An einem Montagmorgen kommen die Mitarbeitenden an, und nichts startet. Die Dateien tragen unleserliche Namen, die Fachsoftware weigert sich zu öffnen, und auf den Bildschirmen erscheint eine Nachricht: Ihre Daten sind verschlüsselt, so können Sie uns kontaktieren.
Dieses Szenario ist das am meisten gefürchtete unter KMU-Geschäftsleitungen, und das am wenigsten verstandene. Denn dieser Montagmorgen ist nicht der Beginn des Angriffs. Es ist sein Ende. Zu verstehen, was zuvor geschehen ist, verändert grundlegend, wie man sich davor schützt.
Was genau ist eine Ransomware?
Eine Ransomware ist eine Schadsoftware, die Ihre Daten durch Verschlüsselung unbrauchbar macht und dann den Schlüssel, der ihre Wiederherstellung ermöglichen würde, zu Geld macht.
Technisch gesehen ist daran nichts Mysteriöses: Die Verschlüsselung ist dieselbe Technologie, die Ihre Online-Zahlungen schützt. Der Unterschied besteht lediglich darin, dass sich der Schlüssel bei jemand anderem befindet.
Was sich in den letzten Jahren verändert hat, ist nicht die Technik, sondern die Organisation. Die kriminellen Gruppen funktionieren wie Unternehmen, mit Teams, die sich auf das Eindringen spezialisiert haben, anderen auf die Verhandlung, und Plattformen, die die Software an Partner vermieten. In der Schweiz erhielt das Nationale Zentrum für Cybersicherheit 57 direkte Meldungen zu Ransomware-Vorfällen im zweiten Halbjahr 2025, wobei die Variante Akira im Land am weitesten verbreitet war.
Diese Zahlen erfassen nur die gemeldeten Fälle. Viele KMU melden nichts, aus Unkenntnis oder aus Sorge um ihren Ruf. Die tatsächliche Zahl liegt somit höher. Was diese Meldungen genau messen und was nicht, ist in unserem Überblick zur Cyberkriminalität in der Schweiz in Zahlen im Detail erklärt.
Der Ablauf eines Angriffs, Schritt für Schritt
Ein Ransomware-Angriff ist kein einzelnes Ereignis, sondern ein Prozess. Hier sind die fünf Phasen, die sich in nahezu allen Fällen wiederfinden.
| Phase | Was geschieht | Typische Dauer | Was Sie bemerken |
|---|---|---|---|
| 1. Eindringen | Der Angreifer verschafft sich einen ersten Zugang: gestohlenes Zugangsdatum, präparierte E-Mail, ungepatchte Schwachstelle bei einem Fernzugriff | Wenige Minuten | Nichts |
| 2. Aufklärung | Er erkundet das Netzwerk, identifiziert Server, Backups und Administratorkonten | Mehrere Tage bis mehrere Wochen | Nichts, oder vereinzelte Verlangsamungen |
| 3. Datendiebstahl | Er kopiert die sensibelsten Dokumente nach aussen: Verträge, Buchhaltung, Kundenakten, Personalwesen | Wenige Stunden bis wenige Tage | Nichts |
| 4. Verschlüsselung | Er neutralisiert erreichbare Backups und startet dann die Verschlüsselung, oft nachts oder an einem Wochenende | Wenige Stunden | Alles, auf einmal |
| 5. Erpressung | Lösegeldforderung für den Schlüssel und Drohung, die gestohlenen Daten zu veröffentlichen | Tage bis Wochen | Der Erpresserbrief |
Aus dieser Tabelle lassen sich zwei Erkenntnisse ableiten.
Die erste: Der Angriff verläuft während des grössten Teils seiner Dauer lautlos. Zwischen dem Eindringen und der Verschlüsselung befindet sich der Angreifer bereits bei Ihnen, ohne dass es jemand bemerkt. Das ist auch eine gute Nachricht: Dieses Zeitfenster bietet eine Gelegenheit, den Angriff zu erkennen und zu stoppen, sofern Sie zumindest ein Mindestmass an Überwachung des Netzwerkgeschehens betreiben.
