Soll man das Lösegeld zahlen?

Nein, davon ist abzuraten, weil niemand garantiert, dass der Schlüssel funktioniert oder dass die abgezogenen Daten nicht trotzdem veröffentlicht werden. Zudem markiert eine Zahlung den Betrieb als zahlungsbereit. Wer eine geprüfte Sicherung hat, braucht die Frage gar nicht zu stellen.

Kann ein Virenscanner Ransomware zuverlässig stoppen?

Nein, nicht zuverlässig, aber er fängt viele bekannte Varianten ab. Gezielte Angriffe arbeiten oft mit legitimen Werkzeugen und gestohlenen Zugängen, die ein Scanner nicht als Schadsoftware erkennt. Deshalb zählen Sicherung, zweiter Faktor und getrennte Netze mehr.

Wie lange dauert die Wiederherstellung nach einem Befall?

Das hängt von der Datenmenge und der Sicherung ab und lässt sich nur durch einen echten Wiederherstellungstest ermitteln. Bei einem kleinen Betrieb mit funktionierender, getrennt aufbewahrter Sicherung sind es oft Stunden bis ein bis zwei Tage; ohne Sicherung kann es ein Neuaufbau über Wochen werden.

Sind Daten in Microsoft 365 vor Ransomware sicher?

Nur teilweise. Cloud-Daten sind vor Hardwareausfall geschützt, aber synchronisierte Ordner werden auf dem Rechner verschlüsselt und die Änderung wandert in die Cloud. Frühere Versionen helfen innerhalb einer begrenzten Zeit; eine eigene Sicherung der Cloud-Daten ist trotzdem sinnvoll.

Muss ich einen Befall melden, wenn nichts abgeflossen ist?

Das hängt vom Risiko für die Betroffenen ab. Sind personenbezogene Daten verschlüsselt und damit nicht mehr verfügbar, kann bereits das meldepflichtig sein. Prüfen Sie die Lage binnen der 72 Stunden und halten Sie die Entscheidung schriftlich fest, auch wenn Sie nicht melden.

Begriff

Ransomware

Aktualisiert: 13.10.2026

Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Entschlüsselung Geld fordert. Der Angriff beginnt fast immer harmlos, mit einem Anhang, einem gestohlenen Passwort oder einem offenen Fernzugang, und läuft dann tage- bis wochenlang unbemerkt, bevor verschlüsselt wird. In dieser Zeit werden gezielt die erreichbaren Datensicherungen mit vernichtet, weil sie das Geschäftsmodell der Täter stören.

Der Ablauf, den fast alle Fälle teilen

Zugang verschaffen, unauffällig ausbreiten, Rechte erweitern, Daten abziehen, Sicherungen zerstören, verschlüsseln, Lösegeld fordern: Das sind sieben Schritte, und der lauteste kommt zuletzt. Alles davor ist leise und kann Tage oder Wochen dauern. Die Täter lesen in dieser Zeit mit, sie sehen, wo die Buchhaltung liegt, wie die Datensicherung läuft und wann niemand im Haus ist. Meist wird am Freitagabend oder vor einem Feiertag verschlüsselt, weil dann am längsten niemand reagiert. Deshalb lautet die Frage nach einem Angriff nicht nur „wie stellen wir wieder her“, sondern auch „was wurde vorher abgezogen“. Die zweite Frage entscheidet darüber, ob es eine Meldepflicht gibt.

Wie die Täter hineinkommen

Es gibt im Kleinbetrieb drei Haupteinfallstore. Erstens eine Nachricht, die zum Klick verleitet, also ein Anhang oder ein Link zu einer nachgebauten Anmeldeseite (siehe Phishing). Zweitens ein Zugang von außen, der nur mit Benutzername und Passwort geschützt ist: Fernwartungsprogramm, Terminalserver, Webmail, eine Portfreigabe auf dem Router. Drittens veraltete Software auf Geräten, die aus dem Internet erreichbar sind, etwa eine Firewall oder ein NAS, für die seit Jahren kein Update eingespielt wurde. Der zweite Weg ist in der Praxis der häufigste, weil dort kein Mensch einen Fehler machen muss: Das Passwort stammt aus einem früheren Datendiebstahl, und die Täter probieren es automatisiert aus.

