Unterschied Malware und Ransomware einfach erklärt

Malware und Ransomware werden häufig gleichgesetzt, bedeuten aber nicht dasselbe. Malware ist der Oberbegriff für sämtliche Arten schädlicher Software. Ransomware ist eine spezielle Form von Malware, die Unternehmen oder Privatpersonen erpressen soll. Somit ist jede Ransomware Malware – aber nicht jede Malware ist Ransomware.

Malware kann beispielsweise Zugangsdaten stehlen, Benutzer ausspionieren, Dateien manipulieren oder Angreifern einen versteckten Zugriff ermöglichen. Ransomware verschlüsselt dagegen meist wichtige Daten, sperrt Systeme oder droht mit der Veröffentlichung gestohlener Informationen. Anschließend verlangen die Täter ein Lösegeld.Für Unternehmen ist der Unterschied relevant, weil sich Auswirkungen und notwendige Gegenmaßnahmen unterscheiden. Dieser Beitrag erklärt die wichtigsten Begriffe, den typischen Ablauf eines Angriffs sowie konkrete Maßnahmen zur Prävention und Reaktion.

Unterschied zwischen Malware und Ransomware auf einen Blick

Der wesentliche Unterschied liegt im Umfang und im Angriffsziel: Malware umfasst viele Arten von Schadsoftware mit unterschiedlichen Funktionen. Ransomware ist auf Erpressung ausgerichtet.

Merkmal	Malware	Ransomware
Einordnung	Oberbegriff für Schadsoftware	Unterart von Malware
Hauptziel	Diebstahl, Spionage, Manipulation oder Sabotage	Erpressung
Typische Funktion	Abhängig von der jeweiligen Malware-Art	Verschlüsselung, Systemsperre oder Veröffentlichungsdrohung
Sichtbarkeit	Kann lange unbemerkt bleiben	Wird spätestens mit der Lösegeldforderung sichtbar
Beispiele	Trojaner, Virus, Wurm, Spyware und Infostealer	Crypto-Ransomware, Locker-Ransomware und Leakware
Reaktion	Schadsoftware entfernen und Angriff untersuchen	Zusätzlich Systeme und Daten sicher wiederherstellen

Die Infektionswege können bei beiden Bedrohungen identisch sein. Häufig nutzen Cyberkriminelle Phishing-E-Mails, manipulierte Downloads, gestohlene Zugangsdaten oder ungepatchte Sicherheitslücken.

Auch die Grenzen können sich überschneiden. Ein Trojaner kann zunächst Zugangsdaten stehlen und einen versteckten Zugang einrichten. Diesen Zugang verwenden die Täter später, um Ransomware im Unternehmensnetzwerk zu verteilen.

Was ist Malware?

Der Begriff Malware setzt sich aus den englischen Wörtern „malicious“ und „software“ zusammen und bedeutet Schadsoftware. Gemeint sind Programme oder schädliche Codebestandteile, die ohne Zustimmung der Betroffenen unerwünschte Aktionen ausführen.

Zu den wichtigsten Malware-Arten gehören:

• Trojaner: Tarnen sich als legitime Dateien oder Anwendungen und können weitere Schadsoftware installieren.
• Viren: Befallen Dateien oder Programme und werden bei deren Ausführung aktiv.
• Würmer: Verbreiten sich selbstständig über Netzwerke und Sicherheitslücken.
• Spyware und Infostealer: Sammeln Passwörter, Zugangsdaten und andere vertrauliche Informationen.
• Rootkits und Backdoors: Verbergen schädliche Aktivitäten oder schaffen einen heimlichen Zugang.
• Ransomware: Verschlüsselt Daten, sperrt Systeme oder droht mit der Veröffentlichung gestohlener Informationen.

Malware kann über Phishing, schädliche Anhänge, manipulierte Software, unsichere Fernzugänge oder bekannte Sicherheitslücken in ein Unternehmen gelangen. Manche Varianten verursachen sofort sichtbare Schäden. Andere bleiben über längere Zeit unbemerkt und sammeln Informationen.

Wird Malware gefunden, genügt es deshalb nicht immer, nur die erkannte Datei zu löschen. Unternehmen müssen zusätzlich prüfen, welche Systeme und Konten betroffen sind, ob Daten abgeflossen sind und ob die Täter weitere Zugänge eingerichtet haben.

Wie funktioniert Malware?

Malware kann auf unterschiedliche Weise funktionieren. Manche Schadprogramme werden unmittelbar nach dem Öffnen einer manipulierten Datei aktiv. Andere versuchen zunächst, sich im System zu verbergen, Informationen über das Gerät zu sammeln oder eine Verbindung zu den Angreifern aufzubauen.

Nach der Ausführung kann Malware beispielsweise Systemeinstellungen verändern, Sicherheitssoftware deaktivieren oder weitere Programme aus dem Internet herunterladen. Welche Aktionen möglich sind, hängt auch von den Berechtigungen des betroffenen Benutzerkontos ab. Besitzt der Benutzer lokale Administratorrechte, kann die Schadsoftware häufig tiefere Veränderungen am System vornehmen.

