Ransomware

Ransomware ist ein schädliches Computerprogramm, das Kriminelle heimlich auf fremde Rechner bringen. Dort verschlüsselt es die gespeicherten Dateien: Texte, Fotos, Buchhaltung, Patientenakten. Verschlüsseln heißt, die Daten werden nach einem geheimen Verfahren so umgerechnet, dass sie nur noch Zeichensalat sind. Wer den passenden Schlüssel nicht hat, bekommt sie nicht zurück. Auf dem Bildschirm erscheint dann eine Forderung: Zahle einen bestimmten Betrag, dann erhältst du den Schlüssel. Das englische Wort “ransom” bedeutet Lösegeld — daher der Name.

Warum ein Klick eine Klinik lahmlegt

Ransomware ist heute die teuerste Form der Internetkriminalität. Der Grund ist einfach: Betroffene stehen unter enormem Zeitdruck. Ein Logistikunternehmen ohne Zugriff auf seine Lagerdaten kann nicht ausliefern. Ein Krankenhaus ohne Patientenakten muss Operationen verschieben. Jeder Tag Stillstand kostet Geld oder gefährdet Menschen.

Genau darauf setzen die Täter. Sie fordern Summen, die wehtun, aber zahlbar erscheinen — bei Konzernen oft Millionenbeträge. Viele Angreifer stehlen die Daten zusätzlich, bevor sie sie verschlüsseln. Dann drohen sie mit Veröffentlichung. Diese doppelte Erpressung wirkt sogar, wenn das Opfer gute Sicherungskopien hat.

Für Anleger und Nachrichtenleser ist das relevant, weil solche Vorfälle Börsenkurse bewegen. Ein Angriff kann Quartalszahlen verderben und muss oft öffentlich gemeldet werden. Versicherungen gegen Cyberschäden sind zu einem eigenen Milliardenmarkt geworden.

Der Weg vom Anhang zur Lösegeldforderung

Meistens beginnt ein Angriff mit einer täuschend echten E-Mail. Ein Mitarbeiter öffnet einen Anhang oder gibt sein Passwort auf einer gefälschten Anmeldeseite ein. Alternativ nutzen die Täter eine Sicherheitslücke in veralteter Software, die aus dem Internet erreichbar ist. Beides verschafft ihnen einen ersten Fuß in der Tür.

Danach passiert oft wochenlang scheinbar nichts. Die Angreifer sehen sich im Netzwerk um, kopieren Daten und suchen die Zugänge der Systemverwalter. Erst wenn sie genug Kontrolle haben, starten sie die Verschlüsselung — gern an einem Freitagabend, wenn niemand im Büro ist. Gleichzeitig löschen sie die Sicherungskopien, damit das Opfer keine Alternative hat.

Bezahlt wird fast immer in Kryptowährung, also digitalem Geld ohne Bank dahinter. Solche Zahlungen sind schwer einer Person zuzuordnen. Dahinter stecken selten Einzeltäter: Es gibt Gruppen, die ihre Schadsoftware wie ein Produkt an andere Kriminelle vermieten und am Lösegeld mitverdienen. Fachleute nennen das Ransomware-as-a-Service.

Was gegen Erpressungstrojaner wirklich hilft

Nachrichten über Ransomware liest man regelmäßig: getroffen wurden in den letzten Jahren unter anderem Universitätskliniken, Stadtverwaltungen, Autozulieferer und eine große US-Pipeline. Auch Privatleute sind betroffen, oft mit kleineren Forderungen im dreistelligen Bereich. Das Bundesamt für Sicherheit in der Informationstechnik bezeichnet Ransomware seit Jahren als größte Bedrohung für die IT-Sicherheit in Deutschland.

Der wichtigste Schutz ist unspektakulär: regelmäßige Sicherungskopien, die getrennt vom Netzwerk liegen. Eine externe Festplatte, die nur zum Kopieren angesteckt wird, kann nicht mitverschlüsselt werden. Dazu kommen zügige Software-Updates und eine zweite Sicherheitsstufe beim Anmelden, etwa ein Code aufs Handy.

Ein verbreiteter Irrtum ist, dass Zahlen die Sache erledigt. Ein Teil der Opfer erhält nie einen funktionierenden Schlüssel, andere werden Monate später erneut angegriffen. Polizei und Sicherheitsbehörden raten deshalb ausdrücklich davon ab. Wichtig ist auch die Abgrenzung: Ransomware ist eine Unterart von Malware, also Schadsoftware allgemein. Ein Virus, der nur Daten löscht, oder ein Programm, das Passwörter mitliest, verlangt kein Lösegeld — und ist damit keine Ransomware.