Ransomware-Schutz für Unternehmen: erkennen, verhindern, reagieren

Ransomware-Angriffe treffen den Mittelstand härter als Konzerne — und die Frage, wer im Ernstfall entscheidet, kommt meist zu spät. Dieser Leitfaden fasst zusammen, wie Angriffe heute ablaufen, welche Schutzmaßnahmen das BSI konkret verlangt, was in den ersten Stunden zählt und welche Meldefristen seit Dezember 2025 gelten.

Das Wichtigste in Kürze

• Das BKA zählte 2025 1.041 angezeigte Ransomware-Angriffe in Deutschland, ein Plus von 10 Prozent gegenüber dem Vorjahr. Das sind nur die angezeigten Fälle.
• 34 Prozent der deutschen Unternehmen waren laut Bitkom schon Opfer einer Ransomware-Attacke, 15 Prozent haben bereits einmal gezahlt.
• Der häufigste Einstiegsweg ist wieder die E-Mail: schädliche E-Mails und Phishing verursachen zusammen rund die Hälfte aller Angriffe.
• Seit dem 6. Dezember 2025 gilt das NIS2UmsuCG. Für betroffene Unternehmen läuft die erste Meldefrist beim BSI nach 24 Stunden ab, parallel zur 72-Stunden-Frist aus der DSGVO.
• Die durchschnittlichen Wiederherstellungskosten lagen 2026 bei 1,7 Millionen US-Dollar — ohne Lösegeld.

Ein Ransomware-Vorfall ist selten ein technisches Problem allein. Er wird innerhalb weniger Stunden zu einer Frage danach, wer entscheidet, wer kommuniziert, welche Fristen laufen und wer am Ende die Verantwortung dafür trägt, dass bestimmte Dinge vorher nicht geregelt waren.

Dieser Leitfaden richtet sich an IT-Leiter, Sicherheitsverantwortliche und Geschäftsführungen in mittelständischen Unternehmen.

Wie groß das Risiko für den Mittelstand wirklich ist

Die Zahlenlage ist in diesem Themenfeld ungewöhnlich gut belegt — und sie widerspricht der verbreiteten Annahme, Ransomware sei vor allem ein Konzernproblem.

Das Bundeskriminalamt verzeichnete im Bundeslagebild Cybercrime 2025 1.041 angezeigte Ransomware-Angriffe, zehn Prozent mehr als im Vorjahr. Die vom BKA erfassten Lösegeldzahlungen summierten sich auf rund 15,5 Millionen US-Dollar. Das BSI kommt in seinem Lagebericht 2025 für einen leicht anderen Zeitraum auf rund 950 angezeigte Angriffe. Beide Werte erfassen ausschließlich Fälle, die zur Anzeige gebracht wurden — die tatsächliche Zahl liegt deutlich höher.

Aussagekräftiger für die eigene Risikoeinschätzung ist die Bitkom-Studie Wirtschaftsschutz 2025, für die 1.002 Unternehmen ab zehn Beschäftigten und mindestens einer Million Euro Jahresumsatz repräsentativ befragt wurden:

• 34 Prozent waren bereits Opfer einer Ransomware-Attacke
• 15 Prozent haben schon einmal Lösegeld gezahlt
• 59 Prozent sehen ihre Existenz durch Cyberangriffe bedroht
• Der Schaden durch Ausfall und Schädigung von IT-Systemen belief sich 2025 auf 73,3 Milliarden Euro

Wer glaubt, unterhalb der Wahrnehmungsschwelle der Angreifer zu liegen, sollte sich die Größenverteilung der Opfer ansehen. Coveware wertete im zweiten Quartal 2026 die bearbeiteten Erpressungsfälle aus: 35,4 Prozent der betroffenen Unternehmen hatten zwischen 101 und 1.000 Beschäftigte. Das ist das größte Einzelsegment. Die mediane Firmengröße lag bei 750 Mitarbeitenden.

Der Sicherheitsdienstleister Black Kite zählte zwischen April 2025 und März 2026 weltweit 7.551 Opfer auf Leak-Sites, ein Anstieg um knapp 25 Prozent. Für Deutschland waren es 281 Opfer, ein Plus von 48 Prozent. Am stärksten wuchs dabei das Segment der Unternehmen mit 50 bis 100 Millionen US-Dollar Umsatz, während der Anteil der ganz großen Unternehmen zurückging.

