Suche
SupportRansomware: Die zehn wichtigsten Schutzmaßnahmen für den Mittelstand
Ransomware-Angriffe folgen einem wiederkehrenden Muster. Zehn Maßnahmen, die an den entscheidenden Stellen ansetzen – mit Prüffragen, an denen Sie den Stand in Ihrem Unternehmen erkennen.
Montagmorgen, kurz nach acht: Die ersten Mitarbeitenden melden, dass sich Dateien nicht mehr öffnen lassen. Auf dem Dateiserver liegen Textdateien mit einer Zahlungsaufforderung, die Warenwirtschaft startet nicht, und auch die Datensicherung meldet Fehler. So oder ähnlich beginnen viele Ransomware-Vorfälle in mittelständischen Unternehmen – auch im Großraum München.
Der eigentliche Angriff hat zu diesem Zeitpunkt oft schon Tage oder Wochen vorher begonnen. Ransomware-Angriffe folgen meist demselben Muster: Die Angreifer verschaffen sich Zugang, sammeln Zugangsdaten, breiten sich im Netz aus, suchen und zerstören die Datensicherungen, stehlen häufig Daten und verschlüsseln erst ganz am Ende. Jede dieser Phasen ist eine Gelegenheit, den Angriff zu stoppen. Die folgenden zehn Maßnahmen setzen genau dort an.
Zugänge absichern
1. Mehr-Faktor-Authentifizierung überall
Gestohlene, erratene oder per Phishing abgegriffene Kennwörter sind eines der häufigsten Einfallstore. Ein zweiter Faktor – eine App auf dem Smartphone, ein Hardware-Schlüssel oder ein Passkey – macht ein erbeutetes Kennwort weitgehend wertlos. Priorität haben alle Zugänge, die aus dem Internet erreichbar sind: VPN, E-Mail und Microsoft 365, andere Cloud-Dienste und Fernwartung.
- Prüffrage: Gibt es Konten, für die eine Ausnahme von der Mehr-Faktor-Anmeldung gilt – und warum?
- Prüffrage: Ist auch der VPN-Zugang mit einem zweiten Faktor geschützt?
2. Fernzugänge reduzieren
Jeder aus dem Internet erreichbare Dienst ist eine potenzielle Angriffsfläche – besonders Remotedesktop, veraltete VPN-Geräte und dauerhaft offene Fernwartungszugänge von Herstellern. Prüfen Sie, welche Zugänge wirklich nötig sind, und schließen Sie alle anderen. Wie kontrollierte Fernwartung aussieht, beschreiben wir in Sichere Fernwartung.
3. Administrative Rechte trennen
Angreifer wollen Administratorrechte, weil sie damit Schutzprogramme abschalten und Backups löschen können. Administratorinnen und Administratoren sollten deshalb für die tägliche Arbeit ein normales Benutzerkonto nutzen und nur für Verwaltungsaufgaben auf ein separates, besonders geschütztes Konto wechseln. Normale Benutzer arbeiten ohne lokale Administratorrechte, und lokale Administratorkennwörter sind auf jedem Gerät unterschiedlich.
Angriffsfläche verkleinern
4. Updates zeitnah einspielen
Viele erfolgreiche Angriffe nutzen Schwachstellen, für die längst ein Update existiert. Sicherheitsupdates für aus dem Internet erreichbare Systeme – Firewall, VPN, E-Mail-Server – gehören innerhalb weniger Tage installiert, bei aktiv ausgenutzten Lücken so schnell wie möglich. Systeme, die keine Updates mehr erhalten, müssen ersetzt oder streng isoliert werden.
5. Netz segmentieren
Ist ein Angreifer erst einmal im Netz, entscheidet die Segmentierung darüber, wie weit er kommt. In einem flachen Netz kann ein infizierter Arbeitsplatz direkt mit jedem Server sprechen. Trennen Sie Arbeitsplätze, Server, Verwaltungszugänge, Datensicherung sowie Produktions- und Gebäudetechnik in eigene Bereiche, zwischen denen eine Firewall nur die nötigen Verbindungen erlaubt.
6. Moderne Endpoint-Security einsetzen
Klassische Virenscanner erkennen bekannte Schadsoftware. Angreifer nutzen aber zunehmend legitime Werkzeuge und neue Varianten. Verhaltensbasierte Lösungen erkennen verdächtige Abläufe – etwa massenhaftes Umbenennen von Dateien oder das Abschalten von Schutzfunktionen – und können betroffene Geräte automatisch isolieren. Wichtig ist, dass jemand die Warnungen auch auswertet. Mehr dazu auf unserer Seite zur Endpoint-Security.
