Backup ist kein Schutz: Wie Ransomware-Angriffe wirklich ablaufen und warum Wiederherstellung allein nicht reicht 

In vielen mittelständischen Unternehmen hält sich eine vermeintlich beruhigende Annahme: Sollte es zu einem Ransomware-Vorfall kommen, spielt man die Backups zurück, und der Betrieb läuft weiter. Diese Vorstellung war lange Zeit nicht unberechtigt. Bis etwa 2022 war Ransomware im Kern tatsächlich ein Verschlüsselungsproblem. Angreifer sperrten Dateien, forderten Lösegeld, und wer über saubere, aktuelle Sicherungen verfügte, konnte den Vorfall vergleichsweise glimpflich überstehen. 

Doch diese Zeiten sind vorbei. Moderne Ransomware-Angriffe sind mehrstufige Operationen, bei denen die Verschlüsselung oft nur der letzte, sichtbare Schritt eines viel längeren Prozesses ist. Wer sein Sicherheitskonzept weiterhin allein auf Wiederherstellung ausrichtet, verteidigt sich gegen eine Bedrohung, die es in dieser Form kaum noch gibt. Wie ein Angriff heute tatsächlich abläuft und warum das Backup dabei zu einem von mehreren Bausteinen wird statt zur alleinigen Lebensversicherung, zeigt der Blick auf die einzelnen Phasen. 

So läuft ein moderner Ransomware-Angriff wirklich ab 

Ein Ransomware-Angriff beginnt selten mit einem lauten Knall. Der Einstieg erfolgt meist unauffällig, etwa über ausgenutzte Softwareschwachstellen, kompromittierte Zugangsdaten oder eine gut gemachte Phishing-Mail. Laut dem Verizon Data Breach Investigations Report 2026 hat sich die Ausnutzung von Schwachstellen inzwischen zum führenden Einstiegsvektor entwickelt und liegt bei 31 Prozent aller Sicherheitsverletzungen, ein deutlicher Anstieg gegenüber 20 Prozent im Vorjahr. Der Missbrauch gestohlener Zugangsdaten ist im Vergleich dazu leicht zurückgegangen. Diese Verschiebung spricht für ein Vorgehen, das auf Geschwindigkeit und Skalierbarkeit setzt, statt auf auffällige Malware-Kampagnen. 

Nach dem Erstzugang folgt dann in der Regel keine sofortige Verschlüsselung. Stattdessen bewegen sich Angreifer über Wochen unauffällig durchs Netzwerk, weiten ihre Rechte aus und verschaffen sich einen Überblick über die Infrastruktur. Verschiedene Fachanalysen beziffern die durchschnittliche Zeitspanne zwischen Erstzugang und tatsächlicher Verschlüsselung auf etwa fünf bis elf Tage, in vielen dokumentierten Fällen sind es aber deutlich mehr. In dieser Phase geschieht das Entscheidende: 

• Laterale Bewegung: Angreifer erkunden das Netzwerk und identifizieren wertvolle Systeme. 

• Gezielte Suche nach Backups: Netzlaufwerke, NAS-Systeme und selbst Cloud-Synchronisierungen werden aufgespürt, um sie im späteren Verlauf gezielt zu verschlüsseln oder zu löschen. 

• Datenexfiltration: Bevor überhaupt eine Verschlüsselung beginnt, werden sensible Daten kopiert und auf eigene Infrastruktur der Angreifer übertragen. 

• Vorbereitung der Verschlüsselung: Erst wenn Backups kompromittiert und Daten gesichert sind, wird die eigentliche Ransomware ausgerollt. 

Erst am Ende dieser Kette steht das, was Betroffene als „den Angriff“ wahrnehmen: verschlüsselte Systeme und eine Lösegeldforderung. Für Ihre Verteidigung bedeutet das vor allem eines: Es gibt ein Zeitfenster von Tagen, in manchen Fällen Wochen, in dem ein Angriff erkannt und gestoppt werden könnte, bevor überhaupt etwas verschlüsselt wird. Genau dieses Fenster wird von klassischen, rein auf Wiederherstellung ausgelegten Sicherheitskonzepten kaum genutzt. 

Double-Extortion: Warum Wiederherstellung das eigentliche Problem nicht löst 

Der Grund, warum ein funktionierendes Backup heute nicht mehr ausreicht, liegt in der sogenannten Double-Extortion. Bei dieser inzwischen dominierenden Taktik verschlüsseln Angreifer nicht nur Ihre Systeme, sie stehlen vorher gezielt Daten und drohen mit deren Veröffentlichung. Nach Angaben aus dem BSI-Lagebericht 2025 setzen mittlerweile rund 72 Prozent aller Ransomware-Angriffe auf dieses Muster. 

