Was ist Ransomware und wie schützt man sich: der komplette Ratgeber

Was ist Ransomware?

Ransomware ist eine Form von Schadsoftware, die deine Daten verschlüsselt oder dein System sperrt und dann ein Lösegeld fordert, um dir den Zugriff zurückzugeben. Die Software drängt dazu, der Lösegeldforderung nachzukommen, ansonsten wird oft mit Löschung oder Veröffentlichung der Daten gedroht. Meist werden Zahlungen in Bitcoin oder einer anderen Kryptowährung verlangt, weil sich Krypto-Transaktionen nur schwer nachverfolgen lassen. Besonders Unternehmen werden auf diese Weise dazu erpresst, hohe Summen zu zahlen – Die Höhe des Lösegelds kann mehrere Millionen Dollar betragen.

Laut dem aktuellen BSI-IT-Sicherheitslagebericht opens in a new tab zählt Cyber-Erpressung durch Ransomware mit 950 gemeldeten Ransomware-Vorfällen in Deutschland zu den größten Cyberbedrohungen. Und die Gefahr nimmt nicht ab: Die Cybersicherheitsstatistiken von NordVPN haben verzeichnet, dass im Jahr 2025 jedes vierte Cyber-Bedrohungsereignis ein Fall von Ransomware war – mit einem Ransomware-Angriff alle zwei Stunden.

Welche Erpressungsmethoden nutzt Ransomware?

Der Begriff Ransomware kommt vom englischen „ransom" (Lösegeld), und genau darum geht es: Geld. Die Angreifer setzen dich unter Druck, indem sie dir den Zugriff auf deine wertvollsten Daten nehmen. Im Laufe der Jahre haben sich mehrere Erpressungsmethoden etabliert:

• Single Extortion: Der Grundstein von Ransomware – deine Daten werden verschlüsselt, bis du ein Lösegeld zahlst.
• Double Extortion: Double-Extortion-Ransomware stiehlt deine Daten und droht damit, sie auf Leak-Seiten zu veröffentlichen. 
• Triple Extortion: Besonders Unternehmen werden häufig Opfer weiterer Druckmittel wie DDoS-Angriffen oder Diffamierung auf Basis der geleakten Daten.

Bei Single-Extortion-Angriffen ist es relativ einfach, sich gegen Ransomware zu schützen – im Falle einer Infektion kannst du deine Daten ganz einfach per Backup wiederherstellen. Backups schaffen das Risiko von Ransomware allerdings nicht mehr ganz aus der Welt, da deine Daten aufgrund von Double- und Triple-Extortion trotzdem veröffentlicht und gegen dich verwendet werden könnten. Damit ist nicht zu spaßen, denn je nach gestohlenen Daten kann Ransomware zu erheblichen Reputationsschäden führen.

Wie funktioniert ein Ransomware-Angriff?

Genau wie viele andere Cyberangriffe laufen Ransomware-Angriffe schrittweise ab. So bleiben sie zunächst inaktiv und starten erst zu einem bestimmten Zeitpunkt oder auf Befehl. Typischerweise folgt ein Ransomware-Angriff dieser Kette:

1. 1.Erstzugriff: Die Angreifer verschaffen sich Zugang über Phishing-Angriffe, einen bösartigen Anhang, eine kompromittierte Webseite, eine ausgenutzte Sicherheitslücke oder einen ungesicherten Fernzugang.
2. 2.Laterale Bewegung: Die Schadsoftware breitet sich im Netzwerk aus, um weitere Geräte und Backups zu erreichen.
3. 3.Datenexfiltration: Vor der Verschlüsselung kopieren die Angreifer sensible Daten, um Double Extortion zu ermöglichen.
4. 4.Verschlüsselung/Sperrung: Dateien werden verschlüsselt oder das System wird gesperrt.
5. 5.Erpressung: Eine Lösegeldforderung erscheint, meist mit einer Frist und Zahlung in Kryptowährung.

Wie gelangt Ransomware auf dein Gerät?

