Ransomware kann innerhalb kurzer Zeit dafür sorgen, dass sich persönliche Fotos, Dokumente oder andere Dateien nicht mehr öffnen lassen. Statt des gewohnten Inhalts erscheint eine Fehlermeldung, Dateien bekommen unbekannte Endungen oder auf dem Bildschirm taucht eine Lösegeldforderung auf.
Für Betroffene zählt dann vor allem eines: Nicht hektisch irgendwelche Programme installieren oder das Backup anschließen. Jeder weitere Schreibzugriff auf betroffene Laufwerke kann die Situation verschlechtern. Gleichzeitig sollte der infizierte Computer möglichst schnell von anderen Geräten und Speichern getrennt werden.
Auch wenn bereits Dateien verschlüsselt wurden, ist eine Rettung nicht immer ausgeschlossen. Ein sauberes Backup ist die beste Ausgangslage. Bei manchen Ransomware-Varianten existieren kostenlose Entschlüsselungswerkzeuge, und je nach Speicherort können ältere Dateiversionen verfügbar sein.
Noch besser ist es natürlich, wenn der Schädling gar nicht erst zum Zug kommt. Windows bringt dafür mehrere Schutzfunktionen mit, die zusammen mit Updates, vorsichtigem Umgang mit Dateien und einer vernünftigen Backup-Strategie das Risiko stark reduzieren.
Was ist Ransomware und was passiert mit deinen Dateien?
Ransomware gehört zur Schadsoftware und wird häufig auch als Erpressungstrojaner, Verschlüsselungstrojaner oder Crypto-Trojaner bezeichnet. Das Ziel besteht darin, dir den Zugriff auf deinen Computer oder deine Daten zu nehmen und anschließend Geld für die vermeintliche Freigabe zu verlangen.
Der englische Begriff „ransom“ bedeutet Lösegeld. Genau darauf baut das Geschäftsmodell der Angreifer auf: Der Schaden soll so groß sein, dass das Opfer unter Zeitdruck bezahlt.
Bei klassischer Crypto-Ransomware durchsucht die Schadsoftware erreichbare Laufwerke nach interessanten Dateien. Dazu können beispielsweise Dokumente, Tabellen, Bilder, Archive und Datenbanken gehören. Diese Dateien werden verschlüsselt und lassen sich anschließend ohne den passenden Schlüssel nicht mehr normal öffnen.
Eine moderne Verschlüsselung lässt sich nicht einfach durch Umbenennen der Datei oder Ändern ihrer Dateiendung rückgängig machen. Ob eine Entschlüsselung möglich ist, hängt von der jeweiligen Ransomware, möglichen Programmierfehlern der Täter und vorhandenen Entschlüsselungsschlüsseln ab.
Ransomware tritt dabei in verschiedenen Formen auf:
| Variante | Was passiert? |
|---|---|
| Crypto-Ransomware | Dateien werden verschlüsselt und dadurch unbrauchbar |
| Screenlocker | Der Zugriff auf Windows oder den Bildschirm wird blockiert |
| Erpressung mit Datendiebstahl | Daten werden vor der Verschlüsselung kopiert und mit Veröffentlichung gedroht |
| Kombination | Verschlüsselung und Datendiebstahl werden miteinander verbunden |
Gerade die Kombination aus Verschlüsselung und Datendiebstahl macht deutlich, warum eine Wiederherstellung aus dem Backup allein nicht jedes Problem löst. Wurden persönliche Informationen gestohlen, können zusätzlich Passwortwechsel und weitere Sicherheitsmaßnahmen nötig werden.
Wie gelangt Ransomware auf einen Windows-PC?
Viele Angriffe beginnen mit einer Datei oder einem Link, den der Nutzer selbst öffnet. Die eigentliche Schadsoftware steckt dann beispielsweise in einem manipulierten Anhang, einem gefälschten Download oder einem vermeintlichen Update.