Die Konsequenz für Betroffene ist gravierend: Selbst, wenn Sie über tadellose, aktuelle Backups verfügen und den Betrieb binnen Stunden wiederherstellen können, ist der eigentlichen Erpressung damit nicht entkommen. Ihre gestohlenen Kunden-, Personal- oder Vertragsdaten liegen weiterhin bei den Angreifern, und deren Veröffentlichung im Darknet lässt sich durch keine Wiederherstellungsstrategie verhindern. Hinzu kommen mögliche Meldepflichten gegenüber Aufsichtsbehörden und Betroffenen sowie der Reputationsschaden, der oft schwerer wiegt als der eigentliche Betriebsausfall. 

Auch die Zahlung des geforderten Lösegelds ist dabei kein verlässlicher Ausweg. Eine Untersuchung von HYCU und ActualTech Media zeigt, dass von den Unternehmen, die auf die erste Lösegeldforderung eingehen, zwar rund 60 Prozent zunächst wieder Zugriff auf ihre Daten erhalten. Fast ein Drittel muss jedoch nachzahlen, bevor eine Wiederherstellung überhaupt möglich wird, und bei 8 Prozent bleibt der Zugriff selbst nach Zahlung verwehrt. Und selbst wenn ein Entschlüsselungsschlüssel geliefert wird, zieht sich der technische Wiederaufbau der Systeme in der Praxis häufig über mehrere Wochen. 

Warum Backups trotzdem systematisch angegriffen werden 

Dass Backups im Fokus der Angreifer stehen, ist dabei kein Zufall, sondern fester Bestandteil moderner Ransomware-Kampagnen. Professionell organisierte Gruppen verbringen, wie beschrieben, oft Wochen unentdeckt im Netzwerk. In dieser Zeit suchen sie gezielt nach erreichbaren Sicherungen und zerstören oder verschlüsseln sie, bevor die eigentliche Attacke beginnt. Ein Backup, das über das normale Netzwerk erreichbar ist, bietet in einem solchen Szenario keinen zuverlässigen Schutz mehr. 

Ein weiteres, häufig unterschätztes Problem ist die mangelnde Testung. Viele Unternehmen verfügen zwar formal über eine Backup-Strategie, haben eine vollständige Wiederherstellung unter Realbedingungen aber nie durchgespielt. Im Ernstfall zeigt sich dann, dass Sicherungen unvollständig, veraltet oder schlicht nicht funktionsfähig sind. Ein Backup, das nie zurückgespielt wurde, ist im Zweifel nur eine Hoffnung, keine Absicherung. 

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ordnet Backups deshalb differenziert ein: Sie bleiben eine der wichtigsten präventiven Maßnahmen, um im Ernstfall die Verfügbarkeit von Daten wiederherzustellen, sie helfen aber ausdrücklich nicht gegen den Diebstahl und die Veröffentlichung von Daten. Wichtig sind laut BSI insbesondere: 

• getrennte, vom Produktivnetz isolierte Aufbewahrung (Offline- beziehungsweise Air-Gap-Backups) 

• regelmäßige, dokumentierte Tests der Wiederherstellung 

• klare Verantwortlichkeiten und ein geübter Notfallplan 

Der eigentliche Hebel: Angriffe erkennen, bevor verschlüsselt wird 

Angesichts dieser Entwicklung verschiebt sich der wirksamste Hebel in der Verteidigung spürbar: weg von der reinen Reaktion nach der Verschlüsselung, hin zur frühzeitigen Erkennung während der oft tagelangen Vorbereitungsphase. Wird ein Angreifer erkannt, während er sich noch lateral im Netzwerk bewegt oder Daten exfiltriert, lässt sich der eigentliche Schaden häufig verhindern, bevor er überhaupt entsteht. 

Genau hier setzen Ansätze wie Extended Detection and Response (XDR) und Managed Detection and Response (MDR) an. XDR sammelt und korreliert Telemetriedaten aus Endpoints, Firewalls, Cloud-Diensten, E-Mail und Identitätssystemen und macht damit verdächtige Muster sichtbar, die einzelne Sicherheitswerkzeuge übersehen würden. MDR ergänzt diese Datenbasis um ein rund um die Uhr besetztes Security Operations Center (SOC), das Vorfälle nicht nur analysiert, sondern bei Bedarf aktiv eingreift. Für Unternehmen ohne eigenes SOC, also für den Großteil des Mittelstands, ist dieser Ansatz häufig der praktikabelste Weg, um Angriffe in einer frühen Phase zu stoppen, bevor Daten abfließen oder Systeme verschlüsselt werden. 

Diese Verschiebung ist inzwischen nicht mehr nur eine Empfehlung, sondern für einen wachsenden Teil des deutschen Mittelstands regulatorisch verankert. Mit dem NIS-2-Umsetzungsgesetz sind dokumentierte Schutzmaßnahmen, einschließlich Vorkehrungen zur Aufrechterhaltung des Betriebs nach § 30 BSIG, für rund 29.500 deutsche Unternehmen verpflichtend geworden. 

