Ransomware-Attacken gehören zu den größten Bedrohungen aus dem Cyberraum: Das Bundeskriminalamt (BKA) registrierte in 2025 einen Anstiegt von 10 Prozent bei den angezeigten Fällen. Entspannen wird sich die Lage auch in Zukunft nicht, schätzt Axel Wochinger, Geschäftsführer des BVSW-Mitgliedsunternehmens Result Group: „Jedes Unternehmen, das IT einsetzt, stellt mittlerweile ein potenzielles Angriffsziel dar - vom Handwerksbetrieb bis hin zum DAX-Konzern“, so der Sicherheitsexperte, der Unternehmen bei der Bewältigung von Ransomware-Krisen unterstützt.
Zusätzlich verschärft Künstliche Intelligenz die Lage. Sie erschließt den Tätern neue Angriffsvektoren, vereinfacht das Auffinden von Sicherheitslücken und ermöglicht die Automatisierung von Attacken. Unternehmen rüsten zwar in Sachen IT-Sicherheit auf, doch die Situation bleibt ein permanenter Wettlauf um Überlegenheit.
Entscheidend: Die ersten 24 Stunden nach dem Angriff
Maßgeblich für den Verlauf einer Ransomware-Krise sind die Entscheidungen, die innerhalb der ersten 24 Stunden nach einem Angriff getroffen werden. Das wichtigste Ziel ist es, die Kontrolle zurückzugewinnen und Struktur in das Geschehen zu bringen.
Als zentrale technische Erstmaßnahme gilt die Trennung der IT-Infrastruktur vom Internet: So können sich Angreifer nicht weiter in den Systemen fortbewegen und eventuell jene Bereiche übernehmen, die bislang noch nicht betroffen sind. Darüber hinaus müssen Meldepflichten eingehalten werden, und zwar gegenüber einer möglichen Cyberversicherung sowie gegenüber Datenschutzbehörden. Für Unternehmen, die der NIS2-Richtlinie unterliegen, gelten kürzere Meldefristen. Und nicht zuletzt ist Anzeige bei der örtlich zuständigen Polizeibehörde zu erstatten, denn eine Ransomware-Attacke ist eine Straftat.
Parallel zu diesen ersten Maßnahmen sollte der Krisenstab zusammentreten, um den Schaden zu beurteilen und weitere Schritte zu koordinieren. Ein funktionierender Krisenstab besteht aus Vertretern der Abteilungen Recht, Forensik, Kommunikation und Compliance sowie dem IT-Leiter. Hat ein Unternehmen nicht alle Disziplinen im Haus, können ihn externe Spezialisten und Berater ergänzen. Bei produzierenden Unternehmen gehört auch ein Vertreter der Fertigungsabteilung dazu. Er kann am besten einschätzen, wie die Arbeit wieder aufgenommen werden kann. Sind Mitarbeiterdaten von der Attacke betroffen, muss zudem der Betriebsrat einbezogen werden. Insgesamt sollte das Gremium jedoch klein und schlagkräftig bleiben. Die Leitung des Krisenstabs übernimmt idealerweise eine erfahrene und durchsetzungsstarke Führungspersönlichkeit, jedoch nicht die Geschäftsleitung selbst.
Im Hinblick auf die vielen Herausforderungen in dieser Lage könnte es schnell zu einer Überlastung kommen. Entscheidend ist auch der Umgang mit der sogenannten Ransom-Note, die meist über verschiedene Kanäle im Unternehmen auftaucht und Hinweise auf die Tätergruppe und deren Forderungen gibt. Betroffene Unternehmen sollten die Nachricht weder öffnen noch eine Kommunikation mit den Tätern starten, sondern diese Aufgaben an Spezialisten übertragen.
Verhandeln oder zahlen?
Ob eine Kommunikation mit den Erpressern sinnvoll ist, hängt von zwei Leitfragen ab: Welche Daten sind abgeflossen, und lassen sie sich anderweitig wiederherstellen? Falls es sich um unkritische Daten handelt, von denen intakte Backups existieren, können Betroffene auf eine Kommunikation verzichten. Bei kritischen Systemen und hochsensiblen Daten sieht die Lage anders aus: In einem solchen Fall kann eine Kontaktaufnahme durchaus sinnvoll sein, jedoch nicht um direkt zu zahlen, sondern um Zeit zu gewinnen und Informationen über die Täter zu sammeln.Voraussetzungen für erfolgversprechende Verhandlungen sind Fingerspitzengefühl und viel Erfahrung, denn ein zu forsches Auftreten kann die gesamte Vereinbarung gefährden.
