Ransomware-sicheres Microsoft-365-Backup: Was wirklich vor Verschlüsselung schützt

Ein ransomware-sicheres Microsoft-365-Backup unterscheidet sich von einem normalen Cloud-Backup durch drei Eigenschaften: Immutable Storage (kein Überschreiben oder Löschen während der Aufbewahrungsfrist), Air-Gap (keine direkte Netzwerkverbindung zur Produktion) und unabhängige Authentifizierung (der Backup-Account ist nicht der M365-Admin). Microsofts native Mechanismen wie der 93-Tage-Papierkorb oder der Versionsverlauf können von Ransomware mit-überschrieben werden. Das BSI nennt das Offline-Backup als wichtigste präventive Maßnahme. Die 3-2-1-1-0-Regel ist Stand 2026 der Mindeststandard für ein ransomware-sicheres Backup.

Das Wichtigste zum Ransomware Backup in Kürze

• OneDrive-Sync trägt die Verschlüsselung in die Cloud: Ransomware verschlüsselt lokale Daten und über den Sync-Client landen die verschlüsselten Versionen auch in der Cloud, mit Verteilung über Sharing-Links. Ohne ransomware-sicheres Backup wie das von dc2share aus Wagenfeld ist die Cloud-Kopie damit auch verloren.
• Microsofts native Retention reicht nicht: Gelöschte oder verschlüsselte Daten verschwinden nach 93 Tagen aus dem Papierkorb. Versionsverläufe können vom kompromittierten Konto überschrieben werden.
• Immutable Storage und Air-Gap als einzige wirksame Schutzmechanismen: Das BSI empfiehlt explizit, Backups nach dem Backupvorgang von anderen Systemen zu trennen. Beides zusammen ist 2026 Mindeststandard.
• 3-2-1-1-0-Regel als Mindeststandard 2026: Drei Kopien, zwei Medien, eine Off-Site, eine Immutable oder Air-Gap, null Fehler beim Restore-Test.
• Restore-Tests verbindlich planen: Ein Backup ohne dokumentierten Restore-Test ist im Ernstfall ein unbekanntes Risiko, nicht die geplante Sicherheit.
• Günstigere Versicherungskonditionen: Ein dokumentiertes, immutables Backup senkt Prämien und verbessert die Versicherbarkeit, ein konkreter wirtschaftlicher Vorteil neben dem reinen Datenschutz.

Wie Ransomware Microsoft 365 trifft: der typische Angriffsweg

Was ist Ransomware? Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Wiederherstellung Lösegeld erpresst. Ein Ransomware-Angriff auf Microsoft 365 läuft selten direkt gegen den Tenant, sondern über ein Endgerät, das über OneDrive mit dem Tenant verbunden ist.

Laut BSI-Lagebericht 2024 sind Ransomware-Angriffe in fünf Jahren um 152 Prozent gestiegen. 80 Prozent der 2025 registrierten Angriffe betrafen kleine und mittlere Unternehmen. Vier Phasen lassen sich klar unterscheiden.

Phase 1: Eintritt über Phishing oder kompromittierte Identität

In rund 41 Prozent der Fälle ist Phishing der Initial-Angriffsweg. Ein Mitarbeitender klickt auf einen Link, lädt einen Anhang oder gibt Zugangsdaten auf einer gefälschten Seite ein. Alternative Wege sind kompromittierte RDP- oder VPN-Zugänge mit rund 28 Prozent, ausgenutzte Schwachstellen mit 18 Prozent und Lieferketten-Angriffe mit 8 Prozent.

Phase 2: Verschlüsselung lokaler Dateien

Sobald die Ransomware aktiv ist, beginnt sie mit der Verschlüsselung von Dateien auf dem lokalen Endgerät. Moderne Ransomware-Familien laufen oft Stunden oder Tage im Hintergrund, lesen Daten aus (Double Extortion) und kompromittieren parallel Backup-Konten oder Schattenkopien.

