Ransomware-Schutz für kleine Unternehmen beruht auf einigen mehrschichtigen Sicherheitsmaßnahmen: Multi-Faktor-Authentifizierung (MFA) auf jedem Fernzugriffspfad, schnelles Patchen bekannter, aktiv ausgenutzter Schwachstellen, Endpunktschutz auf jedem Computer, Kontrolle darüber, welche Fernzugriff -Tools ausgeführt werden können, sowie Offline-Backups, die getestet wurden. Die Reihenfolge ist wichtig, und dieser Leitfaden beginnt mit den Maßnahmen, die die häufigsten Einstiegspunkte schließen.
Im Jahr 2025 erhielt das FBI IC3 3.611 Beschwerden über Ransomware mit gemeldeten Verlusten in Höhe von 32,3 Millionen US-Dollar – eine Zahl, die Ausfallzeiten, Geschäftsverluste und Wiederherstellungskosten nicht berücksichtigt. Verizon’s 2026 Data Breach Investigations Report stellte außerdem fest, dass Ransomware in 48 % der Datenschutzverletzungen vorkam, gegenüber 44 % im Vorjahr.
Dieser Leitfaden erläutert, warum Ransomware-Gruppen kleine Unternehmen ins Visier nehmen, wie Angreifer eindringen, welche Schutzmaßnahmen Sie zuerst umsetzen sollten und was zu tun ist, wenn es zu einem Angriff kommt.
Warum Ransomware-Gruppen kleine Unternehmen ins Visier nehmen
Während große Unternehmen zwar wie die wertvollsten Ziele für Ransomware-Angriffe erscheinen mögen, sind kleine Unternehmen in der Regel leichter anzugreifen.
Kleine Unternehmen verfügen oft nicht über das Sicherheitsniveau und die Reaktionsfähigkeit größerer Organisationen, was sie zu attraktiven Zielen für Cyberkriminelle macht. Außerdem bietet Ransomware, die auf kleine Unternehmen abzielt, mehr potenzielle Ziele, sodass mehrere Opfer schnell getroffen werden können.
Zum Beispiel berichten CISA und das FBI, dass Akira-Ransomware in erster Linie kleine und mittlere Unternehmen (KMU) ins Visier nimmt. Bei einigen Akira-Vorfällen stahlen Angreifer Daten nur etwas mehr als zwei Stunden nach dem ersten Zugriff – ein Zeitfenster, in dem die meisten kleinen Teams niemanden haben, der aktiv überwacht.
Sobald ein kleines Unternehmen von Ransomware betroffen ist, steht es unter Druck, alles schnell wiederherzustellen. Jeder Moment, in dem die Organisation keinen Zugriff auf ihre eigenen Daten und ihr Netzwerk hat, ist ein weiterer Moment, in dem sie Geschäft und Geld verliert, also muss sie schnell handeln. Selbst wenn verlorene Daten über Backups wiederhergestellt werden können, wenden Angreifer oft „doppelte Erpressung“ an und stehlen die Daten vor der Verschlüsselung, sodass proprietäre und sensible Daten trotzdem verkauft oder offengelegt werden können.
Wie Ransomware in das Netzwerk eines kleinen Unternehmens gelangt
Wenn Sie Ransomware-Angriffe vermeiden möchten, ist der erste Schritt, zu verstehen, wie sie passieren. Es gibt mehrere Wege, über die Ransomware Zugriff auf das Netzwerk eines Unternehmens erhalten kann, darunter:
1. Gestohlene Passwörter und Fernzugriff ohne MFA
Ohne MFA kann ein einziges gestohlenes Passwort ausreichen, damit Angreifer eindringen. CISA berichtet, dass Akira-Akteure über VPN-Konten Zugriff erhalten, die nicht durch Multi-Faktor-Authentifizierung geschützt sind, sowie über das Remote Desktop Protocol (RDP). Wiederverwendete Passwörter und durch Phishing gestohlene Zugangsdaten machen dies einfacher. Starke, einzigartige Passwörter helfen, aber die IT sollte MFA für jedes Fernzugriffskonto durchsetzen, damit ein Passwort allein niemals ausreicht.