Ein typischer Malware-Angriff kann folgendermaßen ablaufen:

1. Ein Mitarbeiter öffnet einen schädlichen Anhang oder meldet sich auf einer gefälschten Webseite an.
2. Die Malware wird ausgeführt oder die Zugangsdaten werden an die Täter übertragen.
3. Das Schadprogramm sammelt Informationen über das Gerät und das Netzwerk.
4. Weitere Malware-Komponenten werden nachgeladen.
5. Die Täter versuchen, zusätzliche Konten und Systeme zu übernehmen.
6. Daten werden gestohlen, manipuliert oder als Vorbereitung auf einen Ransomware-Angriff verwendet.

Moderne Malware ist häufig modular aufgebaut. Das bedeutet, dass zunächst nur ein kleines Programm installiert wird. Dieses entscheidet später, welche weiteren Funktionen benötigt werden. Auf einem privaten Gerät kann beispielsweise ein Infostealer nachgeladen werden, während ein kompromittierter Unternehmensrechner für einen umfassenderen Netzwerkangriff genutzt wird.

Nicht jede schädliche Aktivität erfordert eine klassische Malware-Datei. Angreifer können auch vorhandene Verwaltungsprogramme, Skriptumgebungen und Fernwartungswerkzeuge missbrauchen. Solche Aktivitäten sind schwieriger zu erkennen, weil die verwendete Software grundsätzlich legitim sein kann.

Unternehmen müssen deshalb nicht nur bekannte Schadprogramme blockieren. Sie sollten ebenfalls ungewöhnliches Verhalten erkennen können. Dazu gehören verdächtige Befehle, neue Administratorrechte, auffällige Netzwerkverbindungen und unerwartete Zugriffe auf sensible Daten.

Welche Ziele verfolgen Malware-Angriffe?

Malware kann für unterschiedliche kriminelle Zwecke eingesetzt werden. Nicht jedes Schadprogramm soll ein System sofort beschädigen. Häufig möchten die Täter möglichst lange unentdeckt bleiben und den bestehenden Zugang schrittweise ausbauen.

Ein häufiges Ziel ist der Diebstahl von Zugangsdaten. Infostealer suchen beispielsweise nach gespeicherten Passwörtern, Sitzungscookies, VPN-Zugängen und Anmeldedaten für Cloud-Dienste. Mit diesen Informationen können die Täter weitere Konten übernehmen oder den Zugang an andere Cyberkriminelle verkaufen.

Weitere mögliche Ziele sind:

• Spionage: Vertrauliche Dokumente, Geschäftsgeheimnisse und interne Kommunikation werden gesammelt.
• Finanzieller Betrug: Zahlungsinformationen werden gestohlen oder Überweisungen manipuliert.
• Fernzugriff: Eine Backdoor ermöglicht den dauerhaften Zugriff auf das kompromittierte System.
• Sabotage: Dateien und Systeme werden verändert, beschädigt oder gelöscht.
• Ressourcenmissbrauch: Geräte werden für Cryptomining, Spam oder Überlastungsangriffe eingesetzt.
• Erpressung: Ransomware verschlüsselt Systeme oder droht mit der Veröffentlichung entwendeter Daten.
• Vorbereitung weiterer Angriffe: Die Malware dient als Ausgangspunkt für die Übernahme weiterer Systeme.

Ein Angriff kann mehrere Ziele miteinander verbinden. Ein Trojaner kann zunächst einen versteckten Zugang einrichten. Danach sammelt ein Infostealer Passwörter, bevor die Täter weitere Server übernehmen und schließlich Ransomware verteilen.

Cyberkriminelle arbeiten dabei teilweise arbeitsteilig. Eine Gruppe verschafft sich Zugang zu einem Unternehmensnetzwerk und verkauft diesen an eine andere Tätergruppe. Diese führt anschließend Datendiebstahl, Betrug oder einen Ransomware-Angriff durch.Deshalb sollte auch ein scheinbar begrenzter Malware-Fund umfassend untersucht werden. Selbst wenn das erkannte Schadprogramm entfernt wurde, können Zugangsdaten bereits abgeflossen oder zusätzliche Hintertüren eingerichtet worden sein.

Über welche Wege gelangt Malware in Unternehmen?

Malware kann über zahlreiche Einfallswege in ein Unternehmensnetzwerk gelangen. Besonders häufig verbinden die Täter technische Schwachstellen mit Social Engineering. Sie versuchen also nicht nur, Systeme zu überwinden, sondern manipulieren auch Beschäftigte zu einer riskanten Handlung.

Zu den wichtigsten Einfallswegen gehören:

Phishing-E-Mails:
Die Täter versenden gefälschte Rechnungen, Bewerbungen, Versandinformationen oder Sicherheitswarnungen. Der Empfänger soll einen schädlichen Anhang öffnen, einen Link aufrufen oder Zugangsdaten eingeben.