Ein Detail aus dem Sophos State of Ransomware 2026, das die Lage für kleinere Organisationen zusätzlich einordnet: Von den Unternehmen mit 100 bis 250 Beschäftigten konnten nur 34 Prozent den Angriff stoppen, bevor die Verschlüsselung begann. Bei Unternehmen mit 3.001 bis 5.000 Beschäftigten waren es 46 Prozent. Ausschlaggebend ist dabei weniger die Ausstattung als die Frage, ob jemand die Signale überhaupt sieht und darauf reagieren kann.

Wie Ransomware ins Unternehmensnetz kommt

Ein Ransomware-Angriff ist ein Ablauf über Wochen, kein einzelnes Ereignis. Zwischen dem ersten Zugang und der Verschlüsselung liegen nach BSI-Beobachtung regelmäßig Wochen, manchmal Monate. Diese Zeit ist das eigentliche Zeitfenster für Erkennung und Reaktion.

1. Erstzugang. Angreifer verschaffen sich Zugriff über eine E-Mail, gestohlene Zugangsdaten oder eine ungepatchte Schwachstelle.
2. Interne Ausbreitung. Rechte werden ausgeweitet, weitere Systeme übernommen, Sicherheitsmechanismen abgeschaltet. Coveware beobachtete laterale Bewegung in 76 Prozent der bearbeiteten Fälle.
3. Datenabfluss. Bevor verschlüsselt wird, wird kopiert. Ebenfalls in 76 Prozent der Fälle beobachtet.
4. Verschlüsselung und Erpressung. Erst am Ende wird der Schaden sichtbar, häufig nachts oder am Wochenende.

Beim Erstzugang hat sich das Bild 2026 verschoben. Sophos befragte 2.158 betroffene IT-Entscheider aus Organisationen mit 100 bis 5.000 Mitarbeitenden:

E-Mail-basierte Angriffe haben damit erstmals seit drei Jahren die Schwachstellenausnutzung als Hauptursache abgelöst. Insgesamt begannen 79 Prozent aller Angriffe identitätsbasiert — Sophos fasst darin alle Wege zusammen, bei denen Zugangsdaten erlangt oder missbraucht wurden, also auch Phishing- und E-Mail-Angriffe. Die 79 Prozent liegen quer zur Tabelle oben und sind keine Summe ihrer Zeilen.

Ein Befund aus derselben Erhebung verdient besondere Aufmerksamkeit: In 97 Prozent der Fälle mit kompromittierten Zugangsdaten war Multi-Faktor-Authentifizierung in irgendeiner Form bereits ausgerollt. MFA ist eine notwendige Maßnahme, aber offensichtlich keine hinreichende. Es kommt darauf an, ob sie ohne Ausnahmen greift: Legacy-Protokolle, Servicekonten und Sonderregelungen sind genau die Stellen, an denen Angreifer ansetzen. Coveware nennt für Q2 2026 ausdrücklich MFA-Umgehung, erzwungene Passwort-Resets und Helpdesk-Manipulation als aktive Techniken.

Einordnend sei erwähnt, dass der Verizon Data Breach Investigations Report 2026 zu einem anderen Ergebnis kommt: Dort ist die Schwachstellenausnutzung erstmals seit 19 Jahren der dominante Erstzugriffsvektor. Der Widerspruch erklärt sich über die Grundgesamtheiten — Sophos befragt Ransomware-Opfer mittlerer Größe, Verizon wertet forensisch untersuchte Datenschutzverletzungen aller Größenordnungen aus. Für die Praxis heißt das schlicht: Beide Wege sind offen, und beide müssen geschlossen werden.

Die häufigsten Einstiegswege im Detail behandeln wir in eigenen Beiträgen — etwa zu Phishing als häufigstem Einfallsvektor und zu gezielten Spear-Phishing-Angriffen auf einzelne Mitarbeitende.

Krypto, Locker, Double Extortion: was heute wirklich passiert

Die klassische Unterscheidung ist schnell erzählt. Krypto-Ransomware verschlüsselt Dateien, Locker-Ransomware sperrt den Zugriff auf das gesamte System. Beides sind Ausprägungen von Schadsoftware; Ransomware ist eine Unterart von Malware und teilt sich mit anderen Varianten die Verbreitungswege.