Ransomware nutzt dieselben Einfallstore wie andere Schadsoftware auch. Hier die verbreitetsten Angriffsvektoren für Ransomware-Infektionen:

• Phishing-E-Mails: Gefälschte E-Mails mit bösartigen Links oder Anhängen wie einer vermeintlichen Rechnung – ein altbekannter aber effektiver Trick.
• Kompromittierte Webseiten: Wenn eine Website von Hackern gekapert wurde, können sie über sogenannte Drive-by-Downloads Schadcode schon beim Besuch auf dein Gerät laden.
• Malvertising: Manipulierte Werbeanzeigen können Malware in sich tragen, also besser direkt einen Werbeblocker nutzen.
• Infizierte Software-Downloads: Vor allem Apps aus inoffiziellen Quellen sind mit Vorsicht zu genießen.
• Präparierte Speichermedien: Angreifer nutzen manchmal USB-Sticks oder Ähnliches, die sie in der Öffentlichkeit liegen lassen, um die Neugier ahnungsloser Menschen auszunutzen. Beim Zugriff auf das Speichermedium wird die Malware auf das Gerät des Opfers geladen.
• Sicherheitslücken in veralteter Software: Die Nutzung veralteter Software birgt erhebliche Risiken, da Hacker eigentlich schon geschlossene Sicherheitslücken noch ausnutzen können, wenn die Software nicht regelmäßig aktualisiert wird.
• Ungesicherte Fernzugänge: Offene Remote-Desktop-Verbindungen (RDP) ohne Multi-Faktor-Authentifizierung sind ein beliebtes Ziel für Ransomware. Eine verschlüsselte Verbindung mit VPN reduziert zwar einen Teil der Angriffsfläche, muss jedoch mit MFA und weiteren Sicherheitsvorkehrungen kombiniert werden. Mehr dazu unter „Wie kann ich mich vor Ransomware schützen?“. 

Wie erkennt man einen Ransomware-Angriff?

Früher oder später wirst du Ransomware erkennen, spätestens wenn eine  Lösegeldforderung auf deinem Bildschirm erscheint und deine Dateien sich nicht mehr öffnen lassen. Achte darüber hinaus auf diese Warnzeichen:

• Du kannst Dateien plötzlich nicht mehr öffnen.
• Dateiendungen sind verändert oder unbekannt.
• In deinen Ordnern taucht eine Lösegeldforderung als .txt- oder HTML-Datei auf.
• Ein Sperrbildschirm mit Countdown erscheint.
• Dein Antivirenprogramm wurde deaktiviert.
• Die Festplatte oder CPU sind ungewöhnlich stark ausgelastet.
• Dateien wurden umbenannt.

Beachte: Moderne Angriffe laufen oft still im Hintergrund und stehlen Daten, bevor sie sich zeigen. Um zu verhindern, dass sich dein Gerät mit Ransomware infiziert, solltest du einen Malware-Scanner nutzen. Dieser hilft dir, verdächtige Dateien schon beim Download zu entlarven.

Welche Arten von Ransomware gibt es?

Es gibt mehrere Kategorien von Ransomware, die unterschiedliche Funktionsweisen und Ziele haben. Die folgende Tabelle zeigt die wichtigsten Ransomware-Arten im Überblick:

Bei der Locker-Ransomware wird häufig das gesamte Gerät gesperrt, während Crypto-Ransomware gezielt einzelne Dateien verschlüsselt. Scareware arbeitet hingegen vor allem mit Angst und Täuschung – oft werden damit überhaupt keine Daten gesperrt. Es gibt also einige Unterschiede zwischen den verschiedenen Arten von Ransomware, obwohl mehrere mit Double-Extortion drohen können, die gestohlenen Daten zu veröffentlichen, und sie alle häufig über Trojaner eingeschleust werden.

Die bekanntesten Ransomware-Angriffe und -Beispiele

Ransomware-Angriffe gehören zu den größten Bedrohungen im Netz. Diese Ransomware-Beispiele haben in den letzten Jahren für Schlagzeilen gesorgt.

LockBit

LockBit war ab etwa 2019 eine der weltweit aktivsten Ransomware-as-a-Service-Gruppen, bis internationale Ermittler ihre Infrastruktur 2024 im Rahmen der „Operation Cronos“ beschlagnahmten. Trotzdem nimmt die Internetkriminalität in Deutschland weiter zu. 

Conti

Die russischsprachige RaaS-Gruppe Conti war 2020–2022 aktiv und für aggressive Angriffe auf Behörden und Unternehmen berüchtigt. Nach dem Bekenntnis zum russischen Angriff auf die Ukraine wurden ihre internen Chats geleakt, und nach der Attacke auf die Regierung Costa Ricas 2022 löste sich die Gruppe auf.

WannaCry

Der Kryptotrojaner WannaCry löste 2017 eine breite Infektionswelle aus, die kritische Infrastrukturen wie das britische Gesundheitssystem (NHS), Telekommunikationsanbieter, Logistikkonzerne und Fabriken betraf, was zu weltweiten wirtschaftlichen Schäden von geschätzten 4 Milliarden US-Dollar führte.

