Die meisten erfolgreichen Angriffe beginnen nicht mit einer technischen Meisterleistung, sondern mit einer E-Mail, die jemand öffnet. Wer die typischen Muster kennt, erkennt den Angriff, solange er sich noch aufhalten lässt.
Ransomware und Phishing werden gern als zwei getrennte Bedrohungen behandelt. In der Praxis sind sie meist zwei Phasen desselben Vorfalls: Eine Phishing-Mail liefert die Zugangsdaten oder den ersten Schadcode, und Tage bis Wochen später folgt die Verschlüsselung. Genau diese Lücke dazwischen ist das Zeitfenster, in dem sich ein Angriff noch stoppen lässt.
Phishing: die typischen Muster
Klassische Phishing-Mails mit holprigem Deutsch sind selten geworden. Aktuelle Kampagnen sind sprachlich sauber, oft aus einem echten, zuvor kompromittierten Postfach verschickt, und sie hängen sich an einen laufenden Vorgang an. Statt auf Rechtschreibfehler zu achten, lohnt der Blick auf die Struktur der Nachricht.
- Ungewöhnlicher Handlungsdruck. Fristen von wenigen Stunden, angedrohte Sperrungen, angeblich fällige Zahlungen. Druck soll das Nachdenken abkürzen.
- Bruch im Kanal. Eine Rechnung, die sonst über das Buchhaltungssystem läuft, kommt plötzlich als Anhang. Eine Freigabe, die sonst mündlich erfolgt, kommt per Mail.
- Abweichende Absenderdomain. Nicht der angezeigte Name zählt, sondern die Domain hinter der Adresse. Ähnlich aussehende Schreibweisen mit vertauschten oder ergänzten Buchstaben sind der Standardtrick.
- Links, die woanders hinführen. Das Ziel eines Links steht in der Statusleiste, nicht im Linktext. Verkürzte Links verbergen das Ziel absichtlich.
- Anhänge, die zum Aktivieren auffordern. Makros, die erst freigegeben werden sollen, Archive mit Passwort im Mailtext, angebliche Sicherheitsdokumente.
Der wirksamste organisatorische Schutz ist eine Regel, die niemanden bloßstellt: Wer auf etwas geklickt hat, meldet es sofort und ohne Konsequenzen. Angriffe eskalieren vor allem dort, wo Beschäftigte einen Fehler aus Angst verschweigen.
Wie ein Ransomware-Angriff tatsächlich abläuft
Zwischen dem ersten Zugriff und der Verschlüsselung liegt fast immer eine längere, stille Phase. Angreifer verschaffen sich zuerst einen Fuß in der Tür, sehen sich um, weiten ihre Rechte aus und suchen gezielt die Systeme, deren Ausfall am meisten wehtut, insbesondere die Sicherungen.
- Erstzugang über Phishing, gestohlene Zugangsdaten oder einen ungepatchten, aus dem Internet erreichbaren Dienst.
- Verankerung durch einen dauerhaften Zugang, der auch einen Neustart übersteht.
- Rechteausweitung bis hin zu administrativen Konten.
- Seitwärtsbewegung durch das Netz, oft mit Bordmitteln des Betriebssystems, damit klassische Virenscanner nichts melden.
- Datenabfluss vor der Verschlüsselung, um zusätzlich mit einer Veröffentlichung drohen zu können.
- Verschlüsselung, meist außerhalb der Arbeitszeiten, nachdem Sicherungen gelöscht oder mitverschlüsselt wurden.
Für die Verteidigung ist Punkt 5 entscheidend: Wer nur auf Verschlüsselung wartet, merkt den Angriff erst, wenn er vorbei ist. Deshalb gehören Netzsegmentierung und strenge Rechtevergabe zu den wirksamsten Maßnahmen. Wie sich dieses Prinzip systematisch umsetzen lässt, beschreibt der Artikel zu Zero Trust und Netzwerksicherheit.
Warnsignale, die auf einen laufenden Angriff hindeuten
Die stille Phase ist nicht spurlos. Auffällig sind unter anderem:
- Anmeldungen zu untypischen Zeiten oder aus untypischen Netzen, besonders bei administrativen Konten.
- Neue Konten oder plötzlich erweiterte Gruppenmitgliedschaften, die niemand beantragt hat.
