Nach einem Ransomware-Angriff lassen sich Daten häufig ohne Lösegeldzahlung wiederherstellen, denn Ransomware verschlüsselt die Dateien, sie löscht sie nicht: Sie bleiben auf dem Datenträger vorhanden, nur ohne den Schlüssel unlesbar. Noch vor der Zahlung öffnen sich mehrere Türen: Backups, die Sie verloren glaubten, Schattenkopien des Systems, nur teilweise verschlüsselte Dateien oder Volumes, die die Angreifer gelöscht haben, ohne die Daten zu überschreiben. Ein Datenrettungslabor kann oft einen Teil davon retten, manchmal alles, ohne jemals mit den Kriminellen in Kontakt zu treten. Die direkte Entschlüsselung einer aktuellen Variante ist hingegen mathematisch unmöglich, solange die Schlüssel nicht durchgesickert sind.

Der erste Schritt steht ausser Frage: Sobald Sie feststellen, dass Dateien verschlüsselt werden, schalten Sie den Rechner sofort aus, notfalls ziehen Sie den Stecker. Der folgende Text erklärt, was wiederherstellbar ist, was nicht, und wie Sie die Lage nicht verschlimmern.

Was Ransomware wirklich anrichtet

Ransomware (oder Erpressungstrojaner) ist eine Schadsoftware, die die Dateien eines Systems verschlüsselt, um sie unzugänglich zu machen, und anschliessend ein Lösegeld für den Entschlüsselungsschlüssel fordert. Alles beginnt mit einem Eindringen, meist einer Phishing-E-Mail, deren Anhang das Programm installiert. Es zeigt sich nicht sofort: Es läuft unauffällig im Hintergrund und verschlüsselt eine nach der anderen die Inhalte Ihrer wichtigen Dateien, jener, die für Sie ebenso wertvoll sind wie für einen Erpresser. PDF- und Word-Dokumente, Datenbanken, E-Mail-Postfächer: alles ist betroffen.

Vor oder während der Verschlüsselung führt das Programm einen entscheidenden Schritt aus. Es erkennt den Rechner als neues Ziel und erzeugt Codes, sogenannte Tokens, die es an einen entfernten Server sendet. Diese Tokens enthalten unter anderem die Schlüssel und bilden eine eindeutige Kennung des Angriffs. Genau diese Kennung verlangen die Angreifer, wenn Sie Kontakt aufnehmen: Ohne sie wissen sie nicht, welcher Schlüssel zu Ihnen gehört. Wir haben bereits erlebt, dass ein und derselbe Rechner mehrere Kennungen und mehrere Schlüssel trug, bis zu drei: Dann muss jeder Schlüssel einzeln verhandelt werden, um auf eine vollständige Entschlüsselung hoffen zu können.

Um den Angriff sichtbar zu machen und seine Anweisungen zu erteilen, legt das Programm schliesslich Begleitdateien ab, die berüchtigte Lösegeldforderung. Diese Dateien sind für einen Fachmann keineswegs belanglos: Es sind bekannte Signaturen, die es erlauben, die verwendete Ransomware-Variante genau zu identifizieren, und die die Kennung des Angriffs enthalten.

Technisch beruht die Verschlüsselung fast immer auf einer bewährten Kombination: einem schnellen symmetrischen Algorithmus wie AES (häufig mit 256 Bit), um die Dateien zu verschleiern, und einem asymmetrischen Algorithmus wie RSA (2048 Bit oder mehr), um den AES-Schlüssel zu schützen. Gerade diese Verbindung macht den Angriff so schwer rückgängig zu machen.

Lässt sich ohne Zahlung entschlüsseln?

Das ist die Frage, die alle stellen, und die ehrliche Antwort umfasst drei Fälle.

Situation	Direkte Entschlüsselung?
Aktuelle, gut konzipierte Ransomware	Nein: zu grosse Schlüssel, jahrzehntelange Rechenzeit per Brute Force
Ältere Ransomware (gemeinsame Schlüssel, Implementierungsfehler)	Manchmal: Entschlüsselungstools existieren
Schlüssel von der Polizei sichergestellt oder von reuigen Angreifern veröffentlicht	Ja: kostenlose Entschlüsselungstools (Projekt No More Ransom)

Per Brute Force: nein. Bei einer aktuellen, korrekt konzipierten Ransomware ist der Versuch, den Schlüssel zu erraten, aussichtslos. Die Schlüssel sind so gross, dass man Jahrzehnte an Rechenzeit bräuchte, um auch nur einen einzigen zu finden. Die direkte Entschlüsselung ist keine Option.

Bei älterer Ransomware: manchmal. Die ersten Generationen waren anders aufgebaut, mitunter mit Schlüsseln, die allen Opfern gemeinsam waren, oder mit fehlerhaften Implementierungen. Für etliche von ihnen existieren Entschlüsselungslösungen.

