Montagmorgen, 7:42 Uhr: Die erste Mitarbeiterin kann keine Angebote mehr öffnen. Wenige Minuten später sind auch das gemeinsame Laufwerk, die Buchhaltung und ein Teil der E-Mails nicht erreichbar. Auf mehreren Bildschirmen erscheint dieselbe Lösegeldforderung. Ein Ransomware Schaden Praxisbeispiel wie dieses ist für viele mittelständische Betriebe kein abstraktes IT-Thema, sondern ein unmittelbarer Stillstand im Tagesgeschäft.

Die eigentliche Lösegeldforderung ist dabei oft nur ein Teil des Schadens. Viel teurer werden ausgefallene Arbeitsstunden, verzögerte Aufträge, verunsicherte Kunden und die Wiederherstellung der Systeme. Dieses anonymisierte, aber realitätsnahe Beispiel zeigt, wie schnell sich ein einzelner Angriff auswirkt – und welche Entscheidungen den Unterschied machen.

Ransomware Schaden Praxisbeispiel aus einem Handwerksbetrieb

Der Betrieb beschäftigt 28 Mitarbeitende und arbeitet mit einer klassischen Büro-IT: Microsoft 365, 22 Arbeitsplätze, ein lokaler Server für Fachanwendung und Dateien sowie mehrere mobile Geräte. Die Auftragsplanung, Angebote, Rechnungen und Materialbestellungen laufen digital. Eine eigene IT-Abteilung gibt es nicht.

Am Freitagabend meldet sich ein Mitarbeiter per Fernzugriff an, um eine Rechnung fertigzustellen. Sein Kennwort war bereits durch einen früheren Datenabfluss bekannt geworden und wurde an anderer Stelle erneut verwendet. Der Fernzugang war erreichbar, eine zusätzliche Anmeldung per App oder Sicherheitscode nicht eingerichtet. Der Angreifer erhält Zugriff, bewegt sich über das Netzwerk und verschlüsselt in der Nacht zentrale Datenbestände.

Am Montag ist die Verschlüsselung sichtbar. Die Täter verlangen eine Zahlung in Kryptowährung und drohen zugleich mit der Veröffentlichung kopierter Daten. Der Betrieb kann zunächst weder Angebote schreiben noch Rechnungen versenden. Aufträge liegen zwar teilweise als Ausdruck vor, aktuelle Änderungen und Kundenkommunikation fehlen jedoch.

Die Geschäftsführung trifft eine richtige erste Entscheidung: keine voreilige Zahlung und keine eigenständigen Reparaturversuche an den betroffenen Geräten. Stattdessen werden Systeme vom Netzwerk getrennt, der Vorfall dokumentiert und fachliche Hilfe organisiert. Das verhindert nicht alle Folgen, begrenzt aber die weitere Ausbreitung.

Was in den ersten Stunden passiert

Der IT-Dienstleister prüft zuerst, welche Systeme betroffen sind, ob der Angreifer noch Zugriff hat und ob Sicherungen nutzbar sind. Parallel werden Kennwörter zurückgesetzt, Fernzugänge geschlossen und die Kommunikation über saubere, nicht betroffene Geräte organisiert. Auch der E-Mail-Zugang wird geprüft, weil kompromittierte Postfächer häufig für weitere Täuschungsversuche genutzt werden.

Die Forensik zeigt: Nicht jeder PC ist verschlüsselt, aber der Server mit der Fachanwendung und mehrere zentrale Dateiablagen sind betroffen. Entscheidend ist, dass eine getrennte Sicherung vorhanden ist. Das letzte Backup wurde nicht vom verschlüsselten Server überschrieben und kann wiederhergestellt werden. Ohne diese Trennung hätte der Betrieb möglicherweise weder aktuelle Daten noch eine verlässliche Basis für den Neustart gehabt.

Nach rund einem Arbeitstag stehen E-Mail und die wichtigsten Büroarbeitsplätze wieder zur Verfügung. Nach drei Tagen läuft die Fachanwendung auf einer neu eingerichteten Umgebung. Bis alle Daten geprüft, fehlende Dateien nacherfasst und reguläre Abläufe wiederhergestellt sind, vergeht fast eine Woche.

Die Kosten liegen weit über dem Lösegeld

Im Beispiel fordern die Täter umgerechnet 35.000 Euro. Der Betrieb zahlt nicht. Das ist keine Garantie dafür, dass kein Datenabfluss stattgefunden hat, aber eine Zahlung würde weder eine vollständige Entschlüsselung noch die Löschung kopierter Daten verlässlich zusichern.

Der tatsächliche wirtschaftliche Schaden entsteht an vielen Stellen gleichzeitig. Für die technische Analyse, Bereinigung und Wiederherstellung fallen externe Leistungen an. Mitarbeitende können nur eingeschränkt arbeiten, einige Aufträge verschieben sich, und die Buchhaltung muss Belege sowie Rechnungsstände nacharbeiten. Hinzu kommen Kosten für neue Sicherheitsmaßnahmen, die nach dem Vorfall nicht länger aufgeschoben werden können.

| Schadensbereich | Typische Folge im Beispiel | | — | — | | Betriebsausfall | Angebote, Planung und Rechnungen sind mehrere Tage eingeschränkt | | Wiederherstellung | Systeme werden bereinigt, neu eingerichtet und Daten zurückgespielt | | Personalkosten | Mitarbeitende erfassen Daten nach und bearbeiten Rückstände | | Umsatz und Liquidität | Rechnungen gehen später raus, Aufträge werden verschoben | | Datenschutz | Möglicher Datenabfluss muss geprüft und bewertet werden | | Vertrauen | Kunden und Lieferanten erwarten klare, verlässliche Kommunikation |

Je nach Branche kann ein solcher Vorfall schnell einen mittleren fünfstelligen Betrag erreichen. Bei produzierenden Unternehmen, Praxen, Kanzleien oder Betrieben mit engen Lieferterminen kann der Schaden deutlich höher liegen. Es hängt davon ab, wie lange Kernsysteme ausfallen, wie aktuell und wiederherstellbar Sicherungen sind und ob sensible Daten betroffen sind.

