Ransomware Schutz Schweiz: So überlebt Ihr KMU einen Angriff

Ein einziger kompromittierter Zugang kann genügen, um Systeme zu verschlüsseln, Backups zu löschen und den Betrieb eines Schweizer KMU zu unterbrechen. Ransomware Schutz Schweiz bedeutet deshalb mehr als ein Antivirenprogramm: Sie müssen Verschlüsselungstrojaner vorbeugen, Angriffe früh erkennen und die Wiederherstellung regelmässig testen.

Was bedeutet Ransomware Schutz Schweiz für Unternehmen?

Ransomware Schutz Schweiz umfasst technische, organisatorische und rechtliche Massnahmen, mit denen Sie Erpressungstrojaner verhindern, erkennen und bewältigen. Ransomware ist Schadsoftware, die Daten oder Systeme verschlüsselt und häufig zusätzlich mit der Veröffentlichung gestohlener Daten droht.

Angreifer nutzen oft Phishing, gestohlene Passwörter, ungepatchte Schwachstellen oder kompromittierte Fernzugänge. Nach dem ersten Zugriff bewegen sie sich im Netzwerk, erweitern ihre Berechtigungen und suchen nach zentralen Speichern, Backup-Systemen und kritischen Anwendungen.

Für Schweizer Unternehmen sind dabei mehrere Anforderungen relevant:

• Das revDSG, also das revidierte Schweizer Datenschutzgesetz, verlangt angemessene technische und organisatorische Massnahmen zum Schutz personenbezogener Daten.
• Der EDÖB, der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte, ist bei meldepflichtigen Datenschutzverletzungen zu berücksichtigen.
• Das NCSC, das Nationale Zentrum für Cybersicherheit, bietet Meldewege und Handlungsempfehlungen für Cybervorfälle.
• Für Finanzinstitute gelten je nach Situation Vorgaben und Erwartungen der FINMA, unter anderem zur operationellen Resilienz und zum Umgang mit Cyberrisiken.
• Der IKT-Minimalstandard des Bundes liefert eine praxisnahe Orientierung für die Verbesserung der Informations- und Kommunikationstechnologie-Sicherheit.

Nicht jede Ransomware-Infektion ist automatisch eine Datenschutzverletzung. Wenn Angreifer jedoch personenbezogene Daten kopiert haben oder ein solcher Abfluss nicht ausgeschlossen werden kann, müssen Sie die Situation datenschutzrechtlich prüfen.

Wie können Sie als Ransomware KMU Verschlüsselungstrojaner vorbeugen?

Als Ransomware KMU können Sie Verschlüsselungstrojaner vor allem durch starke Identitäten, aktuelle Systeme, segmentierte Netzwerke und belastbare Backups vorbeugen. Keine einzelne Massnahme verhindert jeden Angriff. Entscheidend ist die Kombination mehrerer Schutzschichten.

Identitäten und Zugänge absichern

Aktivieren Sie eine resistente Mehrfaktor-Authentisierung für E-Mail, VPN, Cloud-Dienste, Administrationskonten und Fernwartungszugänge. Verwenden Sie für privilegierte Konten separate Identitäten und beschränken Sie administrative Rechte auf das notwendige Mass.

Deaktivieren Sie ungenutzte Konten. Überprüfen Sie regelmässig externe Zugänge und Servicekonten. Ein Passwortmanager und lange, einzigartige Passwörter reduzieren das Risiko wiederverwendeter Zugangsdaten.

Systeme und Anwendungen aktuell halten

Priorisieren Sie sicherheitskritische Updates für Internet-exponierte Systeme, VPN-Gateways, Firewalls, E-Mail-Plattformen, Betriebssysteme und häufig angegriffene Anwendungen. Dokumentieren Sie, wer Updates freigibt und wie Ausnahmen behandelt werden.

Ein Schwachstellenmanagement sollte nicht nur technische Lücken auflisten. Es muss auch bewerten, welche Systeme für den Geschäftsbetrieb und für die Sicherheit Ihrer Daten besonders wichtig sind.

Netzwerke segmentieren

Trennen Sie Benutzergeräte, Server, Backup-Systeme, Administrationsnetze und besonders schützenswerte Anwendungen. Begrenzen Sie Verbindungen zwischen diesen Bereichen. So erschweren Sie die laterale Bewegung eines Angreifers.

Auch ein kleines Unternehmen kann mit einfachen Zonen arbeiten, etwa einem getrennten Administrationszugang und einem isolierten Backup-Netz. Segmentierung ersetzt keine Zugriffskontrolle, begrenzt aber den möglichen Schaden.

