Checkliste Ransomware-Bereitschaft: 12 Maßnahmen, die 2026 wirklich zählen

Ransomware-Gruppen ändern ständig ihre Namen, Leak-Seiten und Verhandlungstaktiken. Wie sie hineinkommen, hat sich dagegen kaum verändert. Bei den Vorfällen, auf die unser Security-Operations-Team reagiert, tauchen immer wieder dieselben Schwächen auf: offene Fernzugänge, gestohlene Zugangsdaten, ungepatchte Perimeter-Geräte und Backups, die nie getestet wurden.

Diese Checkliste ordnet die Maßnahmen, die solche Angriffswege unterbrechen, nach Priorität. Sie brauchen kein riesiges Budget, um sie abzuarbeiten – aber Sie müssen ehrlich einschätzen, wo Sie heute stehen.

Den Erstzugriff verhindern

1. Fernzugänge aus dem Internet entfernen

Remote Desktop, VPN-Portale und Verwaltungsoberflächen, die aus dem Internet erreichbar sind, sind nach wie vor der häufigste Weg hinein. Inventarisieren Sie jeden extern erreichbaren Dienst und legen Sie alles Administrative hinter eine Zero-Trust-Zugangsschicht oder ein per Multi-Faktor-Authentifizierung geschütztes VPN. Angriffsflächen-Monitoring meldet Ihnen, wenn etwas Neues auftaucht.

2. Phishing-resistente MFA durchsetzen

Push-Benachrichtigungen und SMS-Codes lassen sich abfischen oder so lange wiederholen, bis jemand auf „Bestätigen“ tippt. Nutzen Sie für Administratoren, Fernzugang und E-Mail FIDO2-Sicherheitsschlüssel oder Passkeys. Schalten Sie danach alte Authentifizierungsprotokolle ab, die MFA ganz umgehen.

3. Perimeter-Geräte in Tagen patchen, nicht in Monaten

Firewalls, VPN-Konzentratoren und Dateitransfer-Appliances sind beliebte Ziele, weil sie am Rand des Netzes stehen und selten Endpoint-Schutz haben. Behandeln Sie kritische Schwachstellen in diesen Geräten als Notfall mit einem Patch-Ziel von 72 Stunden.

4. Geleakte Zugangsdaten überwachen

Infostealer-Malware auf privaten Geräten verrät regelmäßig Firmenpasswörter und Session-Cookies. Achten Sie auf Ihre Domains in Datenleaks und setzen Sie betroffene Konten zurück, bevor die Zugangsdaten verkauft werden.

Die Bewegungsfreiheit von Angreifern begrenzen

5. Admin-Konten von Alltagskonten trennen

Domain-Administratoren sollten mit ihren privilegierten Konten niemals E-Mails lesen oder im Web surfen. Nutzen Sie getrennte, streng überwachte Admin-Identitäten und vergeben Sie privilegierte Rechte nur so lange, wie eine Aufgabe sie erfordert.

6. Das Netzwerk segmentieren

In flachen Netzen erreicht ein einziger kompromittierter Laptop jeden Server. Segmentieren Sie nach Funktion, blockieren Sie SMB zwischen Arbeitsplätzen und beschränken Sie, welche Systeme Ihre Domain Controller und Ihre Backup-Infrastruktur erreichen dürfen.

7. EDR überall einsetzen – und überwachen

Endpoint Detection and Response hilft nur, wenn jemand sonntags um drei Uhr nachts auf die Alarme reagiert – dann beginnen viele Angriffe. Besetzen Sie entweder eine 24/7-Funktion oder nutzen Sie einen Managed-Detection-and-Response-Dienst.

8. Zugriffe von Drittparteien straffen

IT-Dienstleister und Softwareanbieter haben oft dauerhaften Fernzugriff auf Ihre Umgebung. Prüfen Sie jede Verbindung zu Lieferanten, verlangen Sie MFA und stellen Sie sicher, dass Sie es merken würden, wenn einer von ihnen kompromittiert wird.

Die Wiederherstellung sicherstellen

9. Unveränderliche Offline-Backups vorhalten

Angreifer suchen zuerst nach Backups. Halten Sie mindestens eine Kopie unveränderlich oder offline vor, geschützt durch eigene Zugangsdaten, die nicht an Ihren zentralen Identitätsanbieter gebunden sind.

10. Wiederherstellungen regelmäßig testen

Ein Backup, das Sie nie zurückgespielt haben, ist nur eine Hoffnung. Testen Sie die Wiederherstellung kritischer Systeme quartalsweise und stoppen Sie die Zeit – so kennen Sie Ihre echte Wiederherstellungsdauer, bevor ein Vorfall sie Ihnen verrät.

11. Den Notfallplan schreiben und proben

Legen Sie vorab fest, wer die Rechtsabteilung informiert, wer mit Kunden spricht, wer Systeme vom Netz nehmen darf und wie Sie kommunizieren, wenn die E-Mail ausfällt. Führen Sie mindestens zweimal im Jahr eine Tabletop-Übung durch.

12. Die eigenen Pflichten kennen

Aufsichtsbehörden, Versicherer und Verträge können Meldungen innerhalb enger Fristen verlangen. Erfassen Sie diese Pflichten jetzt, damit Sie die Uhr nicht mitten im Vorfall überrascht.

Wo Sie anfangen sollten

Wenn Sie in diesem Quartal nur drei Dinge schaffen, beginnen Sie mit offenen Fernzugängen, phishing-resistenter MFA für Administratoren und einem getesteten Offline-Backup. Zusammen blockieren sie die häufigsten Einstiegswege und stellen sicher, dass Sie sich erholen können, falls doch etwas durchkommt.