Manipulierte Downloads:
Malware kann sich in vermeintlichen Programmen, Browser-Erweiterungen oder Software-Updates verstecken. Besonders riskant sind Downloads aus unbekannten Quellen.

Ungepatchte Sicherheitslücken:
Veraltete Betriebssysteme, Anwendungen, Firewalls und VPN-Gateways können bekannte Schwachstellen enthalten. Sind die Systeme aus dem Internet erreichbar, lassen sich manche Lücken automatisiert ausnutzen.

Gestohlene Zugangsdaten:
Angreifer können kompromittierte Passwörter verwenden, um sich bei E-Mail-, Cloud- oder Fernzugangsdiensten anzumelden. Fehlt eine Multi-Faktor-Authentifizierung, genügt möglicherweise bereits ein gültiges Passwort.

Unsichere Fernzugänge:
Schlecht geschützte VPN- oder Remote-Desktop-Verbindungen sind ein attraktives Ziel. Besonders gefährlich sind einfache Passwörter und nicht mehr benötigte Konten.

Kompromittierte Dienstleister:
Besitzt ein externer Anbieter Zugriff auf mehrere Kundennetzwerke, kann ein übernommenes Konto weitreichende Folgen haben. Auch manipulierte Software-Updates können Schadcode verbreiten.

Meist führt nicht eine einzelne Schwäche zum erfolgreichen Angriff. Eine Phishing-Mail wird beispielsweise besonders gefährlich, wenn Beschäftigte Programme installieren dürfen, keine Multi-Faktor-Authentifizierung eingerichtet ist und die Netzwerkbereiche nicht ausreichend voneinander getrennt sind.

Wirksamer Schutz muss deshalb mehrere Ebenen verbinden: aktuelle Systeme, eingeschränkte Berechtigungen, sichere Zugangskontrollen, technische Überwachung und sensibilisierte Beschäftigte.

Was ist Ransomware?

Ransomware ist Malware, die für digitale Erpressung eingesetzt wird. Der Begriff leitet sich vom englischen Wort „ransom“ für Lösegeld ab. Die Schadsoftware verschlüsselt Dateien, sperrt Systeme oder verhindert den Zugriff auf wichtige Anwendungen. Anschließend verlangen die Täter eine Zahlung für die vermeintliche Freigabe.

Moderne Ransomware-Angriffe gehen häufig über eine reine Verschlüsselung hinaus. Cyberkriminelle stehlen zunächst vertrauliche Informationen und drohen später mit deren Veröffentlichung. Dadurch bleibt der Erpressungsdruck auch dann bestehen, wenn das Unternehmen seine Systeme aus Backups wiederherstellen kann.

Besonders gefährdet sind:

• zentrale Server und Datenbanken,
• Produktions- und Logistiksysteme,
• E-Mail- und Cloud-Dienste,
• Identitäts- und Benutzerverwaltungen,
• sowie Backup-Systeme.

Eine Lösegeldzahlung garantiert weder die Wiederherstellung der Daten noch deren Löschung bei den Tätern. Sicherheitsbehörden raten deshalb grundsätzlich davon ab, Lösegeld zu zahlen.

Welche Ransomware-Arten gibt es?

Ransomware kann je nach Variante unterschiedliche Druckmittel einsetzen. Die wichtigsten Arten sind:

• Crypto-Ransomware: Verschlüsselt Dateien und verlangt Geld für den angeblichen Entschlüsselungsschlüssel.
• Locker-Ransomware: Sperrt den Zugriff auf ein Gerät oder System.
• Leakware: Stiehlt vertrauliche Daten und droht mit deren Veröffentlichung.
• Double Extortion: Verbindet Datendiebstahl und Verschlüsselung.
• Ransomware-Würmer: Verbreiten sich selbstständig über verwundbare Systeme.
• Wiper: Zerstören Daten und tarnen sich teilweise als Ransomware, obwohl eine Entschlüsselung nicht vorgesehen ist.

In der Praxis kombinieren Täter häufig mehrere Methoden. Sie kopieren beispielsweise zuerst sensible Daten, beeinträchtigen anschließend die Backups und verschlüsseln zuletzt zentrale Systeme. Deshalb muss bei einem Ransomware-Vorfall immer auch ein möglicher Datenabfluss untersucht werden.

Wie läuft ein Ransomware-Angriff ab?

Die Verschlüsselung ist häufig nur die letzte Phase eines längeren Angriffs. Ein typischer Ransomware-Angriff verläuft in mehreren Schritten:

1. Erstzugriff: Die Täter nutzen Phishing, gestohlene Zugangsdaten, unsichere Fernzugänge oder ungepatchte Sicherheitslücken.
2. Erkundung: Sie suchen nach wichtigen Systemen, Daten und Benutzerkonten.
3. Ausbreitung: Weitere Geräte und Server werden übernommen.
4. Rechteausweitung: Die Angreifer versuchen, Administratorrechte zu erhalten.
5. Datendiebstahl: Vertrauliche Informationen werden aus dem Netzwerk übertragen.
6. Manipulation der Backups: Wiederherstellungsmöglichkeiten sollen beeinträchtigt werden.
7. Verschlüsselung und Erpressung: Systeme werden gesperrt und eine Lösegeldforderung erscheint.

