Ransomware-Angriff im Unternehmen: Was jetzt zu tun ist

Der erste Mitarbeiter meldet sich um halb acht. Seine Dateien haben merkwürdige Endungen, nichts lässt sich öffnen. Zehn Minuten später geht es drei Kollegen genauso. Auf dem Server liegt eine Textdatei mit einer Nachricht: Ihre Daten sind verschlüsselt, und wer sie zurückhaben will, soll zahlen.

Ein Ransomware-Angriff ist der Albtraum jedes Unternehmers, und er ist keine Seltenheit. Eine laufend gepflegte Chronik öffentlich gewordener Fälle zählt allein von Januar bis Mitte Oktober 2026 rund 290 Ransomware-Vorfälle bei Unternehmen und Einrichtungen in Deutschland. Erfasst sind dabei nur die Fälle, die Täter auf ihren eigenen Veröffentlichungsseiten nennen. Die tatsächliche Zahl liegt deutlich höher. Am häufigsten betroffen waren Industrie und Maschinenbau, Bau und Gebäudetechnik sowie der Handel, also klassischer Mittelstand.

Dieser Beitrag zeigt Ihnen, was bei einem Ransomware-Angriff in den ersten Stunden zählt, warum die Frage nach dem Lösegeld komplizierter ist, als sie klingt, und was eine Cyberversicherung in dieser Lage leistet.

Wie läuft ein Ransomware-Angriff heute ab?

Die Verschlüsselung ist meist nur der letzte, sichtbare Schritt. Davor haben sich die Täter Zugang verschafft, häufig über eine Phishing-Mail, gestohlene Zugangsdaten oder eine nicht geschlossene Sicherheitslücke. Dann bewegen sie sich oft über längere Zeit unbemerkt durchs Netzwerk, verschaffen sich weitergehende Rechte und suchen gezielt nach den Datensicherungen, um auch diese unbrauchbar zu machen.

Hinzu kommt eine zweite Erpressungsebene. Viele Tätergruppen kopieren vor der Verschlüsselung Daten ab und drohen damit, sie zu veröffentlichen. Selbst wer seine Systeme aus einem Backup wiederherstellen kann, steht dann vor der Frage, was mit Kundendaten, Personalakten und Verträgen passiert, die bereits abgeflossen sind.

Bemerkenswert ist, wie arbeitsteilig dieser Markt organisiert ist. In der Fachschulung, an der wir im Oktober teilgenommen haben, zeigte ein IT-Sicherheitsexperte, wie Erpressungssoftware im Netz als Dienstleistung angeboten wird. Die Entwickler stellen die Software bereit und erhalten im Gegenzug einen Anteil am erpressten Geld. Wer angreift, braucht dafür kaum noch eigenes technisches Wissen.

Was ist in den ersten Stunden zu tun?

Die wichtigste Regel lautet: nicht in Panik eigenmächtig handeln. Trennen Sie betroffene Rechner vom Netzwerk, indem Sie Netzwerkkabel ziehen oder WLAN deaktivieren, schalten Sie sie aber nicht einfach aus. Im Arbeitsspeicher können Spuren liegen, die IT-Forensiker später brauchen.

Wer eine Cyberversicherung hat, ruft als Nächstes deren Notfall-Hotline an. Die Krisendienstleister dahinter haben solche Fälle unzählige Male begleitet. Sie wissen, welche Systeme zuerst gesichert werden müssen, wie man herausfindet, ob die Täter noch im Netz sind, und in welcher Reihenfolge der Betrieb wieder anlaufen sollte. Bei vielen Tarifen beginnt diese Hilfe als Soforthilfe, noch bevor geklärt ist, ob ein versicherter Fall vorliegt.

Parallel läuft eine Frist, die viele unterschätzen. Sind personenbezogene Daten betroffen, muss die Verletzung in der Regel innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde gemeldet werden. Auch hier unterstützen die Experten aus dem Netzwerk der Cyberversicherung, oft mit spezialisierten Fachanwälten. Wie Sie diese Schritte schon vorher in einem Plan festhalten, beschreiben wir im Beitrag Notfallplan Cyberangriff.

Ob Ihr Unternehmen für diesen Moment vorbereitet ist, lässt sich in einem Gespräch schnell klären. Vereinbaren Sie hier einen kostenlosen Beratungstermin.

Sollte man das Lösegeld zahlen?

Die Frage stellt sich in jedem Fall, und die ehrliche Antwort lautet: fast nie. Die Schadenspezialisten aus der Fachschulung nannten dafür zwei Gründe. Zum einen sind die Daten nach einer Entschlüsselung durch die Täter häufig nur eingeschränkt nutzbar. Zum anderen finanziert jede Zahlung das Geschäftsmodell und damit die nächste Angriffswelle.

