IT-Sicherheit und Ransomware-Schutz für KMU: 7 Maßnahmen die wirken

Ransomware-Schutz für KMU beginnt nicht mit teurer Software. Er beginnt mit sieben konkreten Maßnahmen, die Sie diese Woche starten können. Ein erfolgreicher Angriff legt ein Unternehmen mit 20 Mitarbeitern im Schnitt für 22 Tage lahm (laut Coveware, 2024). Die Kosten: oft sechsstellig, manchmal existenzbedrohend. In diesem Ratgeber zeige ich Ihnen die sieben Schritte, mit denen wir bei arian IT Service seit 2005 Unternehmen in Düsseldorf, Bonn und ganz NRW absichern. Keine Theorie, sondern das, was wir täglich umsetzen.

Ransomware-Gruppen greifen gezielt dort an, wo die Abwehr dünn ist. Ein Konzern mit 200 IT-Fachleuten erkennt verdächtige Aktivitäten in Minuten. Ein Unternehmen mit 15 Mitarbeitern bemerkt den Angriff oft erst, wenn die Bildschirme schwarz werden und die Lösegeldforderung steht.

IT-Sicherheit im Mittelstand scheitert selten am Budget. Sie scheitert an fehlender Struktur. Kein dokumentierter Notfallplan Cyberangriff, keine getesteten Backups, Passwörter ohne zweiten Faktor. Ich sehe das bei fast jeder Erstanalyse, die wir durchführen.

Ransomware braucht nur eine einzige Lücke. Ein Klick auf einen Anhang, ein ungepatchtes System, ein wiederverwendetes Passwort.

Das Tückische: Die Angreifer verschlüsseln inzwischen nicht nur Ihre lokalen Dateien, sondern auch verbundene Cloud-Speicher und Backup-Laufwerke. Wer sich nur auf ein einzelnes Backup verlässt, steht nach einem Angriff trotzdem mit leeren Händen da. Die folgenden sieben Ransomware Maßnahmen setzen genau an den Schwachstellen an, die wir in der Praxis am häufigsten sehen.

Ein Backup, das ständig mit dem Netzwerk verbunden ist, wird bei einem Angriff mitverschlüsselt. Punkt. Deshalb brauchen Sie mindestens eine Sicherungskopie, die für Ransomware unerreichbar ist.

In der Praxis setzen wir auf die 3-2-1-Backup-Regel: drei Kopien Ihrer Daten, auf zwei verschiedenen Medien, davon eine außerhalb Ihres Netzwerks. Für Microsoft-365-Umgebungen übernimmt das unser Paket arian CloudProtect. Die Sicherung läuft alle zwei Stunden automatisch in deutsche Rechenzentren. Exchange, OneDrive, SharePoint und Teams werden getrennt vom Produktivnetz gespeichert.

Ein Backup, das nie getestet wurde, ist kein Backup. Es ist eine Hoffnung.

Mindestens einmal pro Quartal sollten Sie eine Wiederherstellung simulieren. Funktioniert der Restore? Wie lange dauert er? Bei arian IT Service dokumentieren wir jeden Testlauf. So wissen Sie im Ernstfall, ob Ihre Sicherung hält. Mehr dazu, wie Microsoft-365-Backup konkret funktioniert, finden Sie auf unserer CloudProtect-Seite.

• Offline- oder Immutable-Backups sind für Ransomware nicht erreichbar
• Automatisierte Cloud-Sicherung alle zwei Stunden reduziert den Datenverlust auf ein Minimum
• Regelmäßige Restore-Tests zeigen, ob das Backup im Notfall wirklich funktioniert

Ein einziges kompromittiertes Passwort reicht, um Ransomware in Ihr gesamtes Netzwerk einzuschleusen. Laut Microsoft verhindert MFA über 99 Prozent aller kontobasierten Angriffe (Microsoft Digital Defense Report, 2023). Trotzdem begegne ich regelmäßig Unternehmen, in denen MFA nur für den Admin aktiviert ist.

Die Regel ist einfach: MFA überall. Für jeden Benutzer, in jeder Anwendung.