Praktisch relevanter ist, was zusätzlich zur Verschlüsselung passiert. Bei der doppelten Erpressung kopieren Angreifer vor der Verschlüsselung Daten und drohen mit deren Veröffentlichung. Sophos beziffert diese Kombination auf 16 Prozent aller Angriffe — befragt wurden hier alle betroffenen Unternehmen. Coveware wiederum beobachtete Datenabfluss in 76 Prozent der Fälle, die im zweiten Quartal 2026 als Incident-Response-Mandat bearbeitet wurden. Beide Werte messen Unterschiedliches: die Selbstauskunft aller Opfer und die forensische Auswertung eskalierter Vorfälle.

Das BSI formuliert es in seinem Arbeitspapier zur Ersten Hilfe unmissverständlich:

Mit einem Abfluss von Daten ist zu rechnen.

Das verändert die Bewertung eines Vorfalls grundlegend. Ein funktionierendes Backup löst das Verfügbarkeitsproblem. Gegen die Veröffentlichung abgeflossener Daten hilft es nicht — und genau daran hängen die datenschutzrechtlichen Folgen.

Über die doppelte Erpressung hinaus wird zusätzlicher Druck aufgebaut: durch DDoS-Angriffe, durch direkte Kontaktaufnahme zu Kunden und Geschäftspartnern, teilweise durch Meldung des Vorfalls bei Aufsichtsbehörden durch die Täter selbst. Belastbare Zahlen dazu gibt es bislang nicht.

Zum Geschäftsmodell dahinter: Black Kite zählte im Juni 2026 146 aktive Ransomware-Gruppen. Allein zwischen April 2025 und März 2026 entstanden 61 neue Gruppen. Die Fragmentierung ist ein Indikator dafür, wie niedrig die Einstiegshürden inzwischen liegen.

Die Schutzmaßnahmen, die das BSI konkret verlangt

Der Maßnahmenkatalog Ransomware des BSI ist die brauchbarste Grundlage für ein mittelständisches Unternehmen, weil er Maßnahmen priorisiert und Quick Wins ausdrücklich kennzeichnet, statt sie nur aufzulisten. Das erste Kapitel enthält ein Prüf-Interview: Musterfragen der Geschäftsführung an die IT, mit Musterantworten. Wer wissen will, wie es um die eigene Ausgangslage steht, kommt mit diesen Fragen weiter als mit jeder Produktbroschüre.

Die Einordnung „eher nachrangig“ bedeutet nicht „unwichtig“. Sie bedeutet, dass diese Maßnahmen ihren Wert erst entfalten, wenn Backup, Patch-Stand, Fernzugänge und Identitäten geklärt sind.

Zwei Punkte verdienen eine gesonderte Erwähnung, weil sie im Betrieb regelmäßig auseinanderfallen. Erstens: Netzwerksegmentierung stoppt die laterale Ausbreitung — aber nur, wenn die Segmentgrenzen auch für administrative Zugriffe gelten. Zweitens: Erkennung ist nur so viel wert wie die Reaktion, die daran hängt. Ein Alert um drei Uhr morgens, den niemand liest, hat den Angriff nicht verhindert. Wer über Angriffserkennung mit einem SIEM nachdenkt, sollte zuerst klären, wer außerhalb der Geschäftszeiten darauf reagiert.

Auf der organisatorischen Seite verlangen sowohl das BSI als auch, inzwischen verpflichtend, das BSIG regelmäßige Schulungen. Security-Awareness-Trainings ersetzen keine technische Maßnahme; sie ergänzen sie, indem sie die Wahrscheinlichkeit verschieben, dass ein Phishing-Versuch gemeldet statt geöffnet wird. Wer den Zugriffsrahmen darüber hinaus grundsätzlich neu ordnen will, findet in einer Zero-Trust-Architektur das passende Modell.

Backup ist die wichtigste Maßnahme — und die am häufigsten falsch gebaute

Das BSI ist an dieser Stelle ungewöhnlich eindeutig:

Ein Backup ist die wichtigste Schutzmaßnahme, mit der im Falle eines Ransomware-Vorfalls die Verfügbarkeit der Daten und eine schnelle Wiederaufnahme des Betriebs gewährleistet werden kann.

Die Zahlen stützen das. Laut Sophos konnten 2026 66 Prozent der Unternehmen mit verschlüsselten Daten aus Backups wiederherstellen, nach 54 Prozent im Vorjahr. Im selben Zeitraum sank die Zahlungsquote auf 48 Prozent, den niedrigsten Wert seit drei Jahren. Der Zusammenhang liegt nahe.

