In den Fällen, die wir begleitet haben, lautete die erste Frage nach einem Ransomware-Vorfall selten «welches Tool hat versagt». Sie lautete: «Kommen wir an die Backups?»
Die Antwort darauf fällt Wochen vorher, nicht in dieser Nacht.
Trotzdem wird Ransomware-Schutz im KMU meistens als Einkaufsthema behandelt. Es gibt eine Produktkategorie, einen Anbieter mit einer guten Demo, ein Budget. Was es nicht gibt, ist ein Knopf, der das Problem löst. Das klingt entmutigender, als es ist. Die Sachen, die helfen, sind unspektakulär, grösstenteils schon bezahlt und in ein paar Wochen zu klären.
79 Fälle in sechs Monaten
Fangen wir mit der Zahl an, die in Verkaufsgesprächen selten vorkommt.
Das Bundesamt für Cybersicherheit hat am 24. August 2026 seinen Halbjahresbericht veröffentlicht. Für das erste Halbjahr 2026 nennt er 27'128 freiwillige Meldungen und 200 meldepflichtige Cybervorfälle. Die Zahl der gemeldeten und beobachteten Schweizer Ransomware-Fälle liegt für diese Berichtsperiode bei 79.
79 Fälle in einem halben Jahr, für die ganze Schweiz. Das ist keine Welle, die jeden erfasst. Wer dir etwas anderes erzählt, verkauft dir etwas.
Zwei Einordnungen gehören trotzdem dazu. Die erste: Das sind gemeldete und beobachtete Fälle, nicht alle Fälle. Ein KMU, das still bezahlt oder den Schaden intern regelt, taucht in keiner Statistik auf. Die echte Zahl liegt darüber, wie weit darüber weiss niemand. Die zweite: Eine niedrige Häufigkeit beschreibt kein niedriges Risiko. Ein Ereignis, das selten eintritt und dann den Betrieb eine Woche anhält, rechnet sich anders als eines, das ständig passiert und wenig kostet. Der Bericht hält ausserdem fest, dass sich die aktiven Ransomware-Familien zunehmend diversifizieren und fragmentieren. Für dich heisst das vor allem: Sich auf die Werkzeuge einer bestimmten Gruppe einzustellen, bringt wenig, weil die Gruppen wechseln. Die Zugangswege bleiben.
Die nützliche Haltung liegt zwischen Panik und Achselzucken. Ransomware ist unwahrscheinlich und teuer. Deshalb lohnt sich weniger die Frage «wie verhindern wir das» und mehr die Frage «wie schnell stehen wir wieder».
Ransomware ist das Ende eines Angriffs, nicht der Angriff
An diesem Denkfehler hängen die meisten Fehlinvestitionen.
Ransomware wirkt wie eine eigene Bedrohungsart, weil sie so sichtbar endet. Verschlüsselte Dateien, eine stillstehende Produktion. Aber die Verschlüsselung ist nur die Art, wie der Angreifer am Schluss Geld macht. Der Weg dorthin ist gewöhnliche Einbruchsarbeit und sieht in den meisten Fällen ähnlich aus.
Am Anfang steht ein Zugang. Ein Passwort aus einer Phishing-Mail, ein VPN-Konto ohne zweiten Faktor, eine Fernwartung, die seit Jahren offen ist und niemandem mehr gehört. Danach folgt eine ruhige Phase, in der sich jemand umsieht, Berechtigungen sammelt und herausfindet, wo die wertvollen Daten liegen. Diese Phase dauert oft Tage, manchmal Wochen. Sie ist leise, weil Leisesein sich lohnt.
Und dann kommt der Schritt, den die meisten Planungen auslassen. Microsoft beschreibt ihn in seiner Referenzarchitektur für ransomware-resistente Backups deutlich: Ransomware-Akteure nehmen sich häufig zuerst die Backup-Infrastruktur vor, um Wiederherstellungsoptionen zu beseitigen, bevor sie die Produktivsysteme angreifen.
Wer deine Daten verschlüsselt, hat also vorher dafür gesorgt, dass du sie nicht einfach zurückholst. Sonst wäre der Erpressungsversuch sinnlos.
Daraus folgt etwas Unbequemes für die Budgetdiskussion: Der Schutz vor Ransomware ist zu einem grossen Teil derselbe Schutz wie vor allem anderen. Wer verhindert, dass Zugangsdaten abfliessen und dass ein einzelnes Konto zu viel darf, verhindert damit auch den Weg zur Verschlüsselung. Wie diese Ebenen zusammenspielen, haben wir im Beitrag zur Phishing-Prävention im Unternehmen beschrieben.