Wenn die Verschlüsselung bemerkt wird, können die Täter bereits seit Tagen oder Wochen Zugriff besitzen. Betroffene Unternehmen dürfen sich deshalb nicht auf die Wiederherstellung der Dateien beschränken. Sie müssen auch den Einfallsweg, kompromittierte Konten und einen möglichen Datendiebstahl untersuchen.

Erstzugriff und Vorbereitung des Angriffs

Ein Ransomware-Angriff beginnt häufig nicht mit der eigentlichen Verschlüsselung. Zunächst benötigen die Täter einen Zugang zum Unternehmensnetzwerk. Dafür verwenden sie beispielsweise gestohlene Passwörter, manipulierte E-Mails oder bekannte Sicherheitslücken.

Ein erfolgreicher Erstzugriff kann auf unterschiedlichen Wegen erfolgen:

• Beschäftigte öffnen einen schädlichen E-Mail-Anhang.
• Zugangsdaten werden auf einer gefälschten Anmeldeseite eingegeben.
• Ein Infostealer entwendet Passwörter und Sitzungscookies.
• Ein öffentlich erreichbares System enthält eine ungepatchte Schwachstelle.
• Ein VPN- oder Fernzugangskonto wird übernommen.
• Der Zugang eines externen Dienstleisters wird kompromittiert.

Nach dem Eindringen führen die Täter die Ransomware nicht zwangsläufig sofort aus. Bei gezielten Angriffen versuchen sie zunächst, ihre Position im Netzwerk abzusichern. Sie sammeln Informationen über vorhandene Systeme, Benutzerkonten, Sicherheitslösungen und Backup-Strukturen.

Dabei interessieren sie sich besonders für zentrale Verzeichnisdienste, Dateiserver, Virtualisierungsplattformen und administrative Zugänge. Diese Systeme können den Angreifern ermöglichen, zahlreiche Geräte gleichzeitig zu erreichen.

In dieser Phase verhalten sich die Täter möglichst unauffällig. Sie verwenden teilweise vorhandene System- und Verwaltungswerkzeuge, damit ihre Aktivitäten wie gewöhnliche IT-Prozesse erscheinen. Dadurch kann der unberechtigte Zugriff über einen längeren Zeitraum unentdeckt bleiben.

Eine frühzeitige Erkennung ist deshalb besonders wichtig. Verdächtige Anmeldungen, unbekannte Geräte, ungewöhnliche Befehle und neue Benutzerkonten können Hinweise auf die Vorbereitung eines Ransomware-Angriffs sein.

Ausbreitung im Netzwerk und Übernahme von Administratorrechten

Nach dem Erstzugriff versuchen die Angreifer, weitere Systeme zu erreichen. Dieser Vorgang wird als laterale Bewegung bezeichnet. Ziel ist es, den Zugriff vom ursprünglich kompromittierten Gerät auf Server, Cloud-Dienste und andere wichtige Bereiche auszuweiten.

Dabei suchen die Täter gezielt nach Konten mit höheren Berechtigungen. Ein kompromittiertes Administratorkonto kann ihnen ermöglichen, Sicherheitssoftware zu deaktivieren, Einstellungen zentral zu verändern und Ransomware auf zahlreichen Geräten zu verteilen.

Eine schnelle Ausbreitung wird begünstigt durch:

• zu weitreichende Benutzerrechte,
• gemeinsam verwendete Administratorkonten,
• fehlende Netzwerksegmentierung,
• identische Passwörter auf mehreren Systemen,
• ungeschützte Fernverwaltungsdienste,
• und unzureichend überwachte Cloud-Konten.

Angreifer können außerdem gespeicherte Anmeldedaten auslesen oder vorhandene Sitzungen übernehmen. Dadurch erscheinen ihre Zugriffe teilweise wie reguläre Anmeldungen eines Mitarbeiters.

Unternehmen sollten privilegierte Konten deshalb besonders schützen. Administratorzugänge dürfen nur für administrative Tätigkeiten verwendet werden und benötigen eine starke Multi-Faktor-Authentifizierung. Berechtigungen sollten regelmäßig überprüft und auf das notwendige Maß begrenzt werden.Eine Netzwerksegmentierung erschwert zusätzlich die Ausbreitung. Arbeitsplätze sollten beispielsweise nicht uneingeschränkt auf Produktions-, Server- oder Backup-Bereiche zugreifen können. Je stärker wichtige Systeme voneinander getrennt sind, desto geringer ist die Wahrscheinlichkeit, dass eine einzelne Infektion das gesamte Unternehmen betrifft.