Der wichtigste Satz aus dem BSI-Maßnahmenkatalog betrifft allerdings weniger das Backup selbst als seine Erreichbarkeit:

Es ist inzwischen bei Schadprogramm-Infektionen üblich, dass Angreifende mit zuvor erlangten Administrationsrechten gezielt nach allen Backups suchen und diese, ebenso wie Produktivsysteme, verschlüsseln.

Ein Backup, das mit Domänen-Anmeldedaten erreichbar ist, ist im Ernstfall kein Backup.

Als Ordnungsrahmen hat sich die 3-2-1-1-0-Regel etabliert — eine Herstellerkonvention von Veeam, keine Norm und keine BSI-Vorgabe, aber ein brauchbares Merkschema:

• 3 Kopien der Daten
• 2 unterschiedliche Speichermedien oder -technologien
• 1 Kopie extern und geografisch getrennt
• 1 Kopie offline, air-gapped oder unveränderlich (WORM/Immutable)
• 0 Fehler bei der Wiederherstellung, verifiziert durch regelmäßige Restore-Tests

Das BSI formuliert unabhängig davon inhaltlich vergleichbare Anforderungen — und liefert dazu einen Prüfschritt, den man ohne Werkzeug durchführen kann:

So könnte etwa ein (Domänen-)Administrierender testweise versuchen, auf diese getrennten Backup-Kopien zuzugreifen. Dies sollte nicht gelingen.

Wenn es gelingt, ist die Trennung nicht wirksam. Weitere BSI-Anforderungen, die in der Praxis regelmäßig fehlen:

• Der Schwarzstart — der Wiederanlauf aller Server und Systeme — soll geplant und geübt sein, nicht nur dokumentiert.
• Vor der Wiederherstellung ist zu prüfen, ob die Backups selbst bereits kompromittiert sind. Angreifer bewegen sich teilweise wochenlang im Netz und sind womöglich längst mitgesichert worden. Das BSI empfiehlt, mit Kopien oder einem Write-Blocker zu arbeiten.
• Kopien sollen auf verschiedene geografische Orte verteilt sein, auch gegen Brand und Hochwasser.

Ein verbreiteter Irrtum betrifft Cloud-Dienste: Die Verfügbarkeit einer Plattform ersetzt keine Datensicherung. Warum Microsoft 365 kein Backup ersetzt, ist im Mittelstand nach wie vor eines der häufigsten Missverständnisse in Backup-Konzepten.

Bleibt der Punkt, den Backups grundsätzlich nicht abdecken. Das BSI dazu:

Naturgemäß können Backups hiervor nicht schützen. Stattdessen gilt: Nur die Daten, die auch gespeichert werden, können abfließen.

Datenminimierung wirkt damit auch als Sicherheitsmaßnahme, über die datenschutzrechtliche Pflicht hinaus.

Nächster Schritt: Wer Backup und Wiederherstellung neu bewerten möchte, findet auf it-dock.de passende Anbieter für Backup, Recovery und Business Continuity.

Der Notfallplan: die ersten Stunden und Tage

Was in den ersten Stunden geschieht, bestimmt Beweissicherung, Wiederanlaufzeit und die Einhaltung von Fristen. Die folgende Reihenfolge folgt dem BSI-Arbeitspapier Erste Hilfe bei einem schweren IT-Sicherheitsvorfall, das sich ausdrücklich an IT-Sicherheitsbeauftragte und Administratoren in KMU richtet.

0 bis 30 Minuten

1. Ruhe bewahren und nicht übereilt handeln. Das steht im BSI-Papier an erster Stelle, und zwar aus gutem Grund: Die meisten irreversiblen Fehler passieren in den ersten Minuten.
2. Betroffene Systeme isolieren — Netzwerkkabel ziehen, Gerät nicht herunterfahren. Beim Ausschalten gehen flüchtige Speicherinhalte verloren, die für die forensische Analyse gebraucht werden.
3. Keine Anmeldung mit privilegierten Konten auf potenziell infizierten Systemen. Das BSI nennt dies ausdrücklich die oberste Regel. Wer sich mit Domänen-Admin-Rechten auf einem kompromittierten System anmeldet, liefert den Angreifern genau das, was ihnen noch fehlt.
4. Krisenstab einberufen und festlegen: Wer entscheidet? Wer kommuniziert? Sollen Systeme schnell wiederhergestellt oder zuerst Spuren gesichert werden?