Mitarbeitende einbeziehen

Schulen Sie Mitarbeitende anhand realistischer Cybersecurity-Szenarien. Behandeln Sie verdächtige Rechnungen, unerwartete MFA-Anfragen, geteilte Dokumente und dringende Zahlungsaufforderungen. Definieren Sie einen einfachen Meldeweg, der keine Schuldzuweisung voraussetzt.

Welche Backups schützen bei Ransomware wirklich?

Wirksame Ransomware-Backups sind unabhängig vom Produktionsnetz, gegen Manipulation geschützt und regelmässig wiederhergestellt getestet. Eine Backup-Kopie auf einem dauerhaft verbundenen Netzlaufwerk genügt nicht, weil Angreifer auch diese verschlüsseln oder löschen können.

Orientieren Sie sich an den drei Grundfragen:

1. Wie viel Datenverlust ist vertretbar? Definieren Sie das Recovery Point Objective, kurz RPO. Es beschreibt, wie aktuell die wiederhergestellten Daten sein müssen.
2. Wie lange darf ein Ausfall dauern? Definieren Sie das Recovery Time Objective, kurz RTO. Es beschreibt die maximal akzeptierte Wiederherstellungsdauer.
3. Kann das Backup tatsächlich verwendet werden? Testen Sie Wiederherstellungen mit priorisierten Systemen und dokumentieren Sie die Ergebnisse.

Sinnvoll sind mehrere Backup-Kopien auf unterschiedlichen Medien und an getrennten Standorten. Eine Kopie sollte offline oder technisch unveränderbar sein. Prüfen Sie ausserdem, ob privilegierte Backup-Konten durch MFA geschützt sind und ob Löschrechte eingeschränkt werden können.

Der Datenstandort Schweiz kann für Datenschutz, Vertragsanforderungen und regulatorische Erwartungen wichtig sein. Er ist jedoch kein automatischer Schutz vor Ransomware. Auch ein Schweizer Rechenzentrum benötigt Zugriffskontrollen, Verschlüsselung, Monitoring und getestete Wiederanlaufverfahren.

Wie erkennen Sie einen Ransomware-Angriff frühzeitig?

Sie erkennen einen Ransomware-Angriff früher durch zentral ausgewertete Protokolle, Endpoint Detection and Response und klare Alarmierungsprozesse. Achten Sie unter anderem auf massenhafte Dateiänderungen, ungewöhnliche Administrationsaktivitäten, verdächtige PowerShell-Nutzung, neue privilegierte Konten und Verbindungen zu bekannten Schadservern.

EDR überwacht Endgeräte und kann verdächtige Prozesse stoppen oder isolieren. MDR, Managed Detection and Response, ist eine ausgelagerte Angriffserkennung und Reaktion rund um die Uhr. Diese Option kann für KMU sinnvoll sein, wenn intern keine ausreichenden Ressourcen für die laufende Überwachung vorhanden sind.

Nutzen Sie bei der Analyse etablierte Modelle wie MITRE ATT&CK, um Angreiferverhalten einzuordnen. Der NIST Cybersecurity Framework hilft, Funktionen wie Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen strukturiert abzudecken. Für die Governance kann ISO 27001 als Rahmen für ein Informationssicherheits-Managementsystem dienen.

Was ist im Ernstfall eines Ransomware-Angriffs zu tun?

Im Ernstfall müssen Sie den Angriff eindämmen, Beweise sichern, die richtigen Stellen informieren und den Betrieb kontrolliert wiederherstellen. Gehen Sie nicht unkoordiniert vor:

1. Vorfall bestätigen und eskalieren: Aktivieren Sie das interne Notfallteam und dokumentieren Sie Zeitpunkt, Beobachtungen und betroffene Systeme.
2. Ausbreitung stoppen: Trennen Sie betroffene Geräte vom Netzwerk. Schalten Sie sie nicht vorschnell aus, wenn dadurch flüchtige Beweise verloren gehen könnten.
3. Zugänge sperren: Deaktivieren Sie kompromittierte Konten, rotieren Sie Zugangsdaten und prüfen Sie privilegierte Zugriffe.
4. Beweise sichern: Bewahren Sie Logs, E-Mails, Erpressernachrichten und forensische Abbilder nach Möglichkeit unverändert auf.
5. Backups schützen: Trennen Sie Backup-Systeme vom Netzwerk und verhindern Sie weitere Lösch- oder Verschlüsselungsversuche.
6. Meldewege klären: Beziehen Sie das NCSC, die kantonalen Strafverfolgungsbehörden, den EDÖB und bei betroffenen regulierten Tätigkeiten die FINMA ein, sofern dies sachlich erforderlich ist.
7. Wiederherstellung priorisieren: Beginnen Sie mit kritischen Geschäftsprozessen und bekannten, bereinigten Systemen. Überwachen Sie den Wiederanlauf eng.
8. Nachbearbeitung durchführen: Analysieren Sie den Angriffsweg, schliessen Sie die Ursache und aktualisieren Sie Notfallplan und Kontrollen.

