Ransomware ist ein Schadprogramm, das deine Dateien verschlüsselt und dann Lösegeld verlangt. Zu Hause bedeutet das meist den Verlust von Fotos, Dokumenten, Buchhaltungsunterlagen, Schulaufgaben oder Arbeitsdateien. Es geht nicht nur um Firmen. Eine gefälschte Rechnung per E-Mail, ein aus einem Forum heruntergeladener Crack oder ein nicht aktualisiertes Programm reichen aus.
Dieser Artikel richtet sich vor allem an Heimanwender: wie du dich vorab schützen kannst und was in den ersten Minuten zu tun ist, wenn die Lösegeldforderung bereits auf dem Desktop erscheint. Wenn deine Daten bereits verschlüsselt sind und du einen akuten Vorfall hast, lies dir auch die detaillierte Notfallanleitung Ransomware hat Ihre Daten verschlüsselt: Schritt-für-Schritt-Anleitung durch.
Was ist Ransomware
Stell dir Ransomware als digitale Erpressung vor. Nach der Ausführung durchsucht sie leise die Festplatte, findet Dateien, die für dich wertvoll sind, und verschlüsselt sie. Typischerweise sind das Dokumente, Fotos, Videos, Tabellen und Datenbanken. Anschließend wird eine Lösegeldforderung mit Zahlungsanweisungen angezeigt, oft in Kryptowährung.
Eine verschlüsselte Datei kann beispielsweise wie fotka.jpg.locked, dokument.docx.encrypted aussehen oder eine andere unbekannte Endung haben. Einfaches Umbenennen hilft nicht. Das Problem liegt nicht im Namen, sondern im Inhalt der Datei.
Die häufigsten Infektionswege:
- Gefälschte E-Mails mit Anhang. Rechnung, Mahnung, Paketzustellung oder ein Dokument mit Makro.
- Cracks und Keygeneratoren. „Vollversion kostenlos“ ist einer der riskantesten Wege, sich Ransomware nach Hause zu holen.
- Phishing-Links. Eine E-Mail oder Nachricht leitet dich auf eine Seite weiter, die eine schädliche Datei herunterlädt.
- Nicht aktualisiertes System und Programme. Angreifer nutzen bekannte Schwachstellen aus, für die es oft bereits einen Patch gibt.
Wie man eine gewöhnliche betrügerische E-Mail erkennt, behandeln wir separat im Artikel Wie erkennt man eine Phishing-E-Mail.
Prävention: Fünf entscheidende Dinge
Bei Ransomware lohnt es sich, vorauszudenken. Ist der Angriff erst einmal erfolgt und du hast kein Backup, sind die Möglichkeiten begrenzt.
1. 3-2-1-Backup, vor allem offline
Die 3-2-1-Regel bedeutet drei Kopien der Daten, zwei verschiedene Medien und eine Kopie außerhalb des Hauptcomputers. Für einen Haushalt kann das eine Kombination aus Computer, externer Festplatte und Cloud oder NAS sein. Ausführlicher besprechen wir das im Artikel Backup nach der 3-2-1-Regel.
Ein entscheidendes Detail: Trenne die externe Festplatte nach dem Backup. Zieh das Kabel physisch ab. Ransomware sucht nämlich nicht nur die interne Festplatte. Oft durchsucht sie auch angeschlossene USB-Laufwerke, Netzwerkordner und NAS. Ist das Backup zum Zeitpunkt des Angriffs verbunden, kann es genauso verschlüsselt werden wie die ursprünglichen Daten.
Ein Offline-Backup ist nicht so komfortabel wie eine Cloud-Synchronisation, aber gegen Ransomware ist es entscheidend. Eine Cloud mit Versionierung kann helfen, aber ein synchronisierter Ordner ohne Versionsverlauf kann verschlüsselte Dateien brav auch in die Cloud hochladen.
2. Updates für Windows und Programme
Updates sind lästig, aber sie beheben Lücken, die Ransomware und andere Malware ausnutzt. Verschiebe Windows-Updates, Browser-Updates, PDF-Reader, Office-Pakete und Kommunikationsanwendungen nicht auf die lange Bank.