30 Minuten bis 4 Stunden

5. Prüfen, ob saubere, nicht kompromittierte Backups vorliegen.
6. Zugangsdaten als kompromittiert behandeln — alle auf betroffenen Systemen gespeicherten Anmeldedaten, einschließlich Browser, E-Mail-Clients, RDP, VPN und SSH-Werkzeuge.
7. Externe Unterstützung anfragen. Wichtig für die Erwartungshaltung: Das BSI kann nach eigener Aussage „nur in absoluten Ausnahmefällen“ selbst operativ unterstützen — „insbesondere eine Infektion mit gängiger Ransomware fällt hier regelmäßig nicht darunter“. Es vermittelt aber Forensik-Dienstleister und führt eine Liste qualifizierter APT-Response-Anbieter.
8. Cyberversicherung informieren. Cyberpolicen enthalten typischerweise Obliegenheiten, die schon in den ersten Stunden greifen.
9. Meldefristen starten lassen — dazu das nächste Kapitel.

Tag 1 bis 5

10. Kompromittierte Systeme neu aufsetzen. Das BSI empfiehlt, infizierte lokale Systeme als vollständig kompromittiert zu betrachten.
11. Bei Kompromittierung des Active Directory ist das Netz nach BSI-Einschätzung komplett neu aufzubauen. Ist das nicht kurzfristig möglich, muss das KRBTGT-Passwort zweimal zurückgesetzt werden.
12. Strafanzeige erwägen. Bei einem Angriff werden in der Regel mehrere Straftatbestände erfüllt, unter anderem nach §§ 202a, 303a und 303b StGB. Ansprechpartner sind die Zentralen Ansprechstellen Cybercrime (ZAC) — es gibt eine in jedem Bundesland bei den Landeskriminalämtern sowie eine beim BKA. Sie sind ausdrücklich für Unternehmen und Behörden eingerichtet, nicht für Privatpersonen.
13. Prüfen, ob ein Entschlüsselungstool existiert. Das Portal No More Ransom, getragen von der niederländischen Polizei, Europol, Kaspersky und McAfee, stellt kostenlose Decryptor bereit und identifiziert über das Crypto-Sheriff-Werkzeug die Ransomware-Familie. Die Einschränkung gehört dazu: Für moderne, professionell betriebene Familien existieren in aller Regel keine Tools. Sie entstehen meist erst, wenn eine Gruppe zerschlagen oder ein Implementierungsfehler gefunden wurde. Der Blick dorthin ist ein sinnvoller Prüfschritt vor jeder Zahlungsüberlegung, keine Wiederherstellungsstrategie.

Häufigster Fehler in dieser Phase: Systeme werden ausgeschaltet statt vom Netz getrennt, und die Wiederherstellung startet, bevor geklärt ist, ob das Backup selbst betroffen ist.

Melden: an wen, in welcher Frist

Hier hat sich die Rechtslage zuletzt spürbar verändert, und die meisten verfügbaren Ratgeber im Netz bilden das noch nicht ab.

Das NIS2UmsuCG ist am 6. Dezember 2025 ohne Übergangsfrist in Kraft getreten und im neu gefassten BSIG umgesetzt. Statt bisher rund 4.500 regulierten Organisationen sind nun etwa 29.500 Unternehmen in Deutschland betroffen. Für den Mittelstand ist vor allem Anlage 2 relevant: Über den Sektor „Verarbeitendes Gewerbe“ fallen erstmals viele klassische Mittelständler unter die Regulierung — Maschinenbau, Elektrotechnik, Fahrzeugbau, Medizinprodukte.

Die Registrierungspflicht beim BSI besteht binnen drei Monaten nach erstmaliger Betroffenheit. Für Bestandsfälle lief die Frist am 6. März 2026 ab; das BSI gewährte eine Duldungsfrist bis zum 31. Juli 2026, die inzwischen verstrichen ist. Für Registrierungsverstöße sieht das Gesetz Bußgelder bis 500.000 Euro vor. Was NIS-2 darüber hinaus für mittelständische Unternehmen bedeutet, behandeln wir ausführlich im Beitrag zu den NIS-2-Pflichten für mittelständische Unternehmen.

Im Ernstfall laufen mehrere Fristen parallel:

Der Leitsatz des BSI zur Meldung lautet „Schnelligkeit vor Vollständigkeit“. Die Erstmeldung nach 24 Stunden darf und soll Unsicherheiten enthalten.