Phase 3: Sync zu OneDrive, die verschlüsselten Daten landen in der Cloud

Sobald lokale Dateien verschlüsselt sind, synchronisiert der OneDrive-Client diese Änderungen in den Tenant. Die Cloud-Version wird damit ebenfalls verschlüsselt. Microsoft hält zwar Versionen vor, aber wenn die Verschlüsselung kontinuierlich neue Versionen erzeugt, sind ältere Versionen irgendwann aus dem Versionsverlauf verdrängt.

Phase 4: Sharing-Links propagieren die Verschlüsselung im Tenant

Wenn der kompromittierte Account Sharing-Links zu anderen Tenants oder externen Partnern hat, propagiert sich die Verschlüsselung über diese Links weiter. SharePoint-Sites, Teams-Kanäle und gemeinsame OneDrive-Ordner werden zur Ausbreitungsfläche. Seit 2023, verstärkt 2025/2026, gehört Double Extortion (Verschlüsselung plus Daten-Diebstahl mit Veröffentlichungsdrohung) zur Standard-Taktik.

Warum Microsofts native Mechanismen nicht reichen

Microsoft bietet im Tenant mehrere Mechanismen, die Datenverluste abfedern sollen. Diese sind nützlich, decken Ransomware aber nicht zuverlässig ab. Eine ausführliche Erläuterung der Microsoft-Retention-Mechanismen findest Du in unserem Artikel Macht Microsoft 365 eigene Backups?. Drei Lücken sind im Ransomware-Kontext besonders relevant.

93-Tage-Retention verlängert nur das Zeitfenster

OneDrive und SharePoint speichern gelöschte Dateien standardmäßig 93 Tage im Papierkorb. Klingt lang, ist aber für Ransomware-Szenarien oft zu kurz. Wenn ein Angriff erst nach 60 Tagen entdeckt wird und das Forensik-Team weitere 35 Tage braucht, sind die ursprünglichen sauberen Versionen schon verschwunden. Außerdem kann ein Angreifer mit Admin-Zugang den Papierkorb manuell leeren.

Versionsverlauf wird vom Ransomware-Account mit-überschrieben

Der OneDrive-Versionsverlauf hält standardmäßig 500 Versionen pro Datei. Bei kontinuierlicher Ransomware-Verschlüsselung werden diese 500 Versionen schnell mit verschlüsselten Versionen aufgefüllt. Wenn der kompromittierte Account Schreibrechte hat, sind die alten sauberen Versionen am Ende nicht mehr erreichbar.

Microsoft 365 Backup, das Microsoft-Produkt, speichert in derselben Cloud

Seit 2024 bietet Microsoft selbst ein Backup-Produkt namens „Microsoft 365 Backup“ an (0,15 USD pro GB und Monat). Das Produkt sichert Mailboxen, OneDrive und SharePoint mit schnellen Restore-Zeiten. Der entscheidende Punkt: Die Backups liegen in derselben Microsoft-Cloud-Infrastruktur. Bei einem Tenant-weiten Angriff, einem Konfigurations-Fehler oder einem Microsoft-seitigen Ausfall sind sowohl produktive Daten als auch Backup gleichzeitig betroffen. Das ist kein Off-Site-Backup im klassischen Sinn.

Was Microsoft 365 Backup 2024 leistet, und was nicht. Microsoft 365 Backup ist ein gutes Werkzeug für schnelle Restores nach versehentlichem Löschen oder einzelnen Mailbox-Problemen. Es ist kein Ersatz für ein souveränes, off-Microsoft gespeichertes Backup. Wer die 3-2-1-Regel erfüllen will, braucht eine Kopie außerhalb der Microsoft-Cloud. Das Microsoft-Produkt erfüllt die zweite und dritte Kopie der Regel nicht.

Die drei Schutz-Säulen eines ransomware-sicheren Backups

Ein Backup gilt nicht automatisch als ransomware-sicher, nur weil es existiert. Effektiver Ransomware-Schutz beim Backup setzt voraus, dass drei Säulen gleichzeitig erfüllt sind. Wenn eine fehlt, ist das Backup im Ernstfall potenziell selbst kompromittiert.

