Ransomware-Schutz im Mittelstand: das Mindestprogramm und wie Sie es prüfen

Tobias Mogk

Managing Director, Cyber Resilience

Als Geschäftsführer müssen Sie keine Firewall konfigurieren. Sie müssen aber wissen, ob die wichtigsten Schutzmaßnahmen gegen Ransomware in Ihrem Unternehmen umgesetzt sind, und Sie müssen es nachfragen können. Dieser Beitrag beschreibt ein Mindestprogramm in acht Punkten, jeweils mit einer Prüffrage für Ihre IT-Leitung oder Ihren IT-Dienstleister.

Warum das Thema bei der Geschäftsführung liegt

Ransomware ist keine höhere Gewalt. So formuliert es das BSI in seinem Maßnahmenkatalog Ransomware: Erfolgreiche Angriffe auf Unternehmen jeder Größe sind bekannt, und mit geeigneten Maßnahmen lässt sich die Wahrscheinlichkeit eines großen Vorfalls deutlich senken. Wer Sicherheitsupdates wochen- oder monatelang nicht einspielt, bewegt sich nach Einschätzung des BSI womöglich schon im Bereich der Fahrlässigkeit.

Dazu kommt die Lage. Laut BKA richteten sich 2025 rund 90 Prozent der angezeigten Ransomware-Angriffe gegen kleine und mittlere Unternehmen. Und Cyberversicherer knüpfen ihre Leistung an konkrete Maßnahmen, etwa ein Backup-Konzept. Wie ein Angriff im Einzelnen abläuft, lesen Sie in So läuft ein Ransomware-Angriff ab.

Das Mindestprogramm in acht Punkten

Die Auswahl orientiert sich an den Top-10-Maßnahmen und dem Prüf-Interview des BSI und daran, welche Lücken wir in mittelständischen Netzen am häufigsten antreffen. Sie ersetzt kein Sicherheitsmanagement, deckt aber die Wege ab, über die die meisten Angriffe laufen.

Fernzugänge nur mit zweitem Faktor

VPN, Remote-Desktop, E-Mail in der Cloud, Verwaltungsportale: Jeder Zugang von außen braucht neben dem Passwort einen zweiten Faktor, etwa eine App auf dem Diensthandy. Remote-Desktop gehört nicht direkt ins Internet. Gestohlene Passwörter werden gehandelt, ein Zugang mit Passwort allein ist deshalb ein offenes Fenster.

Prüffrage: Gibt es irgendeinen Zugang von außen, auch für Dienstleister oder Wartungsfirmen, der nur mit Passwort funktioniert?

Extern erreichbare Systeme zuerst patchen

Firewall, VPN-Gateway, Mailserver und Webanwendungen sind die Systeme, die Angreifer aus dem Internet sehen. Das BSI bemängelt im Lagebericht 2025, dass bekannte Lücken in genau diesen Systemen zu spät oder gar nicht geschlossen werden. Dafür braucht es eine Liste aller erreichbaren Systeme und eine feste Frist für kritische Updates.

Prüffrage: Wie lange dauert es bei uns von der Veröffentlichung eines kritischen Updates für die Firewall bis zur Installation, und wer kümmert sich darum, wenn es am Freitagabend erscheint?

Admin-Rechte trennen und klein halten

Wer im Netz die höchsten Rechte hat, kann alles verschlüsseln. Administratoren brauchen deshalb ein separates Konto für administrative Arbeit, und niemand liest mit Admin-Rechten E-Mails. Die Zahl der Domänen-Administratoren sollte so klein wie möglich sein.

Prüffrage: Wie viele Personen und technische Konten haben bei uns Domänen-Admin-Rechte, und wer hat das zuletzt überprüft?

Eine Backup-Kopie, die der Angreifer nicht erreicht

Angreifer suchen gezielt nach den Datensicherungen und löschen sie. Mindestens eine Kopie muss deshalb offline oder unveränderlich gespeichert sein und darf mit den Zugangsdaten aus dem Firmennetz nicht erreichbar sein. Ebenso wichtig ist der Nachweis, dass sich daraus wiederherstellen lässt. Welche Entscheidungen dafür bei Ihnen liegen, beschreibt unser Beitrag Datensicherung gegen Ransomware.

Prüffrage: Wann wurde zuletzt ein kompletter Server aus dem Backup wiederhergestellt, und wie lange hat es gedauert?

