Tatort Netzwerk Ransomware-Krisen erfolgreich bewältigen

Ransomware-Attacken gehören nach wie vor zu den größten Bedrohungen aus dem Cyberraum: Das Bundeskriminalamt (BKA) registrierte zehn Prozent mehr Anzeigen in 2025. Auch in Zukunft dürfte sich die Lage nicht entspannen, sagt Axel Wochinger, Geschäftsführer des BVSW-Mitgliedsunternehmens Result Group: „Jedes Unternehmen, das IT einsetzt, stellt mittlerweile ein potenzielles Angriffsziel dar - vom Handwerksbetrieb bis hin zum DAX-Konzern“, so der Sicherheitsexperte.

Für eine weitere Verschärfung der Lage sorgt die Künstliche Intelligenz. Sie erschließt den Tätern neue Angriffsvektoren, vereinfacht das Auffinden von Sicherheitslücken und bietet die Möglichkeit, Attacken automatisiert durchzuführen. Zwar rüsten die Unternehmen in Sachen IT-Sicherheit auf, doch die Situation bleibt ein permanenter Wettlauf um Überlegenheit.
 

Die ersten 24 Stunden zählen

Einen maßgeblichen Einfluss auf den Verlauf einer Ransomware-Krise haben die Entscheidungen, die innerhalb der ersten 24 Stunden nach einem Angriff getroffen werden. Eine zentrale technische Erstmaßnahme ist die Trennung der IT-Infrastruktur vom Internet. Angreifer können sich dadurch nicht weiter in den Systemen fortbewegen und eventuell jene Bereiche übernehmen, die bislang noch nicht betroffen sind. Darüber hinaus sind Meldepflichten einzuhalten, und zwar gegenüber einer möglichen Cyberversicherung sowie gegenüber Datenschutzbehörden. Für Unternehmen, die der NIS2-Richtlinie unterliegen, gelten kürzere Meldefristen. Und nicht zuletzt ist Anzeige bei der örtlich zuständigen Polizeibehörde zu erstatten, denn eine Ransomware-Attacke ist eine Straftat.

Zeitgleich zu diesen ersten Maßnahmen sollte der Krisenstab zusammentreten, um den Schaden zu beurteilen und weitere Schritte zu koordinieren. Üblicherweise besteht ein funktionierender Krisenstab aus Vertretern der Abteilungen Recht, Forensik, Kommunikation und Compliance sowie dem IT-Leiter. Externe Spezialisten und Berater können den Krisenstab ergänzen, wenn ein Unternehmen nicht alle Disziplinen im Haus hat. Bei produzierenden Unternehmen gehört auch ein Vertreter der Fertigungsabteilung dazu. Er kann am besten einschätzen, wie die Arbeit wieder aufgenommen werden kann. Falls Mitarbeiterdaten von der Attacke betroffen sind, ist auch der Betriebsrat einzubeziehen. Das Gremium sollte insgesamt jedoch klein und schlagkräftig bleiben. Die Leitung des Krisenstabs übernimmt idealerweise eine erfahrene und durchsetzungsstarke Führungspersönlichkeit, jedoch nicht der Geschäftsführer selbst. Angesichts der vielen Herausforderungen, die die Geschäftsleitung in einer solchen Krise zu meistern hat, könnte es sonst schnell zu einer Überlastung kommen.

Auch der Umgang mit der sogenannten Ransom-Note ist entscheidend. Sie taucht meist über verschiedene Kanäle im Unternehmen auf und gibt Hinweise auf die Tätergruppe und deren Forderungen. Betroffene sollten die Nachricht weder öffnen noch eine Kommunikation mit den Tätern starten – das ist Aufgabe von Spezialisten. In den ersten Stunden gilt es vor allem, die Kontrolle zurückzugewinnen und Struktur in das Geschehen zu bringen.
 

Schweigen, verhandeln oder zahlen?