Säule 1: Immutable Storage (WORM-Speicher)

Immutable Storage bedeutet, dass eine geschriebene Datei für einen festgelegten Zeitraum nicht überschrieben, nicht geändert und nicht gelöscht werden kann, auch nicht vom Administrator. Der englische Fachbegriff lautet WORM (Write Once, Read Many). Selbst wenn ein Angreifer das Backup-Konto kompromittiert, kann er die bereits geschriebenen Backups nicht zerstören. Das ist der härteste technische Schutz.

Säule 2: Air-Gap (logische und physische Trennung)

Air-Gap meint, dass das Backup keine permanente Netzwerkverbindung zum Produktivsystem hat. Klassisch wurde das mit Magnetband (Tape) gelöst, das nach dem Backup-Vorgang ausgeworfen und in einen Safe gelegt wurde. Moderne Cloud-Air-Gaps arbeiten softwareseitig: Das Backup-Ziel ist nur zum Backup-Fenster erreichbar und davor und danach unsichtbar. Das BSI empfiehlt explizit, Backups nach dem Backupvorgang von anderen Systemen zu trennen.

Säule 3: Unabhängige Authentifizierung (kein gemeinsames Konto)

Wenn der Backup-Account derselbe ist wie der M365-Admin oder dieselben Zugangsdaten verwendet, kann ein erfolgreicher Angriff auf den Tenant gleichzeitig das Backup kompromittieren. Eine saubere Architektur trennt die Backup-Authentifizierung vollständig vom produktiven Identity-Provider, idealerweise mit Multi-Faktor-Authentifizierung und einem dedizierten Backup-Account, dessen Anmeldedaten nirgendwo sonst gespeichert sind.

Die drei Schutz-Säulen in der Praxis

Die folgende Übersicht zeigt, wie sich die drei Säulen technisch umsetzen lassen und welche Fragen Du Deinem Backup-Anbieter konkret stellen solltest.

Schutz-Säulen eines ransomware-sicheren M365-Backups mit konkreten Prüffragen.

Ransomware-sicheres M365-Backup für Dein Unternehmen. dc2share betreibt M365-Backup mit Immutable Storage, Software-Air-Gap und unabhängiger Authentifizierung in einem deutschen Container-Rechenzentrum. Drei Säulen, ein Anbieter, transparente Kennzahlen. Jetzt kostenlos testen.

Immutable Storage im Detail: WORM, Compliance Mode und Ransomware-Schutz

Immutable Storage ist das technische Herzstück des Ransomware-Schutzes. Drei Aspekte sind in der Praxis relevant.

Was Immutable Storage technisch bedeutet

Immutable heißt unveränderbar. Auf Storage-Ebene wird beim Schreiben einer Datei ein Lock gesetzt, der für einen festgelegten Zeitraum (zum Beispiel 30 oder 90 Tage) wirkt. Innerhalb dieses Zeitraums kann niemand, auch nicht der Storage-Administrator, die Datei überschreiben, ändern oder löschen. Der Standard ISO/IEC 27040 und Object-Lock-Mechanismen in modernen Object-Storage-Systemen setzen dieses Prinzip auf der Hardware-Ebene um.

WORM-Modell und Aufbewahrungsfristen

WORM (Write Once, Read Many) ist das ältere Konzept hinter Immutable Storage. Es stammt aus der Compliance-Welt (Finanzaufsicht, Archivierung) und hat sich für Ransomware-Schutz als idealer Mechanismus erwiesen. Wichtig ist die richtige Aufbewahrungsfrist. Zu kurz, und das Backup ist beim Entdecken des Angriffs schon entwertet. Zu lang, und die Speicherkosten explodieren. Empfehlung: mindestens 30 Tage, für besonders kritische Daten 90 Tage.