Die zweite: Backups sind ein bevorzugtes Ziel. Ein erfahrener Angreifer startet die Verschlüsselung nie, bevor er alles gesucht und zerstört hat, was Ihnen eine Wiederherstellung ermöglichen könnte. Aus diesem Grund schützt Sie ein dauerhaft mit dem Netzwerk verbundenes Backup nicht.
Das Einfallstor ist fast immer dasselbe
Es gibt nicht zehn Wege hinein. Drei Wege dominieren bei weitem.
Gestohlene oder zu schwache Zugangsdaten. Ein Fernzugriff auf einen Server, ein Webmail oder ein VPN, das durch ein einfaches Passwort geschützt ist, wird früher oder später automatisiert getestet. Die Zwei-Faktor-Authentifizierung beseitigt den grössten Teil dieses Risikos.
Die präparierte E-Mail. Ein Anhang oder ein Link, der ein erstes Schadprogramm installiert. Das ist der Bereich des Phishings, das nach wie vor der häufigste Ausgangspunkt ist.
Ungepatchte Schwachstellen. Eine Firewall, ein Dateiserver oder eine Verwaltungssoftware, deren Sicherheitsupdate nicht eingespielt wurde. Veröffentlichte Schwachstellen werden in den Tagen nach ihrer Bekanntgabe massenhaft ausgenutzt, weshalb eine regelmässige Update-Politik so wichtig ist.
Ihre Daten werden vor der Verschlüsselung kopiert. Selbst wenn Sie alles aus einem einwandfreien Backup wiederherstellen, besitzt der Angreifer eine Kopie Ihrer Verträge, Ihrer Buchhaltung und Ihrer Kundendateien und droht mit deren Veröffentlichung. Zahlen garantiert nicht deren Löschung: Sie haben keine Möglichkeit, dies zu überprüfen. Ein gutes Backup bleibt unverzichtbar, löst aber diesen Aspekt nicht.
Was kostet ein Angriff ein KMU wirklich?
Die Diskussionen konzentrieren sich auf die Höhe des Lösegelds. Das ist selten der schwerwiegendste Posten. Für ein KMU setzt sich die Rechnung aus vier Elementen zusammen, von denen drei unabhängig von der Entscheidung zu zahlen oder nicht sind.
Der Betriebsausfall. Das ist der dominierende Kostenpunkt. Keine Rechnungsstellung mehr, kein Zugriff mehr auf Kundenakten, keine Produktion mehr, falls Ihre Maschinen vom Informationssystem abhängen. Ein Dienstleistungsunternehmen, das nicht mehr auf seine Akten zugreifen kann, stellt keine Rechnungen mehr, zahlt aber weiterhin Löhne und Mieten.
Der technische Wiederaufbau. Es reicht nicht, die Dateien wiederherzustellen. Man muss sicherstellen, dass der Angreifer nicht mehr präsent ist, was oft bedeutet, Server und Arbeitsplätze von Grund auf neu zu installieren, alle Passwörter zu erneuern und die Fernzugriffe zu überprüfen. Diese Phase bindet externe Dienstleister für mehrere Tage.
Die geschäftlichen und rechtlichen Folgen. Kundinnen und Kunden erfahren, dass ihre Daten im Umlauf sind. Manche verlassen das Unternehmen, andere verlangen Garantien. Handelt es sich um personenbezogene Daten, gelten Ihre gesetzlichen Pflichten, wie in unserem Artikel zu Ihren nDSG-Pflichten erläutert. Die Art und Weise, wie Sie Ihre Kundschaft über die Situation informieren, wiegt zudem ebenso schwer wie die Fakten selbst, ein Thema, das wir in Kommunikation während eines Cyberangriffs behandeln.
Die menschliche Belastung. Sie erscheint auf keiner Rechnung, doch die Wochen nach einem Angriff erschöpfen eine kleine Struktur. Die Geschäftsleitung bewältigt die Krise, die Teams arbeiten im eingeschränkten Modus, und die manuelle Neuerfassung verlorener Daten nimmt mitunter Monate in Anspruch.
Ein ermutigender Punkt: In diesem Gesamtbild wiegt eine Variable schwerer als alle anderen. Ein KMU mit aktuellen, getrennten und getesteten Backups startet wieder. Ein KMU ohne verwertbares Backup erleidet die gesamte oben genannte Liste.