Wenn die Schlüssel sichergestellt wurden: ja. Es kommt vor, dass Bundespolizeien die Server der Angreifer beschlagnahmen oder dass reuige Kriminelle sämtliche ihrer Schlüssel veröffentlichen. Einrichtungen wie das europäische Projekt No More Ransom sammeln diese Schlüssel dann ein und machen daraus kostenlose Entschlüsselungsprogramme. Hier gewinnen die Begleitdateien ihre ganze Bedeutung zurück: Sie enthalten die Kennung, mit der sich der richtige Schlüssel finden lässt.

Kurz gesagt gibt es zwei günstige Fenster: Entweder ist die Variante alt und es existiert ein Entschlüsselungstool, oder der Angriff liegt lange genug zurück, dass die Schlüssel inzwischen entdeckt wurden. Bei einer aktuellen Ransomware, deren Schlüssel nicht durchgesickert sind, bleibt die direkte Entschlüsselung unerreichbar. Doch, und darum geht es im Folgenden, die Entschlüsselung ist nicht der einzige Weg zu Ihren Daten.

Was ein Labor wiederherstellt, wenn Sie alles verloren glauben

Ein Cybersicherheitsunternehmen, das eine «Wiederherstellung nach Ransomware» anbietet, leistet in Wahrheit eine recht begrenzte Arbeit: Es stützt sich auf vorhandene Backups, sofern es welche gibt (ein Backup-NAS, ein Veeam, Bänder), stellt sie wieder her, und wenn nichts funktioniert, bespricht es mit dem Kunden die Lösegeldverhandlung. Ein Datenrettungslabor geht deutlich weiter.

Denn die Angreifer begehen oft einen ausnutzbaren Fehler. Um die Backups auszuschalten, entfernen sie RAID-Systeme, löschen Volumes, zerstören Konfigurationen, aber sie überschreiben nicht zwangsläufig alle Daten darüber. Wir können dann das gelöschte RAID rekonstruieren und die darin enthaltenen Backups wiederherstellen, ein anspruchsvoller Rettungsvorgang, der mit der blossen Wiederherstellung eines intakten Backups nichts mehr zu tun hat.

Unser Arsenal endet hier nicht. Wir nutzen die Schattenkopien des Systems (die Shadow Copies von Windows), sofern sie nicht gelöscht wurden. Wir finden temporäre Dateien, Zwischenversionen und vergessene Daten auf Datenträgern wieder, die die Ransomware nicht angetastet hat.

Es gibt sogar den Fall der teilweise verschlüsselten Dateien. Eine ganze Datei zu verschlüsseln braucht Zeit, vor allem bei einer grossen: ein Video, eine mehrere Gigabyte grosse PST-Postfachdatei von Outlook. Um schnell zu sein und möglichst viele Dateien zu treffen, verschlüsseln manche Ransomwares nur den Anfang jeder Datei, etwa die ersten tausend Sektoren. Die Datei wird für das Programm, das sie erstellt hat, unbrauchbar, doch der gesamte Rest bleibt intakt. Je nach Format können wir diesen unverschlüsselten Teil mitunter lesen und daraus für den Kunden nutzbare Daten gewinnen, selbst wenn der Anfang verloren ist. Das ist von Fall zu Fall verschieden, aber oft ein realer Ansatzpunkt.

Die Fehler, die verschlimmern, und die Handgriffe, die retten

Den häufigsten Fehler sehen wir immer wieder: die Backups direkt auf dem betroffenen Server wiederherzustellen. Man installiert den Server neu, spielt das Backup darauf zurück, und die Sache scheint erledigt. Nur überschreibt das die ursprünglichen Datenträger. Erweist sich das Backup als fehlerhaft, unvollständig oder selbst verschlüsselt, hat man gerade Daten überschrieben, die vielleicht noch rettbar waren. Man hat seine letzte Chance zerstört, ohne es zu merken.

Deshalb lautet die Regel, wie bei jeder Datenrettung, den Zustand einzufrieren, bevor man handelt. Hier das Vorgehen:

1. Schalten Sie den Rechner sofort aus. Die Verschlüsselung läuft im Hintergrund; jede weitere Minute bedeutet zusätzliche Dateien, die verschlüsselt werden. Zögern Sie nicht, den Stecker zu ziehen, um schneller zu sein. Trennen Sie den Rechner zudem vom Netzwerk, um eine Ausbreitung zu verhindern.
2. Installieren Sie nichts neu, stellen Sie nichts auf den ursprünglichen Datenträgern wieder her.
3. Wenden Sie sich an ein spezialisiertes Labor. Wir beginnen grundsätzlich mit einer bitgenauen Sicherheitskopie und arbeiten dann schreibgeschützt auf den Kopien: Die Ransomware läuft nicht mehr, und nichts wird auf Ihre Originaldatenträger zurückgeschrieben. Erst von da an suchen wir nach der Wiederherstellung.