Worauf bei Konfiguration zu achten ist

Immutable ist nicht gleich immutable. Zwei Konfigurations-Fallstricke sind häufig. Erstens: Der „Compliance Mode“ muss gewählt sein, nicht der „Governance Mode“. Letzterer erlaubt privilegierten Nutzern die Löschung und ist damit gegen Insider-Angriffe nicht resistent. Zweitens: Die Aufbewahrungsfrist muss auf Storage-Ebene gesetzt sein, nicht nur in der Backup-Anwendung. Sonst kann ein kompromittierter Backup-Admin die Frist verkürzen.

Air-Gap, physisch oder logisch?

Air-Gap ist ein technischer Begriff aus der klassischen IT-Sicherheit. In der Cloud-Welt hat sich das Konzept gewandelt, das Ziel ist aber dasselbe geblieben: Trennung von Backup und Produktivsystem.

Klassischer Tape-Air-Gap (physisch)

Magnetband, das nach dem Backup-Vorgang ausgeworfen und in einen feuerfesten Safe gelegt wird, ist der klassische Air-Gap. Maximal sicher, weil keine Netzwerkverbindung mehr besteht, aber langsam und in der M365-Cloud-Welt selten praktikabel. Für Archive und Worst-Case-Szenarien (zum Beispiel jährliche Vollbackups für regulatorische Zwecke) immer noch relevant.

Software-definierter Air-Gap (Cloud)

Moderne Cloud-Backups erzeugen einen logischen Air-Gap durch separate Storage-Tiers, eigene Authentifizierung und zeitlich begrenzte Konnektivität. Das Backup-Ziel ist nur während des kurzen Backup-Fensters erreichbar und davor und danach nicht ansprechbar. Aus der Sicht des Angreifers, der den M365-Tenant kompromittiert hat, ist das Backup nicht sichtbar.

Hybrid-Modelle

In der Praxis kombinieren viele Setups beide Ansätze. Tägliche Backups laufen mit Software-Air-Gap in einen separaten Cloud-Tier, wöchentliche oder monatliche Backups gehen zusätzlich auf Tape oder in einen geografisch entfernten Storage-Tier. Damit erfüllen sie auch die 3-2-1-Regel mit zwei verschiedenen Medien-Typen.

Welcher Air-Gap für M365 sinnvoll ist

Für die meisten Mittelständler ist ein Software-Air-Gap bei einem deutschen Anbieter die wirtschaftlich beste Lösung. Tape-Backups lohnen sich erst ab größeren Datenvolumina oder bei strengen Compliance-Anforderungen. Wichtig ist, dass der Air-Gap dokumentiert ist, regelmäßig getestet wird und die Konnektivitäts-Fenster überwacht werden.

Die 3-2-1-1-0-Regel als Mindeststandard 2026

Die klassische 3-2-1-Regel (drei Kopien, zwei Medien, eine Off-Site) ist seit den 2000er Jahren ein Industriestandard, hat aber zwei Lücken: Sie sagt nichts über Immutability und nichts über die Verifikation. Die 3-2-1-1-0-Regel ergänzt beide Punkte. Eine ausführliche Erläuterung der Grundregel findest Du in unserem Artikel Die 3-2-1-Backup-Regel in der Microsoft-365-Welt.

Die zusätzliche 1, Immutable oder Air-Gap-Kopie

Die erste zusätzliche 1 fordert, dass mindestens eine Kopie der Daten immutable oder air-gapped ist. Damit wird sichergestellt, dass im Ransomware-Fall mindestens eine Kopie nachweisbar unverändert vorliegt. Diese Erweiterung wurde von Backup-Herstellern wie Veeam, IDC und Arcserve populär gemacht und ist seit 2023 weit verbreitet.

Die 0, Wiederherstellungs-Verifikation ohne Fehler

Die 0 steht für null Fehler im Wiederherstellungs-Test. Ein Backup ist nur dann ein Backup, wenn es nachweisbar wiederherstellbar ist. Die Verifikation muss regelmäßig erfolgen, idealerweise automatisiert. Empfehlung: monatliche Stichproben-Restores einzelner Dateien, quartalsweise eine vollständige Mailbox- oder OneDrive-Restore-Übung, jährlich eine Disaster-Recovery-Übung.

