Erpressungssoftware und Datenverlust

Der Bildschirm ist gesperrt oder die Dateien sind verschlüsselt: was jetzt zählt

Wenn eine Erpressungsmeldung deinen Bildschirm blockiert oder deine Dateien plötzlich unlesbar sind und Geld gefordert wird, trenne das Gerät sofort vom Netzwerk und zahle nicht. Das sind die zwei wichtigsten Reaktionen in den ersten Minuten. Erpressungssoftware, auch Ransomware genannt, verschlüsselt deine Fotos, Dokumente und manchmal ganze Laufwerke und verlangt dann ein Lösegeld, meist in einer Kryptowährung, für die angebliche Freigabe. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät grundsätzlich davon ab, dieses Lösegeld zu zahlen. Es gibt keine Garantie, dass die Täter nach der Zahlung wirklich einen Schlüssel liefern, und nach der ersten Überweisung kommen erfahrungsgemäß oft weitere Forderungen.

Diese Situation ist ein Schock, gerade wenn Familienfotos oder wichtige Unterlagen betroffen sind. Aber du bist nicht schuld und du bist nicht allein. Ransomware trifft jeden Tag Privatpersonen, kleine Vereine und große Firmen. Wichtig ist jetzt, ruhig und der Reihe nach vorzugehen, statt aus Panik auf den Zahlen-Knopf zu drücken.

Zwei Arten von Erpressungssoftware, die du unterscheiden solltest

Nicht jede Erpressungsmeldung bedeutet, dass deine Daten wirklich verschlüsselt sind. Es gibt zwei Grundformen, und sie sind unterschiedlich gefährlich. Ein Screenlocker sperrt nur den Bildschirm und zeigt eine oft täuschend echte Meldung, die angeblich von der Polizei oder einer Behörde stammt und eine "Strafe" verlangt. Deine Dateien sind dabei meist unangetastet. Ein Verschlüsselungstrojaner dagegen verschlüsselt die Dateien selbst, und ohne den passenden Schlüssel kommst du an sie nicht mehr heran.

Die Unterscheidung ist keine Spitzfindigkeit, sondern entscheidet über deine nächsten Schritte. Beim Screenlocker lässt sich der Schädling häufig über den abgesicherten Modus und ein Reinigungswerkzeug entfernen, ohne dass Daten verloren sind. Beim Verschlüsselungstrojaner führt der einzige verlässliche Weg zurück über ein sauberes Backup.

Diese Schritte gehst du jetzt der Reihe nach

Die Reihenfolge ist wichtig. Der erste Schritt bremst den Schaden, die nächsten sichern deine Rechte und deine Chancen auf die Daten.

1. Vom Netzwerk trennen. Ziehe das Netzwerkkabel, schalte WLAN aus und trenne bestehende VPN-Verbindungen. Das verhindert, dass sich die Verschlüsselung auf verbundene Laufwerke, Netzspeicher oder Cloud-Ordner ausbreitet.
2. Externe Speicher abstecken. Ziehe USB-Sticks und externe Festplatten ab, besonders solche, auf denen deine Backups liegen. Ein angestecktes Backup kann mitverschlüsselt werden.
3. Beweise sichern. Fotografiere die Erpressermeldung mit dem Handy und notiere Datum, Uhrzeit und den geforderten Betrag. Formatiere die Festplatte jetzt noch nicht, denn diese Spuren brauchst du für die Anzeige und manchmal für die Entschlüsselung.
4. Anzeige erstatten. Wende dich an die Polizei. Die Zentrale Ansprechstelle Cybercrime (ZAC) deines Bundeslandes ist der richtige Kontakt. Eine Anzeige kostet nichts und ist auch dann sinnvoll, wenn die Täter im Ausland sitzen.
5. Entschlüsselung prüfen. Schau beim Projekt No More Ransom von Europol nach, ob für deine Ransomware-Variante ein kostenloses Entschlüsselungswerkzeug existiert. Für viele bekannte Familien gibt es das.
6. Sauber neu aufsetzen. Setze das Betriebssystem frisch auf und spiele deine Daten erst danach aus einem sauberen, getrennten Backup zurück. Nur so bist du sicher, dass keine Reste des Schädlings zurückbleiben.

Wenn du dir bei einem dieser Schritte unsicher bist, hol dir Hilfe. Ein Computerfachgeschäft, ein vertrauenswürdiger IT-Dienstleister oder eine technikaffine Person aus deinem Umfeld kann viel wert sein. Wichtig ist nur: erst trennen, dann handeln.