Wenn der Computer mehrere Monate lang meldet, dass Updates nicht gelingen, ignoriere das nicht. Dahinter stecken oft eine volle Festplatte, eine beschädigte Windows Update-Komponente oder eine alte Systemversion.
3. Vorsicht bei Anhängen und Downloads
Öffne keine Anhänge, die du nicht erwartest. Auch wenn sie von einer bekannten Firma zu stammen scheinen. Überprüfe die Absenderadresse, den Dateityp und den Kontext. Eine Rechnung in einem ZIP-Archiv mit Passwort oder ein „PDF“, das in Wirklichkeit eine .exe-Datei ist, ist eine rote Flagge.
Cracks und Keygeneratoren empfehlen wir komplett zu meiden. Im Service sehen wir wiederholt Computer, bei denen Ransomware genau über einen „Aktivator“ für ein Spiel oder ein Office-Paket begann.
4. Kontrollierter Ordnerzugriff
Windows Defender verfügt über die Funktion Kontrollierter Ordnerzugriff (Controlled Folder Access). Sie funktioniert so, dass sie ausgewählte Ordner vor unbekannten Anwendungen schützt. Wenn ein verdächtiges Programm versucht, massenhaft Dokumente oder Fotos zu ändern, kann Windows es blockieren.
So aktivierst du es:
- Öffne Windows-Sicherheit (Windows Security).
- Gehe zu Viren- & Bedrohungsschutz (Virus & threat protection).
- Suche Ransomware-Schutz verwalten (Manage ransomware protection).
- Aktiviere Kontrollierter Ordnerzugriff (Controlled Folder Access).
Es ist nicht wartungsfrei. Einige legitime Programme müssen zugelassen werden. Aber für Ordner mit Dokumenten, Fotos und Buchhaltungsunterlagen ist es eine nützliche Schutzschicht.
5. Lass Defender eingeschaltet
Der integrierte Microsoft Defender ist heute eine vernünftige Basis für einen Heimcomputer. Er schützt nicht vor allem, aber er kann bekannte Bedrohungen, verdächtiges Verhalten und schädliche Dateien erkennen. Wichtig ist, ihn nicht wegen Cracks, Spielen oder Anleitungen aus dem Internet zu deaktivieren.
Falls du die Defender-Einstellungen durchgehen musst, schließt sich der Artikel Brauche ich noch einen Virenschutz? Was Defender kostenlos kann an.
Ransomware hat zugeschlagen: Was sofort zu tun ist
Wenn du eine Lösegeldforderung oder massenhaft verschlüsselte Dateien siehst, geht es vor allem darum, die Situation nicht zu verschlimmern.
1. Trenne den Computer vom Netzwerk
Schalte WLAN aus und zieh das Ethernet-Kabel ab. Wenn du ein NAS oder Netzlaufwerk hast, trenne auch dieses vom Netzwerk. Ziel ist es, die Ausbreitung auf freigegebene Ordner und andere Geräte zu stoppen.
2. Schließe keine Backups an
Die schlimmste Reaktion zu Hause ist, eine externe Festplatte anzuschließen und „schnell die Fotos zu retten“. Wenn die Ransomware noch läuft, verschlüsselt sie auch das angeschlossene Backup. Die Backup-Festplatte gehört an einen sauberen Computer oder erst an ein bereinigtes System.
3. Zahle kein Lösegeld
Die Zahlung garantiert nicht, dass du deine Daten zurückbekommst. Der Angreifer kann verschwinden, ein nicht funktionierendes Tool senden oder dich später erneut zu erpressen versuchen. Zudem finanzierst du mit der Zahlung weitere Angriffe.
4. Fotografiere die Lösegeldforderung
Fotografiere mit dem Handy den Bildschirm oder die Textdatei mit den Anweisungen. Nützlich sind die Endung der verschlüsselten Dateien, der Name der Lösegeldforderung und jegliche Angriffs-ID. Nicht zum Bezahlen, sondern zur Identifizierung des Ransomware-Typs.
5. Versuche No More Ransom
Gehe auf nomoreransom.org. Das ist ein Projekt von Europol, der Polizei und Sicherheitsfirmen. Du lädst eine Probe einer verschlüsselten Datei oder die Lösegeldforderung hoch, und die Website versucht festzustellen, ob ein kostenloses Entschlüsselungstool existiert.