Datendiebstahl, Verschlüsselung und Lösegeldforderung

Bevor die Ransomware ausgeführt wird, suchen die Täter häufig nach besonders wertvollen Informationen. Dazu gehören Kundendaten, Personalunterlagen, Finanzinformationen, Verträge, technische Dokumentationen und interne Kommunikation.

Die ausgewählten Daten werden anschließend aus dem Unternehmensnetzwerk übertragen. Die Täter nutzen sie als zusätzliches Druckmittel und drohen mit einer Veröffentlichung, falls das Unternehmen nicht zahlt.

Gleichzeitig versuchen sie, die Wiederherstellung zu erschweren. Dafür können sie:

• Backup-Dateien löschen,
• Sicherungssoftware deaktivieren,
• Wiederherstellungspunkte entfernen,
• Administratorpasswörter verändern,
• und Sicherheitslösungen abschalten.

Erst danach beginnt die eigentliche Verschlüsselung. Die Ransomware wird möglichst gleichzeitig auf vielen Systemen ausgeführt, damit das Unternehmen nicht rechtzeitig reagieren kann. Betroffen sein können lokale Dateien, Netzlaufwerke, Datenbanken und virtuelle Server.

Nach Abschluss der Verschlüsselung hinterlassen die Täter eine Lösegeldforderung. Sie enthält häufig Zahlungsanweisungen, eine Frist und eine Drohung zur Veröffentlichung gestohlener Daten.

Das Erscheinen dieser Nachricht bedeutet jedoch nicht, dass der Angriff gerade erst begonnen hat. Zu diesem Zeitpunkt können die Täter bereits umfangreiche Informationen entwendet und mehrere Systeme kompromittiert haben. Eine Wiederherstellung aus Backups reicht deshalb allein nicht aus. Das Unternehmen muss den vollständigen Angriffsweg untersuchen und alle verbliebenen Zugänge schließen.

Woran erkennt man Malware und Ransomware?

Viele Malware-Arten versuchen, möglichst lange unentdeckt zu bleiben. Mögliche Anzeichen sind:

• ungewöhnlich langsame oder instabile Systeme,
• unbekannte Programme und Prozesse,
• verdächtige Anmeldungen,
• veränderte Sicherheits- oder Browsereinstellungen,
• unerklärliche Netzwerkverbindungen,
• sowie deaktivierte Sicherheitssoftware.

Ransomware wird spätestens mit der Lösegeldforderung sichtbar. Weitere Hinweise sind plötzlich unlesbare Dateien, veränderte Dateiendungen, gesperrte Anwendungen und zahlreiche gleichzeitige Dateiänderungen.

Vor der Verschlüsselung können ungewöhnlich große Datenübertragungen, neue Administratorkonten oder Zugriffe auf Backup-Systeme auf einen Angriff hindeuten. Unternehmen sollten deshalb nicht erst auf sichtbare Schäden reagieren, sondern auch Netzwerk-, Konto- und Systemaktivitäten überwachen.

Aktuelle Bedrohungslage durch Malware und Ransomware

Malware und Ransomware gehören weiterhin zu den wichtigsten Cyberbedrohungen für Unternehmen und öffentliche Einrichtungen. Das Bundesamt für Sicherheit in der Informationstechnik bewertet Ransomware als eine der größten operativen Bedrohungen der Cybersicherheit. Gemeint ist damit nicht nur die Häufigkeit der Angriffe, sondern vor allem deren Fähigkeit, vollständige Geschäftsprozesse zu unterbrechen.

Auch der ENISA Threat Landscape 2025 bestätigt die hohe Relevanz. Die europäische Cybersicherheitsagentur untersuchte 4.875 Vorfälle aus dem Zeitraum vom 1. Juli 2024 bis zum 30. Juni 2025. Ransomware wurde dabei als die Bedrohung mit den größten Auswirkungen innerhalb der Europäischen Union eingeordnet.

Rund 60 Prozent der von ENISA beobachteten Erstzugriffe standen im Zusammenhang mit Phishing. Dazu zählen neben klassischen Phishing-E-Mails auch Malspam, manipulierte Werbeanzeigen und telefonische Täuschungsversuche. Diese Zahl zeigt, dass Cyberangriffe selten ausschließlich ein technisches Problem sind. Angreifer kombinieren Schadsoftware häufig mit psychologischer Manipulation, um Sicherheitskontrollen zu umgehen.

Der deutsche BSI-Lagebericht 2025 beschreibt die IT-Sicherheitslage weiterhin als angespannt. Ransomware ist dabei ein etabliertes kriminelles Geschäftsmodell. Tätergruppen arbeiten arbeitsteilig, verwenden professionelle Infrastrukturen und greifen nicht nur große Konzerne an. Auch mittelständische Unternehmen, Kommunen und Dienstleister können betroffen sein.

Die tatsächliche Zahl erfolgreicher Angriffe dürfte höher liegen als öffentlich bekannte Fallzahlen. Nicht jeder Vorfall wird veröffentlicht, und manche Malware-Infektionen bleiben über längere Zeit unentdeckt. Statistiken bilden daher nur den dokumentierten Teil der Bedrohungslage ab.