• Microsoft 365 und alle Cloud-Dienste
• VPN-Zugänge und Remote-Desktop-Verbindungen
• Administrations-Konsolen und Backup-Portale

Nutzen Sie Authenticator-Apps statt SMS. SMS-Codes lassen sich per SIM-Swapping abfangen. Eine Authenticator-App auf dem Smartphone ist deutlich sicherer und genauso unkompliziert.

Bei der Einrichtung von Microsoft 365 aktivieren wir MFA als Teil der Sicherheits-Baseline. Das gehört zum Standard, nicht zur Kür. Der Aufwand pro Mitarbeiter liegt bei unter fünf Minuten. Der Schutzgewinn ist enorm. MFA ist eine der wirksamsten Einzelmaßnahmen für IT-Sicherheit im Mittelstand, und sie kostet in den meisten Fällen keinen Cent extra.

Ungepatchte Software ist das offene Fenster, durch das Ransomware einsteigt. Die Schwachstelle in MOVEit (2023) oder die Log4j-Lücke (2021) haben gezeigt: Zwischen Bekanntwerden einer Sicherheitslücke und dem ersten Angriff vergehen oft nur Stunden.

Ein kleines Team kann nicht jeden Tag manuell prüfen, ob Windows, Office, der PDF-Reader oder der Druckertreiber ein Update brauchen. Genau deshalb setzen wir auf automatisierte Patch-Rollouts. Unser arian Protect Endpoint Security Service prüft alle betreuten Geräte fortlaufend auf fehlende Patches und spielt sie automatisch ein.

Die gefährlichste Sicherheitslücke ist die, von der Sie nichts wissen.

• Betriebssystem-Updates automatisch und zeitgesteuert ausrollen
• Drittanbieter-Software (Browser, Java, Adobe) einbeziehen
• Patch-Status zentral überwachen statt auf jeden einzelnen Rechner zu hoffen

KI-gestützte Priorisierung hilft dabei, kritische Patches sofort zu erkennen und weniger dringende Updates für das nächste Wartungsfenster einzuplanen. So bleibt der Betrieb stabil, und die Lücken schließen sich trotzdem schnell.

Klassische Antivirenprogramme erkennen bekannte Schadsoftware anhand von Signaturen. Das Problem: Ransomware-Varianten verändern sich schneller, als Signaturdatenbanken aktualisiert werden können. Endpoint Security EDR (Endpoint Detection and Response) geht einen entscheidenden Schritt weiter.

EDR-Systeme analysieren das Verhalten auf dem Gerät in Echtzeit. Wenn ein Prozess plötzlich beginnt, massenhaft Dateien zu verschlüsseln, erkennt die KI-gestützte Anomalie-Erkennung dieses Muster und stoppt den Prozess. Nicht weil die Signatur bekannt war, sondern weil das Verhalten verdächtig ist.

• Verhaltensanalyse statt reiner Signaturerkennung
• Automatische Isolation infizierter Geräte vom Netzwerk
• 24/7 Monitoring durch Sicherheitsanalysten
• Forensische Daten für die Nachanalyse

arian Protect kombiniert genau diese Funktionen: Endpoint Detection and Response mit automatischem Patch-Management und Rund-um-die-Uhr-Überwachung. Windows Defender allein liefert einen Basisschutz, aber keine Verhaltensanalyse, kein zentrales Monitoring und keine automatische Isolation bei einem laufenden Angriff. Für ein KMU ohne eigene IT-Abteilung ist dieser Unterschied kritisch.

Über 90 Prozent aller Ransomware-Infektionen starten mit einer E-Mail (laut BSI Lagebericht 2024). Phishing-Schutz für KMU hat deshalb zwei Seiten: Technik und Menschen.

Auf der technischen Seite gehören E-Mail-Filter dazu, die verdächtige Anhänge und Links blockieren, bevor sie im Postfach landen. SPF, DKIM und DMARC verhindern, dass Angreifer E-Mails im Namen Ihrer Domain versenden. Das richten wir bei jeder Microsoft-365-Einrichtung als Standard ein.

Die menschliche Seite ist mindestens genauso wichtig. Ein gut gemachter Phishing-Link überwindet jeden Filter. Deshalb brauchen Ihre Mitarbeiter regelmäßige, kurze Trainings und gelegentliche simulierte Phishing-Tests.