2. Nicht gepatchte Software und Geräte
Angreifer nutzen auch bekannte Schwachstellen in Betriebssystemen, Anwendungen, VPNs und anderen internetseitig erreichbaren Systemen aus, die noch nicht gepatcht wurden. Wenn das Patchen davon abhängt, dass Benutzer ihre eigenen Geräte selbst aktualisieren, entstehen Lücken. Daher ist automatisiertes, von der IT verwaltetes Patchen unverzichtbar.
Verizon’s 2026 Data Breach Investigations Report (DBIR) ergab, dass die Ausnutzung von Schwachstellen bei 31 % der Datenschutzverletzungen die erste Handlung war. Nur 26 % der bekannten ausgenutzten Schwachstellen wurden vollständig behoben, bei einer mittleren Behebungszeit von 43 Tagen, was Angreifern ein langes Zeitfenster gibt, um exponierte Systeme ins Visier zu nehmen.
3. Phishing-E-Mails und bösartige Downloads
Phishing-Angriffe und andere Social-Engineering-Tricks sind häufig die ersten Schritte bei Ransomware-Angriffen. Es genügt, dass ein Mitarbeitender unwissentlich seine Passwortdaten weitergibt oder eine schädliche Datei herunterlädt, und schon sind seine Geräte oder Konten kompromittiert. Daher ist es für die Cybersicherheit entscheidend, Phishing zu verhindern.
4. Legitime Fernzugriffs-Tools gegen Sie eingesetzt
Dies ist einer der am schwersten zu erkennenden Einstiegspunkte, da Unternehmen und IT-Teams täglich Fernzugriffssoftware für die Remotearbeit und den Fernsupport verwenden. Sobald Angreifer eingedrungen sind, installieren viele legitime, kommerzielle Fernzugriffstools, um ihren Zugriff aufrechtzuerhalten. CISA berichtet, dass Akira-Akteure genau dies tun, wodurch ihre Aktivitäten mit der normalen IT-Administration verschmelzen, und sie versuchen außerdem, Antivirus-Prozesse zu beenden.
Deshalb ist ein Fernzugriffs-Tool, das die IT nie genehmigt hat und das auf einem Unternehmenscomputer erscheint, ein Warnsignal, dem Sie nachgehen sollten. Führen Sie eine Liste der genehmigten Fernzugriffssoftware, die Ihre Teams verwenden, damit nicht genehmigte Tools auffallen.
Schutz vor Ransomware für kleine Unternehmen: Was Sie zuerst einrichten sollten
Beginnen Sie oben auf dieser Liste und arbeiten Sie sich nach unten vor. Die ersten beiden Maßnahmen schließen die Einstiegspunkte, die Angreifer am häufigsten nutzen, und jeder weitere Schritt danach begrenzt den Schaden, falls doch etwas durchkommt.
1. MFA für jeden Fernzugriffspfad und jedes Administratorkonto verlangen
MFA erfordert eine zweite Form der Verifizierung, etwa eine Authenticator-App oder einen Sicherheitsschlüssel, sodass ein gestohlenes Passwort allein kein Konto entsperren kann. Es ist eine der wichtigsten Empfehlungen von CISA zur Abwehr von Akira, zusammen mit dem Schließen des direkten RDP-Zugriffs aus dem Internet. Wenden Sie sie auf VPNs, Fernzugriffstools, E-Mail und jedes Admin-Konto an.
2. Schließen Sie zuerst bekannte ausgenutzte Schwachstellen mit Patches
Für die Aufrechterhaltung der Cybersicherheit ist es entscheidend, Geräte gepatcht und auf dem neuesten Stand zu halten, aber ebenso wichtig ist es, Patches richtig zu priorisieren. Beginnen Sie mit bekannten, aktiv ausgenutzten Schwachstellen, da Angreifer diese zuerst ins Visier nehmen. (Sie können diese Schwachstellen mithilfe des CISA-Katalogs der Known Exploited Vulnerabilities identifizieren.) Auch die Priorisierung von Endpunkten ist wichtig: Beginnen Sie mit internetseitigen Systemen, VPNs und Backup-Servern, da diese am stärksten exponiert und für die Wiederherstellung am kritischsten sind. Automatisieren Sie das Patchen, wo immer es möglich ist, damit Updates nicht von Benutzern abhängen.