Was ein wirksames Schutzkonzept tatsächlich braucht 

Die zentrale Erkenntnis lässt sich einfach zusammenfassen: Ein Backup ist eine notwendige, aber keine hinreichende Maßnahme. Es sichert die Verfügbarkeit von Daten, es verhindert weder den initialen Einbruch noch den Diebstahl sensibler Informationen noch den daraus resultierenden Reputationsschaden. Ein belastbares Schutzkonzept deckt deshalb den gesamten Lebenszyklus eines Angriffs ab, von der Prävention über die frühzeitige Erkennung bis zur Wiederherstellung, und stützt sich auf mehrere ineinandergreifende Ebenen, unter anderem: 

• konsequentes Patch- und Schwachstellenmanagement 

• Multi-Faktor-Authentifizierung für alle Zugänge 

• Netzwerksegmentierung zur Eindämmung lateraler Bewegung 

• durchgängige Erkennung verdächtiger Aktivitäten (EDR, XDR, MDR) 

• isolierte, regelmäßig getestete Backups 

• ein dokumentierter und geübter Notfallplan 

Dass diese Kombination nötig ist, zeigt allein die Bedrohungslage in Deutschland: Der BSI-Lagebericht 2025 verzeichnete 950 registrierte Ransomware-Angriffe, 80 Prozent davon gegen kleine und mittlere Unternehmen. Der Cyber Risk Report 2026 von Trend Micro zählte für Deutschland 433 bestätigte Ransomware-Vorfälle im Jahr 2025 und sieht das Land damit unter den drei weltweit am stärksten betroffenen Staaten, hinter den USA und Kanada. 

Wer sich in diesem Umfeld weiterhin allein auf sein Backup verlässt, verteidigt sich gegen den Angriff von gestern. Der wirksamere Ansatz beginnt deutlich früher, bei der Erkennung eines Angreifers, lange bevor die erste Datei verschlüsselt wird. 

Frühzeitige Erkennung mit NovaMDR™ 

Genau an diesem Punkt setzt NovaMDR™ an. Statt sich auf die Wiederherstellung nach einem erfolgreichen Angriff zu verlassen, überwacht der Service kontinuierlich die IT-Umgebung und macht verdächtige Aktivitäten sichtbar, während sich ein Angreifer noch im Netzwerk bewegt, Rechte ausweitet oder erste Daten sammelt, also genau in dem Zeitfenster von Tagen oder Wochen, das über den Ausgang eines Angriffs entscheidet. 

Was NovaMDR™ für den Mittelstand leistet 

• 24/7-Überwachung durch ein Security Operations Center (SOC), ohne dass Sie dafür ein eigenes internes SOC-Team aufbauen müssen 

• Erkennung verdächtiger Muster über Endpoints, Netzwerk und weitere Systeme hinweg, statt isolierter Einzelalarme 

• Aktives Eingreifen im Ernstfall, um laterale Bewegung und Datenexfiltration frühzeitig zu stoppen 

• Ein Ansatz, der speziell auf die Ressourcen und Strukturen mittelständischer Unternehmen im DACH-Raum zugeschnitten ist 

Backup und MDR als Ergänzung, nicht als Alternative 

NovaMDR™ ersetzt kein Backup-Konzept, sondern schließt die Lücke, die reine Wiederherstellungsstrategien offenlassen. Während gut getestete, isolierte Backups die Verfügbarkeit von Daten sichern, sorgt die frühzeitige Erkennung dafür, dass es im besten Fall gar nicht erst zu Datendiebstahl und Verschlüsselung kommt. Für Unternehmen, die im Rahmen von NIS-2 und § 30 BSIG ohnehin zu dokumentierten Schutzmaßnahmen verpflichtet sind, lässt sich dieser Ansatz zudem direkt in die geforderte Nachweisführung einbinden. 

Fazit 

Ransomware ist heute also kein punktuelles Verschlüsselungsereignis mehr, sondern eine mehrstufige Operation, die oft Tage oder Wochen vor der eigentlichen Attacke beginnt und gezielt auch Backups ins Visier nimmt. Double Extortion sorgt zusätzlich dafür, dass selbst eine vollständige Wiederherstellung das Erpressungsrisiko nicht auflöst, solange gestohlene Daten im Umlauf sind.  

Ein Backup bleibt deshalb nach wie vor unverzichtbar, reicht als alleinige Strategie aber nicht mehr aus. Entscheidend ist, Angreifer bereits in der Vorbereitungsphase zu erkennen, bevor Daten abfließen und Systeme verschlüsselt werden. Genau diesen Schritt von reiner Wiederherstellung hin zu frühzeitiger Erkennung sollten mittelständische Unternehmen jetzt gehen.