Ransomware gilt als eines der größten Geschäftsrisiken – nicht nur für Konzerne, sondern zunehmend auch für den deutschen Mittelstand. Laut dem Bundesinnenministerium wurden 2025 insgesamt 1041 Ransomware-Angriffe angezeigt, ein Anstieg um zehn Prozent im Vergleich zum Vorjahr. Bei einer solchen Attacke verschlüsseln Kriminelle komplette IT-Systeme und erpressen Lösegeld, meist in Bitcoin, oft verbunden mit der Drohung, gestohlene Daten zu veröffentlichen.
Wie Unternehmen reagieren sollten
Die Krisenverhandler Michael Sjøberg, früher beim dänischen Militär auf Geiselnahmen spezialisiert, und Peter Skovbo, Leiter des Beratungsunternehmens Delta Crisis in der Schweiz, erklären im Interview, wie Firmen mit Erpressern verhandeln sollten und welche Fehler in den ersten Stunden besonders teuer sind. Sjøberg betont: „Die Firmenführung muss unter extremem Stress funktionieren. Cyberkriminalität betrifft immer das ganze Unternehmen.“
Häufig sei bereits viel schiefgelaufen, wenn Unternehmen die Experten kontaktieren. Oft fehle eine klare Kommunikationsstruktur, und Entscheidungen würden unter Zeitdruck getroffen, ohne alle Konsequenzen zu bedenken.
Prävention und Krisenplanung
Die Experten raten zu einer umfassenden Vorbereitung: Regelmäßige Backups, Schulungen der Mitarbeiter und ein klarer Notfallplan seien essenziell. Im Ernstfall müsse schnell gehandelt werden, aber ohne Panik. „Verhandlungen mit Erpressern erfordern Geduld und eine professionelle Strategie“, so Skovbo. Unternehmen sollten zudem frühzeitig rechtliche und polizeiliche Hilfe einbeziehen.
Der Mittelstand sei besonders verwundbar, da oft weniger Ressourcen für IT-Sicherheit zur Verfügung stünden. Dennoch könnten auch kleinere Firmen mit einfachen Maßnahmen das Risiko senken. „Die größte Schwachstelle ist der Mensch“, sagt Sjøberg. Aufmerksamkeit und Sensibilisierung seien der beste Schutz.
Lösegeldzahlungen und ihre Folgen
Ob Unternehmen Lösegeld zahlen sollten, ist umstritten. Die Experten warnen: Zahlungen finanzieren die Kriminalität und garantieren nicht die Wiederherstellung der Daten. Dennoch könne in akuten Notlagen eine Zahlung erwogen werden, wenn Leben oder Existenz bedroht seien. Wichtig sei, dies mit Behörden abzustimmen.
Die Zahl der Angriffe werde weiter steigen, prognostizieren Sjøberg und Skovbo. Unternehmen müssten sich darauf einstellen, dass ein Angriff nicht vermeidbar sei – die Frage sei, wie man reagiere. „Die ersten 24 Stunden sind entscheidend“, so Skovbo. Ein guter Krisenplan könne den Unterschied zwischen einem kontrollierten Schaden und einer Katastrophe ausmachen.