Petya/NotPetya

Petya versteckte sich in einer Dropbox-Datei, die eine Bewerbungsmappe enthalten sollte – stattdessen fanden die Opfer den Erpressungstrojaner. 2017 wurde die Malware als ein Cyberangriff namens NotPetya in abgewandelter Form wiederverwendet, der sich über ein Softwareupdate verbreitete und Schäden in Milliardenhöhe verursachte. NotPetya war in Wahrheit gar keine echte Ransomware, sondern war auf die vollständige Zerstörung der betroffenen Daten konzipiert.

Landkreis Anhalt-Bitterfeld

2021 legte ein Ransomware-Angriff die Verwaltung des Landkreises Anhalt-Bitterfeld in Sachsen-Anhalt fast vollständig lahm. Der Landkreis rief daraufhin als erster in Deutschland den Cyber-Katastrophenfall aus und lehnte die Lösegeldzahlung ab, was die Behörden über Monate handlungsunfähig machte.

Locky

Der Erpressungstrojaner Locky verbreitete sich 2016 über gefälschte E-Mail-Anhänge rasant auf Hunderttausenden Rechnern weltweit. Er traf private Nutzer sowie zahlreiche Unternehmen, Behörden und Krankenhäuser (besonders stark in Deutschland und den USA).

Clop/MOVEit

2023 nutzte die Clop-Gruppe eine Zero-Day-Lücke in der Datenübertragungssoftware MOVEit für einen Cyberangriff, der über 1.000 Organisationen weltweit traf und die Daten von Millionen Menschen kompromittierte.

Uniklinik Düsseldorf

Im September 2020 verschlüsselte die Ransomware „DoppelPaymer“ rund 30 Server des Universitätsklinikums Düsseldorf, woraufhin eine Patientin in eine andere Klinik verlegt werden musste und verstarb. Dies gilt als einer der wenigen dokumentierten Fälle, bei denen ein Ransomware-Angriff direkt mit einem Todesfall in Verbindung gebracht wurde.

Ransomware-Gruppen und moderne Bedrohungen (RaaS, KI-Ransomware)

Hinter vielen Angriffen stecken heute professionell organisierte Gruppen wie Akira und Qilin, die 2025 die Ransomware-Statistiken anführten, sowie LockBit, Conti und BlackCat/ALPHV. Viele betreiben eigene Leak-Seiten, auf denen sie gestohlene Daten veröffentlichen, und sie schließen zunehmend kartellartige Allianzen. 

Ein Geschäftsmodell hat sich besonders etabliert: Ransomware-as-a-Service (RaaS). Bei diesem Abo-Service stellen Entwickler die Schadsoftware bereit, der „Kunde“ führt die Angriffe aus und beide teilen sich die Beute. Das senkt die Einstiegshürde für Kriminelle enorm. Als aufkommender Trend gilt außerdem KI-gestützte, teils autonom agierende Ransomware, die Angriffe automatisiert und so schwerer erkennbar macht. Diese fortlaufende Professionalisierung der Szene macht Prävention wichtiger denn je.

Wie kann ich mich vor Ransomware schützen?

Auch wenn Cyberkriminelle immer raffiniertere Wege finden, Ransomware einzusetzen, bist du der Gefahr nicht vollständig ausgeliefert. Der beste Schutz vor Ransomware besteht aus mehreren Maßnahmen, die ineinandergreifen:

