Ransomware: Ihre Daten in der Hand von Erpressern

Ransomware-Angriffe nehmen weltweit zu und stellen eine wachsende Bedrohung für Unternehmen jeder Grösse dar. Dieser Artikel erläutert, wie diese Angriffe funktionieren, welche Auswirkungen sie haben können und welche präventiven Massnahmen ergriffen werden sollten, um Unternehmen zu schützen.

Was ist Ransomware?

Ransomware ist eine Art von Schadsoftware, die Dateien auf dem Computer des Opfers sowie auf verbundenen Netzlaufwerken verschlüsselt und somit für das Unternehmen unbrauchbar macht. Solche Angriffe können Unternehmen erheblich schädigen, indem sie den Geschäftsbetrieb lahmlegen und sensible Daten gefährden. In der Regel fordern die Angreifer ein Lösegeld, um die Daten wieder freizugeben.

Gemäss dem Bundesamt für Cybersicherheit BACS war jedes dritte KMU bereits Opfer eines Cyberangriffs. Ransomware-Angriffe stellen für KMU eine besonders hohe Gefahr dar, da sie oft nicht die gleichen Sicherheitsressourcen, Notfallpläne oder finanziellen Reserven wie grössere Unternehmen haben, um einen Angriff zu überstehen. Daher ist es für KMU entscheidend, sowohl präventive Sicherheitsmassnahmen zu treffen als auch einen Notfallplan für den Fall eines Angriffs zu entwickeln, um die Schäden zu minimieren und ihre langfristige Geschäftsstrategie zu schützen.

Wie funktioniert ein Ransomware-Angriff?

Einfallstor für Ransomware-Angriffe sind insbesondere schlecht gesicherte Systeme und E-Mails mit Anhängen – sogenannte Phishing-E-Mails. Sobald die Schadsoftware auf dem System installiert ist, verschlüsselt sie die Daten. Der Angreifer fordert dann ein Lösegeld, oft in Kryptowährung, um die Daten freizugeben. Mittlerweile gehen fast alle Ransomware-Angriffe mit einem Datenabfluss einher. Bei einem solchen Angriff müssen deshalb nicht nur die Wiederherstellung der Systeme im Fokus stehen, sondern auch die Auswirkungen, die ein Datenabfluss haben kann.

Welche Auswirkungen hat ein Ransomware-Angriff?

Ein Ransomware-Angriff hat für ein KMU viele direkte und indirekte Auswirkungen. Aus der Not heraus entscheiden sich einige KMU – entgegen den Empfehlungen des Bundes – für die Zahlung von Lösegeldern. Dabei gibt es jedoch keine Garantie, dass die Daten tatsächlich wiederhergestellt werden. Unabhängig davon fallen auch hohe Wiederherstellungskosten an. Zudem leidet das Unternehmen unter Umsatzverlusten, da ein Angriff zu Ausfallzeiten führen kann. Schlimmstenfalls geht ein Ransomware-Angriff auch mit einem Vertrauensverlust seitens der Kundinnen und Kunden einher.