Warum du nicht zahlen solltest

Die Versuchung ist groß, gerade wenn unersetzliche Erinnerungen betroffen sind. Trotzdem rät das BSI aus guten Gründen ab. Erstens bekommst du keine Garantie: Ein Teil der Opfer zahlt und erhält trotzdem keinen funktionierenden Schlüssel. Zweitens zeigst du den Tätern, dass sich der Angriff lohnt, was Nachforderungen und weitere Angriffe wahrscheinlicher macht. Drittens finanzierst du mit jeder Zahlung die nächste Angriffswelle, die dann andere Menschen trifft.

Das Geld ist meist nicht das größte Problem. Der eigentliche Verlust sind die Daten. Und den kannst du nur mit einer Vorsorge abfangen, die schon vor dem Angriff steht: einem Backup.

Datenverlust vorbeugen: die 3-2-1-Regel

Ein Backup ist der einzige Schutz, der auch dann noch greift, wenn alles andere versagt hat. Die bewährte Faustregel heißt 3-2-1: drei Kopien deiner wichtigen Daten, auf zwei verschiedenen Speicherarten, davon eine an einem getrennten Ort. Getrennt heißt im Fall von Ransomware vor allem: nicht dauerhaft am Rechner angesteckt und nicht ständig mit dem Netzwerk verbunden.

Praktisch kann das so aussehen: Deine Originaldaten liegen auf dem Rechner, eine Kopie auf einer externen Festplatte, die du nur zum Sichern ansteckst, und eine dritte in einem Cloud-Speicher mit Versionsverlauf. Der Versionsverlauf ist wichtig, denn er lässt dich auf einen Stand vor der Verschlüsselung zurückspringen. Prüfe außerdem hin und wieder, ob sich das Backup wirklich wiederherstellen lässt. Ein Backup, das im Ernstfall nicht funktioniert, ist keines.

Neben Ransomware gibt es viele andere Wege, Daten zu verlieren: eine defekte Festplatte, ein versehentliches Löschen, ein gestohlenes Notebook, ein Wasserschaden. Gegen alle diese Fälle hilft dasselbe getrennte Backup. Es ist die eine Vorsorge, die sich am meisten lohnt.

So kommt Erpressungssoftware auf den Rechner

Ransomware braucht fast immer eine Tür, die von innen geöffnet wird. Der häufigste Weg ist ein Anhang in einer E-Mail, etwa eine angebliche Rechnung oder Bewerbung, hinter der sich ein Schadprogramm versteckt. Andere Wege sind manipulierte Downloads, gefälschte Update-Aufforderungen und veraltete Software mit bekannten Sicherheitslücken.

Drei Gewohnheiten senken das Risiko spürbar. Halte dein Betriebssystem und deine Programme aktuell, denn Updates schließen genau die Lücken, die Angreifer nutzen. Öffne keine Anhänge und Links, die du nicht erwartest, auch wenn der Absender bekannt wirkt. Und arbeite im Alltag mit einem Benutzerkonto ohne Administratorrechte, damit ein Schadprogramm nicht sofort das ganze System übernehmen kann.

Vorsicht vor falschen Support-Anrufen

Neben der klassischen Ransomware gibt es eine verwandte Masche, die zum selben Ergebnis führt, nur ohne Schadprogramm im Anhang. Jemand ruft an und gibt sich als Mitarbeiter von Microsoft, deinem Internetanbieter oder einem Sicherheitsdienst aus. Angeblich sei dein Rechner infiziert, und man müsse sofort helfen. Dann wirst du überredet, eine Fernwartungssoftware zu installieren, mit der die Person deinen Bildschirm übernimmt. Am Ende ist der Zugang gesperrt und es wird Geld für die angebliche Reparatur verlangt.

Die Regel dagegen ist einfach: Kein echtes Unternehmen ruft unaufgefordert an, um deinen Rechner zu reparieren. Leg in solchen Fällen einfach auf, egal wie überzeugend oder dringlich das Gegenüber klingt. Hast du bereits eine Fernwartung zugelassen, trenne den Rechner sofort vom Netz, ändere von einem anderen Gerät aus deine wichtigen Passwörter, besonders das deiner E-Mail und deines Online-Bankings, und erstatte Anzeige.

Häufige Fragen