3. Führen Sie Endpunktschutz auf jedem Computer aus
Endpunktschutz erkennt und stoppt Bedrohungen auf jedem Computer. Achten Sie auf Echtzeit-Erkennung von Malware, automatische Quarantäne erkannter Bedrohungen und die Blockierung von Phishing-Websites. Da Ransomware-Gruppen versuchen, Schutzfunktionen zu deaktivieren, benötigt die IT auch zentrale Transparenz darüber, welche Geräte geschützt sind. Teams mit ausreichenden Kapazitäten zur Untersuchung von Warnmeldungen können Endpoint Detection and Response (EDR) für eine tiefergehende Untersuchung und Reaktion hinzufügen.
4. Steuern, welche Fernzugriffstools ausgeführt werden können
Standardisieren Sie ein einziges genehmigtes Fernzugriffs-Tool, das mit MFA geschützt ist, und blockieren Sie jede andere Fernzugriffssoftware oder lassen Sie sich davor warnen. So fällt ein Tool, das ein Angreifer installiert, um den Zugriff aufrechtzuerhalten, auf, statt unterzugehen.
5. Administratorrechte einschränken
Normale Benutzer sollten keine lokalen Adminrechte haben. Wenn bei einem Ransomware-Angriff gestohlene Zugangsdaten im Spiel sind, verschafft ein einziges kompromittiertes Konto mit Adminrechten Angreifern deutlich mehr Reichweite. Verwenden Sie separate Admin-Konten, damit die Zahl potenzieller Ziele minimal bleibt.
6. Halten Sie offline gespeicherte, getestete Backups bereit
Backups sind unerlässlich, um Systeme nach einem Angriff wiederherzustellen. CISA empfiehlt offline gespeicherte, verschlüsselte Backups, die getrennt vom Hauptnetzwerk aufbewahrt werden, wodurch sie für Angreifer deutlich schwerer erreichbar sind. Halten Sie auch Backup-Server auf dem neuesten Stand, da Gruppen wie Akira Schwachstellen in Backup-Servern gezielt ausnutzen, und führen Sie regelmäßig Wiederherstellungstests durch, um zu bestätigen, dass die Backups aktuell und funktionsfähig sind.
7. Schulen Sie Mitarbeitende darin, Phishing zu erkennen und zu melden
Schulungen und Sensibilisierung der Mitarbeitenden sind eine weitere wichtige Verteidigung. Mitarbeitende sollten wissen, wie sie Phishing-Angriffe erkennen und vermeiden, und eine schnelle, schuldzuweisungsfreie Möglichkeit haben, verdächtige Nachrichten zu melden, damit die IT reagieren kann, bevor sich ein Phishing-Versuch ausbreitet.
Was Sie tun sollten, wenn Ihr Unternehmen von Ransomware getroffen wird
Wenn Ransomware zuschlägt, reagieren Sie schnell und der Reihe nach. Diese Schritte folgen der Checkliste zur Reaktion auf Ransomware im #StopRansomware-Leitfaden der CISA:
Trennen Sie betroffene Computer vom Netzwerk. Das hilft, die Ausbreitung zu begrenzen, aber vermeiden Sie es nach Möglichkeit, sie herunterzufahren, da dadurch Beweise zerstört werden können.
Rufen Sie Ihren IT-Dienstleister oder MSP an und starten Sie Ihren Incident-Response-Plan. Je früher der Plan in Gang gesetzt wird, desto mehr Schaden können Sie begrenzen.
Sichern Sie Beweise, indem Sie Lösegeldforderungen fotografieren und festhalten, welche Systeme betroffen sind. Dies unterstützt die Untersuchung und den Wiederherstellungsprozess.
Melden Sie den Angriff den zuständigen Behörden, einschließlich dem FBI und CISA. Sie können ihn dem FBI unter ic3.gov oder einem lokalen Außenbüro melden. Wenn Sie eine Cyberversicherung haben, sollten Sie Ihren Versicherer frühzeitig kontaktieren.
Vermeiden Sie es, das Lösegeld zu zahlen. Auch wenn es verlockend sein kann, das Lösegeld zu zahlen und Ihre Verluste zu begrenzen, gibt es keine Garantie dafür, dass die Kriminellen ihr Versprechen einhalten (und es belohnt sie für ihre Verbrechen). Daher raten CISA und das FBI von einer Zahlung ab.