Ob eine DSGVO-Meldung erforderlich ist, hängt weniger vom Angriff selbst ab als von seinen Folgen. Der Europäische Datenschutzausschuss hat dazu in seinen Leitlinien 01/2021 vier Ransomware-Fälle durchgerechnet:

Daraus lassen sich vier Regeln ableiten, die im Ernstfall Zeit sparen: Verschlüsselung ruhender Daten senkt das Vertraulichkeitsrisiko erheblich. Der Zustand der Backups bestimmt maßgeblich, ob überhaupt gemeldet werden muss. Sobald Daten abgeflossen sind, ist praktisch immer von einem hohen Risiko auszugehen — dann greift zusätzlich Artikel 34. Und besondere Datenkategorien nach Artikel 9 DSGVO, etwa Gesundheitsdaten, verschärfen die Bewertung unabhängig davon, wie gut die Backups sind. Das erklärt den Krankenhaus-Fall in der Tabelle oben.

Lösegeld zahlen? Was Geschäftsführungen vorher wissen sollten

Die Empfehlung des BSI ist eindeutig: grundsätzlich nicht auf die Erpressung eingehen. Die Entscheidung fällt trotzdem regelmäßig anders aus, und sie fällt unter Zeitdruck. Deshalb gehören die Rahmenbedingungen vorher geklärt, nicht während des Vorfalls.

Was die Zahlen sagen. Laut Sophos zahlten 2026 48 Prozent der Unternehmen mit verschlüsselten Daten. Von den Zahlenden erhielten nur zwei Prozent überhaupt keine Daten zurück, und 51 Prozent konnten den geforderten Betrag herunterhandeln. Der Median der Lösegeldforderungen lag bei 698.000 US-Dollar und damit 65 Prozent unter dem Wert von 2024. Verizon kommt für seine Grundgesamtheit auf eine Nichtzahlungsquote von 69 Prozent. Coveware meldet für reine Exfiltrations-Erpressung ohne Verschlüsselung eine Zahlungsquote von nur noch 15 Prozent, ein historisches Tief.

Was die Zahlung nicht ersetzt. Die durchschnittlichen Wiederherstellungskosten lagen 2026 bei 1.700.200 US-Dollar — ohne Lösegeld. Ein gezahltes Lösegeld kommt also obendrauf. Das BSI weist zusätzlich darauf hin, dass eine erfolgreiche Entschlüsselung die Neuinstallation der kompromittierten Systeme nicht ersetzt, weil Hintertüren zurückgeblieben sein können. Wer einmal gezahlt hat, gilt als zahlungsbereit.

Was rechtlich zu beachten ist. Lösegeldzahlungen sind in Deutschland nicht per se verboten. Es geht um Strafbarkeitsrisiken im Einzelfall. Als zentrales Risiko diskutiert die juristische Literatur die Unterstützung einer kriminellen Vereinigung nach § 129 StGB — mit dem Argument, dass Unternehmensverantwortlichen inzwischen bewusst sein müsse, dass hinter solchen Angriffen organisierte Kriminalität steht. Eine Untreue nach § 266 StGB wird überwiegend verneint, sofern das Lösegeld nicht außer Verhältnis zum erwarteten Schaden steht — was eine dokumentierte Verhältnismäßigkeitsprüfung voraussetzt. Eine anwaltliche Prüfung im Einzelfall ist hier nicht optional.

Was die Versicherung leistet — und was sie voraussetzt. Cyberpolicen decken typischerweise Eigenschäden aus Betriebsunterbrechung, Kosten der Daten- und Systemwiederherstellung, Haftpflichtansprüche aus Datenschutzverletzungen sowie Assistance-Leistungen wie IT-Forensik, Rechts- und PR-Beratung. Ob Lösegeldzahlungen gedeckt sind, unterscheidet sich stark nach Anbieter und Tarif und gehört in der konkreten Police geprüft. Der Bitkom-Leitfaden nennt als typische Mindestanforderungen für KMU: Virenschutz mit automatischer Aktualisierung, Firewalls, ransomware-sichere Backups, Patch-Management, ein abgestuftes Rechtekonzept, Mehrfaktorauthentifizierung, Passwort-Richtlinien und regelmäßige Mitarbeiterschulungen. Diese Obliegenheiten gelten während der gesamten Vertragslaufzeit; Verstöße können zu Leistungskürzungen führen.