E-Mails sind weiterhin ein typischer Verbreitungsweg. Eine Nachricht kann wie eine Rechnung, Paketbenachrichtigung oder Mitteilung eines bekannten Dienstes aussehen. Besonders problematisch wird es, wenn der Absender Zeitdruck erzeugt und zum schnellen Öffnen eines Links oder Anhangs auffordert.
Wie du solche Nachrichten prüfst, zeige ich ausführlicher in meinem Ratgeber zum Thema Phishing-Mails erkennen.
Weitere mögliche Einfallstore sind manipulierte Webseiten, Sicherheitslücken in veralteten Programmen oder heruntergeladene Software aus zweifelhaften Quellen. Auch gestohlene Zugangsdaten können eine Rolle spielen, wenn darüber Zugriff auf einen Computer oder ein Netzwerk möglich wird.
Deshalb reicht ein Virenscanner allein nicht als Schutzkonzept. Aktuelle Software, sichere Konten, Backups und ein aufmerksamer Umgang mit Downloads ergänzen sich gegenseitig.
Woran erkennst du einen Ransomware-Angriff?
Ein eindeutiges Zeichen ist eine Lösegeldforderung auf dem Bildschirm. Häufig hinterlassen die Täter eine Text- oder HTML-Datei mit Zahlungsanweisungen. Darin stehen möglicherweise auch eine persönliche Kennung, eine Kontaktadresse oder der Name der verwendeten Ransomware.
Manchmal fällt die Infektion vorher auf. Dateien lassen sich plötzlich nicht mehr öffnen oder tragen eine zusätzliche Dateiendung, die vorher nicht vorhanden war. Auch viele kurz hintereinander geänderte Dateien können auf einen laufenden Verschlüsselungsvorgang hinweisen.
Typische Hinweise sind:
- Dokumente, Fotos oder Archive lassen sich plötzlich nicht mehr öffnen.
- Viele Dateien besitzen eine neue oder unbekannte Erweiterung.
- In mehreren Ordnern erscheinen identische Textdateien mit Zahlungsforderungen.
- Der Desktop-Hintergrund wurde durch eine Erpressermeldung ersetzt.
- Microsoft Defender oder eine andere Sicherheitssoftware meldet Schadsoftware.
- Programme können nicht mehr auf bestimmte Dateien zugreifen.
- Dateien auf erreichbaren Netzlaufwerken oder externen Laufwerken sind ebenfalls betroffen.
Ein einzelnes beschädigtes Dokument ist noch kein Beweis für Ransomware. Sind gleichzeitig zahlreiche unterschiedliche Dateien betroffen und erscheint eine Erpressernachricht, ist der Verdacht dagegen sehr ernst zu nehmen.
Ransomware entdeckt: Diese Sofortmaßnahmen zuerst durchführen
Die ersten Minuten können beeinflussen, wie weit sich der Schaden ausbreitet. Bei einem begründeten Verdacht sollte der Rechner nicht weiter normal benutzt werden.
1. Computer sofort vom Netzwerk trennen
Ziehe ein angeschlossenes LAN-Kabel ab und deaktiviere WLAN. Dadurch unterbrichst du die Verbindung zum Internet sowie zu vielen anderen Geräten im Heimnetz.
Das ist besonders relevant, wenn dein PC Zugriff auf Netzlaufwerke oder ein NAS besitzt. Erreichbare Speicher können je nach Angriff ebenfalls betroffen sein.
2. Externe Laufwerke abziehen
Ist eine USB-Festplatte oder SSD gerade angeschlossen, trenne sie vom infizierten Rechner. Schließe jetzt keinesfalls deine eigentliche Backup-Festplatte an.
Eine dauerhaft verbundene Sicherung kann für Schadsoftware genauso erreichbar sein wie normale Dateien auf dem Computer. Genau deshalb sollte ein Backup-Laufwerk nach einer abgeschlossenen Sicherung wieder getrennt werden.