Stellen Sie nur aus sauberen Backups wieder her, nachdem Sie den Einstiegspunkt geschlossen und Passwörter zurückgesetzt haben; andernfalls haben Angreifer möglicherweise weiterhin Zugriff. Ihre offline gespeicherten, getesteten Backups ermöglichen diesen Schritt überhaupt erst.
Wie Splashtop Shield for Business dabei hilft, Ihre Computer vor Ransomware zu schützen
Endpunktschutz ist die Schutzebene, die auffängt, was MFA und Patchen durchrutschen lässt. Splashtop Shield for Business bietet diese Schutzebene für kleine Unternehmen und kombiniert modernes Antivirus, KI-gestützten Schutz vor Betrugsversuchen und Phishing sowie die Blockierung nicht autorisierter Fernzugriffstools.
Splashtop Shield for Business ist als Add-on für Splashtop Business-Produkte mit unbeaufsichtigtem Zugriff verfügbar und schützt Windows- und macOS-Computer. Mit Splashtop Shield for Business können Sie:
1. Malware in Echtzeit erkennen und unter Quarantäne stellen
Splashtop Shield for Business bietet Anti-Malware in Echtzeit und On-Access-Scans sowie KI-gestützte Erkennung, die dabei hilft, Bedrohungen zu erfassen, die signaturbasierte Scans übersehen. Die Lösung verschiebt die meisten Bedrohungen automatisch in Quarantäne, und IT-Teams können Quick- und Full-Scans direkt über die Splashtop-Konsole ausführen.
2. Blockieren Sie Phishing-Websites und nicht autorisierte Fernzugriffs-Tools
Splashtop Shield for Business blockiert unsichere und bekannte Phishing-Websites und hilft so dabei, Mitarbeitende von Seiten fernzuhalten, die darauf ausgelegt sind, Passwörter zu stehlen. Außerdem erkennt und blockiert es Versuche, nicht autorisierte Fernzugriffstools zu installieren, und benachrichtigt die IT sofort, was dabei hilft, die von CISA für Akira beschriebene Persistenztechnik zu bekämpfen. Administratoren können genehmigte Tools zu einer Zulassungsliste hinzufügen, damit legitimer Fernsupport weiterhin funktioniert.
3. Bereitstellung und Berichterstellung über die Splashtop-Konsole
IT-Teams können Splashtop Shield for Business automatisch über Endpoint Policies oder per stiller On-Demand-Installation installieren. Bedrohungswarnungen erscheinen in der Splashtop-Konsole mit einem Link zur Shield Console für die Triage. Dort können Administratoren den Schutzstatus und die Sicherheitsereignisse für jedes Gerät einsehen und Protokolle exportieren, die IT-Compliance-Bemühungen unterstützen.
Splashtop Shield for Business kann auch zusammen mit Sicherheitstools wie CrowdStrike und Bitdefender ausgeführt werden. Der Fokus liegt auf Prävention und Erkennung, und es bietet weder Backup noch Wiederherstellung. Kombinieren Sie es daher mit einer Offline-Backup-Lösung. Einen genaueren Blick darauf, was Sie bei Tools vergleichen sollten, finden Sie unter Ransomware-Schutzsoftware: Funktionen, auf die es ankommt.
Schützen Sie die Computer Ihres kleinen Unternehmens mit Splashtop Shield for Business
Ransomware-Schutz für kleine Unternehmen funktioniert am besten mit mehrschichtigen Kontrollen in prioritärer Reihenfolge: MFA und Patching schließen die häufigsten Einstiegspunkte, und Endpunktschutz erkennt, was daran vorbeikommt. Splashtop Shield for Business ergänzt diese Endpunkt-Ebene mit Echtzeit-Antivirus, KI-gestützter Erkennung und der Blockierung nicht autorisierter Fernzugriffs-Tools.
Wenn Ihr Unternehmen bereits ein Splashtop Business-Produkt mit unbeaufsichtigtem Zugriff nutzt, können Sie Splashtop Shield for Business zu den Computern hinzufügen, die Sie bereits verwalten.
Möchten Sie Splashtop Shield for Business hinzufügen? Erfahren Sie noch heute mehr.