Wann eine Kommunikation mit den Erpressern sinnvoll ist, hängt von zwei Leitfragen ab: Welche Daten sind abgeflossen und lassen sie sich anderweitig wiederherstellen? Handelt es sich um unkritische Daten und sind intakte Backups vorhanden, dann können Betroffene auf eine Kommunikation verzichten. Anders sieht die Situation bei kritischen Systemen und hochsensiblen Daten aus: In einem solchen Fall kann eine Kontaktaufnahme durchaus sinnvoll sein, jedoch nicht um direkt zu zahlen, sondern um Zeit zu gewinnen und Informationen über die Täter zu sammeln. Fingerspitzengefühl und viel Erfahrung sind dabei Voraussetzungen für erfolgversprechende Verhandlungen. Ein zu forsches Auftreten kann die gesamte Vereinbarung gefährden. „Hinter Ransomware-Attacken stehen meist hochprofessionelle Tätergruppen. Umso wichtiger ist es, ebenso professionell in der Kommunikation zu agieren“, sagt Wochinger.

Sollte es zu einer Vereinbarung kommen, so ist der Geschädigte die Täter in der Regel los. Eine Garantie dafür gibt es natürlich nicht. Nach Wochingers Erfahrungen jedoch hat noch keine Tätergruppe eine getroffene Vereinbarung gebrochen, da sie mit einer solchen Unzuverlässigkeit ihr Geschäftsmodell gefährden würde. Behörden raten grundsätzlich von einer Bezahlung ab, doch sie sind sich bewusst, dass Unternehmen wirtschaftlich überleben müssen und daher in dieser Zwangslage manchmal keinen anderen Ausweg haben. Allerdings gaben im Bundeslagebild Cybercrime des BKA nur sieben Prozent der Geschädigten an, Lösegeld überwiesen zu haben. Damit sank die Zahlungsbereitschaft im Jahr 2025 im Vergleich zum Vorjahr.
 

Rechtliche Risiken und wirtschaftliche Konsequenzen

Allen Unternehmen ist mittlerweile bewusst, dass jeder zum Opfer einer Ransomware-Attacke werden kann. Wer eine solche Krise professionell managt, muss keinen dauerhaften Reputationsschaden befürchten, es sei denn, grobe Fahrlässigkeit hat die Krise erst ermöglicht, oder das Krisenmanagement war dilettantisch. Deutlich größer sind die rechtlichen Risiken. Hat die Geschäftsführung nachweislich die IT-Sicherheit vernachlässigt, droht eine persönliche Haftung. Kunden mit hohen Datenschutzanforderungen können Verträge kündigen oder rechtliche Schritte einleiten. Sobald Datenschutzbehörden grobe Fahrlässigkeit im Umgang mit personenbezogenen Daten feststellen, sind empfindliche Bußgelder möglich.
Bei einem unprofessionellen Krisenmanagement können auch die wirtschaftlichen Folgen weitreichend sein. Besonders gefährdet sind Unternehmen, die bereits vor dem Angriff unter wirtschaftlichem Druck standen: Ihnen fehlt schlicht der finanzielle Puffer, um eine längere Betriebsunterbrechung zu überstehen. Das gilt insbesondere, wenn keine Cyberversicherung vorhanden ist, die den finanziellen Schaden zumindest teilweise reguliert.
 

Prävention sichert Handlungsfähigkeit

Die passenden Schutzmaßnahmen können viel dazu beitragen, dass Unternehmen eine Ransomware-Krise gut überstehen oder erst gar nicht zum Opfer zu werden. Häufig kommt Schadsoftware über Phishing-Mails, Social Engineering oder manipulierte Anhänge ins Haus. Regelmäßige Schulungen und eine Sensibilisierung der Mitarbeitenden für die aktuellen Angriffsvektoren sind daher besonders wichtig. In jedem Unternehmen sollten zudem eine Reihe an technischen Mindestanforderungen umgesetzt werden. Zwei-Faktor-Authentifizierung, restriktive Rechtevergabe, starke Passwörter, Netzwerksegmentierung und zuverlässige, regelmäßig getestete Backups gehören dazu.

Cybercrime ist allerdings ein hochdynamisches Bedrohungsfeld. Sicherheit erfordert daher einen kontinuierlichen Prozess, einmalige Investitionen genügen nicht. Sollte ein Unternehmen trotz aller Vorsorgemaßnahmen Opfer einer Ransomware-Attacke werden, muss es in der Krise handlungssicher sein. Regelmäßige Übungen zur Krisenbewältigung durchzuführen ist eine hilfreiche Vorbereitung. Je nach Unternehmensgröße kann ein kleiner Workshop oder eine große Krisenübung passend sein. Fest steht: Jede Übung ist besser als der unvorbereitete Start in eine Ransomware-Krise.

www.bvsw.de