3. Erpressermeldung dokumentieren
Fotografiere die Lösegeldforderung mit dem Smartphone oder notiere relevante Informationen. Dazu gehören beispielsweise der Dateiname der Erpressernachricht, auffällige Dateiendungen und ein eventuell genannter Name der Schadsoftware.
Lösche diese Informationen nicht sofort. Sie können später helfen, die Ransomware genauer zu bestimmen.
4. Keine verschlüsselten Dateien verändern
Benenne betroffene Dateien nicht massenhaft um und experimentiere nicht mit unbekannten „Ransomware Repair Tools“, die irgendwo zum Download angeboten werden.
Bewahre einige verschlüsselte Dateien möglichst unverändert auf. Sie können benötigt werden, wenn später ein passendes Entschlüsselungswerkzeug verfügbar wird.
5. Für weitere Schritte einen sauberen Rechner verwenden
Suche nach Informationen zur Schadsoftware möglichst von einem anderen Gerät aus. Das kann ein zweiter PC, ein Notebook oder notfalls ein Smartphone sein.
Wenn du auf dem betroffenen Rechner Passwörter für E-Mail, Microsoft-Konto, Onlineshops oder andere sensible Dienste gespeichert oder eingegeben hast, ändere diese Zugangsdaten von einem sauberen Gerät aus. Beginne mit deinem E-Mail-Konto, weil darüber häufig weitere Passwörter zurückgesetzt werden können.
Daten retten nach Ransomware: Diese Möglichkeiten hast du
Ob sich verschlüsselte Dateien zurückholen lassen, hängt stark von der Ausgangssituation ab. Deshalb gibt es kein einzelnes Programm, das jede Ransomware reparieren kann.
Die sinnvollste Reihenfolge lautet: vorhandene Backups prüfen, nach einem seriösen Entschlüsselungstool suchen und erst danach weitere Wiederherstellungsmöglichkeiten untersuchen.
Möglichkeit 1: Dateien aus einem getrennten Backup wiederherstellen
Eine aktuelle Sicherung ist der zuverlässigste Weg zurück zu deinen Daten. Sie sollte allerdings erst verwendet werden, wenn der infizierte Computer bereinigt oder Windows neu installiert wurde.
Schließe deine Backup-Festplatte nicht probeweise an das noch infizierte System an. Sonst riskierst du, dass auch die Sicherung beschädigt oder verschlüsselt wird.
Falls du deine Datensicherung bisher eher nebenbei erledigst, findest du in meiner Anleitung zur Datensicherung unter Windows verschiedene Möglichkeiten für externe Festplatten, den Dateiversionsverlauf und Cloud-Speicher.
Möglichkeit 2: Nach einem kostenlosen Entschlüsselungstool suchen
Bei einigen bekannten Ransomware-Familien konnten Sicherheitsforscher Schwachstellen finden oder passende Schlüssel sichern. Für solche Fälle stehen kostenlose Decryptor-Programme zur Verfügung.
Eine gute Anlaufstelle ist das von Europol und weiteren Partnern unterstützte Projekt No More Ransom. Dort gibt es unter anderem den „Crypto Sheriff“, mit dem sich anhand einer Erpressermeldung und verschlüsselter Beispieldateien prüfen lässt, ob eine bekannte Lösung existiert.
Nicht jede Ransomware lässt sich damit entschlüsseln. Fehlt ein passendes Werkzeug, bedeutet das auch nicht automatisch, dass niemals eines erscheinen wird. Bewahre deshalb besonders wertvolle verschlüsselte Dateien auf, wenn keine andere Rettungsmöglichkeit besteht.
Möglichkeit 3: Cloud-Versionen und Papierkorb prüfen
Lagen deine Dateien in OneDrive oder einem anderen Cloud-Dienst, können ältere Versionen oder Wiederherstellungsfunktionen helfen. Welche Möglichkeiten zur Verfügung stehen, hängt vom Anbieter und deinem Tarif ab.