Trotzdem gibt es Ausnahmefälle, in denen ein Unternehmen ohne die Daten nicht weiterarbeiten kann und keine andere Wiederherstellung möglich ist. Manche Cyberversicherungen schließen Lösegeldzahlungen deshalb grundsätzlich ein, andere nicht. Ob eine Zahlung überhaupt erwogen wird, entscheiden Versicherer und Krisendienstleister im Einzelfall gemeinsam, und Verhandlungen übernehmen dann spezialisierte Profis, nicht der Unternehmer selbst.

Ein Praxisfall: Wenn das Backup nicht funktioniert

Ein in der Fachschulung vorgestellter Schadenfall zeigt, wie teuer ein einziger Schwachpunkt werden kann. Ein Bildungsanbieter hatte sämtliche Schulungsinhalte digital gespeichert. Ein Verschlüsselungstrojaner legte alles lahm, anschließend kam die Lösegeldforderung.

Eine Datensicherung gab es. Sie stellte sich aber als fehlerhaft heraus und ließ sich auch mit Hilfe der Forensiker nicht zurückspielen. Die Spezialisten arbeiteten teilweise vor Ort, um die Systeme wiederherzustellen. Der Schulungsbetrieb stand mehrere Tage still, die laufenden Kosten liefen weiter. Am Ende summierten sich Forensik, Datenwiederherstellung und Betriebsunterbrechung auf 520.000 Euro. Die Cyberversicherung übernahm den Schaden im Rahmen des Vertrags.

Die Lehre daraus ist unbequem, aber eindeutig: Ein Backup, das nie getestet wurde, ist eine Hoffnung, keine Sicherheit. Sicherungen sollten vom übrigen Netzwerk getrennt oder unveränderbar gespeichert sein, denn Täter suchen gezielt nach ihnen. Und die Wiederherstellung muss regelmäßig geübt werden.

Was übernimmt die Cyberversicherung bei Ransomware?

Eine gute Cyberversicherung für Unternehmen deckt bei einem Ransomware-Angriff mehrere Bausteine ab. Dazu gehören die Soforthilfe durch IT-Forensiker und Krisenmanager, die Kosten für Datenwiederherstellung und den Wiederaufbau der Systeme sowie die Cyber-Betriebsunterbrechung, also den Ertragsausfall während des Stillstands. Kommen Ansprüche von Kunden oder Partnern hinzu, weil deren Daten abgeflossen sind, greift die Haftpflichtkomponente. Viele Tarife umfassen außerdem Rechtsberatung zu Meldepflichten und Unterstützung bei der Krisenkommunikation.

Wichtig: Versicherer erwarten, dass bestimmte Sicherheitsstandards eingehalten werden, darunter funktionierende Backups. Welche das sind, lesen Sie im Beitrag Cyberversicherung: Diese Voraussetzungen verlangen Versicherer.

Häufige Fragen zu Ransomware

Muss ich einen Ransomware-Angriff melden?
Sind personenbezogene Daten betroffen, in der Regel ja, und zwar innerhalb von 72 Stunden an die Datenschutzaufsichtsbehörde. Eine Strafanzeige ist ebenfalls sinnvoll. Die Notfall-Hotline Ihrer Cyberversicherung hilft bei der richtigen Reihenfolge.

Ist Lösegeld versichert?
Das hängt vom Tarif ab. Manche Bedingungen schließen Lösegeldzahlungen ein, andere nicht. In der Praxis wird eine Zahlung nur im Ausnahmefall und gemeinsam mit Experten erwogen.

Reicht ein Cloud-Backup als Schutz?
Nicht unbedingt. Wenn Täter bereits Zugangsdaten zu Ihrer Cloud haben, können sie auch dortige Sicherungen löschen. Zusätzlich sollte es eine getrennte oder unveränderbare Sicherung geben.

Wie lange dauert es, bis ein Unternehmen nach Ransomware wieder arbeitet?
Das reicht von wenigen Stunden bis zu mehreren Wochen. Entscheidend sind funktionierende Backups, ein vorbereiteter Notfallplan und schnelle professionelle Hilfe.

Fazit: Vorbereitung entscheidet über Tage oder Wochen

Ransomware trifft heute nicht mehr nur Konzerne, sondern vor allem den Mittelstand. Ob ein Angriff zu einer kurzen Unterbrechung oder zu einem existenzbedrohenden Stillstand wird, entscheidet sich fast immer vorher: bei getesteten Backups, beim Notfallplan und bei der Frage, ob im Ernstfall sofort jemand ans Telefon geht, der weiß, was zu tun ist.

Als Versicherungsmakler vergleichen wir für Sie den Markt und achten besonders auf die Punkte, die bei Ransomware den Unterschied machen: Betriebsunterbrechung, Soforthilfe und Lösegeldregelung. Vereinbaren Sie hier Ihren kostenlosen Beratungstermin. Oder rufen Sie uns an unter 040 603 1081.