Sollte man zahlen?
Die Frage stellt sich immer, oft unter erheblichem Druck und mit einer von den Angreifern auferlegten Frist.
Die Schweizer Behörden raten aus konkreten Gründen von der Zahlung ab. Nichts garantiert, dass der bereitgestellte Schlüssel funktioniert oder dass er die vollständige Wiederherstellung ermöglicht. Die Zahlung finanziert direkt eine kriminelle Tätigkeit und signalisiert, dass Ihr Unternehmen zahlt, was das Risiko eines zweiten Angriffs erhöht. Schliesslich haben Sie im Fall einer doppelten Erpressung keine Möglichkeit zu überprüfen, ob die gestohlenen Daten gelöscht wurden.
Die Entscheidung liegt dennoch bei der Geschäftsleitung, die sie in einem besonderen Kontext trifft. Wir untersuchen die Kriterien, die Alternativen und die Fragen, die Sie Ihrer Versicherung stellen sollten, in Lösegeld zahlen oder nicht. Falls Sie gerade einen Angriff erleben, beginnen Sie stattdessen mit den ersten Stunden.
Wie schützt man sich konkret davor?
Es gibt keine einzige Lösung, sondern eine Abfolge von Schutzschichten, von denen jede einen Teil der Szenarien ausschliesst.
An erster Stelle das Offline-Backup. Das ist die Massnahme, die über alles Weitere entscheidet, weil sie Ihnen die Freiheit gibt, eine Zahlung abzulehnen. Drei Kopien, zwei Datenträger, eine ausserhalb des Standorts und getrennt: Das ist die 3-2-1-Backup-Regel, und sie ist der einzige Schutz, der auch nach einem erfolgreichen Angriff noch funktioniert. Ein nie getestetes Backup zählt nicht.
Die Zwei-Faktor-Authentifizierung für alle externen Zugänge. Webmail, VPN, Fernzugriff, Online-Tools. Sie neutralisiert den häufigsten Eintrittsweg.
Rasch eingespielte Updates, insbesondere bei den dem Internet ausgesetzten Geräten.
Die Beschränkung der Zugriffsrechte. Ein Nutzer, der im Alltag mit einem Administratorkonto arbeitet, liefert einem Angreifer bereits beim ersten Fehler das gesamte Netzwerk aus.
Ein schriftlicher Reaktionsplan. Wer wen anruft, in welcher Reihenfolge, mit welchen Nummern. Dieses Dokument muss auf Papier existieren, da Ihre Systeme am entscheidenden Tag nicht verfügbar sein werden.
Stellen Sie sich eine einzige Frage: Wenn morgen früh alle Ihre Server und alle Ihre Arbeitsplätze unlesbar wären, von welcher Kopie würden Sie neu starten, und wo befindet sie sich physisch? Wenn die Antwort nicht sofort kommt oder wenn die Kopie am Netzwerk angeschlossen ist, kennen Sie Ihre Priorität. Eine Cyberversicherung kann die Massnahmen ergänzen, ersetzt aber nie ein Backup.
Was Sie sich merken sollten
Eine Ransomware ist kein unvorhersehbarer Blitzschlag. Es ist ein Eindringen, das andauerte, eine methodische Aufklärung, ein Datendiebstahl und dann eine Verschlüsselung. Jede dieser Etappen bietet eine Gelegenheit, die Kette zu unterbrechen.
Der Schweizer Kontext lädt dazu ein, ohne zu warten damit zu beginnen. Das NCSC erhielt 64’733 freiwillige Meldungen zu Cybervorfällen im Jahr 2025, gegenüber 62’954 im Jahr 2024. Und gleichzeitig sinkt das Vertrauen der KMU: 42 % von ihnen halten ihren Schutz für ausreichend, gegenüber 55 % ein Jahr zuvor. Diese neue Klarsicht ist eine gute Sache, sofern sie sich in konkrete Massnahmen umsetzt.
Um herauszufinden, wo Sie stehen, geht der Cyber-Check-up in wenigen Minuten Ihre Angriffsflächen durch. Die weiteren häufigen Bedrohungen sind im Themenbereich Bedrohungen im Detail beschrieben.