Die meisten Unternehmen fragen nach einem Cyberangriff zuerst: Wie schnell sind wir wieder online? Die eigentlich entscheidende Frage lautet aber, wie erpressbar ein Unternehmen überhaupt ist, selbst wenn die Wiederherstellung technisch funktioniert. Thomas Kress, Geschäftsführer der Deutschen Cyberkom GmbH, hat sich genau mit dieser Verschiebung im Interview beschäftigt.
Sein Befund: Ransomware-Erpressbarkeit entsteht nicht dort, wo Daten fehlen, sondern dort, wo geschäftliche Verpflichtungen und Abhängigkeiten weiterlaufen, während ein Unternehmen handlungsunfähig ist. Wie Geschäftsführungen das bei sich selbst erkennen und was sie konkret dagegen tun können, erklärt er im Folgenden.
Ransomware-Erpressbarkeit erkennen: die eine Frage, die kaum eine Geschäftsführung beantworten kann
Für Thomas Kress zeigt sich Erpressbarkeit am deutlichsten an einer einzigen, scheinbar einfachen Frage: Welche Prozesse dürfen niemals stillstehen, und woran hängen sie konkret? Wer sie nicht beantworten kann, ist bereits erpressbar, unabhängig davon, wie solide die technische Absicherung wirkt.
„Wer darauf keine klare Antwort hat, ist bereits erpressbar, unabhängig davon, wie solide die technische Absicherung auf den ersten Blick wirkt.“
In der Praxis beobachtet er immer wieder dieselben Muster: Unternehmen hängen an wenigen zentralen Systemen wie Virtualisierung, ERP oder Identitätsmanagement, sensible Daten liegen breit verteilt ohne echte Segmentierung, und es fehlt ein belastbarer Notbetrieb für die ersten Stunden nach einem Ausfall. Hinzu kommt: Moderne Angreifer verschlüsseln nicht mehr nur, sie ziehen vorher gezielt Daten ab. Selbst ein Unternehmen mit perfekten Backups bleibt dadurch erpressbar, weil die Drohung nicht mehr „ihr kommt nicht an eure Daten“ lautet, sondern „wir veröffentlichen sie“. Verschärft wird das durch Meldepflichten und mögliche Bußgelder aus NIS2, DORA oder der DSGVO, die Angreifer laut Kress heute fest in ihre Kalkulation einpreisen.
Vom Lösegeld zur Industrie: Wie sich das Geschäftsmodell der Angreifer verändert hat
Ransomware sei längst kein technisches Ärgerwerk mehr, sondern eine durchprofessionalisierte, arbeitsteilige Industrie, so Kress. Spezialisten verkaufen den Erstzugang weiter, Betreiber stellen die Schadsoftware als „Ransomware-as-a-Service“ bereit, Partner führen den eigentlichen Angriff aus. Das senkt die Einstiegshürde erheblich und erklärt, warum längst nicht mehr nur Großkonzerne betroffen sind.
Entscheidend verändert hat sich vor allem der Hebel: Aus dem klassischen „verschlüsseln, aussperren, Lösegeld für den Schlüssel“ ist die doppelte, teils dreifache Erpressung geworden, bei der Angreifer zusätzlich Kunden, Partner oder Aufsichtsbehörden kontaktieren. Klassische Sicherheitskonzepte, die vor allem auf schnelle Verfügbarkeit nach einem Vorfall zielen, adressieren dieses Bild nach Ansicht von Kress nicht mehr ausreichend.
„Wer Ransomware weiterhin als reines Wiederanlauf-Thema behandelt, verteidigt das falsche Ziel.“
Warum funktionierende Backups allein nicht vor Erpressungsdruck schützen
Ein funktionierendes Backup beantworte nur eine einzige Frage: Bekomme ich meine Daten technisch zurück? Bevor überhaupt zurückgespielt werden darf, muss forensisch sichergestellt sein, dass Angreifer das Netz tatsächlich verlassen haben, sonst droht eine zweite Verschlüsselung. In der Praxis spricht Kress deshalb bei vollständigen Umgebungen nicht von Stunden, sondern von Tagen bis Wochen, in denen Lieferzusagen, Vertragsstrafen und Service-Level weiterlaufen.
Systematisch unterschätzt wird laut Kress zudem die Rolle im Wertschöpfungsnetz: Wer selbst Zulieferer ist, legt beim eigenen Stillstand auch die Produktion seiner Kunden lahm, was ein Unternehmen für Angreifer besonders wertvoll macht. Ebenso übersehen werden die Konzentration von Betriebswissen auf wenige Köpfe und die eigene Kommunikationsfähigkeit: Fallen Telefonie und E-Mail aus, lässt sich eine Krise kaum noch steuern.
Drei Verteidigungsebenen gegen Ransomware-Erpressbarkeit
Statt jeden Angriff an der Außengrenze abfangen zu wollen, empfiehlt Kress, den geschäftskritischen Kern über drei aufeinander aufbauende Ebenen zu schützen:
- Sichtbarkeit: Systeme und ihre Kommunikationswege wirklich verstehen, um zu erkennen, welche unscheinbaren Systeme im Ernstfall den Kern mitreißen können.
