Soll ich bei Ransomware das Lösegeld zahlen?

Polizei, Verbraucherzentrale und BSI raten grundsätzlich davon ab, weil eine Entschlüsselung nicht garantiert ist. Das BSI empfiehlt, Daten nach der Bereinigung des Netzwerks aus intakten Backups zurückzuspielen.

Muss ich einen Ransomware-Angriff der Datenschutzbehörde melden?

Möglicherweise ja: Betrifft der Vorfall personenbezogene Daten und besteht voraussichtlich ein Risiko für die Betroffenen, ist er unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden. Auch der Verlust der Verfügbarkeit von Daten kann eine meldepflichtige Datenschutzverletzung sein.

Ersetzt die Strafanzeige die Meldung an die Datenschutzaufsicht?

Nein. Anzeige bei der Polizei und Datenschutzmeldung sind getrennte Vorgänge mit eigenen Adressaten; das Landeskriminalamt rät, neben der Anzeige die Meldeverpflichtungen gegenüber der Datenschutzbehörde zu prüfen.

Rechner ausschalten oder eingeschaltet lassen?

Das hängt vom Zustand des Geräts ab. Das BSI rät, ein infiziertes Gerät nicht herunterzufahren oder auszuschalten, sondern das Netzwerkkabel zu ziehen. Das Landeskriminalamt Baden-Württemberg rät, noch nicht betroffene Rechner auszuschalten und bereits verschlüsselte eingeschaltet zu lassen.

Sicherheit

Ransomware im kleinen Betrieb: Vorbeugen und Notfallplan für den Ernstfall

Bei einem Ransomware-Befall zuerst betroffene Geräte vom Netzwerk trennen und die Backups isolieren, nicht zahlen, dokumentieren und früh externe Hilfe holen. Vorbereitet sein heißt: ein vom Netz getrenntes Backup, geübte Wiederherstellung und ein ausgedruckter Notfallplan.

Stand: 11. November 2026 · ca. 7 Min. Lesezeit · 9 Quellen

Was ist Ransomware und was will sie?

Ransomware verschlüsselt Dateien auf Computern und angeschlossenen Datenträgern, sodass Eigentümer nicht mehr zugreifen können; für die Entschlüsselung wird meist Lösegeld in Kryptowährung verlangt (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ransomware/). Häufig kopieren die Täter zusätzlich Daten und drohen mit der Veröffentlichung („Double Extortion“). Ein funktionierendes Backup löst deshalb nur das Verfügbarkeits-, nicht das Veröffentlichungsproblem (Quellen: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/was-ist-rans…, Stand der Seite: 21. September 2026; bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…).

Das Landeskriminalamt Baden-Württemberg betont, dass Täter Kleinbetriebe wie Großunternehmen angreifen, oft am Wochenende oder vor Feiertagen, um das Entdeckungsrisiko zu senken (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/, Stand der Seite: 21.03.2023).

Wie gelangt Ransomware in ein kleines Büro?

Das Landeskriminalamt Baden-Württemberg nennt vier häufige Angriffswege:

Veraltete Rechner, Server und Software, die keine regelmäßigen Sicherheitsupdates erhalten.
Ausgespähte Zugangsdaten und Passwörter für Fernzugriffsdienste, oft durch Phishing.
Fehlerhaft konfigurierte Rechner, Server, Router, Firewalls oder Fernzugriffsdienste.
Schadsoftware per E-Mail-Anhang oder Download-Link, die beim Aktivieren der Datei startet.

(Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/)

Die Polizei beschreibt ebenso Anhänge in Spam-Mails als häufigen Verbreitungsweg (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ransomware/).

Was beugt Ransomware wirksam vor?

Die folgenden Maßnahmen sind für ein kleines Büro ohne Administrator machbar.

Updates und Virenschutz. Updates regelmäßig einspielen und den Virenschutz aktuell halten; Virenschutz ersetzt die übrigen Maßnahmen nicht (Quellen: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ransomware/, bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybe…).