Für die Geschäftsleitung hat das eine angenehme Nebenwirkung. Du musst nicht für jedes Schlagwort ein eigenes Budget öffnen. Dieselbe Arbeit an Identitäten und Berechtigungen zahlt auf Ransomware, auf Kontoübernahmen im Mailsystem und auf den Lieferantenfragebogen ein, den dein grösster Kunde nächstes Jahr schickt. Das ist ungewöhnlich, weil in der IT-Sicherheit sonst fast jede Antwort eine neue Rechnung bedeutet.
Warum «Ransomware-Schutz» als Produktkategorie nicht funktioniert
Ein Produkt, das «Ransomware» auf der Verpackung stehen hat, deckt in aller Regel ein Stück dieser Kette ab. Meistens das letzte, also die Erkennung verdächtiger Verschlüsselungsaktivität auf den Endgeräten. Das ist nicht wertlos. Es ist nur spät. Zu diesem Zeitpunkt ist jemand seit zwei Wochen im Netz und hat die Backups schon angefasst.
Der grössere Teil dessen, was hilft, ist in vielen KMU längst lizenziert und nicht eingeschaltet. Mehrfaktor-Authentisierung auf allen Fernzugängen, auch auf den vergessenen. Regeln, die eine Anmeldung an Ort, Gerät und Zustand knüpfen statt nur ans Passwort. Getrennte Konten für administrative Arbeit. Nichts davon ist neu, nichts davon kostet zusätzlich, und deshalb steht es selten auf der Traktandenliste. Neues hat einen Fürsprecher, Ungenutztes hat keinen. Wir haben das am Beispiel von Conditional Access im KMU durchgerechnet.
In unserer Erfahrung ist der Reflex nach dem ersten Schreckmoment fast immer derselbe: eine zusätzliche Lizenz. Die Firma fühlt sich danach besser, weil sie gehandelt hat, und hat die Anzahl der Werkzeuge erhöht, die niemand betreut. Mehr Schutz entsteht dabei selten. Was entsteht, ist eine weitere Konsole, in die im Ernstfall niemand schaut. Wie man aus so einem Stapel wieder herauskommt, steht in unserem Beitrag zum Konsolidieren von Sicherheitstools.
Wer kann euer Backup löschen?
Das ist die Frage, an der sich der Schaden entscheidet, und sie lässt sich an einem Vormittag beantworten.
Die meisten Betriebe prüfen bei Backups zwei Dinge: läuft es, und lässt sich wiederherstellen. Beides ist richtig und beides beantwortet die falsche Frage. Bei Ransomware zählt, ob die Sicherung überhaupt noch da ist, wenn du sie brauchst. Ein Backup, das mit denselben Administratorrechten gelöscht werden kann, die der Angreifer gestohlen hat, ist im Ernstfall kein Backup. Es ist eine Kopie im selben Gebäude.
Microsoft formuliert den Gegenentwurf in derselben Architektur nüchtern: Soft Delete und Unveränderlichkeit verhindern, dass Angreifer oder kompromittierte Administratoren Wiederherstellungspunkte innerhalb der Aufbewahrungsfrist löschen, und erhalten damit die Wiederherstellbarkeit auch nach einem Diebstahl von Zugangsdaten. Dieselbe Quelle empfiehlt, die Backup-Verwaltung von der täglichen Produktionsadministration zu trennen, und für kritische Bestände eine Freigabe durch eine zweite Person, damit ein einzelnes übernommenes Konto den Schutz nicht abschalten kann.
Übersetzt in die Sprache eines KMU heisst das drei Dinge, und keines davon ist ein Projekt.
Erstens: Die Sicherung muss für eine festgelegte Zeit unlöschbar sein, auch für den eigenen Administrator. Gängige Backup-Produkte und Cloud-Dienste können das heute, in vielen Fällen ohne Aufpreis. Aktiviert ist es selten.
Zweitens: Das Konto, mit dem gesichert wird, darf nicht dasselbe sein, mit dem täglich administriert wird. Wer beides in einer Anmeldung bündelt, hat die Trennung aufgehoben, für die er bezahlt.
Drittens: Jemand muss einmal versucht haben, aus dieser Sicherung etwas zurückzuholen. Ein ungeprüftes Wiederherstellungskonzept ist eine Annahme, kein Schutz.
Für Microsoft 365 gilt derselbe Gedanke mit einem eigenen Dreh, weil dort Papierkorb, Aufbewahrung und Backup drei verschiedene Dinge sind, die gern verwechselt werden. Das haben wir separat sortiert: Braucht Microsoft 365 ein Backup?
Die Stunden danach übt kaum jemand
Über diesen Teil wird am wenigsten gesprochen, weil er nichts kostet und trotzdem liegen bleibt.