Schulungen wirken nicht, wenn sie einmal im Jahr als Pflichtveranstaltung stattfinden. Sie wirken, wenn sie kurz, regelmäßig und praxisnah sind.

• E-Mail-Filter mit Anhang-Sandbox und Link-Prüfung
• SPF, DKIM und DMARC für Ihre Domain konfigurieren
• Simulierte Phishing-Mails alle vier bis sechs Wochen
• Klare Meldewege: Wohin sollen Mitarbeiter verdächtige E-Mails weiterleiten?

Das Ziel ist keine Fehlerquote von null. Das Ziel ist, dass Ihre Mitarbeiter bei Unsicherheit nachfragen, statt einfach zu klicken.

Stellen Sie sich vor, ein Mitarbeiter-PC wird infiziert. Wenn dieser PC direkten Zugriff auf den Dateiserver, das Buchhaltungssystem und die Backups hat, kann sich die Ransomware innerhalb von Minuten überall ausbreiten. Netzwerk-Segmentierung verhindert genau das.

Das Prinzip: Sie teilen Ihr Netzwerk in Bereiche auf, die nur kontrolliert miteinander kommunizieren. Ein Rechner aus der Verwaltung braucht keinen Zugriff auf Produktionsmaschinen. Das Backup-System braucht keinen eingehenden Zugang aus dem Büro-Netz.

• Trennung von Büro-, Server- und Backup-Netzwerken
• Least-Privilege-Prinzip: Jeder Benutzer bekommt nur die Rechte, die er für seine Arbeit braucht
• Admin-Konten nur für Verwaltungsaufgaben nutzen, nie für den Alltag
• Gastnetzwerk für Besucher und private Geräte

Least Privilege klingt aufwendig, lässt sich aber schrittweise umsetzen. Der erste Schritt: Prüfen Sie, wer in Ihrem Unternehmen lokale Admin-Rechte hat. Oft sind es alle. Das ist ein Risiko, das Sie ohne Budget reduzieren können. Bereits eine saubere Rechteverteilung verkleinert die Angriffsfläche erheblich und gehört zu den wirksamsten Ransomware Maßnahmen überhaupt.

Ein Notfallplan, der in der Schublade liegt und nie geübt wurde, hilft im Ernstfall nicht. Unter Stress treffen Menschen schlechte Entscheidungen. Wer vorher weiß, welcher Schritt als nächstes kommt, handelt schneller und richtiger.

Ihr Notfallplan Cyberangriff muss vier Fragen beantworten:

• Wer entscheidet was? Benennen Sie einen Krisenstab mit klaren Rollen.
• Was wird sofort abgeschaltet? Definieren Sie, welche Systeme bei einem Angriff vom Netz getrennt werden.
• Wie kommunizieren Sie? Wenn E-Mail und Teams ausfallen, brauchen Sie einen alternativen Kanal.
• Wen rufen Sie an? IT-Dienstleister, Versicherung, Datenschutzbeauftragter, ggf. Polizei.

Ein Notfallplan ist kein Dokument. Es ist ein Ablauf, den Ihr Team kennt und geübt hat.

Bei arian IT Service erstellen wir gemeinsam mit unseren Kunden einen Incident-Response-Plan und simulieren den Ablauf mindestens einmal jährlich. 24 Stunden Reaktionszeit an Werktagen sind bei uns Standard. Damit Sie im Ernstfall nicht erst suchen müssen, an wen Sie sich wenden.

Ein guter Notfallplan reduziert die Ausfallzeit nach einem Angriff messbar. Und er zeigt Ihrer Cyber-Versicherung, dass Sie vorgesorgt haben.

Hundertprozentigen Schutz vor Ransomware gibt es nicht. Aber diese sieben Maßnahmen decken die Schwachstellen ab, die wir bei arian IT Service in fast 20 Jahren am häufigsten gesehen haben. Sie brauchen kein sechsstelliges Budget und kein eigenes Security-Team. Sie brauchen Struktur, Konsequenz und einen Partner, der mitdenkt.

Wenn Sie wissen möchten, wo Ihr Unternehmen heute steht, starten wir mit einer kostenlosen Bestandsaufnahme. 30 Minuten, die Klarheit schaffen. Schreiben Sie uns an info@arian-it.de oder nutzen Sie unser Kontaktformular.