Keine Administratorrechte im Alltag. Nach der BSI-Broschüre für kleine und mittlere Unternehmen dürfen Nutzerinnen und Nutzer nicht über Administratorrechte verfügen; Administratorkonten bleiben Administratoren vorbehalten, dadurch sinkt das Risiko der Einschleusung von Schadcode (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybe…).

Fernzugriffe minimieren. Fernzugriffsdienste deaktivieren, wenn sie nicht gebraucht werden, oder nur im Bedarfsfall aktivieren; die Absicherung von Systemen mit direkter Internetanbindung gehört in Fachhände (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/).

Netzwerk trennen. Eine Segmentierung verhindert, dass andere Rechner sofort mitinfiziert werden (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybe…). Wie sich Gäste- und Smart-Home-Geräte im Heimnetz trennen lassen, steht unter Gäste-WLAN und Router absichern.

Backup außerhalb der Reichweite des Angreifers. Der BSI-Maßnahmenkatalog gegen Ransomware empfiehlt, zumindest je eine Kopie offline zu sichern, nach dem Backup von den anderen Systemen zu trennen und vor Remote-Angriffen zu schützen; auch ein vom eigenen Netz getrennter Cloud-Speicher zählt. Die Trennung sollte regelmäßig überprüft werden. Die Wiederherstellung von Daten und Systemen sollte regelmäßig geübt werden (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…). Die Grundlagen dazu: Datensicherung.

Mitarbeitende schulen. Phishing-Mails sind eines der Einfallstore, mehr dazu in Phishing erkennen. Einzigartige Passwörter und ein zweiter Faktor für Fernzugänge: Passwortmanager und Zwei-Faktor-Authentisierung.

Was gehört in einen Notfallplan?

Ein Notfallplan nennt Zuständigkeiten, Kontakte und Arbeitsschritte und liegt ausgedruckt vor. Das Landeskriminalamt rät, ihn mit dem Team zu üben und ihn allen zuständigen Beschäftigten auch in ausgedruckter Form bereitzustellen (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/). Das BSI beschreibt in seinem Arbeitspapier „Erste Hilfe bei einem IT-Sicherheitsvorfall“ einen Krisenstab unter Leitung einer Person der Leitungsebene, jedoch nicht des Firmenchefs, damit dieser nicht überlastet ist; dazu IT-Leitung und, bei Datenschutzfragen, die oder der Datenschutzbeauftragte (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…). In einem Betrieb mit wenigen Personen reicht eine Liste mit Namen, Telefonnummern (nicht nur im Mailprogramm!), Dienstleister, Bank, Versicherung und Datenschutzansprechperson.

Vorab bereithalten:

Liste der Geräte, Programme und Registrierungscodes; das BSI empfiehlt die Codes im Notfall schnell zur Hand zu haben, am besten ausgedruckt im Ordner (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybe…).
Netzplan der IT-Infrastruktur, aktuell gehalten (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/).
Kontaktdaten der Polizei-Ansprechstelle und der Datenschutzaufsicht.
Die Information, ob eine Cyber-Versicherung besteht; das BSI rät, diese frühzeitig zu informieren, weil sie häufig Vorgaben macht (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…).

Was tun, wenn Ransomware bereits zugeschlagen hat?

Die Reihenfolge der Sofortmaßnahmen ergibt sich aus BSI und Landeskriminalamt:

