken hat.
Lösegeld
Das BSI rät grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung gestohlener Daten und finanziert weitere Angriffe. Umso wichtiger ist, dass der Betrieb mit eigenen Mitteln wieder arbeitsfähig wird.
Häufige Fragen
Wie schütze ich mein Unternehmen vor Ransomware?
Die wirksamsten Maßnahmen sind zeitnahe Updates, ein zweiter Faktor für Fernzugänge und E-Mail, getrennte Administrationskonten, gesperrte Makros und ein Backup, das Angreifer im Netz nicht erreichen können, mit getesteter Wiederherstellung.
Hilft ein Virenscanner gegen Ransomware?
Er ist ein wichtiger Baustein, reicht aber allein nicht. Neue Varianten werden oft nicht sofort erkannt. Das BSI empfiehlt, die Verhaltens- und Cloud-Funktionen der Schutzsoftware zu aktivieren und weitere Maßnahmen zu kombinieren.
Sollte man bei Ransomware Lösegeld zahlen?
Das BSI rät grundsätzlich davon ab. Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung gestohlener Daten. Ein funktionierendes Offline-Backup ist der beste Weg zurück.