Vorbereitet sein
7. Backups unveränderbar und getrennt aufbewahren
Angreifer suchen gezielt nach Datensicherungen, weil ein funktionierendes Backup ihr Erpressungsmodell zerstört. Mindestens eine Kopie muss deshalb so gespeichert sein, dass sie auch mit Administratorrechten nicht gelöscht oder verändert werden kann – auf einem unveränderbaren Speicher oder offline. Die Zugangsdaten der Backup-Umgebung sollten nicht in der normalen Windows-Domäne liegen.
8. Wiederherstellung regelmäßig testen
Ein Backup ist nur so gut wie seine Wiederherstellung. Stellen Sie regelmäßig – etwa einmal im Quartal – ausgewählte Systeme vollständig wieder her und messen Sie, wie lange es dauert. Erst dann wissen Sie, ob Ihr Unternehmen nach einem Angriff in Stunden oder in Wochen wieder arbeitsfähig ist. Eine Anleitung finden Sie im Beitrag Backup oder Desaster?
9. Notfallplan erstellen und üben
Wer entscheidet, ob Systeme vom Netz genommen werden? Wer informiert Kunden, Versicherung und Behörden? Wo liegen die Kontaktdaten, wenn E-Mail und Telefonanlage ausgefallen sind? Diese Fragen müssen vorab geklärt und aufgeschrieben sein – idealerweise in einem IT-Notfallhandbuch, das auch ausgedruckt vorliegt. Eine Übung am Besprechungstisch zeigt schnell, wo der Plan noch Lücken hat.
10. Mitarbeitende sensibilisieren
Regelmäßige, kurze Schulungen helfen, Phishing-Nachrichten zu erkennen und verdächtige Vorgänge schnell zu melden. Wichtig ist eine Kultur, in der Meldungen erwünscht sind – auch wenn man selbst auf einen Link geklickt hat. Eine frühe Meldung kann den Unterschied machen, ob ein Angreifer nach dem ersten Schritt gestoppt wird oder Wochen Zeit hat.
Womit Sie anfangen sollten
Nicht jedes Unternehmen kann alle zehn Maßnahmen gleichzeitig umsetzen. Bewährt hat sich diese Reihenfolge:
- Zuerst Mehr-Faktor-Authentifizierung für alle Internetzugänge und ein unveränderbares Backup – das schützt vor dem Einstieg und sichert den Wiederanlauf
- Dann getrennte Administratorkonten, zeitnahe Updates und das Schließen unnötiger Fernzugänge
- Anschließend Endpoint-Security mit ausgewerteten Warnungen und ein erster Wiederherstellungstest
- Parallel Notfallplan und Schulungen, danach schrittweise die Netzsegmentierung
Warnsignale eines laufenden Angriffs
Weil zwischen Einbruch und Verschlüsselung oft Tage liegen, lohnt es sich, auf Anzeichen zu achten, die auf einen laufenden Angriff hindeuten. Jedes einzelne kann harmlos sein, gemeinsam sollten sie sofort geprüft werden:
- Anmeldungen von Administratorkonten zu ungewöhnlichen Zeiten oder von unbekannten Geräten
- Neu angelegte Benutzerkonten oder Änderungen an Gruppen mit weitreichenden Rechten
- Deaktivierter Virenschutz oder Warnungen, die plötzlich nicht mehr auftauchen
- Fehlgeschlagene oder gelöschte Sicherungsaufträge
- Ungewöhnlich hoher ausgehender Datenverkehr, besonders nachts oder am Wochenende
- Unbekannte Fernwartungs- oder Verwaltungsprogramme auf Servern
Entscheidend ist, dass jemand diese Signale sieht und zeitnah bewertet. Protokolle, die niemand liest, schützen nicht. Für viele mittelständische Unternehmen ist es realistischer, diese Überwachung an einen Dienstleister zu übergeben, als sie selbst durchgehend zu besetzen. Wichtig ist dann, dass klar geregelt ist, wer bei einem Alarm was tun darf – etwa ein Gerät isolieren oder ein Konto sperren.
So gehen wir bei BABFE vor
Wir beginnen mit einer ehrlichen Bestandsaufnahme. Für einzelne Rechner liefert unser kostenloser Sicherheitscheck in rund einer Minute einen Überblick – unter anderem zu Updates, Schutz vor Schadsoftware, Firewall, Konten und Datensicherung. Für die gesamte Umgebung prüfen wir Zugänge, Backups und Netz und priorisieren die Maßnahmen nach Wirkung und Aufwand.
Bei betreuten Kunden setzen wir die Maßnahmen im laufenden Betrieb um und machen sie im Kundenportal sichtbar: Sie sehen den Anteil der Benutzer mit Mehr-Faktor-Anmeldung, den Status der Datensicherung und der Geräte. Schutzrichtlinien für Microsoft 365 aktivieren wir in Phasen, damit niemand ausgesperrt wird.
Ihr nächster Schritt
Gehen Sie die zehn Prüfpunkte mit Ihrer IT durch und notieren Sie, wo die Antwort „weiß nicht“ lautet. Genau dort setzen wir gern mit Ihnen an.