Warum die finanziellen Folgen weit über eine Lösegeldforderung hinausgehen

Der wirtschaftliche Schaden eines Ransomware-Angriffs besteht nicht nur aus der geforderten Zahlung. Häufig sind Betriebsunterbrechung, Wiederherstellung und der Verlust von Geschäftsvertrauen deutlich kostspieliger.

Der IBM Cost of a Data Breach Report 2025 beziffert die weltweiten Durchschnittskosten einer Datenschutzverletzung auf 4,44 Millionen US-Dollar. Dieser Wert umfasst verschiedene Arten von Datenschutzverletzungen und ist daher nicht mit den Kosten jedes einzelnen Ransomware-Angriffs gleichzusetzen. Er verdeutlicht jedoch, welche finanziellen Folgen kompromittierte Daten verursachen können.

Die Gesamtkosten können sich aus mehreren Bereichen zusammensetzen:

• Ausfall von Produktion und Dienstleistungen,
• entgangene Umsätze,
• IT-Forensik und Incident Response,
• Neuinstallation und Wiederherstellung der Systeme,
• Austausch kompromittierter Geräte,
• Rechts- und Datenschutzberatung,
• Benachrichtigung betroffener Personen,
• Krisenkommunikation,
• Vertragsstrafen und mögliche Schadenersatzforderungen,
• sowie langfristige Investitionen in zusätzliche Sicherheitsmaßnahmen.

Hinzu kommen schwer messbare Folgekosten. Kunden können zu einem anderen Anbieter wechseln, wenn sie dem betroffenen Unternehmen den sicheren Umgang mit ihren Daten nicht mehr zutrauen. Geschäftspartner können zusätzliche Sicherheitsnachweise verlangen oder bestehende Zugänge vorübergehend sperren.

Auch die Wiederherstellung aus Backups ist nicht kostenlos. Systeme müssen zunächst untersucht, bereinigt und neu aufgebaut werden. Danach ist zu prüfen, welche Datenbestände vertrauenswürdig sind. In komplexen Infrastrukturen kann dieser Prozess Tage oder Wochen dauern.

Unternehmen sollten das Ransomware-Risiko deshalb nicht mit der Frage bewerten, ob sie eine Lösegeldforderung bezahlen könnten. Entscheidend ist, wie lange kritische Prozesse ausfallen dürfen und welche Folgen ein Verlust oder eine Veröffentlichung sensibler Daten hätte.

Warum auch kleine und mittlere Unternehmen gefährdet sind

Ransomware-Angriffe richten sich nicht nur gegen große Konzerne. Kleine und mittlere Unternehmen können für Cyberkriminelle besonders attraktiv sein, weil sie wertvolle Daten verarbeiten, häufig von ihrer IT-Verfügbarkeit abhängig sind und teilweise über geringere Sicherheitsressourcen verfügen.

Viele Angriffe werden zunächst automatisiert durchgeführt. Die Täter suchen beispielsweise nach öffentlich erreichbaren Systemen mit bekannten Schwachstellen oder testen gestohlene Zugangsdaten bei verschiedenen Diensten. Dabei spielt die Unternehmensgröße zunächst keine entscheidende Rolle.

Erst nach dem erfolgreichen Zugriff prüfen die Angreifer, welche Systeme und Informationen erreichbar sind. Auch ein kleiner Betrieb kann interessante Daten besitzen:

• Kunden- und Beschäftigtendaten,
• Zahlungs- und Vertragsinformationen,
• technische Zeichnungen,
• Zugangsdaten zu Kundenumgebungen,
• Kommunikationsverläufe,
• sowie Verbindungen zu größeren Geschäftspartnern.

Besonders kritisch ist die Abhängigkeit von wenigen zentralen Systemen. Fällt die Warenwirtschaft, Produktionssteuerung oder Terminverwaltung aus, können bereits einzelne verschlüsselte Server den gesamten Betrieb beeinträchtigen.

Kleine Unternehmen verfügen außerdem nicht immer über ein internes Sicherheitsteam oder einen getesteten Wiederherstellungsplan. Entscheidungen müssen dann unter hohem Zeitdruck getroffen werden. Externe Unterstützung ist möglicherweise nicht vertraglich vorbereitet und muss erst gesucht werden.

Grundlegende Schutzmaßnahmen müssen dennoch nicht zwangsläufig komplex sein. Besonders wirksam sind eine konsequente Multi-Faktor-Authentifizierung, zeitnahe Sicherheitsupdates, getrennte Backups, eingeschränkte Administratorrechte und vorbereitete Notfallkontakte. Entscheidend ist, diese Maßnahmen vor einem Vorfall einzurichten und regelmäßig zu überprüfen.

Welche Folgen haben Malware und Ransomware für Unternehmen?