Das BSI wird an dieser Stelle deutlich: Versicherer geben konkrete IT-Sicherheitsmaßnahmen vor „und prüfen im Schadensfall sehr genau auf Versäumnisse des Versicherungsnehmers“. Welche Leistungen üblich sind, haben wir im Beitrag zur Cyberversicherung für den Mittelstand aufbereitet.

Wer am Ende verantwortlich ist. Geschäftsführer einer GmbH schulden nach § 43 Abs. 1 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes. Artikel 32 DSGVO verlangt technische und organisatorische Maßnahmen nach dem Stand der Technik, und Artikel 82 Abs. 3 DSGVO kehrt die Beweislast zulasten des verantwortlichen Unternehmens um. Das BSIG macht die Verantwortung der Geschäftsleitung für das Risikomanagement ausdrücklich nicht delegierbar und verpflichtet sie zur eigenen Teilnahme an Cybersicherheitsschulungen.

Der Satz, der diese Diskussion am besten zusammenfasst, stammt aus dem BSI-Maßnahmenkatalog:

Ransomware ist keine „Höhere Gewalt“. … Die Beschreibung „Höhere Gewalt“ trifft in aller Regel nicht auf Ransomware zu.

Ergänzt um eine Fußnote, die man als Geschäftsführung gelesen haben sollte: Wenn für Systeme bereits seit Wochen oder Monaten Patches bereitstehen, könne man sich „im Bereich der Fahrlässigkeit bewegen“. Nachträglich erstellte Dokumentation hilft dann nicht mehr.

Nächster Schritt: Wenn aus der Risikobewertung ein konkretes Projekt wird, hilft eine strukturierte Anbieterauswahl. Der Concierge-Service von it-dock stellt dafür kostenlos eine Shortlist passender IT-Dienstleister zusammen.

Häufige Fragen zu Ransomware im Unternehmen

Muss ich einen Ransomware-Angriff melden — und wem?

Das hängt davon ab, wer Sie sind und was passiert ist. NIS-2-betroffene Unternehmen melden dem BSI binnen 24 Stunden eine Erstmeldung, nach 72 Stunden eine Folgemeldung und nach einem Monat die Abschlussmeldung. Sind personenbezogene Daten betroffen, kommt die Meldung an die zuständige Landesdatenschutzbehörde nach Artikel 33 DSGVO hinzu, in der Regel binnen 72 Stunden. Bei voraussichtlich hohem Risiko müssen zusätzlich die betroffenen Personen informiert werden. Eine Strafanzeige bei der Zentralen Ansprechstelle Cybercrime ist freiwillig, wird vom BSI aber empfohlen.

Gilt NIS-2 auch für mein mittelständisches Unternehmen?

Möglicherweise. Seit dem NIS2UmsuCG sind rund 29.500 Unternehmen in Deutschland betroffen statt bisher etwa 4.500. Als wichtige Einrichtung gelten Unternehmen ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz bei mehr als 10 Millionen Euro Bilanzsumme, sofern sie in einem der gelisteten Sektoren tätig sind. Über den Sektor „Verarbeitendes Gewerbe“ fallen viele klassische Mittelständler erstmals darunter.

Wie lange dauert die Wiederherstellung nach einem Ransomware-Angriff wirklich?

Laut Sophos State of Ransomware 2026 waren 16 Prozent der betroffenen Unternehmen binnen eines Tages wieder vollständig arbeitsfähig, 55 Prozent innerhalb einer Woche und 83 Prozent innerhalb eines Monats. Die durchschnittliche Wiederherstellungsdauer lag bei drei Wochen.

Was kostet ein Ransomware-Angriff im Durchschnitt?

Sophos beziffert die durchschnittlichen Wiederherstellungskosten für 2026 auf 1.700.200 US-Dollar — ohne Lösegeld, das gegebenenfalls hinzukommt. Für Deutschland beziffert Bitkom allein den Schaden durch Ausfall und Schädigung von IT-Systemen, über alle Angriffsarten hinweg, auf 73,3 Milliarden Euro im Jahr 2025.

Ist die Zahlung von Lösegeld in Deutschland strafbar?

