Die Zahlen sind erschreckend klar: Laut Security Navigator 2026 ist die Zahl der Cyber-Erpressungsangriffe auf deutsche Unternehmen im vergangenen Jahr um 91 Prozent gestiegen. Besonders betroffen ist der Mittelstand — Unternehmen zwischen 50 und 500 Mitarbeitern, die groß genug sind, um interessante Beute zu bieten, aber oft zu klein, um sich professionell zu verteidigen.
Der gesamtwirtschaftliche Schaden durch Cyberkriminalität in Deutschland betrug laut Bitkom-Studie 2024 rund 267 Milliarden Euro — mehr als je zuvor. Ein erheblicher Teil davon entfällt auf Ransomware-Vorfälle.
Was ist Ransomware — und wie hat sie sich entwickelt?
Ransomware verschlüsselt Daten auf befallenen Systemen und fordert Lösegeld für die Entschlüsselung. Dieses Grundprinzip ist bekannt. Was sich dramatisch verändert hat, ist das Geschäftsmodell dahinter.
Ransomware-as-a-Service (RaaS) hat den Markt demokratisiert: Technisch wenig versierte Angreifer kaufen fertige Angriffswerkzeuge ein und teilen die Erlöse mit den Entwicklern. Das Einstiegshindernis für kriminelle Gruppen ist so niedrig wie nie — die Professionalität der Angriffe aber gleichzeitig gestiegen.
Hinzu kommt das Double-Extortion-Modell: Angreifer exfiltrieren Daten, bevor sie verschlüsseln. Das Opfer wird doppelt erpresst — einmal für den Entschlüsselungsschlüssel, einmal dafür, dass die Daten nicht veröffentlicht werden. Selbst Unternehmen mit perfekten Backups sind damit erpressbar.
Laut BSI-Lagebericht 2025 ist Double Extortion mittlerweile bei über 70 Prozent aller Ransomware-Vorfälle die primäre Druckmethode.
Warum trifft es den Mittelstand besonders hart?
Große Konzerne haben Security Operations Center, dedizierte Incident-Response-Teams und Millionenbudgets für Cybersicherheit. Der Mittelstand hat davon meist keines von beidem — und ist sich des Risikos oft nicht bewusst.
Typische Schwachstellen im Mittelstand:
- Veraltete Systeme: Ungepatchte Windows-Server, alte Exchange-Versionen (dazu mehr in unserem Artikel zur Exchange-Migration), Legacy-Applikationen mit bekannten Schwachstellen.
- Fehlende Netzwerksegmentierung: Einmal im Netz, kann sich Schadsoftware ungehindert ausbreiten.
- Schwache Zugangsdaten: Passwort-Wiederverwendung, fehlende Multi-Faktor-Authentifizierung.
- Kein Monitoring: Angreifer verbringen laut Security Navigator 2026 im Schnitt 11 Tage unentdeckt im Netzwerk, bevor sie zuschlagen. Ohne Monitoring bleibt das unsichtbar.
- Mangelhafte Backup-Strategie: Backups, die online und erreichbar sind, werden bei einem Angriff oft mitverschlüsselt.
Aktive Gruppen und ihre Vorgehensweise
Ohne konkrete Gruppen zu romantisieren: Die heutigen Ransomware-Akteure sind hochprofessionell organisiert, agieren mit Arbeitsteilung und haben klare Zielprofile. Deutsche Mittelständler werden gezielt angesprochen, weil sie häufig zahlungsfähig sind und unter Zeitdruck stehen.
Angriffe folgen häufig einem ähnlichen Muster:
- Initialer Zugang: Phishing-E-Mail, kompromittierte VPN-Zugangsdaten, ungepatchte Schwachstelle.
- Reconnaissance: Der Angreifer erkundet das Netzwerk, identifiziert wertvolle Systeme und Backups.
- Laterale Bewegung: Ausbreitung im Netz, Eskalation von Berechtigungen.
- Exfiltration: Kopieren sensibler Daten auf externe Server.
- Verschlüsselung: Alle erreichbaren Systeme werden gesperrt.
- Erpressung: Forderung per Lösegeldbotschaft, oft mit Countdown und Veröffentlichungsdrohung.
Was Mittelständler jetzt konkret tun müssen
Die gute Nachricht: Ransomware ist nicht unvermeidlich. Die meisten erfolgreichen Angriffe nutzen bekannte, behebbare Schwachstellen aus. Wer die Grundlagen konsequent umsetzt, senkt sein Risiko erheblich.
1. Patch-Management ernst nehmen
Bekannte Schwachstellen müssen zeitnah geschlossen werden. Ein strukturierter Patch-Prozess mit klaren Fristen (kritische Patches innerhalb von 48–72 Stunden) ist keine Kür — er ist Pflicht.
2. Multi-Faktor-Authentifizierung überall
MFA für alle externen Zugänge (VPN, RDP, E-Mail, Cloud-Dienste) ist eine der effektivsten Schutzmaßnahmen. Kompromittierte Zugangsdaten allein reichen dann nicht mehr aus.
3. Offline-Backups nach der 3-2-1-Regel
Drei Kopien der Daten, auf zwei verschiedenen Medien, davon eine offline (nicht netzwerkgebunden). Backups müssen regelmäßig getestet werden — ein Backup, das im Ernstfall nicht wiederherstellbar ist, ist kein Backup.
4. Netzwerksegmentierung einführen
Trennen Sie kritische Systeme (Server, Backups, OT-Systeme) vom allgemeinen Büronetz. Kompromittierte Endgeräte sollen sich nicht frei im Netz ausbreiten können.
5. Monitoring und Incident Response vorbereiten
Ein SIEM-System, das Anomalien erkennt und Alerts auslöst, ist für den Mittelstand heute erschwinglich — besonders als Managed Service. Ebenso wichtig: ein dokumentierter Incident-Response-Plan. Wer im Ernstfall weiß, was zu tun ist, handelt schneller und schränkt den Schaden ein.
6. Mitarbeiter schulen
Phishing ist nach wie vor der häufigste Erstzugang. Regelmäßige Awareness-Trainings und simulierte Phishing-Tests senken das Risiko messbar. Laut Bitkom-Studie 2024 waren 43 Prozent aller erfolgreichen Cyberangriffe auf menschliches Versagen zurückzuführen.
Im Ernstfall: Was tun?
Wenn ein Ransomware-Angriff festgestellt wird, zählt jede Minute:
- Isolieren: Betroffene Systeme sofort vom Netz trennen — auch physisch.
- Nicht zahlen (wenn möglich): Lösegeldzahlungen garantieren keine Datenrückgabe und finanzieren weitere Angriffe.
- Behörden informieren: Das BSI und die zuständige Strafverfolgungsbehörde sollten informiert werden. Bei bestimmten Unternehmen besteht Meldepflicht.
- Forensik sichern: Keine Systeme voreilig neu aufsetzen, bevor ein forensischer Abzug möglich war.
- Professionelle Hilfe holen: Incident-Response-Teams können Schäden begrenzen und den Wiederanlauf beschleunigen.
Fazit
Ransomware 2026 ist keine Frage des „ob", sondern des „wann" — zumindest für Unternehmen, die ihre Hausaufgaben nicht gemacht haben. Die gute Nachricht: Die effektivsten Schutzmaßnahmen sind keine Raketenwissenschaft. Sie erfordern Disziplin, Prozesse und die richtigen Partner.
Binary System Services unterstützt mittelständische Unternehmen bei der Umsetzung von Präventionsmaßnahmen, dem Aufbau von Monitoring und der Erstellung von Incident-Response-Plänen.