Was ist Ransomware? Ohne Fachjargon erklärt

Das BSI hat das in einem Papier von 2021 so beschrieben:

„Dabei werden die IT-Systeme der Betroffenen durch eine Verschlüsselung beeinträchtigt, ihre Verfügbarkeit erheblich eingeschränkt und die Besitzer mit einer Aufforderung zur Zahlung eines Lösegelds [...] erpresst. Diese Methode ist durch die Sichtbarkeit und unmittelbare Wirksamkeit besonders effektiv. Bei diesem Vorgehen nutzen die Täter Fehler des Betroffenen wie Fehlbedienung, Fehlkonfigurationen, veraltete Software-Stände oder mangelhafte Datensicherungen aus. Die Zahlung des Lösegelds wird meist in elektronischen Währungen (üblicherweise Bitcoin) gefordert.“

Der wichtigste Satz steht in der Mitte. Die Täter nutzen Fehler aus: falsche Einstellungen, veraltete Software, schlechte Sicherungen. Ransomware ist also selten ein Meisterwerk der Technik. Meistens hat jemand ein offenes Fenster gefunden.

Einen Paragraphen „Ransomware“ gibt es im deutschen Recht übrigens nicht. Weder das Strafgesetzbuch noch das BSI-Gesetz verwenden das Wort. Strafrechtlich ist so ein Angriff eine Reihe von Taten, vom Ausspähen von Daten bis zur Erpressung.

Nur verschlüsseln. Das ist die klassische Form. Die Daten sind noch da, aber niemand kann sie lesen. Wer eine saubere Sicherung hat, spielt sie zurück und zahlt nichts.

Kopieren, dann verschlüsseln. Die Täter ziehen vorher Daten ab und drohen, sie zu veröffentlichen. Fachleute nennen das Double Extortion, doppelte Erpressung. Das BSI schreibt dazu, es sei „inzwischen üblich, dass die Angreifenden bei einem Ransomware-Angriff auch Daten kopieren und dann mit der Veröffentlichung drohen“. Rund 76 Prozent der Angriffe, die 2025 in Deutschland angezeigt wurden, liefen so.

Nur kopieren. Hier wird gar nicht mehr verschlüsselt, die Täter erpressen allein mit den gestohlenen Daten. Das BSI nennt das im Lagebericht 2025 „ein Vektor, der zunehmend bedeutender wird“. Das BKA schreibt: „Data Extortion gewinnt zunehmend an Bedeutung.“

Für Ihren Betrieb heißt das ganz praktisch: Eine gute Sicherung bringt Ihre Arbeit zurück. Gegen die Veröffentlichung hilft sie nicht.

Das Bild vom einzelnen Hacker, der nachts im Keller sitzt, stimmt nicht mehr. Ransomware ist ein Geschäft mit Arbeitsteilung.

Das BSI schreibt im Lagebericht 2025: „Cybercrime-as-a-Service, speziell Ransomware-as-a-Service, blieb im Berichtszeitraum hoch.“

Eine Gruppe schreibt die Software, andere mieten sie und führen die Angriffe aus. Deshalb zählte das BKA 2025 rund 100 verschiedene Varianten gegen deutsche Geschädigte.

Und deshalb verschwindet das Problem nicht, wenn Ermittler eine Gruppe zerschlagen. Nach den Schlägen gegen 8Base und BlackSuit und der Selbstauflösung von BlackBasta füllten 2025 laut BKA vor allem zwei Gruppen die Lücke: Akira und SafePay.

Auch innerhalb eines Angriffs ist die Arbeit geteilt. Erst breitet sich die Software automatisch aus. Dann sehen sich Menschen an, was im Netz steht und ob sich die Mühe lohnt. Das passiert laut BSI oft erst zwei bis drei Wochen nach dem Einbruch, „da die Täter vermutlich aufgrund der Vielzahl weltweiter Opfer ein großes ‚Angebot‘ abzuarbeiten haben“.

Bei einem normalen Virus denkt man: Programm drüberlaufen lassen, Schädling weg, weiterarbeiten. Bei Ransomware geht das nicht.

Das BSI begründet das im Papier „Erste Hilfe bei einem schweren IT-Sicherheitsvorfall“ von 2022 so:

„Die Schadprogramme nehmen teilweise tiefgreifende (sicherheitsrelevante) Änderungen am infizierten lokalen System vor, die nicht einfach rückgängig gemacht werden können.“

Deshalb empfiehlt das BSI im Grundsatz, infizierte lokale Systeme „als vollständig kompromittiert zu betrachten und neu aufzusetzen“.

Ein befallener Rechner wird also neu aufgesetzt, nicht repariert. Und weil sich die Software im Netz ausbreitet, betrifft das selten nur einen Rechner.

Können wir weiterarbeiten? Das hängt an der Sicherung, und daran, ob der Angriff sie erreicht hat. Das BSI rechnet mit funktionierender Sicherung mit mehreren Tagen bis einigen Wochen Ausfall. Ohne sind es mehrere Wochen bis Monate.

Sind Daten abgeflossen? Bei rund drei von vier angezeigten Angriffen 2025 ja. Das BSI rät, im Ernstfall davon auszugehen: „Mit einem Abfluss von Daten ist zu rechnen.“

Wer muss jetzt etwas melden? Ihr Betrieb. Sind personenbezogene Daten betroffen, liegt die Meldepflicht nach der DSGVO bei Ihnen als Verantwortlichem. Nicht beim Täter und nicht bei Ihrem IT-Dienstleister. Was genau zu melden ist und bis wann, steht in unserem Beitrag über Meldepflichten und Versicherung nach einem Angriff.

Wenn Sie diese drei Fragen heute nicht beantworten können, ist das kein Grund zur Unruhe. Es ist ein guter Anlass, sie Ihrem IT-Betreuer zu stellen.