Ransomware-Schutz: drei Ebenen für KMU

Was Ransomware 2026 ausmacht

Ransomware arbeitet heute als Dienstleistung: Angreifer mieten die Schadsoftware und die Unterstützung für den Angriff. Nach dem BSI blieb dieses Angebot im Berichtszeitraum durchgehend auf hohem Niveau. Die Angriffe laufen in Wellen über das Jahr verteilt, rund 100 Varianten wurden 2025 gegen deutsche Opfer eingesetzt.

Neu ist der Einsatz von KI. Das Bundeskriminalamt beschreibt, dass KI die Einstiegshürde für Cyberkriminelle senkt: Angriffe werden professioneller, schneller und glaubwürdiger. Besonders betroffen ist das Phishing, bei dem Angreifer Personalisierung vorgeben können.

Der Angriffsweg hat sich verschoben

Das BSI beobachtet im Berichtszeitraum eine Verschiebung: Die Ausnutzung von Schwachstellen in Web-Angriffsflächen nahm weiter an Bedeutung, Angriffe per E-Mail gingen spürbar zurück. Angreifer pressen zudem Daten aus unzureichend gesicherten Datenbanken und aus schwachstellenbehafteten Systemen im Internet. Ein aktuelles Beispiel sind Angriffe über USB-Sticks auf Systeme, die bewusst offline betrieben werden.

Für die Praxis heißt das: Wer nur E-Mail-Filter und Antivirus betreibt, schließt die häufigsten Lücken nicht. Entscheidend ist ein strukturiertes Angriffsflächenmanagement – erreichbare Systeme und Konten reduzieren, bekannte Schwachstellen schließen und Zugänge absichern.

Die vier wichtigsten Einstiegswege

• 1

  Schwachstellen – ausgenutzte Lücken in Webanwendungen, VPN-Gateways und Servern sind laut BSI der wachsende Angriffsvektor.

• 2

  Zugangsdaten – gestohlene Passwörter für Outlook, VPN und Cloud-Konten öffnen die Tür ganz ohne Schadsoftware.

• 3

  Phishing-Mails – der Anteil geht zurück, doch KI macht die Nachrichten professioneller und schwerer zu erkennen.

• 4

  Fehlkonfiguration – offene Server, Standardpasswörter und zu breite Freigaben in Cloud und Netzwerk.

Warum gerade KMU im Fokus stehen

Nach dem BSI richteten sich 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen. Nach dem Bundeskriminalamt betrafen 2025 rund 90 Prozent der Angriffe kleine und mittlere Unternehmen.

Es gibt aber eine gute Nachricht: Der Anteil der Opfer, die Lösegeld zahlten, ist gesunken. 2025 waren es laut Bundeskriminalamt nur noch sieben Prozent, im Vorjahr noch neun. Schutzmaßnahmen wirken also – und das BSI nennt den Schutz der Angriffsflächen den entscheidenden Hebel für 2026.

Drei Ebenen statt fünf Einzelmaßnahmen

Die verbreiteten Schutzmaßnahmen lassen sich drei Ebenen zuordnen. Jede Ebene wirkt gegen einen anderen Teil des Angriffs. Wer alle drei besetzt, deckt den Angriff von der Tür bis zur Wiederherstellung ab.

Ebene 3: Das Backup rettet den Betrieb, aber keine gestohlenen Daten

Hier liegt der häufigste Irrtum. Das BSI formuliert es deutlich: Backups bleiben essenziell gegen Ransomware, helfen aber nicht gegen Datenleaks. 72 Prozent der angezeigten Ransomware-Angriffe gingen mit Datenleaks einher. Wer nur die Verschlüsselung abwehrt, verliert die Daten trotzdem.

Gegen Datenabfluss wirken andere Maßnahmen: Mehr-Faktor-Authentifizierung auf allen Zugängen und eine saubere Rechte- und Rollenverwaltung. Dazu kommen die Protokollierung von Zugriffen und Exporten sowie ein Löschkonzept, das Daten nach Ablauf tatsächlich löscht. Das 3-2-1-Backup bleibt trotzdem unverzichtbar: Es stellt wieder her, was verschlüsselt wurde.

Windows 11: Ransomware-Schutz, den Sie selbst einschalten können

Windows 11 bringt einen Ransomware-Schutz mit, der in den meisten Unternehmen nicht eingeschaltet ist. Microsoft nennt ihn kontrollierten Ordnerzugriff. Er wirkt im Defender Antivirus: Nur vertrauenswürdige Programme dürfen Dateien in geschützten Ordnern ändern. Ransomware, die Ihre Daten verschlüsseln will, wird daran gehindert.

Microsoft empfiehlt, die Funktion zuerst im Überwachungsmodus zu testen und erst danach in den Blockmodus zu wechseln. So prüfen Sie, welche Programme in Ihrem Alltag betroffen sind, ohne den Betrieb zu blockieren.

• 1

  Windows-Sicherheit öffnen und unter „Viren- & threat protection“ den Ransomware-Schutz verwalten.

• 2

  Kontrollierten Ordnerzugriff aktivieren – zuerst im Überwachungsmodus.

• 3

  Geschützte Ordner auswählen, für die der Schutz gelten soll.

• 4

  Nach der Testphase in den Blockmodus wechseln und Ausnahmen prüfen.

Die ersten 24 Stunden nach einem Angriff

• 1

  Netzwerk trennen – betroffene Systeme vom Netz nehmen, ohne sie auszuschalten.

• 2

  Sicherheitsdienst informieren und die Sofortmaßnahmen abstimmen.

• 3

  Nicht zurücksetzen – forensische Spur sichern, bevor Logs oder Images verloren gehen.

• 4

  Backups prüfen – welche Kopie ist intakt und wie schnell ist der Restore.

• 5

  Wiederherstellen – betroffene Systeme aus der geprüften Kopie zurückholen.

• 6

  Dritte informieren – ein Angriff auf einen IT-Dienstleister zieht weitere Kunden in Mitleidenschaft.

Wann sich ein Managed Security Service rechnet

Ransomware-Schutz braucht Kontinuität: Jemand muss Angriffsflächen reduzieren, Systeme überwachen, Updates einspielen, Backups prüfen und Wiederherstellungen testen. Wenn dafür kein IT-Mitarbeiter frei ist, ist ein Managed Service die wirtschaftlichere Variante. Sie bekommen eine dokumentierte Sicherheitslage, feste Reaktionszeiten und einen Ansprechpartner, der die Wiederherstellung begleitet.

Im Kostenrechner schätzen Sie den Rahmen für Ihre Geräte und Server. Im kostenlosen Erstgespräch ordnen wir ein, welche der drei Ebenen bei Ihnen zuerst fehlt. Danach zeigen wir, wie sich die Lücke schließen lässt, ohne jedes Werkzeug selbst zu betreiben.