Verantwortliche informieren, Entscheidungen koordinieren. Geschäftsführung und IT-Verantwortliche einbinden, Kommunikation festlegen und bei Bedarf früh externe Unterstützung holen (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…).
Vom Netzwerk trennen. Potenziell infizierte Systeme vom Netzwerk isolieren, also das Netzwerkkabel ziehen; das Gerät nicht herunterfahren oder ausschalten. Dadurch soll die Ausbreitung verhindert und, falls nötig, eine forensische Sicherung des Speichers möglich bleiben (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…). Das Landeskriminalamt rät dagegen, noch nicht betroffene Rechner umgehend auszuschalten und bereits verschlüsselte eingeschaltet zu lassen (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/).
Backups isolieren und dokumentieren. Backups so trennen, dass sie nicht ebenfalls verschlüsselt werden; alle Maßnahmen dokumentieren; verdächtige Dateien und E-Mails archivieren und erreichbare Protokolldaten sichern (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/).
Nicht mit Administratorkonto auf infizierten Geräten anmelden. Das BSI nennt als oberste Regel, dass auf einem potenziell infizierten System, das noch im produktiven Netz oder am Internet hängt, keine Anmeldung mit privilegierten Konten erfolgen darf (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…). Passwörter sämtlicher Konten sollten von einem geprüften, nicht betroffenen Rechner geändert werden (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/).
Anzeige erstatten, Meldepflichten prüfen. Strafanzeige bei der Zentralen Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts beziehungsweise der Polizei und Meldeverpflichtungen gegenüber der Datenschutzbehörde prüfen (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/).
Geordnet wiederherstellen. Einfallsweg und Ausmaß klären. Das BSI empfiehlt grundsätzlich, infizierte lokale Systeme als vollständig kompromittiert zu betrachten und neu aufzusetzen (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…). Vor der Rücksicherung prüfen, ob die Backups bereits mit Schadsoftware infiziert sein könnten, und mit Kopien der Backups arbeiten (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…).

Die BSI-Arbeitspapiere richten sich teilweise an Fachpersonal. Für ein kleines Büro bedeutet das: Wer die technischen Schritte nicht selbst sicher beherrscht, braucht früh einen IT-Dienstleister, am besten bereits vorab benannt.

Soll ich Lösegeld zahlen?

Die Polizei rät, auf keinen Fall zu zahlen, sondern Anzeige zu erstatten (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ransomware/). Die Verbraucherzentrale begründet das damit, dass nicht sicher ist, ob die Täter ihr Versprechen halten, dass Zahlung kriminelles Verhalten belohnt und weitere Täter anlocken kann (Quelle: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/was-ist-rans…).

Das BSI differenziert: Grundsätzlich soll nicht gezahlt und aus intakten Backups wiederhergestellt werden. Wer bei verschlüsselten Backups trotzdem eine Zahlung erwägt, soll bedenken, dass es keine Garantie auf einen passenden Schlüssel gibt, dass Zahlungen weitere Angriffe auf Dritte finanzieren können und dass die Entschlüsselung die Neuinstallation der kompromittierten Systeme nicht ersetzt; Zahlungen sind mit den Ermittlungsbehörden oder Rechtsanwälten zu klären (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…).

An wen wende ich mich bei der Polizei?

Die Zentralen Ansprechstellen Cybercrime (ZAC) sind polizeiliche Anlaufstellen der Länder für Unternehmen und Institutionen. Beispielsweise steht die ZAC des Landeskriminalamts Rheinland-Pfalz rheinland-pfälzischen Unternehmen und Institutionen bei Cybercrime-Vorfällen zur Verfügung, bewertet gemeldete Sachverhalte kriminalistisch und technisch und trifft bei Vorliegen einer Straftat die notwendigen Maßnahmen bis zur Abgabe an die zuständige Fachdienststelle (Quelle: polizei.rlp.de/die-polizei/dienststellen/landeskriminalamt-rheinland-p…). Das Landeskriminalamt Baden-Württemberg nennt ebenfalls eine ZAC für die Strafanzeige (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-ransomware/). Zuständig ist die ZAC des eigenen Bundeslandes; deren aktuelle Kontaktdaten sollten Sie vorab heraussuchen und in den Notfallplan schreiben.

Welche Meldepflicht gilt nach Art. 33 DSGVO?

Der Verantwortliche meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden, nachdem sie ihm bekannt wurde, der zuständigen Aufsichtsbehörde, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung später, ist eine Begründung für die Verzögerung beizufügen (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504, Art. 33 Abs. 1).