Was die BSI dazu sagt

Das BSI hat 2022 einen Maßnahmenkatalog Ransomware mit den Top-10-Maßnahmen veröffentlicht. Das Backup steht darin als wichtigste präventive Maßnahme. Der zentrale Satz lautet, dass die Daten in einem Offline-Backup gesichert werden müssen, das nach dem Backup-Vorgang von den anderen Systemen des IT-Netzes getrennt ist. Praxistests sind explizit Pflicht. Die 3-2-1-1-0-Regel deckt diese BSI-Anforderungen vollständig ab.

Praxis-Szenario: Ransomware-Wiederherstellung Schritt-für-Schritt

Was passiert konkret an einem Montagmorgen, wenn die ersten Mitarbeitenden ankommen und ihre OneDrive-Dateien verschlüsselt vorfinden? Die folgende Zeitachse zeigt einen typischen Verlauf in einem mittelständischen Unternehmen mit 80 Mitarbeitenden, einmal mit und einmal ohne ransomware-sicheres Backup.

Wiederherstellungs-Zeitachse mit und ohne ransomware-sicheres Backup

Beispielhafter Verlauf eines Ransomware-Vorfalls. Die konkreten Zeitwerte variieren je nach Unternehmensgröße, Datenvolumen und Anbieter.

Zeitachse einer Ransomware-Wiederherstellung mit und ohne den drei Schutz-Säulen, BSI-Lagebericht 2024 als Basis.

Welche M365-Backup-Anbieter Ransomware-Schutz wirklich liefern

Im Markt für M365-Backup positionieren sich mehrere Anbieter mit „Anti-Ransomware“-Versprechen. Die Substanz hinter den Versprechen lohnt eine genauere Prüfung. Vier Kriterien helfen bei der Bewertung.

Vergleichskriterien: Immutable, Air-Gap, Auth-Trennung, Verifikation

Die ersten drei Kriterien sind die drei Schutz-Säulen aus dem oberen Kapitel. Das vierte Kriterium ist die regelmäßige, dokumentierte Wiederherstellungs-Verifikation. Ein guter Anbieter führt automatisierte Restore-Tests durch und liefert dem Kunden einen Verifikations-Report.

dc2share: Immutable plus Air-Gap in einem deutschen Rechenzentrum

dc2share setzt alle drei Schutz-Säulen plus regelmäßige Verifikation in einem Container-Rechenzentrum in Wagenfeld um. Die Eigentümerstruktur ist deutsch (keine US-Mutter), der Standort ist Deutschland, die Stromversorgung erfolgt mit 100 % Ökostrom und hohem Eigenerzeugungs-Anteil (rund 70 % aus eigener PV-Anlage am Standort, rund 30 % zertifizierter Netz-Ökostrom mit Herkunftsnachweis). Damit kombiniert die Lösung Ransomware-Schutz mit Datensouveränität, was für regulierte Branchen relevant ist. Mehr dazu in unserem Artikel zur Compliance-Kaskade 2027.

Veeam, Acronis, Hornetsecurity: die Marktstandards

Veeam Backup for Microsoft 365 ist der Marktstandard mit langer Historie und breiter Funktionalität. Acronis Cyber Protect kombiniert Backup mit aktivem Anti-Malware-Schutz. Hornetsecurity 365 Total Backup ist im SMB-Segment stark. Alle drei bieten Immutable-Optionen, allerdings unterscheidet sich die Storage-Tier-Architektur und der Speicherort. Für Kunden mit deutscher Souveränitäts-Anforderung lohnt sich die genaue Prüfung des Speicherorts und der Eigentümerstruktur des Anbieters.

Was bei „Anti-Ransomware“-Werbung oft fehlt

Drei Aspekte fehlen in der Vermarktung häufig. Erstens: konkrete Aufbewahrungsfristen für Immutable-Versionen. Zweitens: Nachweis des Air-Gap-Fensters in Minuten oder Stunden, nicht in Marketing-Begriffen. Drittens: Auditberichte oder Penetrations-Test-Ergebnisse, die zeigen, dass die Architektur einem realen Angriff standhalten würde. Wer als Anbieter diese drei Punkte ausweicht, verkauft Marketing, nicht Schutz.