1. 1.Regelmäßige Backups nach der 3-2-1-Regel. Auch wenn du es wahrscheinlich schon tausendmal gehört hast: Regelmäßige Backups sind extrem wichtig. Am besten erstellst du drei Kopien deiner Daten auf zwei Speichermedien, davon eine außer Haus. Das Backup-Medium sollte offline und physisch getrennt sein, sonst wird es im Falle eines Ransomware-Angriffs mitverschlüsselt.
2. 2.Software aktuell halten. Installiere Updates für Betriebssystem und Programme so schnell wie möglich, um Sicherheitslücken zu schließen. Am besten aktivierst du automatische Updates, um Kriminellen so wenig Zeit zum Angriff wie möglich zu geben.
3. 3.E-Mails genau prüfen. Klicke nicht vorschnell auf Links oder Anhänge, sondern überlege genau, ob der Absender dir wirklich so eine E-Mail schicken würde. Wenn deine Bank dir beispielsweise eine Link zum Überprüfen deiner Kontoaktivitäten schickt, solltest du hellhörig werden. In den meisten Fällen kannst du solche Phishing-Angriffe bereits durch Überprüfen der E-Mail-Adresse entlarven. Frage im Zweifelsfall über offizielle Kanäle nach, nicht über einen Link in der E-Mail.
4. 4.MFA überall aktivieren. Multi-Faktor-Authentifizierung verhindert, dass deine Konten durch Kriminelle gekapert werden können, wenn du Opfer eines Datenlecks geworden bist. Sie kann dich außerdem vor Angriffen schützen, die über ungesicherte Remote-Desktop- oder Fernzugriffe durchgeführt werden.
5. 5.Schütze dich vor Office-Makros: Blockiere aus dem Internet heruntergeladene Makros für Microsoft Office und verhindere, dass Office-Anwendungen Folgeprozesse wie PowerShell ausführen.
6. 6.Antivirus nutzen. Ein Antivirus der nächsten Generation kann helfen, Bedrohungen wie Ransomware zu blockieren und überprüft Dateien schon vor dem Download. 
7. 7.VPN nutzen. Ein VPN ist kein Wundermittel gegen Ransomware, aber die Verschlüsselung deiner Verbindung in unsicheren oder öffentlichen WLANs reduziert einen Teil deiner Angriffsfläche. Zusätzlich hilft die Blockierung schädlicher Webseiten von NordVPN dabei, bekannte Malware-Seiten zu sperren, bevor du sie überhaupt erreichst.
8. 8.Für Unternehmen: Unterteile das Arbeitsnetzwerk in isolierte Zonen (z. B. durch Firewalls und Mikrosegmentierung), damit sich Ransomware im Infektionsfall nicht ungehindert über das ganze Netzwerk vervielfältigen kann. Schule Mitarbeiter darin, Phishing-Angriffe zu erkennen und zu vermeiden.

Ransomware entfernen und Daten wiederherstellen

Bist du trotz aller Vorsicht Opfer von Ransomware geworden, ist noch nicht alles verloren – im besten Fall kannst du deine Daten retten und die Schadsoftware entfernen, ohne ein Lösegeld zu zahlen. Dafür musst du allerdings schnell handeln und systematisch vorgehen. So läuft die Ransomware-Wiederherstellung Schritt für Schritt ab:

1. 1.Trenne das infizierte Gerät sofort vom Internet und von externen Laufwerken, um die Ausbreitung zu stoppen.
2. 2.Schalte das Gerät nicht aus. Durch ein Herunterfahren können Beweise gelöscht werden, die für die forensische Spurensicherung benötigt werden.
3. 3.Identifiziere die Ransomware-Variante und prüfe auf einem anderen Gerät die Websites No More Ransom opens in a new tab (nomoreransom.org) sowie ID Ransomware opens in a new tab darauf, ob es ein kostenloses Entschlüsselungstool für deine Ransomware-Variante gibt. 
4. 4.Bereinige das Gerät mit einem Antivirus.
5. 5.Stelle deine Daten aus einem sauberen Offline-Backup wieder her, das vor der Infektion erstellt wurde.
6. 6.Kommst du nicht weiter, hol dir professionelle Hilfe.

Sollte man das Lösegeld zahlen?

Kurz gesagt: besser nicht. Melde Cyberkriminalität stattdessen bei den zuständigen Behörden. Auch das Bundesamt für Sicherheit in der Informationssicherheit (BSI) rät von einer Zahlung des Lösegeldes ab – und dafür gibt es gute Gründe:

• Keine Garantie: Es gibt keine Sicherheit, dass die Kriminellen dein System nach der Zahlung wirklich entsperren.
• Finanzierung weiterer Angriffe: Jede Zahlung finanziert Cyberkriminalität und ermutigt die Täter, weitere Opfer zu suchen.
• Rechtliche Risiken: Zahlungen an sanktionierte Gruppen können rechtliche Folgen haben.
• Zielscheibe für Wiederholungstäter: Wer einmal zahlt, gilt als zahlungswillig und wird oft erneut angegriffen.

Ransomware in Deutschland: Rechtslage und Meldung

In Deutschland sind Ransomware-Angriffe klar strafbar: Sie erfüllen in der Regel den Tatbestand der Erpressung (§ 253 StGB) in Tateinheit mit Computersabotage (§ 303b StGB). Für dich als Betroffener ist die richtige Anlaufstelle entscheidend:

• Privatpersonen wenden sich an die örtliche Polizei.
• Unternehmen und Organisationen kontaktieren die Zentralen Ansprechstellen Cybercrime (ZAC) des jeweiligen Bundeslands.

Kommt es durch Double Extortion zu einem Datenleck mit personenbezogenen Daten, greift zudem die Meldepflicht nach Datenschutz-Grundverordnung: Der Vorfall muss in der Regel innerhalb von 72 Stunden gemeldet werden.