Wenn ein Vorfall läuft, entscheidet in den ersten Stunden die Zuständigkeit über den Schaden. Wer darf die Produktion anhalten? Wer redet mit den Kunden, und mit welchem Satz? Wer entscheidet, ob wiederhergestellt oder verhandelt wird, und wer darf diese Person um drei Uhr nachts wecken? Dazu kommt eine Frist, die leicht untergeht: In unserer Erfahrung verlangt die Cyber-Police eine Meldung innerhalb eines engen Fensters, und wer zuerst aufräumt und danach meldet, riskiert seine Deckung.
Das sind keine technischen Fragen. Es sind Fragen der Geschäftsleitung, und in unserer Erfahrung werden sie zum ersten Mal gestellt, wenn sie bereits beantwortet sein müssten. So entstehen die teuren Stunden. Die Wiederherstellung scheitert selten an der Technik. Sie scheitert daran, dass im Moment der Entscheidung niemand befugt ist, sie zu starten.
Microsoft bringt es für die technische Seite auf einen Satz, der auch für die organisatorische gilt: Eine Backup-Architektur, die nicht geübt wird, bietet nur theoretischen Schutz. Üben muss dabei nichts Grosses sein. Eine Stunde am Tisch, mit einem erfundenen Szenario und den Leuten, die im Ernstfall im Raum sässen, deckt die meisten Lücken auf. Der übliche Befund nach so einer Stunde ist selten eine fehlende Technologie. Es ist eine Telefonnummer, die niemand hat, oder ein Entscheid, den niemand fällen darf.
Wenn im Betrieb niemand die Zeit hat, diese Fragen offen zu halten und dranzubleiben, ist das die Lücke, die wir mit Security Management und Betrieb schliessen: nicht als zusätzliches Werkzeug, sondern als die Person, die den Ablauf pflegt, bevor er gebraucht wird. Was sonst noch dazugehört, steht in unserem Beitrag zur Incident-Response-Readiness.
Die Probe, die an einem Dienstag möglich ist
Der Ransomware-Schutz, der im KMU etwas ändert, sieht enttäuschend gewöhnlich aus. Keine neue Plattform, kein Programm über zwei Jahre. Es reicht, wenn gestohlene Zugangsdaten nicht sofort das ganze Haus öffnen, wenn die Sicherung denjenigen überlebt, der die Zugangsdaten hat, und wenn feststeht, wer im Ernstfall entscheidet. Das ist Arbeit an Zuständigkeiten und Einstellungen, keine Budgetfrage, und deshalb landet sie so selten auf einer Traktandenliste. Wer sie einmal ehrlich macht, hat für die nächste Verwaltungsratssitzung eine bessere Antwort als jede Produktliste.
Setz dich an einem beliebigen Dienstag mit der Person zusammen, die eure Backups betreut, und stell eine Frage: Wenn heute dein Konto in falschen Händen wäre, wie viel von unserer Sicherung wäre morgen noch da?
Was in dem Moment im Raum passiert, sagt dir mehr über euren Stand als jeder Bericht. Und wenn du die Antwort lieber strukturiert hättest statt aus dem Bauch, sprich uns an. Ein erstes Gespräch ist unverbindlich und kostet dich eine halbe Stunde.
Häufige Fragen
Wie schützt sich ein KMU vor Ransomware?
Nicht mit einem eigenen Ransomware-Produkt. Wirksam sind drei Dinge, die meistens schon lizenziert sind: Mehrfaktor-Authentisierung auf allen Fernzugängen, getrennte Konten für administrative Arbeit und ein Backup, das sich für eine festgelegte Zeit nicht löschen lässt. Dazu ein Entscheidungsweg, den jemand einmal durchgespielt hat.
Wie viele Ransomware-Fälle gibt es in der Schweiz?
Das Bundesamt für Cybersicherheit nennt in seinem Halbjahresbericht vom 24. August 2026 für das erste Halbjahr 2026 79 gemeldete und beobachtete Schweizer Ransomware-Fälle, bei 27'128 freiwilligen Meldungen insgesamt. Das sind gemeldete Fälle, nicht alle Fälle. Betriebe, die still bezahlen, tauchen in keiner Statistik auf.
Warum löschen Angreifer zuerst das Backup?
Weil eine Erpressung ohne diesen Schritt sinnlos wäre. Microsoft hält in seiner Referenzarchitektur fest, dass Ransomware-Akteure häufig zuerst die Backup-Infrastruktur angehen, um Wiederherstellungsoptionen zu beseitigen. Ein Backup, das mit den gestohlenen Administratorrechten löschbar ist, hilft deshalb im Ernstfall nicht.
