Ransomware-Schutz für KMU: Was wirklich hilft — und was nur beruhigt

Warum Ransomware KMU härter trifft als Konzerne

Ein DAX-Konzern hat eine eigene Security-Abteilung, ein Security Operations Center (SOC), das 24/7 Netzwerkverkehr überwacht, spezialisierte Incident-Response-Teams und Verträge mit Cyberversicherern, die im Schadensfall einspringen. Die meisten KMU haben davon keines.

Das macht sie nicht zwangsläufig zum primären Ziel — aber zu einem, das im Ernstfall deutlich schlechter vorbereitet ist. Die durchschnittliche Ausfallzeit nach einem Ransomware-Angriff beträgt im Mittelstand zwischen 10 und 20 Tagen. Viele Unternehmen erholen sich nie vollständig: Kundendaten gehen verloren, Verträge werden gekündigt, Reputationsschäden sind langfristig.

Hinzu kommt: Ältere Systeme, die nicht mehr regelmäßig gepatcht werden, sind in KMU häufiger anzutreffen. Fehlende IT-Kapazitäten führen dazu, dass Updates aufgeschoben, Sicherheitslücken nicht geschlossen und Backups nie getestet werden. Das sind genau die Bedingungen, unter denen Ransomware am effektivsten ist.

Wie Ransomware wirklich eindringt

Ransomware kommt nicht durch Magie — und auch nicht unbedingt durch hochsophistizierte Zero-Day-Exploits. Die häufigsten Einfallstore sind bekannt und gut dokumentiert:

• Phishing (ca. 66 % aller Vorfälle): Eine E-Mail mit einem infizierten Anhang oder Link, auf den ein Mitarbeiter klickt. Oft täuschend echt gestaltet — gefälschte DHL-Benachrichtigungen, Bewerbungen, Rechnungen. Der menschliche Faktor ist nach wie vor der zuverlässigste Angriffsvektor.
• Ungepatchte Systeme: Bekannte Sicherheitslücken in VPN-Gateways, Exchange-Servern oder Remote-Desktop-Diensten werden aktiv von Angreifern gescannt und ausgenutzt — oft innerhalb von Stunden nach Veröffentlichung eines Patches, weil Angreifer wissen, dass viele Unternehmen langsam patchen.
• Schwache Passwörter und fehlendes MFA: RDP-Zugänge (Remote Desktop Protocol) ohne Mehrfaktor-Authentifizierung sind ein bevorzugtes Einfallstor. Brute-Force-Angriffe auf schwache Passwörter laufen automatisiert rund um die Uhr.
• RDP-Zugänge ohne Absicherung: Viele KMU haben RDP direkt ins Internet exponiert — oft für Fernwartung oder Homeoffice-Zugriff. Ohne MFA und IP-Whitelisting ist das ein offenes Tor.
• Supply-Chain-Angriffe: Der Angriff kommt nicht direkt, sondern über einen kompromittierten Dienstleister oder eine Software-Lieferkette. Der SolarWinds-Angriff war der bekannteste Fall — aber Supply-Chain-Angriffe treffen zunehmend auch KMU über IT-Dienstleister.

Was wirklich schützt — 5 konkrete Maßnahmen

Statt einer langen Checkliste: fünf Maßnahmen, die nachweislich die Angriffsfläche reduzieren und die Auswirkungen eines erfolgreichen Angriffs begrenzen.

1. Backup nach der 3-2-1-Regel — mit regelmäßigem Wiederherstellungstest

Drei Kopien Ihrer Daten, auf zwei verschiedenen Medientypen, eine davon offline oder air-gapped. Entscheidend: Das Backup muss regelmäßig auf Wiederherstellbarkeit getestet werden — mindestens alle 90 Tage. Ein Backup, das seit sechs Monaten auf Fehler läuft, ohne dass es jemand bemerkt hat, ist kein Backup.

2. Netzwerksegmentierung

Trennen Sie Netzwerkbereiche: Buchaltung vom Produktionsnetz, Server-VLAN vom Client-VLAN, Gäste-WLAN vom internen Netz. Wenn Ransomware in einem Segment zuschlägt, bleibt der Schaden begrenzt. Ohne Segmentierung verbreitet sich Ransomware innerhalb von Minuten über das gesamte Netzwerk.