Endpoint-Schutz, auf den jemand reagiert

Moderne Endpoint-Lösungen (EDR) erkennen verdächtiges Verhalten und können einen Rechner automatisch vom Netz trennen. Das nützt nur, wenn ein Alarm auch außerhalb der Bürozeiten bearbeitet wird. Die Verschlüsselung beginnt laut BSI häufig nachts oder am Wochenende.

Prüffrage: Was passiert, wenn am Samstag um zwei Uhr nachts ein kritischer Alarm ausgelöst wird?

E-Mail filtern, Makros abschalten

Phishing bleibt ein wichtiger Einstiegsweg. Das BSI empfiehlt unter anderem, gefährliche Dateitypen im Anhang zu filtern und Office-Makros zu deaktivieren. Mitarbeitende brauchen außerdem einen einfachen Meldeweg für verdächtige Mails und die Gewissheit, dass eine Meldung keinen Ärger bringt.

Prüffrage: Können Mitarbeitende bei uns Makros in Office-Dokumenten aus E-Mail-Anhängen ausführen?

Das Netz so trennen, dass nicht alles auf einmal fällt

In vielen gewachsenen Netzen erreicht jeder Arbeitsplatz jeden Server. Dann verschlüsselt die Ransomware alles, was sie findet. Produktion, Büro-IT, Server und die Backup-Infrastruktur gehören in getrennte Bereiche mit kontrollierten Übergängen.

Prüffrage: Kann ein normaler Arbeitsplatzrechner den Backup-Server oder eine Maschinensteuerung in der Produktion erreichen?

Ein Notfallplan auf Papier

Wenn die IT verschlüsselt ist, ist es auch der Notfallplan auf dem Fileserver. Das BSI empfiehlt, Notfalldokumente zusätzlich ausgedruckt an bekannter Stelle zu hinterlegen. Darin stehen: wer entscheidet, wen Sie anrufen (IT-Dienstleister, Versicherung, Forensik, Polizei), welche Prozesse zuerst wieder laufen müssen. Wie der Wiederanlauf konkret abläuft, beschreibt unser Beitrag Nach Ransomware wieder arbeitsfähig.

Prüffrage: Wer darf bei uns entscheiden, das Firmennetz vom Internet zu trennen, und wer vertritt diese Person im Urlaub?

Aufwand und Reihenfolge

Konkrete Preise hängen von Größe und Ausgangslage ab. Die Aufwandstreiber lassen sich aber gut einordnen.

Der zweite Faktor für Fernzugänge, das Abschalten von Makros und die Trennung der Admin-Konten sind vor allem Konfigurationsarbeit. Bei vielen Cloud-Diensten ist der zweite Faktor ohne Zusatzlizenz verfügbar. Diese Punkte sind meist in wenigen Wochen erledigt und sollten zuerst kommen.

Unveränderliche Backups und ein EDR mit Rund-um-die-Uhr-Reaktion verursachen laufende Kosten für Speicher, Lizenzen und gegebenenfalls einen externen Dienst. Hier lohnt der Vergleich mit dem, was ein Ausfall kostet.

Die Netztrennung ist das größte Vorhaben, besonders wenn Produktion beteiligt ist. Sie wird in Etappen über mehrere Monate umgesetzt. Ein Notfallplan mit den wichtigsten Entscheidungen lässt sich dagegen in zwei Workshops erarbeiten. Was Ihre IT-Leitung technisch im Detail prüfen sollte, finden Sie unter Ransomware-Kontrollen.

Wie Sie das Programm in Ihrem Unternehmen anstoßen

Nehmen Sie die acht Prüffragen in das nächste Gespräch mit Ihrer IT-Leitung oder Ihrem IT-Dienstleister. Bitten Sie um schriftliche Antworten mit Beleg, etwa einem Testprotokoll oder einem Screenshot, nicht nur um ein "passt schon". Jede Antwort "nein" oder "weiß ich nicht" wird zu einer Aufgabe mit verantwortlicher Person und Termin. Wiederholen Sie die Runde jedes Quartal.

Um einzuschätzen, wie viel Vorsorge angemessen ist, hilft eine Zahl: Was kostet Ihr Unternehmen ein Tag Stillstand? Der Schadenskalkulator unten rechnet das in wenigen Minuten mit Ihren eigenen Werten durch.