Microsoft Defender und der Ransomware-Schutz im M365-Tenant

Eine häufige Frage in der Beratung: Reicht Microsoft Defender für Ransomware-Schutz? Die Antwort ist differenziert. Defender ist wichtig, aber kein Backup-Ersatz.

Was Microsoft Defender XDR mitbringt

Microsoft Defender XDR ist eine Detektions- und Reaktions-Plattform, die Endpunkte, Identitäten, E-Mails und Cloud-Apps schützt. Sie erkennt verdächtige Aktivitäten in Echtzeit und kann Angriffe in frühen Phasen stoppen. Für die Prävention und Detektion von Ransomware ist Defender ein zentraler Baustein, besonders in Verbindung mit Conditional Access und MFA.

Wo Defender an seine Grenzen kommt

Defender ist Schutz vor dem Angriff, nicht vor seinen Folgen. Wenn der Angriff Defender umgeht (was bei zielgerichteten Attacken regelmäßig vorkommt) oder wenn der Defender selbst deaktiviert wird (eine BSI-dokumentierte Angreifer-Taktik via PowerShell-Befehl Set-MpPreference), bleibt nur das Backup. Defender macht das Backup nicht überflüssig, sondern komplementär notwendig.

Warum Defender und externes Backup sich ergänzen

Die beste Architektur kombiniert beide. Defender reduziert die Wahrscheinlichkeit, dass es zu einem erfolgreichen Angriff kommt. Das ransomware-sichere Backup garantiert, dass die Daten auch im Worst-Case wiederherstellbar sind. Wer auf eines von beiden verzichtet, hat eine unvollständige Strategie.

Defender ist Schutz vor Angriff, Backup ist Schutz vor Folgen. Eine saubere Trennung der Aufgaben hilft bei der Argumentation gegenüber der Geschäftsführung. Defender und EDR-Tools reduzieren die Angriffs-Wahrscheinlichkeit. Backup, Immutable Storage und Air-Gap reduzieren die Schadenshöhe und die Wiederherstellungs-Zeit. Wer beides hat, ist resilient. Wer nur eines hat, läuft Gefahr.

Cyberversicherung und Ransomware

Cyberversicherungen sind in den letzten Jahren teurer und strenger geworden. Versicherer prüfen die Backup-Maturity inzwischen sehr genau, bevor sie eine Police anbieten.

Was Cyberversicherer 2026 von Backup-Strategien verlangen

Die meisten Versicherer verlangen mindestens MFA, ein dokumentiertes Backup-Konzept, regelmäßige Wiederherstellungs-Tests und einen Incident-Response-Plan. Größere Anbieter (zum Beispiel Allianz, AXA, Hiscox, Munich Re) fordern zunehmend explizit Immutable Backups und 3-2-1-1-0-Konformität. Ohne diese Voraussetzungen wird die Police entweder abgelehnt oder mit hohen Prämien und niedrigen Deckungssummen versehen.

Immutable-Backup als Voraussetzung für die Police

Immutable Storage ist 2026 in vielen Versicherungs-Fragebögen ein Pflichtfeld geworden. Wer „nein“ ankreuzt, bekommt entweder keine Police oder eine deutlich höhere Prämie. Die Versicherer reagieren damit auf die Statistik, dass bei kompromittierten Backups die Schadenshöhe um ein Mehrfaches steigt.

Was im Schadensfall ausgezahlt wird, und was nicht

Typische Deckungsbereiche sind Forensik-Kosten, externe Incident-Response-Beratung, Betriebsausfall, Wiederherstellungs-Aufwand, DSGVO-Bußgelder (teilweise) und Reputations-Schaden. Lösegeldzahlungen werden in den meisten deutschen Policen explizit nicht gedeckt oder nur mit hohen Restriktionen. Wenn der versicherte Backup-Standard nicht eingehalten wurde, kann der Versicherer die Leistung kürzen oder ganz verweigern.

