Ransomware wird in der öffentlichen Wahrnehmung meist mit großen Konzernen verbunden – doch die Zahlen zeichnen ein anderes Bild. Laut BSI-Lagebericht richtete sich im Berichtszeitraum ein großer Teil der angezeigten Ransomware-Angriffe gegen kleine und mittlere Unternehmen, nicht gegen Großkonzerne. Deutschland gehörte 2025 zudem zu den weltweit am stärksten von bestätigten Ransomware-Vorfällen betroffenen Ländern.
Warum kleine Betriebe zum Einfallstor werden
Handwerksbetriebe, Zulieferer und kleine Dienstleister sind oft eng mit größeren Kunden und Lieferanten vernetzt – über gemeinsame Systeme, E-Mail-Kommunikation oder Zugriffsrechte. Gleichzeitig fehlen in kleineren Betrieben häufig dedizierte IT-Sicherheitsressourcen. Für Angreifer ergibt sich daraus ein attraktives Muster: der kleine Betrieb als leichter zu kompromittierender Zugangspunkt in größere Netzwerke.
Angreifer wählen ihre Ziele zunehmend automatisiert aus, nicht individuell nach Unternehmensgröße. Ein ungepatchtes System oder ein ungeschütztes Fernzugriffsportal wird unabhängig davon gefunden, ob dahinter ein Konzern oder ein Fünf-Personen-Betrieb steht – die Unternehmensgröße schützt also nicht vor der ersten Kontaktaufnahme des Angriffs.
Was ein Angriff wirklich kostet
Ein Ransomware-Vorfall verursacht selten nur ein Lösegeld. Hinzu kommen Betriebsausfall – oft mehrere Tage bis Wochen –, die technische Wiederherstellung von Systemen und Daten sowie mögliche Reputationsschäden gegenüber Kunden. Diese Folgekosten übersteigen die reine Erpressungssumme in der Praxis regelmäßig deutlich. Das ist derselbe Grundgedanke, der auch hinter IT-Sicherheit als Kostenschutz steht: Prävention ist fast immer günstiger als Wiederherstellung.
Für einen Handwerksbetrieb kann ein mehrtägiger Ausfall besonders schwer wiegen, wenn dadurch Termine bei Kunden nicht eingehalten werden können oder die Auftragsverwaltung zeitweise komplett stillsteht. Anders als bei größeren Unternehmen gibt es oft keine Ausweichkapazität, die den Betrieb währenddessen weiterlaufen lässt.
Fünf Sofortmaßnahmen mit hoher Wirkung
- Getrennte Backups: Regelmäßige Datensicherungen, die physisch oder logisch vom Hauptnetzwerk getrennt sind – sonst verschlüsselt Ransomware auch die Backups mit.
- Konsequente Updates: Betriebssysteme und Software zeitnah patchen, da viele Angriffe bekannte, längst geschlossene Sicherheitslücken ausnutzen.
- Endpoint-Schutz: Eine aktuelle Sicherheitslösung auf allen Arbeitsplätzen und Servern, nicht nur auf zentralen Systemen.
- Zwei-Faktor-Authentifizierung: Für alle wichtigen Zugänge, insbesondere E-Mail und Fernzugriff – der häufigste Einstiegspunkt für Angreifer.
- Notfallplan: Ein dokumentierter Ablaufplan, wer im Ernstfall was zu tun hat, spart im Vorfall wertvolle Zeit.
Im Ernstfall: Die ersten Schritte
Betroffene Systeme sofort vom Netzwerk trennen, um eine weitere Ausbreitung zu verhindern. Von einer eigenmächtigen Lösegeldzahlung ohne rechtliche und technische Beratung ist grundsätzlich abzuraten. Der Vorfall sollte den zuständigen Behörden gemeldet werden, während parallel die Wiederherstellung aus sauberen, nicht betroffenen Backups vorbereitet wird.
Wichtig ist außerdem die Dokumentation: Welches System war wann betroffen, welche Meldung erschien, welche Schritte wurden unternommen? Diese Informationen sind sowohl für die technische Wiederherstellung als auch für eine mögliche Meldung nach Artikel 33 DSGVO relevant, falls personenbezogene Daten betroffen waren.
Wer die fünf Sofortmaßnahmen aus diesem Beitrag bereits umgesetzt hat, ist im Ernstfall deutlich schneller wieder handlungsfähig: Saubere, getrennte Backups sind in einer solchen Situation der entscheidende Unterschied zwischen einer Wiederherstellung von wenigen Stunden und einem tagelangen Stillstand.
Häufige Fragen zu Ransomware in kleinen Betrieben
Warum werden auch kleine Handwerksbetriebe Ziel von Ransomware?
Weil sie oft weniger Sicherheitsressourcen haben, aber über Geschäftsbeziehungen mit größeren Unternehmen vernetzt sind – und damit als Einfallstor dienen.
Wie hoch ist das Risiko für kleine Unternehmen in Deutschland aktuell?
Laut BSI-Lagebericht richtete sich der Großteil der angezeigten Ransomware-Angriffe gegen kleine und mittlere Unternehmen.
Was kostet ein Ransomware-Angriff einen kleinen Betrieb im Schnitt?
Vor allem Betriebsausfall, Wiederherstellungskosten und Reputationsschäden – diese Folgekosten übersteigen meist das eigentliche Lösegeld.
Welche Sofortmaßnahmen schützen kleine Betriebe vor Ransomware?
Getrennte Backups, konsequente Updates, Endpoint-Schutz, Zwei-Faktor-Authentifizierung und ein dokumentierter Notfallplan.
Was tun, wenn der Betrieb bereits von Ransomware betroffen ist?
Systeme vom Netzwerk trennen, keine eigenmächtige Lösegeldzahlung, Vorfall melden und Wiederherstellung mit Experten planen.