„Hinter Ransomware-Attacken stehen meist hochprofessionelle Tätergruppen. Umso wichtiger ist es, ebenso professionell in der Kommunikation zu agieren“, sagt Wochinger. Falls es zu einer Vereinbarung kommt, so ist der Geschädigte die Täter in der Regel los, auch wenn es dafür keine Garantie gibt. Nach Wochingers Erfahrungen jedoch hat noch keine Tätergruppe eine getroffene Vereinbarung gebrochen. Eine solche Unzuverlässigkeit würde letztlich ihr Geschäftsmodell gefährden.
Behörden raten grundsätzlich von einer Bezahlung ab. Doch auch sie sind sich bewusst, dass Unternehmen in dieser Zwangslage manchmal keinen anderen Ausweg haben und wirtschaftlich überleben müssen. Das Bundeslagebild Cybercrime des BKA zeigt allerdings, dass nur sieben Prozent der Geschädigten Lösegeld überwiesen haben. Damit sank die Zahlungsbereitschaft im Jahr 2025 im Vergleich zum Vorjahr.
Rechtliche Risiken und wirtschaftliche Folgen
Mittlerweile wissen alle Unternehmen, dass jeder zum Opfer einer Ransomware-Attacke werden kann. Wer mit einer solchen Krise professionell umgeht, muss keinen dauerhaften Reputationsschaden befürchten, es sei denn, grobe Fahrlässigkeit hat die Krise erst ermöglicht, oder das Krisenmanagement war dilettantisch.
Die rechtlichen Risiken sind hingegen deutlich größer. Hat die Geschäftsführung nachweislich die IT-Sicherheit vernachlässigt, droht eine persönliche Haftung. Kunden mit hohen Datenschutzanforderungen können Verträge kündigen oder rechtliche Schritte einleiten. Sobald Datenschutzbehörden grobe Fahrlässigkeit im Umgang mit personenbezogenen Daten feststellen, sind zudem empfindliche Bußgelder möglich. Bei einem unprofessionellen Krisenmanagement können auch die wirtschaftlichen Folgen weitreichend sein. Besonders gefährdet sind Unternehmen, die bereits vor dem Angriff unter wirtschaftlichem Druck standen: Ihnen fehlt schlicht der finanzielle Puffer, um eine längere Betriebsunterbrechung zu überstehen. Das gilt insbesondere, wenn keine Cyberversicherung vorhanden ist, die den finanziellen Schaden zumindest teilweise reguliert.
Prävention sichert Handlungsfähigkeit
Die passenden Schutzmaßnahmen können viel dazu beitragen, dass Unternehmen eine Ransomware-Krise gut überstehen oder erst gar nicht zum Opfer zu werden. In vielen Fällen kommt Schadsoftware über Phishing-Mails, Social Engineering oder manipulierte Anhänge ins Haus. Eine Sensibilisierung der Mitarbeitenden und regelmäßige Schulungen zu den aktuellen Angriffsvektoren sind deshalb besonders wichtig.
Zudem sollte in jedem Unternehmen eine Reihe an technischen Mindestanforderungen umgesetzt werden. Zwei-Faktor-Authentifizierung, restriktive Rechtevergabe, starke Passwörter, Netzwerksegmentierung und zuverlässige, regelmäßig getestete Backups gehören dazu.
Cybercrime ist allerdings ein hochdynamisches Bedrohungsfeld. Sicherheit erfordert daher einen kontinuierlichen Prozess, einmalige Investitionen genügen nicht. „Was vor drei Jahren noch ausreichend war, ist heute längst überholt. Der Wettlauf zwischen Angreifern und Verteidigern beschleunigt sich immer weiter“, sagt Wochinger.
Sollte ein Unternehmen trotz aller Vorsorgemaßnahmen Opfer einer Ransomware-Attacke werden, muss es in Krise handlungssicher sein. Regelmäßige Übungen zur Krisenbewältigung durchzuführen ist eine hilfreiche Vorbereitung. Je nach Unternehmensgröße kann ein kleiner Workshop oder eine große Krisenübung passend sein. Fest steht: Jede Übung ist besser als der unvorbereitete Start in eine Ransomware-Krise.