- Technische Härtung: Segmentierung, konsequentes Identitätsmanagement und gehärtete Übergänge, die einem Angreifer den Weg mühsam machen und zugleich Detektionschancen schaffen.
- Containment als letzte Reißleine: Moderne Ransomware-Containment-Lösungen erkennen einen laufenden Verschlüsselungsvorgang und stoppen ihn automatisch, bevor breiter Schaden entsteht.
Die strategische Grenze verschiebt sich damit weg von der Frage „Wie halte ich alles draußen?“ hin zu „Wie sorge ich dafür, dass ein erfolgreicher Zugriff meinen Kern nicht erreicht?“.
Fünf Fragen, mit denen jeder Geschäftsführer seine Ransomware-Erpressbarkeit prüfen kann
Statt nach Produkten zu fragen, rät Kress Geschäftsführungen, gezielt nach Konsequenzen zu fragen. Diese fünf Fragen an IT-Verantwortliche oder Security-Dienstleister bringen seiner Erfahrung nach schnell Klarheit:
- Welche Geschäftsprozesse dürfen niemals stillstehen, und wie lange könnten wir im Ernstfall ohne sie arbeiten?
- Kennen wir wirklich alle Systeme und ihre Kommunikationswege, und wissen wir, welche unscheinbaren Systeme unseren kritischen Kern erreichen können?
- Wie weit kommt ein Angreifer, wenn morgen ein einzelnes Benutzerkonto oder ein einzelner Rechner übernommen wird?
- Woran und wie schnell würden wir merken, dass sich jemand an unseren Daten zu schaffen macht, und was stoppt eine Verschlüsselung automatisch?
- Welchen Teil des Risikos deckt unser Backup eigentlich ab, wenn Angreifer nicht verschlüsseln, sondern Daten veröffentlichen?
Entscheidend sei dabei nicht, dass jede Frage sofort mit einem klaren „Ja“ beantwortet wird, so Kress, sondern dass die Geschäftsführung danach ein realistisches Bild davon hat, an welchen Stellen das eigene Unternehmen angreifbar und vor allem erpressbar ist.
Einordnung: Erpressbarkeit ist eine Führungsfrage, keine reine IT-Frage
Das Interview macht deutlich, dass Ransomware-Erpressbarkeit sich nicht allein technisch lösen lässt. Backups, Virenschutz und ein guter Perimeter beantworten die Frage der Wiederherstellung, nicht aber die Frage der Erpressbarkeit selbst. Wer geschäftskritische Abhängigkeiten, Lieferketten und die eigene Kommunikationsfähigkeit im Ernstfall nicht kennt, bleibt angreifbar, unabhängig vom Reifegrad der eingesetzten Technik. Einen konkreten Einstieg in strukturierte Reaktionsprozesse bietet der Incident-Response-Plan im Mittelstand.
Hinweis: Dieser Beitrag dient der allgemeinen Information zu Cybersicherheit und regulatorischen Rahmenwerken wie NIS2, DORA und DSGVO und ersetzt keine individuelle Rechts- oder Fachberatung.
Über Thomas Kress und die Deutsche Cyberkom
Thomas Kress ist Geschäftsführer/Senior Consultant der Deutschen Cyberkom GmbH und begleitet Unternehmen sowie öffentliche Auftraggeber dabei, ihre geschäftskritischen Prozesse gegen moderne Cyberbedrohungen abzusichern. Sein Leitgedanke: Sicherheit so denken, dass der geschäftskritische Kern im Ernstfall gar nicht erst getroffen wird, statt sich auf den Wiederanlauf nach einem Angriff zu verlassen. Das Portfolio der Deutschen Cyberkom reicht von Penetrationstests, Mikrosegmentierung sowie Netzwerk- und Endpoint-Sicherheit über Detection & Response und privilegiertes Zugriffsmanagement bis hin zu Ransomware Containment und Threat Intelligence, stets ausgerichtet an Rahmenwerken wie NIS2, DORA, ISO 27001 und BSI IT-Grundschutz.
Mehr Informationen unter cyberkom.ai
FAQ
Was bedeutet Ransomware-Erpressbarkeit genau?
Ransomware-Erpressbarkeit beschreibt, wie stark ein Unternehmen unter Druck gerät, wenn Angreifer Daten verschlüsseln oder veröffentlichen. Sie hängt weniger von der Technik als von geschäftlichen Abhängigkeiten, Verpflichtungen gegenüber Kunden und der eigenen Handlungsfähigkeit im Ernstfall ab.
Reichen funktionierende Backups aus, um vor Ransomware geschützt zu sein?
Nein. Backups beantworten laut Thomas Kress nur die Frage, ob Daten technisch wiederhergestellt werden können. Gegen die Drohung, gestohlene Daten zu veröffentlichen, helfen sie nicht, und auch die Wiederherstellung selbst dauert oft Tage bis Wochen.
Wie kann ein Unternehmen seine eigene Erpressbarkeit einschätzen?
Mit den fünf im Interview genannten Fragen zu kritischen Prozessen, Systemtransparenz, der Ausbreitung eines Angriffs, der Erkennungsgeschwindigkeit und dem tatsächlichen Schutzumfang von Backups lässt sich schnell ein realistisches Bild der eigenen Ransomware-Erpressbarkeit gewinnen.