- Deaktivierte Schutzfunktionen, gelöschte Protokolle, gestoppte Sicherungsjobs.
- Ungewöhnlich große ausgehende Datenmengen, vor allem nachts und an Wochenenden.
- Administrationswerkzeuge auf Rechnern, auf denen sie nichts zu suchen haben.
Damit solche Auffälligkeiten überhaupt sichtbar werden, müssen Protokolle zentral und manipulationssicher gesammelt werden. Ein Angreifer mit Administratorrechten löscht lokale Logs als Erstes.
Schadsoftware einordnen, ohne Speziallabor
Nicht jede verdächtige Datei muss tiefgehend analysiert werden. Für den Alltag reicht ein abgestuftes Vorgehen. Statische Prüfung heißt: Dateityp, Signatur und Prüfsumme betrachten und die Prüfsumme gegen bekannte Datenbanken abgleichen, ohne die Datei auszuführen. Dynamische Prüfung heißt: die Datei in einer abgeschotteten Umgebung starten und beobachten, welche Verbindungen sie aufbaut und welche Autostart-Einträge sie anlegt.
Zwei Regeln sind dabei nicht verhandelbar: Die Analyseumgebung darf keine Verbindung ins Produktivnetz haben, und verdächtige Dateien werden niemals auf dem eigenen Arbeitsplatzrechner geöffnet, auch nicht kurz.
Im Ernstfall: die ersten Stunden
Wenn die Verschlüsselung läuft, entscheidet die Reihenfolge der Schritte über den Schaden.
- Isolieren statt ausschalten. Netzwerkverbindung trennen, Gerät aber eingeschaltet lassen. Ein Herunterfahren vernichtet flüchtige Spuren im Arbeitsspeicher, die für die Aufklärung wichtig sind.
- Sicherungen offline nehmen, bevor sie ebenfalls betroffen sind.
- Zugangsdaten zurücksetzen, beginnend bei administrativen Konten.
- Dokumentieren, was wann festgestellt wurde. Das ist später für Versicherung und Meldepflichten relevant.
- Meldepflichten prüfen. Sind personenbezogene Daten betroffen, greifen enge gesetzliche Fristen.
Zur Lösegeldfrage: Eine Zahlung garantiert weder einen funktionierenden Entschlüsselungsschlüssel noch die Löschung abgeflossener Daten, und sie finanziert die nächste Angriffswelle. Sie ist zudem juristisch heikel. Belastbare Sicherungen sind die einzige Antwort, die verlässlich funktioniert.
Genau deshalb ist die Sicherungsstrategie kein Nebenthema, sondern die eigentliche Versicherung gegen Ransomware. Welche Aufbewahrungsregeln dafür taugen, steht im Artikel zu Backup-Strategien im Unternehmen.
Was den Angriff von vornherein unwahrscheinlicher macht
Die Maßnahmen mit dem besten Verhältnis von Aufwand zu Wirkung sind unspektakulär: Mehr-Faktor-Authentifizierung auf allen extern erreichbaren Zugängen, zügiges Einspielen von Sicherheitsupdates, konsequent getrennte Administrationskonten, Netzsegmentierung und regelmäßig geprobte Wiederherstellungen. Ergänzend sorgt ein Passwortmanager dafür, dass ein einzelnes geleaktes Passwort nicht gleich mehrere Systeme öffnet. Mehr dazu im Artikel über Passwortmanager und Zwei-Faktor-Authentifizierung.
Häufige Fragen
Woran erkenne ich eine Phishing-Mail am zuverlässigsten?
An der Absenderdomain und am Linkziel, nicht am angezeigten Namen und nicht an der Sprache. Aktuelle Phishing-Mails sind sprachlich fehlerfrei und stammen oft aus echten, kompromittierten Postfächern.
Soll ich einen verschlüsselten Rechner ausschalten?
Nein. Trennen Sie die Netzwerkverbindung, lassen Sie das Gerät aber eingeschaltet. Beim Herunterfahren gehen Spuren im Arbeitsspeicher verloren, die für die Aufklärung des Vorfalls gebraucht werden.
Wie lange dauert es von der Infektion bis zur Verschlüsselung?
Meist mehrere Tage bis Wochen. In dieser stillen Phase weiten Angreifer ihre Rechte aus und suchen die Sicherungen. Genau in diesem Zeitfenster lässt sich der Angriff noch stoppen.