Wie ein dokumentiertes Backup die Versicherungskonditionen verbessert

Ein ransomware-sicheres Backup ist nicht nur Pflichtübung für die Police, sondern ein messbarer wirtschaftlicher Vorteil. Wer die drei Schutz-Säulen dokumentiert und regelmäßige Wiederherstellungs-Tests nachweist, verbessert seine Risikobewertung beim Versicherer. Das wirkt sich konkret aus: bessere Versicherbarkeit überhaupt, niedrigere Prämien, höhere Deckungssummen und weniger Ausschlüsse. Versicherer mit technischem Underwriting prüfen heute die tatsächliche Sicherheitslage, nicht nur die im Fragebogen behauptete, und honorieren nachgewiesene Maßnahmen mit besseren Konditionen. Damit ist ein dokumentiertes Backup ein konkretes wirtschaftliches Argument für die Investition, das sich auch in Beratung und Vertrieb nutzen lässt: Ein Teil der Backup-Kosten kommt über niedrigere Versicherungsprämien zurück.

Cyberversicherungen und Lösegeldzahlungen. Wer überlegt, ein Lösegeld zu zahlen, sollte vorher mit Versicherung und Rechtsabteilung sprechen. Die meisten deutschen Cyberversicherer decken Lösegeldzahlungen nicht oder nur mit harten Restriktionen. Steuerlich sind sie als Betriebsausgabe nicht ohne weiteres absetzbar, weil sie kriminelle Strukturen finanzieren. In bestimmten Konstellationen (Sanktionen gegen die Angreifer, Embargo-Länder) kann die Zahlung selbst strafbar sein. Das BSI rät einheitlich ab.

Lohnt sich das Lösegeld zu zahlen?

Die Frage taucht in jeder Ransomware-Krise auf. Die ehrliche Antwort ist: meistens nein, und meistens nicht aus den Gründen, die zuerst genannt werden.

BSI-Empfehlung: nein

Das BSI rät einheitlich gegen Lösegeldzahlungen. Drei Gründe werden genannt. Es gibt keine Garantie für eine vollständige Daten-Rückgabe. Die Zahlung finanziert kriminelle Strukturen. Wer einmal zahlt, gilt in der Cyberkriminalitäts-Szene als zahlungsbereites Ziel und wird bevorzugt erneut angegriffen.

Statistik, wie viele Daten zurückkommen

Etwa 50 Prozent der zahlenden Opfer bekommen ihre Daten nicht oder unvollständig zurück. Bei der Hälfte funktioniert der Entschlüsselungs-Schlüssel nicht zuverlässig, oder die Daten sind nach der Entschlüsselung beschädigt. Die Zahlung ist also kein verlässlicher Wiederherstellungs-Pfad, sondern ein zusätzlicher Schaden.

Steuerliche und versicherungs-rechtliche Folgen

Lösegeldzahlungen sind in der deutschen Steuerpraxis nicht ohne weiteres als Betriebsausgabe absetzbar. Cyberversicherungen decken sie meist nicht. Wenn die Angreifer aus Sanktionsländern operieren (zum Beispiel Russland, Iran, Nordkorea), kann die Zahlung selbst gegen Embargo-Regeln verstoßen und strafbar sein. Eine rechtliche Prüfung vor jeder Zahlung ist Pflicht.

Quellen und weiterführende Informationen

• BSI, Top-10-Ransomware-Maßnahmen. Offizielle Schutz-Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik.
• BSI, Top-10-Maßnahmen zur Detektion. Detektionshinweise inklusive Canary Files.
• BSI, Ransomware-Lagebild. Aktuelle Statistiken und Angriffstrends.
• Microsoft Learn, Microsoft 365 Backup. Offizielle Dokumentation zum Microsoft-eigenen Backup-Produkt.
• NIS2-Richtlinie (EU) 2022/2555. Meldepflichten bei Ransomware-Vorfällen, 24-Stunden-Frühwarnung.
• DSGVO Art. 33 und 34. 72-Stunden-Meldepflicht bei Datenschutz-Vorfällen.