Warum die Sicherung mitverschlüsselt wird

Wer eine Sicherung hat, zahlt nicht. Das wissen die Täter, und deshalb suchen sie vor der Verschlüsselung gezielt danach: Netzlaufwerke, angeschlossene USB-Platten, NAS-Geräte, die dauerhaft am Netz hängen, Cloud-Konten, deren Zugangsdaten auf dem Server gespeichert sind. Eine Kopie, die vom Netz aus erreichbar ist, wird mit verschlüsselt oder gelöscht. Deshalb gehört mindestens eine Kopie getrennt aufbewahrt, und deshalb muss die Sicherung nicht nur laufen, sondern wiederherstellbar sein (siehe Backup).

Was vorher hilft, in dieser Reihenfolge

Erstens eine getrennt aufbewahrte, geprüfte Datensicherung, die weit genug zurückreicht. Zweitens Zwei-Faktor-Anmeldung auf allen Zugängen von außen, zuerst E-Mail und Fernzugänge. Drittens getrennte Netze (Netzwerksegmentierung), damit ein befallenes Gerät nicht jedes andere erreicht. Viertens aktuelle Systeme: Betriebssystem, Firewall, NAS, Router. Fünftens eine Firewall, die ausgehenden Verkehr nicht ungeprüft durchlässt (Firewall). Kein einzelner Punkt genügt, aber die ersten beiden zusammen verwandeln in den meisten Fällen eine Katastrophe in einen anstrengenden Tag.

Was im Ernstfall zuerst zu tun ist

Die betroffenen Geräte vom Netz trennen, also Netzwerkkabel ziehen und WLAN abschalten, aber nicht ausschalten, solange nicht klar ist, was im Arbeitsspeicher liegt. Nichts löschen, nichts neu installieren, keine Lösegeldverhandlung auf eigene Faust. Die Datensicherung abtrennen, bevor sie ebenfalls erreicht wird. Dann Hilfe holen und dokumentieren: Uhrzeit, Meldung auf dem Bildschirm, betroffene Geräte. Die Schritte stehen auf der Seite IT-Notfall in der Reihenfolge, in der sie gebraucht werden.

Typische Fehler vor und nach dem Angriff

Vor dem Angriff: Die Sicherung hängt dauerhaft am Server und wurde nie zurückgespielt. Das Administratorkonto wird im Alltag benutzt, sodass jeder Klick mit vollen Rechten läuft. Der Fernzugang für den Lieferanten der Branchensoftware besteht seit Jahren mit demselben Passwort. Ein altes Gerät, das niemand mehr kennt, ist aus dem Internet erreichbar. Nach dem Angriff: Der Rechner wird sofort neu aufgesetzt, bevor jemand geklärt hat, wie die Täter hereinkamen, und eine Woche später sind sie wieder da, weil der Zugang noch offen ist. Oder es wird gezahlt, ohne dass jemand weiß, ob der Schlüssel funktioniert und ob die abgezogenen Daten trotzdem veröffentlicht werden.

In der Praxis

Für einen Betrieb mit fünfzehn Arbeitsplätzen ist die entscheidende Vorbereitung nicht ein Schutzprogramm, sondern die Antwort auf zwei Fragen: Wie lange dauert die Wiederherstellung, und wie viel Datenverlust ist verkraftbar? Der IT-Sicherheitscheck für 490 € beantwortet beides mit einem geprüften Wiederherstellungstest statt mit einer Schätzung und zeigt, welche Zugänge von außen offen sind. Die überwachte Datensicherung kostet ab 49 € im Monat, die Einrichtung von Firewall und VPN 690 €. In der laufenden Betreuung ab 29 € je Arbeitsplatz und Monat gehören Updates, Kontenpflege und die Kontrolle der Sicherung zum Alltag, und damit genau die Punkte, an denen Angriffe sonst durchkommen.

Richtpreise, netto zzgl. USt. Stand: Oktober 2026 · Was kostet IT-Betreuung?

Der verbreitete Irrtum

„Wir sind zu klein, das lohnt sich für Angreifer nicht.“ Angriffe laufen automatisiert und suchen nicht nach Namen, sondern nach offenen Türen. Kleine Betriebe sind nicht seltener betroffen, sie berichten nur seltener darüber, und sie haben meist keine zweite Verteidigungslinie, die den Schaden begrenzt.