Eine reine Synchronisierung ist jedoch kein vollständiger Ersatz für ein Backup. Wird eine lokale Datei verschlüsselt und diese Änderung anschließend synchronisiert, kann auch die Cloud-Version betroffen sein. Versionsverläufe und Wiederherstellungsfunktionen können dann den Unterschied machen.
Microsoft integriert OneDrive deshalb auch in den Ransomware-Wiederherstellungsbereich von Windows-Sicherheit.
Möglichkeit 4: Gelöschte Originaldateien wiederherstellen
Manche Schadprogramme erstellen verschlüsselte Kopien und entfernen anschließend die ursprünglichen Dateien. In solchen Fällen kann theoretisch eine klassische Datenrettung helfen.
Die Erfolgsaussichten hängen vom Laufwerk und davon ab, wie viel seitdem darauf geschrieben wurde. Besonders bei SSDs erschwert die automatische Speicherbereinigung per TRIM eine spätere Wiederherstellung.
Installiere ein Datenrettungsprogramm deshalb nicht auf demselben Laufwerk, von dem du Dateien retten möchtest. Jeder Schreibvorgang kann noch vorhandene Daten überschreiben. Wie die klassische Wiederherstellung funktioniert, erkläre ich unter gelöschte Dateien in Windows wiederherstellen.
Solltest du das geforderte Lösegeld zahlen?
Von einer Zahlung ist abzuraten. Du hast keinerlei verlässliche Garantie, dass die Täter nach dem Geldtransfer einen funktionierenden Schlüssel liefern oder sich überhaupt noch melden.
Auch die Polizeiliche Kriminalprävention empfiehlt Betroffenen ausdrücklich, nicht auf die Geldforderung einzugehen und stattdessen Anzeige zu erstatten. Als Gründe nennt sie unter anderem die unsichere Datenrückgabe und die Möglichkeit weiterer Forderungen.
Selbst ein funktionierender Entschlüsselungsschlüssel beseitigt die Schadsoftware nicht automatisch vom Computer. Ebenso lässt sich damit nicht rückgängig machen, wenn Daten bereits kopiert und an die Täter übertragen wurden.
Die Zahlung löst daher nur einen Teil des Problems und selbst dieser Teil ist nicht garantiert.
Bewahre die Erpressernachricht und andere Informationen zum Angriff auf. Wenn du Anzeige erstattest, können solche Daten bei der Dokumentation des Vorfalls hilfreich sein.
Wie bekommst du den infizierten Windows-PC wieder sauber?
Nach einem bestätigten Ransomware-Befall sollte der Rechner erst wieder normal eingesetzt werden, wenn geklärt ist, dass keine Schadsoftware mehr aktiv ist.
Microsoft Defender bietet verschiedene Scanmethoden. Der Microsoft Defender Offline-Scan startet den Computer in einer separaten Wiederherstellungsumgebung und prüft das System, ohne das normale Windows vollständig zu laden. Dadurch hat aktive Schadsoftware weniger Möglichkeiten, sich während der Untersuchung zu verstecken.
Bei einem echten Ransomware-Befall mit unbekannter Vorgeschichte ist eine saubere Neuinstallation trotzdem die konsequenteste Lösung. Damit musst du nicht darauf vertrauen, dass jede Komponente des Schädlings gefunden wurde.
Erstelle das benötigte Installationsmedium nach Möglichkeit an einem sauberen Computer. Mein Ratgeber zum Windows Boot Stick erklärt die grundsätzliche Vorgehensweise mit einem USB-Stick.
Gehe anschließend in dieser Reihenfolge vor:
- Windows sauber installieren.
- Alle verfügbaren Windows-Updates einspielen.
- Windows-Sicherheit und Virenschutz kontrollieren.
- Benötigte Programme aus vertrauenswürdigen Quellen neu installieren.
- Gesicherte Dateien überprüfen.
- Erst danach persönliche Daten zurückkopieren.
- Geänderte Passwörter verwenden und alte Zugangsdaten nicht wieder übernehmen.
