Ransomware kommt durch die Vordertür: 79 Prozent nutzen gestohlene Zugangsdaten

Die aktuellen Zahlen zur Ransomware-Lage sind unangenehm eindeutig: Deutschland zählt mit mehreren hundert bestätigten Angriffen pro Jahr zu den drei weltweit am stärksten betroffenen Ländern, und rund 79 Prozent aller Vorfälle gehen auf kompromittierte Zugangsdaten zurück. Nicht auf eine raffinierte Zero-Day-Lücke, sondern auf einen gültigen Benutzernamen mit passendem Passwort.

Warum das die Verteidigung verändert

Ein Angreifer, der sich regulär anmeldet, löst keinen Alarm aus. Er umgeht Firewall und Virenschutz, weil er sie gar nicht angreifen muss. Die Zugänge stammen dabei meist aus drei Quellen: Phishing, wiederverwendete Passwörter aus fremden Datenlecks und ungeschützte Fernzugänge wie VPN- oder RDP-Portale ohne zweiten Faktor.

Auffällig ist auch, wo Angreifer ansetzen: Nicht bei den Admin-Konten der IT-Abteilung, sondern bei ganz normalen Nutzerkonten — und arbeiten sich von dort weiter. Dienstkonten für Backups, Monitoring oder Schnittstellen sind dabei besonders beliebt, weil sie oft alte, nie geänderte Passwörter haben und niemandem persönlich zugeordnet sind.

Die wirksamsten Gegenmaßnahmen

• MFA auf allen extern erreichbaren Zugängen — VPN, Webmail, Cloud-Dienste, Fernwartung. Das ist die einzelne Maßnahme mit dem größten Effekt.
• Dienst- und Admin-Konten aufräumen: Wer hat welche Rechte, welche Konten werden noch gebraucht, wo liegen Passwörter? Administrative Tätigkeiten gehören auf separate Konten, nicht auf das Alltagskonto.
• Fernzugänge nicht ungeschützt ins Internet stellen: RDP direkt am offenen Port ist eine Einladung. Zugang nur über VPN oder ein vorgeschaltetes Gateway.
• Passkeys statt Passwörter, wo die Anwendungen es unterstützen — sie lassen sich nicht abphishen und nicht wiederverwenden.

Der Teil, der oft fehlt: getestete Backups

Kein Schutz ist vollständig, deshalb entscheidet im Ernstfall das Backup — und zwar eines, das der Angreifer nicht mitverschlüsseln kann. Konkret heißt das: mindestens eine Kopie offline oder unveränderbar (immutable), getrennte Zugangsdaten für das Backup-System und, am wichtigsten, regelmäßige Wiederherstellungstests. Ein Backup, das noch nie zurückgespielt wurde, ist eine Hoffnung, kein Plan.

Dazu gehört ein Notfallplan, der auch dann funktioniert, wenn die IT steht: Wer wird informiert, wie erreicht man sich ohne Firmen-Mail, welche Systeme werden zuerst wiederhergestellt.

Unser Fazit

Die gute Nachricht in diesen Zahlen: Wenn Zugangsdaten der Hauptweg sind, ist die Abwehr planbar. MFA, saubere Konten, geschützte Fernzugänge und getestete Backups decken den Großteil des Risikos ab — ohne großes Sicherheitsbudget. Wir prüfen mit Ihnen, wo Ihre Zugänge stehen und ob Ihr Backup im Ernstfall wirklich trägt.