Bei älteren oder geknackten Varianten kannst du Glück haben. Bei modernen Varianten wie LockBit oder Phobos gibt es ohne Backup oft keinen brauchbaren Entschlüsseler. Das ist keine Panikmache, sondern die Realität starker Verschlüsselung.
6. Stelle nur auf einem sauberen System wieder her
Wenn du ein Backup hast, spiele es nicht direkt in das angegriffene System ein. Das sicherste Vorgehen ist:
- Trenne den angegriffenen Computer vom Netzwerk.
- Überprüfe die Backups auf einem sauberen Gerät.
- Bereinige das angegriffene System oder installiere es sauber neu.
- Stelle erst dann die Daten wieder her.
Bei wichtigen Daten ist es sinnvoll, zuerst ein Bit-Image der ursprünglichen Festplatte zu erstellen. Das Original bleibt dann unberührt, und alle Versuche werden an der Kopie durchgeführt.
Kann man Dateien ohne Bezahlung entschlüsseln?
Manchmal ja. Wenn es sich um ältere Ransomware, eine fehlerhaft geschriebene Variante oder einen Stamm handelte, zu dem Sicherheitsteams Schlüssel erlangt haben, besteht eine Chance über No More Ransom oder einen spezialisierten Entschlüsseler.
Manchmal aber nicht. Bei moderner Ransomware mit starker Verschlüsselung ist es nicht realistisch, das „Passwort“ zu Hause oder im Service zu knacken. Ohne Backup und ohne verfügbaren Entschlüsseler können die Daten praktisch verloren sein. Deshalb ist Prävention so wichtig.
Lösche verschlüsselte Dateien nicht sofort. Speichere sie auf einer getrennten Festplatte. Es kann sein, dass später ein Entschlüsseler auftaucht.
Wann man einen Service rufen sollte
Ein Service macht vor allem in diesen Situationen Sinn:
- Du hast kein Backup und die Daten haben einen realen Wert,
- Du weißt nicht, ob die Ransomware noch läuft,
- Der Computer ist geschäftlich oder enthält Buchhaltungsdaten,
- Du musst Daten sicher aus Backups wiederherstellen,
- Du möchtest sicher sein, dass keine Hintertür im System verblieben ist.
In Brünn lösen wir Ransomware im Rahmen des Dienstes Antivirus und Ransomware. Bei Heimcomputern bewerten wir meist zuerst, ob ein Backup oder ein Entschlüsseler existiert. Wenn nicht, sagen wir das offen. Bei gut gemachter moderner Ransomware ohne Backup gibt es manchmal nichts zu retten.
Häufige Fragen
Soll ich Lösegeld zahlen, wenn dort jahrelange Fotos sind?
Nein. Die Zahlung garantiert nicht die Rückkehr der Daten. Trenne zuerst den Computer vom Netzwerk, versuche die Identifizierung über No More Ransom und suche nach Offline-Backups.
Schützt mich ein Antivirenprogramm vor Ransomware?
Es hilft, ist aber kein kugelsicherer Schutz. Defender oder ein kostenpflichtiges Antivirenprogramm ist nur eine Schicht. Am wichtigsten sind ein Offline-Backup, Updates und Vorsicht bei Anhängen.
Wie unterscheidet sich Ransomware von einem gewöhnlichen Virus?
Ein gewöhnlicher Virus kann auf verschiedene Weise schaden: Passwörter stehlen, Werbung anzeigen, den Computer verlangsamen. Ransomware ist spezifisch, indem sie Daten verschlüsselt und Lösegeld verlangt. Wenn du nicht sicher bist, womit der Computer infiziert ist, hilft die Anleitung Wie erkennt und entfernt man einen Virus.
Reicht ein Backup auf einer externen Festplatte, wenn sie ständig angeschlossen ist?
Nein. Eine angeschlossene externe Festplatte ist für Ransomware eine weitere Festplatte zum Verschlüsseln. Zieh nach Abschluss des Backups das Kabel ab.
Was ist No More Ransom?
No More Ransom ist eine Website mit einer Datenbank kostenloser Entschlüsseler und einem Tool zur Identifizierung von Ransomware. Es ist keine Wunderlösung für jede Variante, aber der erste Ort, den man ausprobieren sollte.