Kopiere Programme oder unbekannte ausführbare Dateien nicht blind aus einem alten Backup zurück. Persönliche Dokumente und Fotos sind etwas anderes als alte Downloads, Installationsdateien oder Skripte, über die der ursprüngliche Angriff möglicherweise begonnen hat.
Ransomware unter Windows 11 wirksam vorbeugen
Ein einzelner Schutzmechanismus kann einen Angriff nicht zuverlässig verhindern. Sinnvoll ist eine Kombination aus Windows-Sicherheit, Updates, vorsichtigem Verhalten und einer unabhängigen Datensicherung.
Windows bringt dafür bereits zahlreiche Funktionen mit. Welche Schutzbereiche in Windows-Sicherheit vorhanden sind und was Microsoft Defender übernimmt, findest du ausführlicher in meinem Artikel über die Windows-Sicherheit.
Windows und Programme aktuell halten
Installiere Sicherheitsupdates zeitnah. Das betrifft Windows ebenso wie Browser, Office-Programme und andere Anwendungen, die regelmäßig mit Dateien aus dem Internet arbeiten.
Veraltete Programme können bekannte Sicherheitslücken enthalten, für die längst Updates verfügbar sind. Programme, die du nicht mehr verwendest und die keine Aktualisierungen mehr erhalten, solltest du entfernen.
Microsoft Defender nicht leichtfertig deaktivieren
Der integrierte Microsoft Defender Antivirus überwacht Dateien und Programme in Echtzeit. Windows aktualisiert die zugehörigen Sicherheitsinformationen regelmäßig über Windows Update.
Taucht eine Warnung auf, solltest du sie prüfen und nicht reflexartig auf „Zulassen“ klicken. Gleiches gilt für Ausnahmen im Virenscanner: Je mehr Dateien, Ordner oder Prozesse du von Prüfungen ausschließt, desto größer wird der ungeschützte Bereich.
Den überwachten Ordnerzugriff prüfen
Windows besitzt eine spezielle Schutzfunktion gegen unerlaubte Änderungen an persönlichen Dateien. Du findest sie unter:
Windows-Sicherheit > Viren- & Bedrohungsschutz > Ransomware-Schutz verwalten > Überwachter Ordnerzugriff
Ist die Funktion aktiv, dürfen nur vertrauenswürdige Apps Dateien in geschützten Ordnern verändern. Windows schützt dabei unter anderem häufig verwendete Ordner wie Dokumente, Bilder, Videos, Musik und Desktop. Weitere Ordner lassen sich hinzufügen. Microsoft beschreibt die Funktion ausführlich beim Viren- und Bedrohungsschutz in Windows-Sicherheit.
Der Schutz kann gelegentlich ein legitimes Programm blockieren. Dann solltest du genau prüfen, welches Programm den Zugriff benötigt, und nur vertrauenswürdige Anwendungen gezielt freigeben.
Microsoft weist darauf hin, dass der überwachte Ordnerzugriff Microsoft Defender Antivirus als aktive Antivirenlösung benötigt. Die Funktion steht auch auf Windows 11 Home zur Verfügung.
Dateiendungen im Explorer anzeigen
Eine ausführbare Datei kann beispielsweise so benannt werden, dass sie auf den ersten Blick wie ein Dokument wirkt. Werden bekannte Dateiendungen ausgeblendet, fällt eine solche Tarnung schlechter auf.
Lasse dir deshalb die Dateinamenerweiterungen im Explorer anzeigen und prüfe besonders Dateien aus E-Mails und Downloads. Eine vermeintliche Rechnung mit der Endung .exe, .scr oder einer anderen ausführbaren Erweiterung sollte nicht geöffnet werden.
Die Dateiendung allein beweist allerdings noch keine Schadsoftware. Sie hilft vor allem dabei, verdächtige Dateien schneller zu erkennen.
