Ransomware-Angriff: Wie ein Unternehmen mit 60 Mitarbeitenden nach 48 Stunden wieder arbeiten konnte

Nach einem Ransomware-Angriff im April 2025 konnte ein Unternehmen mit 60 Mitarbeitenden nach 48 Stunden wieder arbeiten. Gezahlt wurde nichts, verloren war nur die Arbeit des laufenden Tages. Gerettet hat eine Offline-Sicherung, die der Angriff nicht erreicht hat. Ich wurde damals vom betreuenden Systemhaus hinzugezogen. Hier steht, wie die Wiederherstellung ablief und was sich danach geändert hat.

Wie der Angriff bemerkt wurde

Aufgefallen ist der Ransomware-Angriff den Mitarbeitenden selbst: Dateien ließen sich nicht mehr öffnen, weil sie verschlüsselt waren. Die Schadsoftware hatte jeden Rechner verschlüsselt, auf dem kein kyrillisches Tastaturlayout installiert war, dazu die Netzwerkfreigaben auf den Servern. Am Ende waren sämtliche Unternehmensdaten im laufenden Betrieb unbrauchbar, verbunden mit einer Lösegeldforderung.

Das Systemhaus, das die IT des Unternehmens betreut, hat mich an diesem Punkt hinzugezogen. In einer solchen Lage hilft jede erfahrene Hand, die mitdenkt und mitarbeitet. Ich halte es für eine gute Entscheidung, sich diese Unterstützung früh zu holen, statt alles allein stemmen zu wollen.

Warum die Offline-Sicherung den Unterschied machte

Angreifer suchen gezielt nach Sicherungen, denn wer sie mitverschlüsselt, erhöht den Druck zu zahlen. Das BSI beschreibt genau dieses Vorgehen. In diesem Fall waren die Sicherungen nicht verschlüsselt. Wiederhergestellt wurde trotzdem nicht aus der Sicherung im eigenen Netz, sondern aus einer Offline-Sicherung, also eine Kopie, die nach dem Sicherungslauf vom übrigen Netz getrennt ist und deshalb von dort aus weder gelöscht noch verschlüsselt werden kann.

Damit war die wichtigste Frage früh beantwortet: Die Daten sind da. Lösegeld hat das Unternehmen nicht gezahlt. Verloren ging nur, was am Tag des Angriffs neu entstanden oder geändert worden war. Das ist ärgerlich, aber für ein Unternehmen verkraftbar.

Wie ich Sicherungen heute bei meinen eigenen Kunden aufbaue, beschreibe ich im Artikel über Proxmox und die Datensicherung in zwei Stufen: eine schnelle lokale Sicherung und eine zweite Kopie außer Haus, die vom Kundennetz aus nicht verändert werden kann.

Die Reihenfolge der Wiederherstellung

Nach einem Angriff lässt sich nicht einfach alles gleichzeitig zurückspielen. Jedes System, das zu früh wieder im Netz ist, kann dem Angreifer erneut Zugang geben. Die Wiederherstellung lief deshalb Schicht für Schicht:

1. Firewalls. Zuerst wird kontrolliert, was ins Netz hinein- und hinausgeht.
2. Das Netzwerk ohne Server und Rechner. Die Netzwerkkomponenten laufen wieder, aber noch hängt nichts daran, was infiziert sein könnte.
3. Domänencontroller. Anmeldung, Berechtigungen und Namensauflösung hängen daran. Ohne sie funktioniert kein anderer Server richtig.
4. Die übrigen Server. Dateiablage und Anwendungen kommen aus der Sicherung zurück.
5. Die Arbeitsplatzrechner. Jeder einzelne wurde vollständig gelöscht und neu aufgesetzt.
6. Drucker und übrige Geräte. Zum Schluss, wenn alles andere wieder steht.

Der Schritt mit den Arbeitsplätzen kostet am meisten Zeit, und genau dort ist die Versuchung groß, abzukürzen. Einen verschlüsselten Rechner nur zu bereinigen, ist für mich keine Option. Niemand kann sicher sagen, was der Angreifer darauf noch hinterlassen hat. Neu aufsetzen dauert länger, danach ist der Rechner aber in einem bekannten Zustand.