Die Folgen hängen von der Art und Reichweite des Angriffs ab. Malware kann Passwörter stehlen, Konten übernehmen oder vertrauliche Informationen ausspionieren. Ransomware verursacht häufig zusätzlich einen unmittelbaren Betriebsausfall.

Mögliche Konsequenzen sind:

• Produktions- und Betriebsunterbrechungen,
• Verlust oder Veröffentlichung sensibler Daten,
• Kosten für IT-Forensik und Wiederherstellung,
• Umsatzverluste,
• Datenschutz- und Haftungsrisiken,
• Vertragsverletzungen,
• sowie Reputationsschäden.

Backups können verschlüsselte Dateien wiederherstellen, aber keinen Datendiebstahl rückgängig machen. Unternehmen müssen deshalb klären, welche Informationen betroffen sind und ob gesetzliche, vertragliche oder branchenspezifische Meldepflichten bestehen.

Was ist bei einem Angriff sofort zu tun?

Bei einem Malware- oder Ransomware-Verdacht ist eine schnelle, aber kontrollierte Reaktion erforderlich:

1. Betroffene Systeme möglichst vom Netzwerk isolieren.
2. Internes Sicherheits- und Krisenteam informieren.
3. Weitere Ausbreitung und verdächtige Konten untersuchen.
4. Protokolle, Warnmeldungen und andere Beweise sichern.
5. Kompromittierte Zugänge sperren oder erneuern.
6. Externe Incident-Response-Unterstützung einbinden.
7. Mögliche Meldepflichten prüfen.
8. Systeme aus vertrauenswürdigen Quellen wiederherstellen.

Geräte sollten nicht unüberlegt ausgeschaltet oder verdächtige Dateien eigenständig gelöscht werden. Dadurch können wichtige Spuren verloren gehen. Die Maßnahmen sollten dokumentiert und möglichst von qualifizierten Fachleuten koordiniert werden.

Vor der Wiederherstellung muss der ursprüngliche Einfallsweg geschlossen sein. Andernfalls können die Täter erneut zugreifen oder die Schadsoftware kann sich wieder ausbreiten.

Sollte man bei Ransomware Lösegeld zahlen?

Sicherheits- und Strafverfolgungsbehörden raten grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung finanziert kriminelle Strukturen und bietet keine Garantie, dass verschlüsselte Dateien vollständig wiederhergestellt werden.

Weitere Risiken sind:

• fehlerhafte Entschlüsselungsprogramme,
• erneute Lösegeldforderungen,
• weiterhin bestehende Backdoors,
• spätere Veröffentlichung gestohlener Daten,
• und mögliche rechtliche Probleme bei Zahlungen an sanktionierte Empfänger.

Die Entscheidung sollte niemals von einer einzelnen Person getroffen werden. Geschäftsleitung, IT-Forensik, Rechtsberatung und gegebenenfalls Cyberversicherung sowie zuständige Behörden müssen frühzeitig eingebunden werden.Eine Zahlung ersetzt weder die technische Untersuchung noch die Bereinigung. Selbst nach einer Entschlüsselung muss geklärt werden, wie die Täter eingedrungen sind und ob sie weitere Zugänge eingerichtet haben.

Wie lassen sich Malware und Ransomware entfernen?

Eine erkannte Malware-Datei einfach zu löschen, reicht häufig nicht aus. Die Schadsoftware kann weitere Programme installiert, Benutzerkonten verändert oder Zugangsdaten gestohlen haben.

Eine sichere Bereinigung umfasst:

1. Betroffene Systeme isolieren.
2. Umfang und Einfallsweg des Angriffs untersuchen.
3. Sicherheitslücken schließen.
4. Kompromittierte Konten und Sitzungen absichern.
5. Systeme bereinigen oder vollständig neu aufsetzen.
6. Daten aus geprüften Backups wiederherstellen.
7. Netzwerk und Konten verstärkt überwachen.

Bei tiefgreifenden Veränderungen, Rootkits oder unbekannter Angriffsdauer ist eine vollständige Neuinstallation häufig sicherer als eine manuelle Bereinigung.

Für manche Ransomware-Varianten existieren seriöse Entschlüsselungswerkzeuge. Diese sollten ausschließlich aus vertrauenswürdigen Quellen bezogen und zunächst an Dateikopien getestet werden. Nicht für jede Variante ist eine Entschlüsselung möglich.

So schützen sich Unternehmen vor Malware und Ransomware

Wirksamer Schutz besteht aus mehreren technischen und organisatorischen Maßnahmen. Eine einzelne Sicherheitssoftware reicht nicht aus.

Besonders wichtig sind:

• zeitnahe Sicherheitsupdates,
• regelmäßige Schwachstellenprüfungen,
• Multi-Faktor-Authentifizierung,
• eingeschränkte Benutzer- und Administratorrechte,
• E-Mail- und Endgeräteschutz,
• Netzwerksegmentierung,
• Überwachung verdächtiger Aktivitäten,
• geschulte Beschäftigte,
• und ein getesteter Incident-Response-Plan.