Anhänge und Downloads kritisch prüfen
Ein bekannter Absender macht einen Anhang nicht automatisch sicher. E-Mail-Konten können übernommen oder Absenderangaben gefälscht werden.
Passt eine Nachricht nicht zum normalen Verhalten des Absenders, prüfe sie über einen anderen Kontaktweg. Antworte bei einem verdächtigen Absender nicht einfach auf dieselbe Nachricht.
Auch die Polizeiliche Kriminalprävention empfiehlt, selbst Anhänge bekannter Absender bei Zweifeln nicht ungeprüft zu öffnen.
Backups so anlegen, dass Ransomware sie nicht mitverschlüsselt
Ein Backup hilft gegen Ransomware nur dann zuverlässig, wenn die Schadsoftware nicht gleichzeitig darauf zugreifen kann. Eine zweite Festplatte, die dauerhaft im Computer eingebaut ist, bietet deshalb keinen ausreichenden Schutz.
Gleiches gilt für eine externe Festplatte, die rund um die Uhr per USB verbunden bleibt. Solange Windows darauf schreiben kann, kann eine mit deinen Benutzerrechten laufende Schadsoftware möglicherweise ebenfalls darauf zugreifen.
Für einen privaten Windows-PC ist eine einfache Strategie bereits sehr wirkungsvoll:
- Wichtige Dateien liegen auf dem PC.
- Eine regelmäßige Sicherung landet auf einer externen Festplatte.
- Diese Festplatte wird nach dem Backup getrennt.
- Besonders wertvolle Dateien liegen zusätzlich an einem weiteren Speicherort.
- Ältere Sicherungsstände werden nicht sofort überschrieben.
- Die Wiederherstellung einzelner Dateien wird gelegentlich getestet.
Das BSI und die Polizeiliche Kriminalprävention empfehlen ebenfalls regelmäßige Backups auf getrennten Speichermedien.
Sehr praktisch ist die bekannte 3-2-1-Regel: Du besitzt insgesamt drei Kopien wichtiger Daten, nutzt mindestens zwei unterschiedliche Speicherlösungen und bewahrst eine Kopie getrennt vom eigentlichen Computer auf.
Dabei zählt ein synchronisierter Cloud-Ordner nicht automatisch als vollständig unabhängiges Backup. Wird jede Änderung sofort übernommen, kann auch eine verschlüsselte Datei synchronisiert werden. Ein Versionsverlauf oder eine zusätzliche Offline-Kopie schützt dich vor diesem Problem.
Das Backup ist für mich der wichtigste Teil des privaten Ransomware-Schutzes. Sicherheitssoftware kann einen Angriff verhindern, ein sauberes und getrenntes Backup nimmt den Tätern im Ernstfall jedoch einen großen Teil ihres Druckmittels.
Fazit: Bei Ransomware zählen Vorbereitung und besonnenes Handeln
Ransomware wird besonders dann zum großen Problem, wenn keine unabhängige Kopie der eigenen Dateien existiert. Regelmäßige Backups auf einem getrennten Datenträger sollten deshalb bei jedem Windows-PC zur Grundausstattung gehören.
Ist die Verschlüsselung bereits passiert, trenne den Rechner sofort vom Netzwerk und von angeschlossenen Speichern. Schließe kein Backup an das infizierte System an, dokumentiere die Erpressermeldung und prüfe von einem sauberen Gerät aus, ob für die verwendete Ransomware ein seriöses Entschlüsselungswerkzeug verfügbar ist.
Lösegeld zu zahlen ist keine verlässliche Datenrettung. Ein sauberes Backup, aktuelle Software, Microsoft Defender und der überwachte Ordnerzugriff geben dir wesentlich mehr Kontrolle darüber, was im Ernstfall passiert.
Dirks-Computerecke bei Google bevorzugen
Wenn dir meine Artikel helfen, kannst du Dirks-Computerecke bei Google als bevorzugte Quelle hinzufügen. Google kann dir meine Inhalte dann in der Suche stärker hervorheben.