Nicht grundsätzlich. Die juristische Literatur diskutiert allerdings Strafbarkeitsrisiken im Einzelfall, insbesondere die Unterstützung einer kriminellen Vereinigung nach § 129 StGB. Eine Untreue nach § 266 StGB gegenüber der eigenen Gesellschaft wird überwiegend verneint, solange das Lösegeld nicht außer Verhältnis zum erwarteten Schaden steht. Vor einer Zahlung sollte in jedem Fall anwaltlicher Rat eingeholt und die Polizei eingebunden werden.

Zahlt die Cyberversicherung das Lösegeld?

Das unterscheidet sich stark nach Anbieter und Tarif und muss in der konkreten Police geprüft werden. Gedeckt sind typischerweise Betriebsunterbrechungsschäden, Wiederherstellungskosten, Haftpflichtansprüche und Assistance-Leistungen wie IT-Forensik und Rechtsberatung. Voraussetzung sind eingehaltene Obliegenheiten — Versicherer prüfen im Schadensfall genau, ob Backup-Konzept, Patch-Management und MFA tatsächlich umgesetzt waren.

Haftet die Geschäftsführung persönlich für einen Ransomware-Angriff?

Eine Haftung kommt in Betracht, wenn Sorgfaltspflichten verletzt wurden — nach § 43 GmbHG beziehungsweise § 93 AktG, ergänzt um die Pflichten aus Artikel 32 DSGVO und dem BSIG. Bei der Aktiengesellschaft trägt der Vorstand nach § 93 Abs. 2 AktG die Beweislast dafür, die Sorgfalt eingehalten zu haben; im Datenschutzrecht kehrt Artikel 82 Abs. 3 DSGVO die Beweislast zulasten des verantwortlichen Unternehmens um. Das BSI stellt ausdrücklich klar, dass Ransomware in aller Regel keine höhere Gewalt darstellt. Dokumentierte Risikobewertungen, aktuelles Patch-Management und getestete Notfallpläne sind deshalb auch Haftungsvorsorge — nachträglich erstellte Dokumentation genügt nicht.

Schützen Backups vollständig vor Ransomware-Schäden?

Nein. Backups lösen das Verfügbarkeitsproblem — 66 Prozent der betroffenen Unternehmen stellten 2026 daraus wieder her. Gegen den Abfluss und die angedrohte Veröffentlichung von Daten helfen sie nicht. Das BSI leitet daraus ab, dass Datenminimierung eine eigenständige Schutzmaßnahme ist: Nur Daten, die gespeichert sind, können abfließen.

Quellen

Alle Zahlen, Fristen und rechtlichen Angaben in diesem Beitrag stammen aus den folgenden Quellen. Stand der Recherche: August 2026.

Behörden und offizielle Stellen

• BSI: Die Lage der IT-Sicherheit in Deutschland 2025 – 24.11.2025
• BSI: Maßnahmenkatalog Ransomware, Version 1.0
• BSI: Erste Hilfe bei einem schweren IT-Sicherheitsvorfall, Version 1.2
• BSI: NIS-2-Meldepflicht
• BKA: Bundeslagebild Cybercrime 2025 – 12.05.2026
• Europäischer Datenschutzausschuss: Leitlinien 01/2021 zu Beispielen für die Meldung von Verletzungen des Schutzes personenbezogener Daten, Version 2.0
• No More Ransom (Europol): Kostenlose Entschlüsselungswerkzeuge für bekannte Ransomware-Familien

Studien und Marktdaten

• Bitkom: Wirtschaftsschutz 2025 – 18.09.2025
• Bitkom: Leitfaden Cyberversicherung und -sicherheit (PDF) – 2024
• Sophos: The State of Ransomware 2026 (PDF) – Juli 2026
• Verizon: 2026 Data Breach Investigations Report – 20.05.2026
• Coveware by Veeam: Ransomware Payment Trends Q2 2026
• Black Kite: 2026 Ransomware Report
• Veeam: Die 3-2-1-Backup-Regel – aktualisiert 12.06.2026

Rechtliche Einordnung

• GTK Rechtsanwälte: Welche strafrechtlichen Risiken drohen bei Lösegeldzahlungen nach Ransomware-Angriffen? – 18.03.2024
• Stammkötter: Ist die Zahlung eines Lösegeldes bei Ransomware strafbar? Saarbrücker Rechtszeitschrift 1/2023 (PDF)
• Pöppel Rechtsanwälte: Geschäftsführerhaftung bei Cyberangriffen: Warum IT-Sicherheit Chefsache ist