In Österreich: Meldepflicht und Zuständigkeiten

Verschlüsselt Ransomware Daten, in denen personenbezogene Informationen stehen, also Kundendaten, Mitarbeiterdaten, Patientenakten oder Mandantenunterlagen, ist das in aller Regel eine Datenschutzverletzung nach der DSGVO. Der Verantwortliche muss sie nach Art. 33 DSGVO binnen 72 Stunden der Datenschutzbehörde (DSB) melden, sofern sie nicht voraussichtlich ohne Risiko für die Betroffenen bleibt. Die 72 Stunden laufen ab dem Zeitpunkt, zu dem der Vorfall bekannt wird, und sie laufen über das Wochenende. Wer seine Datensicherung kennt und dokumentiert hat, kann viel schneller beurteilen, ob Daten nur gesperrt oder auch abgeflossen sind. Zusätzlich lohnt eine Anzeige bei der Polizei, schon wegen der Versicherung. Ob und wie Ihr Betrieb indirekt von den neuen Pflichten des NISG 2026 betroffen ist, wenn er Zulieferer größerer Unternehmen ist, erklärt der Beitrag NIS2 und Lieferkette.

Florin Feier aus Lenzing richtet Schutzmaßnahmen gegen Ransomware für Betriebe in ganz Österreich meist per Fernwartung ein; was Hände braucht, etwa das Trennen von Netzen oder der Tausch eines Sicherungsgeräts, erledigt er vor Ort, zum Beispiel in Vöcklabruck, Gmunden, Wels, Linz, Salzburg oder im Salzkammergut. Die Leistung heißt IT-Sicherheit; wer erst wissen will, wo der Betrieb steht, beginnt mit dem Check unter IT-Sicherheitstest. Bei Fragen zu aktuellen Beratungsförderungen hilft die Wirtschaftskammer Oberösterreich.

Häufige Folgefragen

Soll man das Lösegeld zahlen?: Nein, davon ist abzuraten, weil niemand garantiert, dass der Schlüssel funktioniert oder dass die abgezogenen Daten nicht trotzdem veröffentlicht werden. Zudem markiert eine Zahlung den Betrieb als zahlungsbereit. Wer eine geprüfte Sicherung hat, braucht die Frage gar nicht zu stellen.
Kann ein Virenscanner Ransomware zuverlässig stoppen?: Nein, nicht zuverlässig, aber er fängt viele bekannte Varianten ab. Gezielte Angriffe arbeiten oft mit legitimen Werkzeugen und gestohlenen Zugängen, die ein Scanner nicht als Schadsoftware erkennt. Deshalb zählen Sicherung, zweiter Faktor und getrennte Netze mehr.
Wie lange dauert die Wiederherstellung nach einem Befall?: Das hängt von der Datenmenge und der Sicherung ab und lässt sich nur durch einen echten Wiederherstellungstest ermitteln. Bei einem kleinen Betrieb mit funktionierender, getrennt aufbewahrter Sicherung sind es oft Stunden bis ein bis zwei Tage; ohne Sicherung kann es ein Neuaufbau über Wochen werden.
Sind Daten in Microsoft 365 vor Ransomware sicher?: Nur teilweise. Cloud-Daten sind vor Hardwareausfall geschützt, aber synchronisierte Ordner werden auf dem Rechner verschlüsselt und die Änderung wandert in die Cloud. Frühere Versionen helfen innerhalb einer begrenzten Zeit; eine eigene Sicherung der Cloud-Daten ist trotzdem sinnvoll.
Muss ich einen Befall melden, wenn nichts abgeflossen ist?: Das hängt vom Risiko für die Betroffenen ab. Sind personenbezogene Daten verschlüsselt und damit nicht mehr verfügbar, kann bereits das meldepflichtig sein. Prüfen Sie die Lage binnen der 72 Stunden und halten Sie die Entscheidung schriftlich fest, auch wenn Sie nicht melden.

Wollen Sie das für Ihren Betrieb klären? Sie können Ihren Fall zu IT-Sicherheit besprechen oder ein Angebot für IT-Sicherheit zusammenstellen.

Zum Weiterlesen: Die Vergleiche zwischen IT-Lösungen helfen bei der Entscheidung, die Checklisten für den Betrieb beim Abarbeiten.