Zahlen oder nicht: die ehrliche Entscheidung

Unsere Haltung ist klar: Wir empfehlen, nicht zu zahlen. Zahlen finanziert unmittelbar die Kriminalität und bietet keinerlei Garantie, überhaupt etwas wiederzuerlangen. Doch wir bleiben nüchtern. Wenn das Überleben eines Unternehmens und die Arbeitsplätze auf dem Spiel stehen, muss man abwägen. Es ist ein wenig wie bei einem Banküberfall: Man verlangt vom Personal nicht, die Herausgabe des Geldes um den Preis des eigenen Lebens zu verweigern. Man gibt nach und finanziert damit indirekt das Verbrechen. Jeder entscheidet je nach seiner Lage.

Wird die Verhandlung unvermeidlich, verringern zwei Grundsätze die Risiken.

Erstens: Verhandeln Sie niemals selbst. Sobald ein angegriffenes Unternehmen mit den Angreifern in Kontakt tritt, recherchieren diese über es, betreiben OSINT (Informationsbeschaffung aus offenen Quellen), schätzen seine Grösse und seine finanziellen Mittel ein und passen das Lösegeld entsprechend an. Überlassen Sie das Gespräch besser einem spezialisierten Drittunternehmen. Das erscheint paradox, doch ein Vermittler, der regelmässig verhandelt, erzielt oft eine bessere Einigung: Die Angreifer betreiben ein Geschäft und legen Wert auf ihren Ruf, denn ein unzufriedener Kunde ist ein Kunde, der nie wieder zahlen wird.

Zweitens: Verlangen Sie einen Nachweis. Fordern Sie vor jeder Zahlung die Entschlüsselung einiger Dateien, um zu prüfen, dass die Angreifer den Schlüssel tatsächlich besitzen. Wählen Sie Dateien, die für niemanden einen Wert haben, weder für Sie noch für sie: auf keinen Fall das Jahresbudget oder die Buchhaltung, sondern belanglose Dokumente. Senden sie Ihnen diese entschlüsselt zurück, haben Sie den Beweis, dass sie den Schlüssel besitzen. Denn es kommt vor, dass sie ihn verloren haben, insbesondere nach der Abschaltung ihrer Server. Zahlen Sie niemals ohne diese Gewissheit.

Die Erpressung mit der Veröffentlichung: Ransomware hat ihr Gesicht verändert

Den Zugriff auf die Daten zu blockieren ist nicht mehr das einzige Druckmittel. Moderne Ransomware setzt auf drei Achsen.

Die erste bleibt die Blockade durch Verschlüsselung, jene, die alle kennen. Doch eine zweite hat sich durchgesetzt: die Exfiltration der Daten verbunden mit der Drohung einer Veröffentlichung. Die Angreifer kopieren Ihre Daten auf ihre Server und drohen, sie zu veröffentlichen, wenn Sie nicht zahlen. Es heisst nicht mehr «Sie können nicht mehr auf Ihre Daten zugreifen», sondern «Wir werden Ihre Daten öffentlich machen». Diese Entwicklung hat eine klare Ursache: In dem Masse, wie sich Unternehmen ausgelagerte und getrennte Backups zulegten, mussten sie nicht mehr zahlen, um ihre Dateien wiederzuerlangen. Also wechselten die Angreifer die Waffe.

Die dritte Achse geht noch weiter, bei bestimmten Gruppen, die sich die Zeit nehmen, das Gestohlene zu analysieren: die Drohung, vertrauliche Informationen zu verkaufen oder offenzulegen, an Wettbewerber oder gar an die Steuerbehörden. Stets dieselbe Logik der Erpressung, ins Extrem getrieben.

Ein Wort zur Höhe des Betrags, denn er wird nicht zufällig festgelegt. Die Angreifer suchen in den gestohlenen Dateien nach Ihren Bankinformationen (Bilanzen, Buchhaltungs-PDFs) und bemessen das Lösegeld an Ihrer Liquidität, häufig rund 30 bis 50 % des Cashflows. Das Ziel ist nicht, Sie zu ruinieren, sondern Ihnen das Maximum abzupressen, ohne Sie in die Schliessung zu treiben, denn ein totes Unternehmen zahlt nicht.

Ihre gesetzlichen Pflichten in der Schweiz

Über die Technik hinaus zieht ein Ransomware-Vorfall Pflichten nach sich, und diese unterscheiden sich je nach Ihrem Profil.