Schutzmassnahmen gegen Ransomware-Angriffe

• regelmässige Backups: Stellen Sie sicher, dass Sie regelmässige Backups Ihrer Daten erstellen und diese sicher aufbewahren. Wie zum Beispiel mit der 3-2-1-Backup-Regel: 3 Kopien der Daten auf 2 verschiedenen Medientypen und 1 Kopie an einem externen Standort.
• regelmässige Updates: Oft erfolgt das Einschleusen von Verschlüsselungstrojanern über nicht geschlossene Sicherheitslücken. Installieren Sie verfügbare Aktualisierungen («Updates») für alle installierten Programme («Software») und auch für die verwendeten Geräte («Hardware») so zeitnah wie möglich.
• Blockieren gefährlicher Anhänge: Blockieren Sie den Empfang gefährlicher E-Mail-Anhänge auf Ihrem E-Mail-Gateway.
• Schulung der Mitarbeitenden: Sensibilisieren Sie Ihre Mitarbeitenden für die Gefahren von Phishing-E-Mails und schulen Sie sie im sicheren Umgang mit E-Mails. Es gibt Anbieter, die Schulungsvideos und regelmässige Trainings zur Verfügung stellen.
• Sicherheitssoftware: Nutzen Sie aktuelle Sicherheitssoftware, um Ihr Netzwerk vor Schadsoftware zu schützen. Antiviren-Programme und Firewalls an allen Endpunkten zum Internet sind absolut notwendig.
• Blockieren Sie den Empfang gefährlicher E-Mail-Anhänge.
• Vorbereitung und Prävention: Entwickeln und implementieren Sie interne Richtlinien, Verfahren und Kommunikationspläne zum Umgang mit Ransomware-Angriffen im Rahmen eines Betriebskontinuitätsplans. Im Ernstfall müssen alle Verantwortlichen sofort wissen, was zu tun ist.

Was tun, wenn ein Ransomware-Angriff vorliegt?

Die folgenden Massnahmen sollten Sie bei einem Ransomware-Angriff beachten:

• Trennen Sie infizierte Systeme sofort vom Netzwerk, um die Ausbreitung der Ransomware zu verhindern. Unterbrechen Sie die Internetverbindungen (Web, E-Mail sowie Fernzugriff und VPN von Standort zu Standort).
• Überprüfen Sie die Backups und schützen Sie diese sofort. Backups sollten so schnell wie möglich physisch vom infizierten Netzwerk getrennt werden («offline genommen werden»). Nutzen Sie Backups, um verschlüsselte Daten wiederherzustellen.
• Das Bundesamt für Cybersicherheit BACS rät generell von der Zahlung eines Lösegelds ab. Darüber hinaus empfiehlt Ihnen das BACS dringend, sich nicht an die Täterschaft zu wenden, sondern die weiteren Schritte mit der Polizei zu diskutieren und zu koordinieren.
• Wenn Sie nicht über das entsprechende Fachwissen verfügen, sollten Sie sich an einen externen Sicherheitsdienstleister (Security Incident Response Service) wenden, der Sie bei der Bewältigung des Vorfalls und der Durchführung der entsprechenden Analyse unterstützen kann.
• Informieren Sie die zuständigen Behörden und Ihren IT-Dienstleister. Das Bundesamt für Cybersicherheit BACS empfiehlt in jedem Fall die Einreichung einer Strafanzeige. Überlegen Sie sich früh, ob Sie diesen Schritt unternehmen wollen. Gemäss Art. 24 revDSG des neuen Datenschutzgesetzes, das am 1. September 2023 in Kraft trat, müssen Verletzungen der Datensicherheit an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten EDÖB gemeldet werden, wenn für die vom Datenabfluss betroffenen Personen ein hohes Risiko einer Beeinträchtigung ihrer Persönlichkeit oder ihrer Grundrechte zur Folge haben. Die Bestimmung gilt sowohl für Privatpersonen, Unternehmen als auch für Bundesorgane. Die Meldung an den EDÖB hat so rasch wie möglich zu erfolgen. Das Meldeformular finden Sie hier: https://databreach.edoeb.admin.ch/report. Wenn es um personenbezogene Daten geht, muss je nach Standort des Unternehmens auch die Datenschutzgrundverordnung (DSGVO) der Europäischen Union befolgt werden.
• Seit dem 1. April 2025 sind Betreiberinnen und Betreiber von kritischen Infrastrukturen verpflichtet, dem Bundesamt für Cybersicherheit BACS Cyberangriffe, darunter auch Ransomware-Angriffe, innerhalb von 24 Stunden nach deren Entdeckung zu melden.
• Auch die Cyberversicherung kann sofort Hilfemassnahmen einleiten. Haben Sie alle wichtigen Rufnummern offline parat. Eine Cyberversicherung kann finanzielle Unterstützung bieten und hilft präventiv dabei, Sicherheitsmassnahmen zu verbessern.