Wie sollten Sie Ransomware-Schutz regelmässig testen?

Sie sollten Ransomware-Schutz mindestens durch Wiederherstellungstests, technische Sicherheitsprüfungen und Notfallübungen testen. Ein Plan, den niemand kennt, ist im Krisenfall nur eingeschränkt nutzbar.

Führen Sie beispielsweise eine Tabletop-Übung durch. Dabei simulieren Sie einen Angriff, ohne produktive Systeme zu verändern. Prüfen Sie Rollen, Entscheidungswege, Kommunikationskanäle und die Erreichbarkeit von Dienstleistern.

Ein autorisierter Penetrationstest kann Schwachstellen in externen Systemen und Zugängen aufdecken. Für die Planung eignen sich etablierte Vorgehensweisen wie PTES oder OSSTMM. Der Test muss klar abgegrenzt sein und darf die Verfügbarkeit kritischer Systeme nicht unnötig gefährden.

Wie starten Sie am besten mit Ransomware Schutz Schweiz?

Sie starten mit einer risikobasierten Bestandsaufnahme und schliessen danach die grössten Lücken bei Zugriffen, Backups und Reaktion.

1. Erstellen Sie eine Liste kritischer Systeme, Daten und Geschäftsprozesse.
2. Prüfen Sie MFA, privilegierte Konten, Fernzugänge und Patch-Stände.
3. Bewerten Sie Ihre Backups anhand von Trennung, Unveränderbarkeit und Wiederherstellungstests.
4. Erstellen Sie einen Notfallplan mit Rollen, Kontakten, Meldewegen und Prioritäten.
5. Testen Sie den Plan und dokumentieren Sie Verbesserungen.
6. Entscheiden Sie, welche Aufgaben intern abgedeckt werden und wo spezialisierte Unterstützung sinnvoll ist.

Bei der Auswahl externer Unterstützung sollten Sie Leistungsumfang, Reaktionszeiten, Datenstandort Schweiz, Protokollzugriff, Notfallbereitschaft und Preise in CHF vergleichen. Im Verzeichnis von Cyberprovider können Sie geprüfte Schweizer Cybersecurity-Anbieter vergleichen und passende Leistungen für Ihr Unternehmen finden.

Häufige Fragen

Ist Ransomware-Schutz für kleine Unternehmen notwendig?

Ja, denn auch kleine Unternehmen verfügen über wertvolle Daten und oft begrenzte Ressourcen für die Wiederherstellung. Ein pragmatisches Konzept mit MFA, sicheren Backups, Updates und einem Notfallplan bietet eine solide Grundlage.

Soll ein Unternehmen ein Lösegeld bezahlen?

Eine Zahlung sollte nicht als Standardlösung betrachtet werden. Sie garantiert keine funktionierende Entschlüsselung und kann rechtliche sowie finanzielle Risiken auslösen. Lassen Sie den konkreten Fall fachlich und rechtlich beurteilen.

Müssen Unternehmen einen Ransomware-Vorfall melden?

Das hängt vom Vorfall und den betroffenen Daten oder Branchen ab. Prüfen Sie insbesondere Datenschutzpflichten nach revDSG, Meldewege des NCSC und allfällige Anforderungen der FINMA oder anderer zuständiger Stellen.

Wie oft sollten Backups getestet werden?

Die Testfrequenz muss zum Risiko und zu Ihren RPO- und RTO-Zielen passen. Wichtig ist, nicht nur einzelne Dateien, sondern auch kritische Systeme und deren Abhängigkeiten wiederherzustellen.

Reicht ein Antivirenprogramm gegen Verschlüsselungstrojaner?

Nein. Ein Antivirenprogramm ist nur eine Schutzschicht. Wirksamer Ransomware-Schutz kombiniert sichere Identitäten, Updates, Segmentierung, EDR oder MDR, robuste Backups, Monitoring und geübte Reaktion.