Sind Sie ein Betreiber kritischer Infrastrukturen (Energie, Trinkwasser, Verkehr, bestimmte kantonale oder kommunale Behörden), müssen Sie den Cyberangriff dem Bundesamt für Cybersicherheit (BACS) innerhalb von 24 Stunden nach seiner Entdeckung melden, mit 14 Tagen zur Vervollständigung des Dossiers. Diese Pflicht gilt seit dem 1. April 2025 und betrifft insbesondere Angriffe, die den Betrieb der Infrastruktur bedrohen, zu einem Datenabfluss führen oder mit einer Erpressung einhergehen.

Für ein gewöhnliches Unternehmen, das Personendaten hält, gilt das neue Datenschutzgesetz (nDSG). Dessen Artikel 24 verpflichtet dazu, dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich jede Verletzung zu melden, die ein hohes Risiko für die betroffenen Personen mit sich bringt. Es gibt keine feste Frist wie die 72 Stunden der DSGVO, doch das vorsätzliche Unterlassen kann bis zu 250 000 Franken Busse kosten. Wurden die Daten Ihrer Kunden exfiltriert und mit Veröffentlichung bedroht, müssen Sie diese in der Regel informieren.

Erstatten Sie in jedem Fall Anzeige und prüfen Sie, ob Ihre Versicherung eine Cyber-Deckung umfasst: Immer mehr Verträge bieten sie an.

Der einzige Schutz, der hält: das Offline-Backup

Kein Labor, so gut es auch ausgestattet ist, ersetzt ein gutes Backup. Und auch hier gibt es Backup und Backup. Ein RAID oder ein mit dem Netzwerk verbundenes NAS ist nicht sicher: Genau das versuchen die Angreifer als Erstes zu zerstören. Der einzige wirklich zuverlässige Schutz ist ein offline gehaltenes, unveränderliches und ausgelagertes Backup, das physisch von dem System getrennt ist, das es schützt. Es, und nur es, macht aus einem Ransomware-Angriff einen blossen Zwischenfall statt einer Katastrophe.

Häufige Fragen

Löscht Ransomware die Daten?

Nein. Ransomware verschlüsselt die Dateien, um sie unlesbar zu machen, doch die Daten bleiben physisch auf dem Datenträger vorhanden. Genau das lässt Möglichkeiten der Wiederherstellung offen: Backups, Schattenkopien, teilweise verschlüsselte Dateien oder gelöschte, aber nicht überschriebene Volumes.

Lässt sich Ransomware ohne Lösegeldzahlung entschlüsseln?

Direkt nur in bestimmten Fällen: bei älterer, verwundbarer Ransomware oder bei Varianten, deren Schlüssel von der Polizei sichergestellt oder veröffentlicht wurden (Projekt No More Ransom). Bei einer aktuellen, gut konzipierten Ransomware ist Brute Force unmöglich. Dafür lassen sich die Daten oft auf anderen Wegen wiederherstellen, ohne zu entschlüsseln.

Was ist bei einem Ransomware-Angriff sofort zu tun?

Schalten Sie den Rechner auf der Stelle aus, notfalls indem Sie den Stecker ziehen, und trennen Sie ihn vom Netzwerk: Die Verschlüsselung läuft im Hintergrund und jede Minute verschlimmert den Schaden. Installieren Sie nichts neu, stellen Sie kein Backup auf den betroffenen Datenträgern wieder her, und übergeben Sie den Datenträger einem spezialisierten Labor.

Soll man das Lösegeld zahlen?

Wir empfehlen, nicht zu zahlen: Es finanziert das Verbrechen und bietet keine Garantie. Wenn das Überleben des Unternehmens es erfordert, verhandeln Sie niemals selbst (die Angreifer recherchieren über Sie, um das Lösegeld anzupassen), gehen Sie über einen spezialisierten Dritten, und verlangen Sie vor jeder Zahlung einen Entschlüsselungsnachweis an wertlosen Dateien.

Kann ein Labor meine Daten nach einer Ransomware wiederherstellen?

Oft ja, ohne den Weg über die Angreifer: Rekonstruktion gelöschter, aber nicht überschriebener RAIDs, Schattenkopien (Shadow Copies), temporäre Dateien, vergessene Backups, nur teilweise verschlüsselte Dateien. Das Labor arbeitet auf einer bitgenauen, schreibgeschützten Kopie, ohne jemals die Originaldatenträger zu überschreiben.

Welche gesetzlichen Pflichten gelten in der Schweiz nach einem Cyberangriff?

Betreiber kritischer Infrastrukturen müssen den Angriff seit dem 1. April 2025 innerhalb von 24 Stunden dem Bundesamt für Cybersicherheit (BACS) melden. Die übrigen Unternehmen, die Personendaten halten, müssen nach dem nDSG dem EDÖB so rasch als möglich jede Verletzung mit hohem Risiko melden und die betroffenen Personen informieren, wenn ihre Daten exfiltriert wurden.