Polizei, Versicherung und Forensik

Parallel zur Technik liefen die Meldungen. Das Unternehmen hat Polizei und Versicherung eingeschaltet. Die Versicherung kam mit einem eigenen Forensik-Team vor Ort dazu. Für die Wiederherstellung heißt das: Die Arbeit von Forensik und Technik muss abgestimmt sein, und was die Forensik noch untersuchen will, wird nicht vorher gelöscht.

Für Unternehmen gibt es bei der Polizei in jedem Bundesland eine Zentrale Ansprechstelle Cybercrime (ZAC). Sie ist genau für solche Fälle gedacht. Sind personenbezogene Daten betroffen, kann außerdem eine Meldung an die Datenschutzaufsicht nötig sein, laut DSGVO möglichst binnen 72 Stunden. Beides sollte jemand im Blick haben, der nicht gerade Server zurückspielt.

Nach dem Ransomware-Angriff: was sich dauerhaft geändert hat

Zwei Maßnahmen wurden danach fest eingeführt:

Meine Haltung zu dem Thema hat sich durch diesen Fall bestätigt: Ob ein Unternehmen angegriffen wird und dabei auf die eine oder andere Weise Daten verliert, ist kaum die Frage. Die Frage ist, wann es passiert und wie gut man dann vorbereitet ist. Wie ernst die Lage ist, ist nach meinem Eindruck noch zu wenigen bewusst. Ich spreche es deshalb bei meinen Kunden offen an.

Vorbereitet sein heißt für mich: eine Sicherung, die ein Angreifer aus dem Netz heraus nicht erreicht, regelmäßige Tests, ob sich daraus tatsächlich wiederherstellen lässt, und eine schriftliche Reihenfolge für den Wiederanlauf. Das BSI rät zusätzlich, die Wiederherstellung geschäftskritischer Systeme regelmäßig zu üben. Dazu gehören Telefonnummern von Versicherung und Polizei, die man nicht erst suchen muss, wenn die Rechner verschlüsselt sind. Wie ich das in der laufenden Betreuung umsetze, steht unter IT-Sicherheit und IT-Betreuung.

Häufige Fragen

Sollte man nach einem Ransomware-Angriff Lösegeld zahlen?

In diesem Fall war es nicht nötig, weil eine intakte Offline-Sicherung vorhanden war. Grundsätzlich garantiert eine Zahlung nicht, dass man einen funktionierenden Schlüssel bekommt. Darauf weist auch das BSI hin. Die bessere Absicherung ist eine Sicherung, die der Angreifer nicht erreicht.

Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff?

Das hängt von der Größe der Umgebung und vom Zustand der Sicherungen ab. Im beschriebenen Fall mit 60 Mitarbeitenden war das Unternehmen nach 48 Stunden wieder arbeitsfähig. Die meiste Zeit kostet das Neuaufsetzen der Arbeitsplatzrechner.

Wen muss man bei einem Ransomware-Angriff informieren?

Die Cyberversicherung, falls vorhanden, und die Polizei. Unternehmen wenden sich an die Zentrale Ansprechstelle Cybercrime ihres Bundeslandes. Sind personenbezogene Daten betroffen, kann eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig sein. Ob das zutrifft, sollte die Geschäftsführung mit ihrem Datenschutzbeauftragten klären.

Quellen

• Backups als Ziel, keine Garantie trotz Zahlung: BSI – Ransomware: Fortschrittliche Angriffe, dynamische Entwicklung (Stand: September 2026)
• Offline-Backup, Zwei-Faktor-Authentisierung, Notfallplanung: BSI – Top 10 Ransomware-Maßnahmen (Stand: September 2026)
• Anzeige und Meldung nach einem Angriff: BSI – Ransomware: Fakten und Abwehrstrategien (Stand: September 2026)
• Polizeiliche Ansprechpartner für Unternehmen: Polizei – Zentrale Ansprechstellen Cybercrime (ZAC) (Stand: September 2026)
• Meldung an die Datenschutzaufsicht binnen 72 Stunden: Art. 33 DSGVO – Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde