Die meisten Gespräche über Ransomware, die wir führen, drehen sich um dieselbe Frage: “Wie schnell sind wir wieder da, wenn alles verschlüsselt ist?” Das ist eine gute Frage. Sie ist nur nicht mehr die wichtigste.

Der BSI-Lagebericht 2025 nennt für den Zeitraum vom 1. Juli 2024 bis zum 30. Juni 2025 genau 950 beim Bundeskriminalamt angezeigte Ransomware-Angriffe. Bei 72 Prozent davon gab es zusätzlich ein Datenleak. Anders gesagt: In fast drei von vier Fällen war die Verschlüsselung nur die eine Hälfte. Die andere war, dass die Daten das Haus verlassen haben.

Gegen diese Hälfte hilft kein Backup. Eine Wiederherstellung bringt Ihren Betrieb zurück. Sie holt keine einzige Datei zurück, die schon kopiert wurde.

Warum es den Mittelstand trifft

Rund 80 Prozent der angezeigten Angriffe richteten sich laut BSI gegen kleine und mittlere Unternehmen. Das ist kein Zufall und auch keine besondere Böswilligkeit gegenüber dem Mittelstand. Es ist schlicht Ökonomie.

Das BSI beschreibt einen klaren Trend weg von großen, aufwendigen Angriffen hin zu vielen kleinen, einfach durchzuführenden. Zwei Entwicklungen treiben das. Erstens wurden mit LockBit und Alphv zwei der schlagkräftigsten Gruppen weitgehend zerschlagen. Was übrig bleibt, arbeitet kleinteiliger. Zweitens wächst die Angriffsfläche schneller, als sie gepflegt wird: Im Berichtszeitraum wurden täglich im Schnitt 119 neue Schwachstellen bekannt, ein Plus von rund 24 Prozent gegenüber dem Vorjahr. Und das BSI wird deutlich, wo es hakt: Bekannte Lücken in Perimetersystemen werden “viel zu oft zu spät oder gar nicht gepatcht”.

Angreifer suchen sich also nicht das lohnendste Ziel, sondern das billigste. Ein Betrieb mit 60 Mitarbeitenden, einer VPN-Appliance mit einem halben Jahr Patchrückstand und ohne jemanden, der abends auf Warnmeldungen schaut, ist billiger als ein Konzern mit eigenem Security-Team. Der Ertrag ist kleiner, der Aufwand aber auch.

Was ein Backup leistet, und was nicht

Ein sauberes, getestetes Backup ist unverzichtbar. Es entscheidet darüber, ob ein Vorfall drei Tage oder drei Wochen dauert. Aber es beantwortet nur eine von drei Fragen, die nach einem Angriff auf dem Tisch liegen:

• Läuft der Betrieb wieder? Das löst das Backup, vorausgesetzt, es wurde jemals zurückgespielt.
• Sind Daten abgeflossen? Das löst das Backup nicht. Das beantwortet nur Protokollierung, und zwar ausschließlich die, die vor dem Angriff schon lief.
• Müssen wir melden, und wen? Das löst das Backup ebenfalls nicht. Bei personenbezogenen Daten greift die Meldefrist von 72 Stunden aus Artikel 33 DSGVO, und sie beginnt mit der Kenntnis, nicht mit dem Abschluss Ihrer Aufklärung.

Der teuerste Satz nach einem Vorfall lautet erfahrungsgemäß nicht “Wir haben kein Backup”. Er lautet “Wir können nicht ausschließen, dass Daten abgeflossen sind”. Wer nicht ausschließen kann, muss annehmen. Und dann melden Sie einen Datenabfluss, dessen Umfang Sie nicht kennen, an eine Aufsichtsbehörde und möglicherweise an Ihre Kunden.

Die Lücke liegt bei Erkennen und Reagieren

Wir haben das an anderer Stelle schon beschrieben, aber es passt hier zu genau: Wenn wir mit der Cyber Defense Matrix durch eine gewachsene Umgebung gehen, ist die Spalte SCHÜTZEN fast immer gut gefüllt. Firewall, Virenschutz, Spamfilter, alles da. Die Spalten ERKENNEN und REAGIEREN sind fast immer die leeren.

Das ist logisch, denn Prävention lässt sich kaufen. Erkennung und Reaktion brauchen jemanden, der hinschaut, und einen Ablauf, der im Ernstfall greift. Genau daran hängt aber die Frage, ob Sie einen Angriff bemerken, während die Daten kopiert werden, oder erst, wenn die Lösegeldforderung auf dem Bildschirm steht. Zwischen dem ersten Zugriff und der Verschlüsselung liegen in der Regel Tage. Das ist Ihr Zeitfenster, und es nützt nur, wenn jemand es nutzt.