3. MFA für alle Remote-Zugänge und Admin-Accounts

Multi-Faktor-Authentifizierung für VPN, RDP, E-Mail und alle Admin-Zugänge ist die wirkungsvollste Einzelmaßnahme gegen credential-basierte Angriffe. Selbst wenn ein Passwort kompromittiert wird, ist der Account ohne zweiten Faktor nicht zugänglich.

4. Regelmäßiges Patching — besonders bei exponierten Diensten

VPN-Gateways, Remote-Desktop-Dienste, Exchange-Server, Firewalls: Diese Systeme sind direkt aus dem Internet erreichbar und müssen als erstes gepatcht werden. Richten Sie einen strukturierten Patch-Prozess ein — monatlich als Minimum, kritische Patches innerhalb von 48 Stunden.

5. Mitarbeiterschulungen zur Phishing-Erkennung

Technische Schutzmaßnahmen greifen nicht, wenn der Mensch das Sicherheitskonzept aushebelt. Regelmäßige Schulungen — nicht als einmalige Pflichtveranstaltung, sondern als kontinuierliches Awareness-Programm — senken die Klickrate auf simulierte Phishing-Mails nachweislich. Kombiniert mit technischen E-Mail-Filtern (SPF, DKIM, DMARC) entsteht eine robuste erste Verteidigungslinie.

Was nur beruhigt — aber wenig schützt

Ebenso wichtig wie das Wissen, was hilft, ist das Wissen, worauf man sich nicht verlassen sollte:

• Antivirussoftware allein: Moderner Ransomware-Code ist speziell darauf ausgelegt, Antivirus-Signaturen zu umgehen. AV ist eine Schicht im Defense-in-Depth-Konzept — aber keine ausreichende Schutzmaßnahme für sich allein.
• Cyberversicherung als Ersatz für Sicherheit: Eine Cyberversicherung zahlt im Schadensfall — aber sie verhindert keinen Angriff, keinen Datenverlust und keinen Betriebsausfall. Viele Versicherer verlangen mittlerweile Nachweise über technische Schutzmaßnahmen. Wer die Versicherung als Alternative zu Sicherheitsmaßnahmen betrachtet, wird bei der Schadensmeldung unangenehme Fragen beantworten müssen.
• Ein einmaliger Penetrationstest vor Jahren: Ein Pentest ist eine Momentaufnahme. Wenn er zwei Jahre zurückliegt, neue Systeme eingeführt wurden und sich das Bedrohungsumfeld verändert hat, hat er begrenzte Aussagekraft. Penetrationstests sollten regelmäßig und nach wesentlichen Infrastrukturänderungen durchgeführt werden.
• Sicherheits-Ampeln und Dashboards ohne Reaktionsprozess: Monitoring ohne Eskalationsprozess ist Sicherheits-Theater. Wenn niemand die Alerts liest oder niemand weiß, was im Alarmfall zu tun ist, nützt das Dashboard nichts.

Notfallplan: Was tun, wenn es trotzdem passiert?

Kein Schutz ist hundertprozentig. Wer einen Notfallplan hat und geübt hat, kann den Schaden erheblich begrenzen.

1. Isolieren: Betroffene Systeme sofort vom Netzwerk trennen — Netzwerkkabel ziehen, WLAN deaktivieren. Das verhindert die weitere Ausbreitung der Ransomware. Nicht neustarten — Neustart kann forensische Spuren vernichten.
2. Nicht zahlen: Das BSI rät ausdrücklich davon ab, Lösegeld zu zahlen. Es gibt keine Garantie, dass nach Zahlung die Daten wiederhergestellt werden. Lösegeld finanziert weitere Angriffe und macht das Unternehmen als zahlungswilliges Ziel bekannt.
3. Forensik sichern: Bevor Systeme wiederhergestellt werden, sollten forensische Images der betroffenen Systeme erstellt werden. Das ist für die Ursachenanalyse, für Versicherungsansprüche und für mögliche Strafanzeigen notwendig.
4. Backups einspielen: Jetzt zeigt sich, ob das Backup-Konzept funktioniert. Stellen Sie sicher, dass die Backups nicht ebenfalls kompromittiert sind — prüfen Sie, wann der Angriff begann, und stellen Sie auf einen Zeitpunkt vor dem initialen Einbruch wieder her.
5. Behörden informieren: Ransomware-Angriffe mit Datenverlust sind meldepflichtig nach DSGVO (72 Stunden). Das BSI und das LKA sollten informiert werden — nicht nur aus Pflichtgründen, sondern weil Behörden Unterstützung leisten können.