Ransomware-Schutz: 7 Maßnahmen, die wirklich funktionieren

Ransomware ist nicht mehr nur ein Thema für große Konzerne. Kleine und mittlere Unternehmen sind heute das Ziel Nummer 1, da sie genug Geld für Lösegelder haben, aber zu wenig interne IT-Ressourcen. Dieser Artikel stellt 7 konkrete Maßnahmen zum Ransomware-Schutz vor, die die überwiegende Mehrheit der Angriffe stoppen – ganz ohne Marketing-Blabla.

1. MFA für ALLE, nicht nur für Administratoren

Die meisten erfolgreichen Angriffe beginnen mit dem Diebstahl von Benutzerpasswörtern (Phishing, Passwort-Wiederverwendung). Die Multifaktor-Authentifizierung (MFA) stoppt 99% dieser Angriffe. Die Basishygiene lautet: MFA für Microsoft 365, VPN, RDP, Administrator-Zugänge – ohne Ausnahmen.

2. Backup nach der 3-2-1-Regel (und geprüfte Wiederherstellung)

Backup 3-2-1 bedeutet: 3 Kopien der Daten, auf 2 verschiedenen Medien, 1 Kopie extern (Offsite). Für Ransomware sind zwei zusätzliche Anforderungen entscheidend:

• Unveränderliches Backup (Immutable): Eine Kopie, die ein Angreifer (selbst als Administrator) nicht löschen oder verschlüsseln kann.
• Regelmäßige Wiederherstellungstests: Mindestens einmal im Monat prüfen wir, ob die Wiederherstellung tatsächlich funktioniert. Ein Backup, das Sie noch nie wiederhergestellt haben, existiert nicht.

3. Netzsegmentierung mit VLANs und Firewall

Ein flaches Netzwerk (alle im selben Subnetz) bedeutet, dass Ransomware innerhalb von Stunden alles infiziert. Die Segmentierung nach VLANs (Benutzer, Server, Gäste, IoT, Kameras) begrenzt den Schaden drastisch. Für KMU ist dies ohne riesige Investitionen machbar.

4. EDR anstelle von klassischem Antivirus

Ein klassischer Antivirus sucht nach bekannten Signaturen. Moderne Ransomware umgeht diese in Stunden. EDR (Endpoint Detection & Response) – z. B. Microsoft Defender for Business, SentinelOne, CrowdStrike – beobachtet das Prozessverhalten und stoppt die Verschlüsselung bereits nach den ersten Dateien.

5. Regelmäßiges Patching von Systemen

Kritische Schwachstellen (Exchange, VPN-Geräte, Hypervisoren) sind das häufigste Einfallstor. Wir etablieren einen Patch-Zyklus:

1. Kritische Schwachstellen (CVSS 9+): innerhalb von 72 Stunden.
2. Sonstige Updates: innerhalb von 2 Wochen.
3. Firmware der Netzwerkgeräte: quartalsweise.

6. Einschränkung von Administratorrechten

Das Prinzip der geringsten Berechtigungen (Least Privilege): Niemand arbeitet im Alltag als Administrator. Für administrative Aufgaben verwenden wir ein separates Konto (und einen speziellen PC/PAW). Sobald ein Administrator-Gerät infiziert ist, ist es vorbei.

7. Erstellung eines Reaktionsplans (und Übung)

Alle Prävention der Welt senkt das Risiko nicht auf Null. Deshalb erstellen wir einen schriftlichen Plan: Wer informiert wen, wie isolieren wir infizierte Systeme, wer ist der Rechts-/PR-Kontakt, wann informieren wir den Datenschutzbeauftragten. Die Übung führen wir mindestens einmal jährlich durch.

Wir prüfen Ihre Ransomware-BereitschaftWir führen eine schnelle Zustandsbewertung durch und erstellen innerhalb von 2 Wochen einen Härtungsplan.

Sollen wir Lösegeld zahlen, wenn es passiert?

Die Empfehlung europäischer Sicherheitsbehörden (ENISA) und von SI-CERT lautet: NEIN. Die Zahlung garantiert keine Wiederherstellung, finanziert neue Angriffe und markiert Sie als 'bereites Ziel' für das nächste Mal.

Wie oft sollte die Wiederherstellung aus dem Backup getestet werden?

Minimal einmal monatlich eine Teilwiederherstellung (einige Dateien/VMs), mindestens einmal jährlich eine volle Wiederherstellungsübung eines Kernsystems (z. B. ERP).

Decken Versicherungen den Schaden ab?

Cyber-Versicherungen gibt es, aber Versicherer fordern Nachweise über grundlegende Sicherheitsmaßnahmen (MFA, Backup, EDR). Ohne diese zahlt die Police nicht aus.

Wie viel kostet die Implementierung aller 7 Maßnahmen?

Für ein KMU mit 20–50 Mitarbeitern ist ein Budget von 3.000–8.000 EUR für den ersten Schlag sinnvoll, danach jährliche Betriebskosten (EDR-Lizenzen, Backup) von etwa 1.500–3.000 EUR. Deutlich weniger als ein einzelner Ransomware-Vorfall.