Dieser Leitfaden hilft dir, vorbereitet zu sein. Wenn es bei dir gerade brennt, geh direkt zur Sofort-Hilfe.
Zur Notfall-SeiteWas tue ich jetzt, sofort, in den nächsten 60 Minuten?
Dieser Leitfaden gibt dir eine klare Antwort, ohne IT-Fachjargon, direkt umsetzbar, auch wenn du kein IT-Profi bist.
Was ist Ransomware – und warum trifft es KMU?
Ransomware ist eine Art Schadsoftware, die alle Dateien auf deinem Computer oder Netzwerk verschlüsselt. Danach fordert der Angreifer ein Lösegeld (englisch: ransom) – meist in Kryptowährung – um die Dateien wieder freizugeben.
Das Trügerische daran: Du merkst es oft erst, wenn es zu spät ist. Die Schadsoftware schleicht sich meist unbemerkt über eine gewöhnliche E-Mail, einen falschen Link oder ein unsicheres Passwort ins System ein und wartet. Dann schlägt sie zu, oft nachts oder am Wochenende.
KMU sind besonders betroffen, weil sie oft weniger IT-Ressourcen haben als Grossunternehmen, aber genauso wertvolle Daten: Kundendaten, Auftragsdaten, Buchhaltung, Bauplaner, Schülerakten.
– Laut NCSC (Nationales Zentrum für Cybersicherheit) sind KMU die am häufigsten gemeldete Opfergruppe bei Ransomware-Angriffen in der Schweiz.
– Durchschnittliche Ausfallzeit nach einem Angriff: 16–21 Tage.
– Viele Unternehmen zahlen das Lösegeld und erhalten ihre Daten trotzdem nicht zurück.
Typische Anzeichen eines Ransomware-Angriffs
Manchmal gibt es Warnsignale, bevor der Angriff vollständig zugeschlagen hat. Diese Zeichen solltest du kennen:
- Dateien lassen sich plötzlich nicht mehr öffnen oder haben seltsame Dateiendungen (z.B. .locked, .encrypted)
- Eine Meldung erscheint auf dem Bildschirm mit Zahlungsaufforderung
- Der Computer läuft unerklärlich langsam — viele Hintergrundprozesse
- Antivirenprogramm wurde deaktiviert oder zeigt Warnungen
- Kollegen berichten plötzlich von Zugangsproblemen
- Netzwerklaufwerke sind nicht mehr erreichbar
Auch wenn du nur einen dieser Punkte erkennst — sofort handeln. Jede Minute, in der das System weiterläuft, kann weiteren Schaden verursachen.
Die ersten 60 Minuten — Schritt für Schritt
Hier ist dein Aktionsplan. Er ist absichtlich einfach gehalten — weil du in diesem Moment keinen Kopf für Technikerklärungen hast.
Das ist dein wichtigster erster Schritt. Je schneller du das Gerät vom Netz nimmst, desto weniger kann sich die Ransomware auf andere Computer ausbreiten.
- Netzwerkkabel sofort abziehen
- WLAN deaktivieren (Windows-Taste + Flugzeugmodus)
- Bei mehreren betroffenen Geräten: Router / Switch vorerst ausschalten
- Keine USB-Sticks einstecken, die könnten ebenfalls infiziert werden
Das ist kein Moment für Google. Ruf jetzt deinen IT-Dienstleister an — direkt, nicht per Mail (die könnte ebenfalls kompromittiert sein).
- Schildere was du siehst — Fehlermeldung, betroffene Systeme, seit wann
- Nenne wie viele Geräte betroffen sind
- Erwähne ob ihr ein Backup habt und wo es liegt
Noch bevor dein IT-Profi eintrifft, kannst du wichtige Informationen sichern — mit deinem Smartphone:
- Foto der Fehlermeldung / Lösegeld-Seite machen
- Uhrzeit und Datum notieren, wann du es bemerkt hast
- Welche Programme du zuletzt geöffnet oder Links angeklickt hast
- Wer als letztes an den betroffenen Geräten gearbeitet hat
Schnelle interne Kommunikation verhindert, dass weitere Geräte infiziert werden.
- Alle Mitarbeiter sofort informieren, mündlich oder per Telefon (nicht per Mail!)
- Niemand soll im Moment neue Mails öffnen oder Links anklicken
- Alle Geräte vom WLAN nehmen, die noch nicht betroffen sind
- Keine Passwörter ändern, erst nach Rücksprache mit dem IT-Profi
Ich weiss, der Druck ist enorm. Der Countdown läuft, die Daten sind weg, der Betrieb steht. Trotzdem: Zahle das Lösegeld nicht.
- Kein Angreifer ist zur Herausgabe der Daten verpflichtet, viele zahlen und bekommen trotzdem nichts
- Du machst dich als zahlungsbereit bekannt, das führt zu weiteren Angriffen
- Es gibt oft andere Möglichkeiten: Backups, Entschlüsselungstools, forensische Wiederherstellung
Was danach kommt — und wer hilft
Nach der Akutphase beginnt die Wiederherstellung. Das ist ein strukturierter Prozess, der Zeit braucht — aber mit dem richtigen Partner beherrschbar ist:
- Forensische Analyse — Wie kam die Ransomware rein? Was ist betroffen?
- Backup-Wiederherstellung — Wenn ein sauberes Backup vorhanden ist, kann der Betrieb schnell wiederaufgenommen werden.
- Systembereinigung — Alle infizierten Systeme werden neu aufgesetzt.
- NCSC-Meldung — Cybervorfälle müssen in der Schweiz gemeldet werden (ncsc.admin.ch).
- Versicherungsmeldung — Cyberversicherung informieren, Schadensprotokoll einreichen.
- Nachsorge — Sicherheitslücken schliessen, damit es nicht nochmal passiert.
Unternehmen mit einem funktionierenden, aktuellen Backup sind nach einem Ransomware-Angriff in Tagen wieder betriebsbereit, nicht in Wochen. Und sie zahlen kein Lösegeld.
Wie du dich jetzt schützen kannst — bevor es passiert
Die gute Nachricht: Die meisten erfolgreichen Ransomware-Angriffe hätten verhindert werden können. Mit diesen Massnahmen reduzierst du dein Risiko massiv:
- Regelmässige, automatisierte Backups nach der 3-2-1-Regel (3 Kopien, 2 Medien, 1 ausgelagert)
- MFA (Mehr-Faktor-Authentifizierung) auf allen Konten, besonders Microsoft 365 und E-Mail
- Aktuelle Software und Betriebssysteme — Windows 10 Support endete Oktober 2025, Windows 11 ist Pflicht
- Mitarbeiter sensibilisieren: Phishing-Mails erkennen, keine unbekannten Links anklicken
- Endpoint Security (EDR): moderner Virenschutz, der Bedrohungen in Echtzeit erkennt
- Proaktives Monitoring: auffälliges Verhalten im Netzwerk früh erkennen
Ein kostenloser IT-Check schafft Klarheit. In unter einer Stunde.
Häufige Fragen zu Ransomware für KMU
Was kostet ein Ransomware-Angriff ein KMU im Durchschnitt?
Soll ich das Lösegeld bezahlen?
Wie schnell muss ich nach einem Ransomware-Angriff handeln?
Muss ich einen Ransomware-Angriff melden?
Wie kann ich mein Unternehmen vor Ransomware schützen?
Jetzt handeln, bevor es brennt!
Ein Anruf bei simplify IT kostet nichts. Ein Ransomware-Angriff ohne Vorbereitung kostet sehr viel — Zeit, Geld und Vertrauen.