Auch externe Dienstleister und Fernzugänge müssen berücksichtigt werden. Nicht mehr benötigte Konten sollten deaktiviert und Zugriffsrechte regelmäßig überprüft werden.

Die Maßnahmen sollten nach dem individuellen Risiko priorisiert werden. Internetfähige Systeme, Administratorkonten, zentrale Datenbestände und Backup-Infrastrukturen benötigen dabei einen besonders hohen Schutz.

Warum sichere Backups bei Ransomware entscheidend sind

Backups ermöglichen es, verschlüsselte oder gelöschte Daten wiederherzustellen, ohne von den Tätern abhängig zu sein. Sie helfen jedoch nur, wenn sie vom Angriff nicht ebenfalls betroffen sind.

Unternehmen sollten die 3-2-1-1-0-Regel berücksichtigen:

• drei Kopien der wichtigen Daten,
• auf zwei unterschiedlichen Speichermedien,
• eine Kopie an einem anderen Standort,
• eine weitere Kopie offline oder unveränderbar,
• und keine unentdeckten Fehler nach regelmäßigen Wiederherstellungstests.

Backup-Systeme benötigen getrennte Administratorkonten und dürfen nicht unkontrolliert aus dem normalen Unternehmensnetzwerk erreichbar sein. Andernfalls können Angreifer Sicherungen löschen oder verschlüsseln.

Entscheidend ist außerdem, die Wiederherstellung regelmäßig zu testen. Erst dabei zeigt sich, ob Backups vollständig, frei von Schadsoftware und innerhalb der benötigten Zeit nutzbar sind.

Häufige Fragen zu Malware und Ransomware

Malware und Ransomware werden häufig mit Viren, Trojanern und anderen Cyberbedrohungen verwechselt. Die folgenden Antworten fassen die wichtigsten Unterschiede kompakt zusammen.

Was ist der größte Unterschied zwischen Malware und Ransomware?

Malware ist der Oberbegriff für schädliche Software. Ransomware ist eine Malware-Art, die Dateien verschlüsselt, Systeme sperrt oder mit der Veröffentlichung gestohlener Daten droht, um ein Lösegeld zu erpressen.

Ist jede Ransomware Malware?

Ja. Ransomware besitzt schädliche Funktionen und gehört deshalb zur Kategorie der Malware. Umgekehrt ist jedoch nicht jede Malware Ransomware.

Ist ein Trojaner dasselbe wie Ransomware?

Nein. Ein Trojaner tarnt sich als legitime Datei oder Anwendung. Er kann jedoch Ransomware nachladen und damit einen späteren Erpressungsangriff vorbereiten.

Woran erkennt man einen Ransomware-Angriff?

Typische Anzeichen sind unlesbare Dateien, veränderte Dateiendungen, gesperrte Systeme und eine Lösegeldforderung. Auch deaktivierte Backups oder ungewöhnliche Datenübertragungen können auf einen Angriff hindeuten.

Kann Antivirensoftware Ransomware vollständig verhindern?

Nein. Sicherheitssoftware ist nur eine Schutzebene. Zusätzlich sind unter anderem Sicherheitsupdates, Multi-Faktor-Authentifizierung, eingeschränkte Berechtigungen, Netzwerksegmentierung und sichere Backups notwendig.

Was sollte man bei einem Ransomware-Angriff zuerst tun?

Betroffene Systeme sollten kontrolliert isoliert und das interne Krisenteam informiert werden. Anschließend müssen die Ausbreitung untersucht, Beweise gesichert und qualifizierte Incident-Response-Fachleute eingebunden werden. Lösegeld sollte nicht eigenständig gezahlt werden.

Fazit zum Unterschied zwischen Malware und Ransomware

Der Unterschied zwischen Malware und Ransomware liegt in ihrer Einordnung und Zielsetzung: Malware ist der Oberbegriff für schädliche Software. Ransomware ist eine spezielle Malware-Art, die Daten oder Systeme zur Erpressung einsetzt.

Beide Bedrohungen können über Phishing, gestohlene Zugangsdaten oder Sicherheitslücken in ein Unternehmen gelangen. Allgemeine Malware bleibt häufig lange unentdeckt, während Ransomware spätestens mit der Lösegeldforderung sichtbar wird.

Unternehmen benötigen deshalb mehr als einen klassischen Virenschutz. Wirksame Sicherheit verbindet aktuelle Systeme, eingeschränkte Berechtigungen, Multi-Faktor-Authentifizierung, Netzwerküberwachung, geschulte Beschäftigte und geschützte Backups.

Möchten Sie wissen, wie gut Ihr Unternehmen gegen Malware und Ransomware geschützt ist? Lassen Sie Ihre IT-Infrastruktur, bestehenden Sicherheitsmaßnahmen und Wiederherstellungsprozesse professionell überprüfen. So können Schwachstellen erkannt und geschlossen werden, bevor daraus ein schwerwiegender Sicherheitsvorfall entsteht.