Mehrere Punkte sind für den Ransomware-Fall wichtig:

Auch Nichtverfügbarkeit zählt. Eine „Verfügbarkeitsverletzung“ liegt vor, wenn es zu einem versehentlichen oder unbefugten Verlust des Zugriffs auf personenbezogene Daten oder zu deren Zerstörung kommt – genau das bewirkt eine Verschlüsselung durch Ransomware (Quelle: lda.brandenburg.de/lda/de/datenschutz/auslegungshilfen-der-landesbeauf…).
Die Frist läuft auch nachts und am Wochenende. Nacht-, Wochenend- und Feiertagszeiten verlängern sie nicht. Bekannt ist der Vorfall, sobald hinreichende Gewissheit besteht, etwa wenn eine Erpressernachricht gemeldet wird; wer mehr Zeit zur Aufklärung braucht, kann zur Fristwahrung eine vorläufige Meldung machen und Informationen schrittweise nachliefern (Quelle: lda.brandenburg.de/lda/de/datenschutz/auslegungshilfen-der-landesbeauf…; eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504, Art. 33 Abs. 4).
Mindestinhalt der Meldung: Art der Verletzung mit Kategorien und ungefährer Zahl der Betroffenen und Datensätze, Kontaktdaten des Datenschutzbeauftragten oder einer Anlaufstelle, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504, Art. 33 Abs. 3).
Dokumentationspflicht. Der Verantwortliche dokumentiert Verletzungen mit Fakten, Auswirkungen und Abhilfemaßnahmen (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504, Art. 33 Abs. 5).
Auftragsverarbeiter melden Verletzungen dem Verantwortlichen unverzüglich (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504, Art. 33 Abs. 2).
Betroffene informieren: Bei voraussichtlich hohem Risiko ist zusätzlich die betroffene Person unverzüglich zu benachrichtigen (Quelle: eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504, Art. 34 Abs. 1).

Nicht jeder Ransomware-Vorfall ist automatisch meldepflichtig. Ob personenbezogene Daten betroffen sind und welches Risiko besteht, ist im Einzelfall zu beurteilen und zu dokumentieren. Strafanzeige und Datenschutzmeldung sind getrennte Vorgänge. Zuständig ist die Datenschutzaufsichtsbehörde nach Art. 55 DSGVO; welche das ist, richtet sich nach dem Sitz des Betriebs. Stand der Rechtstexte: November 2026. Weiteres zu den Pflichten kleiner Betriebe: Technische und organisatorische Maßnahmen.

Wo finde ich Hilfe und weiterführende Unterlagen?

Das BSI stellt drei Unterlagen bereit: die Broschüre „Cybersicherheit für KMU“ als Einstieg, den Maßnahmenkatalog Ransomware zur Vorsorge und das Arbeitspapier „Erste Hilfe bei einem IT-Sicherheitsvorfall“ für die Vorfallsbewältigung (Quellen: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybe…, bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…, bsi.bund.de/SharedDocs/Downloads/DE/BSI/Cyber-Sicherheit/Themen/Ransom…). Die KMU-Broschüre verweist zudem auf eine kostenlose IT-Notfallkarte des BSI (Quelle: bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Cybe…).

Häufige Fragen

Soll ich bei Ransomware das Lösegeld zahlen?: Polizei, Verbraucherzentrale und BSI raten grundsätzlich davon ab, weil eine Entschlüsselung nicht garantiert ist. Das BSI empfiehlt, Daten nach der Bereinigung des Netzwerks aus intakten Backups zurückzuspielen.
Muss ich einen Ransomware-Angriff der Datenschutzbehörde melden?: Möglicherweise ja: Betrifft der Vorfall personenbezogene Daten und besteht voraussichtlich ein Risiko für die Betroffenen, ist er unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde zu melden. Auch der Verlust der Verfügbarkeit von Daten kann eine meldepflichtige Datenschutzverletzung sein.
Ersetzt die Strafanzeige die Meldung an die Datenschutzaufsicht?: Nein. Anzeige bei der Polizei und Datenschutzmeldung sind getrennte Vorgänge mit eigenen Adressaten; das Landeskriminalamt rät, neben der Anzeige die Meldeverpflichtungen gegenüber der Datenschutzbehörde zu prüfen.
Rechner ausschalten oder eingeschaltet lassen?: Das hängt vom Zustand des Geräts ab. Das BSI rät, ein infiziertes Gerät nicht herunterzufahren oder auszuschalten, sondern das Netzwerkkabel zu ziehen. Das Landeskriminalamt Baden-Württemberg rät, noch nicht betroffene Rechner auszuschalten und bereits verschlüsselte eingeschaltet zu lassen.