Warum ein Backup allein nicht genügt

Viele Unternehmen sichern Daten regelmäßig. Das ist eine gute Grundlage, aber kein vollständiger Schutz. Ein Backup hilft nur dann, wenn es tatsächlich vorhanden, aktuell, vom Angriff getrennt und im Ernstfall lesbar ist. Wer die Wiederherstellung nie testet, weiß nicht sicher, ob die Sicherung unter Zeitdruck funktioniert.

Im Praxisbeispiel war die getrennte Sicherung der wichtigste Rettungsanker. Trotzdem dauerte die Wiederherstellung mehrere Tage. Dateien zurückzuspielen ist nur ein Teil der Arbeit. Systeme müssen sauber neu aufgebaut, Sicherheitslücken geschlossen, Benutzerzugänge überprüft und Anwendungen getestet werden. Werden infizierte Systeme einfach wieder eingeschaltet, kann der Angreifer erneut aktiv werden.

Auch Cloud-Dienste brauchen eine eigene Sicherungsstrategie. Microsoft 365 schützt die technische Plattform, ersetzt aber nicht in jedem Fall eine eigene, gezielt geplante Datensicherung und lange Aufbewahrungsfristen. Gelöschte oder verschlüsselte Dateien können sich sonst über Synchronisierung schnell verbreiten.

Die ersten 60 Minuten entscheiden mit

Unter Zeitdruck passieren häufig Fehler: Ein Mitarbeiter klickt erneut auf die Forderung, startet den PC mehrfach neu oder versucht, Dateien auf eigene Faust zu kopieren. Das kann Spuren verändern und die Ausbreitung fördern. Besser ist ein klarer Ablauf, den Verantwortliche kennen, bevor etwas passiert.

Betroffene Geräte sollten sofort vom Netzwerk getrennt werden. Dabei geht es nicht darum, hektisch Kabel aus dem Serverraum zu ziehen, sondern gezielt weitere Verbindungen zu unterbrechen und den Zustand zu sichern. Anschließend braucht es eine zentrale Ansprechperson, die Entscheidungen bündelt und Mitarbeitende informiert. So entstehen keine widersprüchlichen Aussagen gegenüber Kunden, Lieferanten oder dem eigenen Team.

Wenn personenbezogene Daten betroffen sein könnten, müssen die Datenschutzfolgen früh bewertet werden. Unter Umständen besteht eine Meldepflicht gegenüber der zuständigen Datenschutzaufsicht. Auch Versicherer verlangen bei Cyberversicherungen oft eine schnelle, abgestimmte Schadensmeldung. Hier lohnt sich kein Rätselraten: Der Einzelfall sollte fachlich und, falls erforderlich, rechtlich geprüft werden.

Schutz, der zum Mittelstand passt

Ein wirksames Sicherheitskonzept muss nicht unnötig kompliziert sein. Es muss zu den Arbeitsabläufen passen und zuverlässig betreut werden. Besonders viel Wirkung erzielen mehrere Maßnahmen, die ineinandergreifen: aktuelle Systeme, sichere Anmeldung, geprüfte Datensicherungen, kontrollierte Zugriffsrechte und eine aufmerksame Überwachung.

Für den Betrieb aus dem Beispiel hätte eine Mehrfaktor-Authentifizierung den unbefugten Fernzugriff erheblich erschwert. Regelmäßige Updates hätten bekannte Schwachstellen reduziert. Eine klare Regel, dass Kennwörter nicht mehrfach verwendet werden, wäre ebenso sinnvoll gewesen. Entscheidend ist aber die laufende Kontrolle. Sicherheit ist keine einmalige Anschaffung, sondern eine Aufgabe, die gepflegt werden muss.

Dazu gehört auch, Mitarbeitende ohne Schuldzuweisungen zu sensibilisieren. Phishing-Mails wirken oft täuschend echt und treffen nicht nur unerfahrene Nutzer. Kurze, verständliche Hinweise und ein klarer Meldeweg helfen mehr als eine jährliche Präsentation voller Fachbegriffe. Wer eine verdächtige Mail schnell meldet, schützt den ganzen Betrieb.

Für Unternehmen in Berlin und Brandenburg bedeutet das vor allem: Die eigene IT sollte nicht erst dann Aufmerksamkeit bekommen, wenn Bildschirme schwarz bleiben. PAPE-IT unterstützt mittelständische Betriebe dabei mit persönlicher Betreuung, planbaren Managed Services und einem Sicherheitskonzept, das zum tatsächlichen Arbeitsalltag passt.

Der beste Zeitpunkt für einen Notfallplan ist nicht der Montagmorgen nach einem Angriff. Es ist der normale Arbeitstag, an dem Sie festlegen, wer anruft, welche Systeme zuerst wieder laufen müssen und ob Ihre Sicherungen diesen Namen wirklich verdienen.