Ransomware-Angriffe und deren Entwicklungen in 2025

Was ist Ransomware?

Ransomware bezeichnet Schadsoftware und begleitende Angriffsprozesse, mit denen Kriminelle Systeme sperren, Daten verschlüsseln oder Unternehmen mit gestohlenen Informationen erpressen. Die Verschlüsselung ist häufig nur der sichtbare letzte Schritt. Zuvor können Zugangsdaten missbraucht, Rechte erweitert, Systeme erkundet und Daten kopiert worden sein.

Häufige Einstiege sind Phishing, gestohlene Konten, ungeschützte Fernzugänge und ausgenutzte Schwachstellen. Kein einzelner Vektor erklärt alle Fälle; die Schutzplanung muss deshalb Identitäten, Systeme und Geschäftsprozesse verbinden.

Entwicklungen, die 2025 besonders relevant blieben

Kriminelle Arbeitsteilung: Bei Ransomware-as-a-Service stellen Entwickler Infrastruktur oder Schadsoftware bereit, während andere Akteure Zugänge beschaffen und Angriffe ausführen. Dadurch kann sich eine Kampagne schnell verändern, auch wenn einzelne Gruppen verschwinden.

Datenabfluss vor Verschlüsselung: Bei Double Extortion drohen Angreifer zusätzlich mit der Veröffentlichung kopierter Daten. Eine funktionierende Wiederherstellung reduziert dann den Betriebsunterbruch, beseitigt aber nicht das Vertraulichkeitsrisiko.

Missbrauch legitimer Zugänge: Ein echter Administrations- oder Fernwartungszugang kann unauffälliger sein als neue Schadsoftware. Starke Authentisierung, minimale Berechtigungen und nachvollziehbare Sitzungsprotokolle sind deshalb zentral.

Angriffe auf Abhängigkeiten: IT-Dienstleister, Softwareanbieter und gemeinsam genutzte Plattformen können mehrere Unternehmen betreffen. Das rechtfertigt Lieferantenkontrollen, aber keine pauschale Behauptung, jeder Vorfall löse automatisch eine ganze Lieferkette aus.

Was Unternehmen vorbeugend tun können

• Internetnahe Systeme inventarisieren und nach Risiko patchen.
• Privilegierte Konten trennen und mit starker MFA schützen.
• Netze und Administrationswege segmentieren.
• Backups getrennt oder unveränderlich speichern und Wiederherstellungen testen.
• Protokolle zentral sammeln und die Bearbeitung von Alarmen festlegen.
• Mitarbeitende für Phishing, Zahlungsbetrug und ungewöhnliche Freigaben sensibilisieren.

Reaktion vorbereiten

Ein Incident-Response-Plan sollte Entscheidungsrechte, technische Eindämmung, Beweissicherung, Kommunikation und Wiederanlauf regeln. Im Vorfall müssen mögliche Meldepflichten anhand des konkreten Sachverhalts geprüft werden. Eine starre Aussage, jede Ransomware-Infektion müsse an dieselben Stellen gemeldet werden, wäre falsch.

Die Zahlung eines Lösegelds garantiert weder Entschlüsselung noch Löschung kopierter Daten und kann rechtliche sowie sanktionsbezogene Fragen auslösen. Solche Entscheidungen gehören in die vorbereitete Krisenorganisation und benötigen fachkundige rechtliche Beratung.

Fazit

Die wichtigste Entwicklung ist nicht ein einzelnes Schlagwort, sondern die Verbindung von Zugangsdiebstahl, Datenabfluss und Erpressung. Der Ransomware-Schutz-Leitfaden zeigt, wie Prävention, Erkennung und Wiederherstellung zusammenwirken. Vollständigen Schutz kann keine Maßnahme garantieren.