Was wirklich hilft, in dieser Reihenfolge

Nach unserer Erfahrung ist die Reihenfolge wichtiger als die Vollständigkeit. Wer alles gleichzeitig angeht, kommt nirgends an.

1. Die Angriffsfläche kleiner machen. Was aus dem Internet erreichbar ist, muss aktuell sein und begründet erreichbar bleiben. Das alte VPN-Portal, das seit dem Umzug niemand mehr braucht, ist kein Restrisiko, sondern der wahrscheinlichste Einstiegspunkt. Wie schnell ein Patchstand zum Betriebsrisiko wird, haben wir am CrowdStrike-Ausfall durchgespielt.

2. Zugangsdaten wertlos machen. Gestohlene Zugangsdaten sind laut BSI weiter auf dem Vormarsch. Ein Passwort allein darf nirgends mehr genügen, und SMS-Codes zählen nicht als ernsthafter zweiter Faktor. Phishing-resistente Verfahren wie Passkeys oder Hardware-Token sind seit Jahren verfügbar und in einem Tag ausgerollt. Wer Mailadressen absichern will, fängt zusätzlich bei der eigenen Domain an.

3. Das Backup gegen den Angreifer absichern. Eine Sicherung, die mit denselben Administratorkonten erreichbar ist wie die Produktivumgebung, wird im Ernstfall mitverschlüsselt. Was zählt, ist eine Kopie außerhalb der Reichweite dieser Konten und ein Rückspieltest, den jemand wirklich durchgeführt hat. Für Microsoft 365 haben wir aufgeschrieben, wo die Bordmittel aufhören.

4. Jemanden haben, der hinschaut. Eine Warnmeldung um 23 Uhr, die erst am nächsten Morgen jemand sieht, ist keine Erkennung. Das ist der Punkt, an dem Managed Security tatsächlich einen Unterschied macht, und ehrlicherweise auch der einzige, den Sie nicht nebenbei mit erledigen können.

5. Den Ernstfall einmal durchspielen. Wer entscheidet über die Trennung vom Netz? Wer spricht mit Kunden? Wo stehen die Nummern, wenn das Telefonsystem am selben Server hängt? Diese Fragen kosten im Ernstfall Stunden, wenn sie vorher nie gestellt wurden.

Zur Lösegeldfrage

Die Zahlungsbereitschaft sinkt laut BSI weiter. Gleichzeitig wurden bei Datenleaks nach Exploitation-Angriffen die höchsten Durchschnittslösegelder seit Beginn der Aufzeichnungen registriert. Beides zusammen ergibt ein klares Bild: Wer zahlt, zahlt inzwischen mehr, und immer weniger halten das für eine gute Idee.

Zahlen ist keine Strategie. Sie kaufen einen Entschlüsselungscode von jemandem, der Ihnen gerade bewiesen hat, dass er nicht vertrauenswürdig ist. Auf die abgeflossenen Daten hat die Zahlung ohnehin keinen belastbaren Einfluss, das Versprechen der Löschung ist genau das: ein Versprechen.

Kurz zu NIS2

Seit dem 6. Dezember 2025 ist das deutsche NIS2-Umsetzungsgesetz in Kraft. Direkt betroffen sind rund 29.500 Unternehmen, die meisten mittelständischen Betriebe fallen also nicht darunter. Trotzdem kommt das Thema an: über die Lieferkette. Wer an einen betroffenen Kunden liefert, bekommt dessen Anforderungen weitergereicht, in Form von Fragebögen, Vertragsklauseln und Nachweispflichten.

Unser Rat dazu ist unaufgeregt: Behandeln Sie das nicht als Compliance-Projekt, sondern als das, was es ist. Die Maßnahmen sind dieselben fünf von oben.

Der ehrliche Teil

Managed Security verhindert keinen Angriff. Wer Ihnen das verkauft, verkauft Ihnen etwas, das es nicht gibt. Was sich beeinflussen lässt, ist die Zeit: wie lange jemand unbemerkt in Ihrem Netz ist, wie lange Sie nach einem Vorfall stillstehen, wie lange Sie brauchen, um zu sagen, was passiert ist.

Genau diese drei Zeiten entscheiden darüber, ob ein Vorfall ein schlechter Monat wird oder ein existenzielles Problem.

Wo Sie anfangen können

Wenn Sie wissen wollen, wie Ihr Betrieb heute dasteht, ist der pragmatischste Einstieg unser Blick auf die Angriffsfläche und die Frage, was bei einem Vorfall eigentlich passieren würde. Ohne Produktempfehlung im ersten Schritt, denn zuerst muss klar sein, was fehlt.

Mehr zu unseren Security-Leistungen oder direkt ein Erstgespräch anfragen.