V-Hub by Vodafone Business Security SicherheitRansomware entfernen: So schützen und retten Sie Ihre Unternehmensdaten effektiv

Security

Ransomware entfernen

So schützen und retten Sie Ihre Unternehmensdaten effektiv

Jetzt Unternehmen schützen

Clemens Förster

24.02.2026

9 Min.

Ransomware kann den Betrieb von einem Moment auf den anderen ausbremsen. Wer dann voreilig reagiert, macht es Cyberkriminellen oft leichter. Um Ransomware zu entfernen, stoppen Sie zuerst die Ausbreitung und sichern alle Zugänge. Danach bereinigen Sie die Systeme und stellen Daten kontrolliert wieder her, damit es nicht zu einer erneuten Infektion kommt.

Inhaltsverzeichnis

Ransomware entfernen: Das Wichtigste in Kürze Ransomware entfernen: Überblick & Zielsetzung Sofortmaßnahmen vor der Entfernung Ransomware entfernen mit professionellen Tools

Ransomware entfernen: Das Wichtigste in Kürze

Täter:innen kompromittieren häufig zuerst Identitäten, bewegen sich lateral im Netzwerk und greifen anschließend File-Server, Virtualisierung und Back-ups an.
Isolieren Sie betroffene Systeme, trennen Sie kritische Segmente, sichern Sie Konten und schützen Sie Back-ups, bevor Sie mit der Entfernung der Ransomware beginnen.
Rekonstruieren Sie Eintrittsweg und Ablauf des Angriffs, sichern Sie Beweise und prüfen Sie konsequent verbliebene Zugriffswege. Sonst findet der Angriff nach der Wiederherstellung erneut statt.
Stellen Sie Daten bevorzugt aus geprüften Back-ups wieder her und rotieren Sie Passwörter sowie Schlüssel. Erhöhen Sie außerdem die Sicherheitsüberwachung, bevor Systeme wieder online gehen.

Jetzt Unternehmen schützen

Ransomware entfernen: Überblick & Zielsetzung

Ransomware stellt für Unternehmen ein akutes Betriebsrisiko dar. Denn der Verschlüsselungsangriff betrifft heute selten nur einzelne Dateien. Wer in dieser Lage ausschließlich auf „Entschlüsselung“ fokussiert ist, übersieht meist den entscheidenden Punkt: Sie müssen die Kontrolle über Konten, Systeme und Datenintegrität zurückgewinnen.

Eine professionelle Entfernung von Ransomware verfolgt drei Kernziele:

Schadensbegrenzung: Ausbreitung stoppen, privilegierte Zugänge sichern, Back-ups schützen
Aufklärung: Eintrittsweg und Zeitlinie rekonstruieren, betroffene Assets vollständig erfassen
Wiederherstellung: Systeme bereinigen oder neu aufsetzen, Daten konsistent wiederherstellen, Überwachung intensivieren

Dieses Vorgehen verhindert, dass ein scheinbar bereinigtes Umfeld unmittelbar erneut kompromittiert wird. Denn genau darauf zielen viele Cyberkriminelle ab. Sie warten auf die Wiederherstellung und starten die nächste Verschlüsselungswelle. Wer strukturiert handelt, entzieht diesem Muster die Grundlage.

Sofortmaßnahmen vor der Entfernung

In der Erstreaktion zählt Geschwindigkeit. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt jedoch, das betroffene Gerät bzw. die Geräte nicht reflexhaft auszuschalten. Das gilt, solange Sie Spuren benötigen und Sie die Ausbreitung der Ransomware auch durch eine Isolation der befallenen Systeme stoppen können. Laut BSI sollten Sie sich daher vor allem um die Netzwerktrennung und Identitätssicherung kümmern, sofern möglich.

Empfohlene Sofortmaßnahmen:

Betroffene Systeme isolieren: Netzwerkkabel ziehen, WLAN deaktivieren, VPN trennen
Segmentierung verschärfen: Server-Netze, Admin-Netze und Back-up-Netze separieren
Konten absichern: kompromittierte Benutzerkonten sperren, privilegierte Rollen prüfen, Admin-Konten schützen
Sitzungen beenden: Tokens und Sessions widerrufen, SSO-Zugänge (Single Sign-on) kontrollieren
Back-ups schützen: Schreibzugriffe stoppen, Back-up-Ziele isolieren, Replikation pausieren

Dokumentieren Sie alle Schritte:

Incident Lead benennen: eine Stelle priorisiert Maßnahmen und koordiniert Teams
Sichere Kommunikation festlegen: über Kanäle außerhalb des kompromittierten Umfelds
Beweise sichern: Screenshots von der Lösegeldforderung, auffällige Dateiendungen, verdächtige Prozesse, Logs, Hashes verdächtiger Dateien (über Systemtools wie „Get-FileHash“ erzeugbar; ermöglichen den Abgleich mit Malware-Datenbanken zur eindeutigen Identifikation)
Zeitlinie starten: Zeitpunkt erster Auffälligkeiten, erste Isolation, Beginn der Verschlüsselung, weitere Ereignisse zeitlich festhalten

Diese Methoden sind in der Summe eine gute Vorbereitung auf die kontrollierte Entfernung von Ransomware. Sie reduzieren zudem das Risiko, dass interne Maßnahmen Folgeschäden anrichten, etwa durch Überschreiben von Back-ups oder durch unkoordinierte Passwortänderungen.

Unkenntlicher Computerhacker tippt auf einem Smartphone

Lookout for Small Business

Schützen Sie Ihre gemeinschaftlich genutzten mobilen Endgeräte ganz einfach mit der Lookout-App vor Cyber-Angriffen.

Integrieren Sie Lookout in Ihre bestehenden Unified Endpoint Management-Lösungen (UEM) und steuern somit den einfachen Roll-out in Ihrer mobilen Flotte.

Neu: Jetzt mit Vodafone Managed Endpoint Security Service. Wir überwachen für Sie die Cyber-Sicherheit Ihres Unternehmens rund um die Uhr.

Lookout: Wirksamer Geräteschutz

Ransomware entfernen mit professionellen Tools

Professionelle Werkzeuge beschleunigen die Erkennung, Eindämmung und Bereinigung von kompromittierten Systemen. Wichtig sind vor allem Lösungen zur Endpoint Detection and Response (EDR, Endpunkt-Erkennung und Reaktion) und Extended Detection and Response (XDR, erweiterte Erkennung und Reaktion über mehrere Systeme). Sie zeigen Zusammenhänge, die im Alltag leicht verborgen bleiben, etwa Prozessketten, verdächtige Skripte und auffällige Netzwerkverbindungen.

Setzen Sie die Tool-Kette entlang eines klaren Ablaufs ein:

EDR/XDR für Eindämmung: zur Quarantäne betroffener Hosts, Analyse von Prozessbäumen und Erkennung verdächtiger Skripte
IOC-Suche im Bestand (Indicators of Compromise): nach Hashwerten, Pfaden, Domains, IPs, Registry-Artefakten und geplanten Aufgaben
Zentrale Log-Analyse: prüft VPN, E-Mail-Gateway, Proxy, Firewall, Identity-Provider, Admin-Aktionen
Offline-Scanner bei Bedarf: Rescue-Medien (z.B. bootfähiger USB-Stick mit Antiviren-Tool) für betroffene Rechner/Betriebssysteme, die sich im Live-Betrieb nicht untersuchen lassen, weil sich Schadsoftware dort tarnt oder Sicherheitsprogramme blockiert

Darauf folgt die wichtigste Frage: Wo begann der Angriff und welche Rechte haben die Täter:innen erlangt? Die Antwort entscheidet über die notwendige Tiefe der Bereinigung.

Wenn Angreifer:innen Domain-Admin- oder Cloud-Admin-Rechte erlangt haben, genügt in der Regel keine punktuelle Entfernung der Ransomware auf Endgeräten. Dann sollten Sie die Umgebung kontrolliert neu aufbauen und alle sicherheitsrelevanten Zugangsdaten und Schlüssel konsequent erneuern. Achten Sie jedoch unbedingt darauf, keine befallenen Systeme aus Versehen wieder in Ihre Umgebung zu integrieren.

Empfohlener externer Inhalt

Hier ist ein Video-Inhalt von YouTube. Er ergänzt die Informationen auf dieser Seite.
Sie können ihn mit einem Klick anzeigen und wieder ausblenden.

Externer Inhalt

Ich bin einverstanden, dass externe Inhalte angezeigt werden. So können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr in unserer Datenschutzerklärung.

Externer InhaltDatenschutzerklärung

Manuelle Entfernung von Ransomware

Eine manuelle Entfernung von Ransomware eignet sich für klar abgegrenzte Einzelfälle oder als Ergänzung, wenn Sie digitale Spuren oder Überreste der Schadsoftware gezielt analysieren, dokumentieren oder bereinigen müssen. Sie ersetzt jedoch keine Neuinstallation bei kompromittierten Kernsystemen und sollte nur in geschützten, komplett abgetrennten Test-Netzwerkumgebungen durchgeführt werden.

Verfolgen Sie bei manuellen Schritten nach Möglichkeit ein beweissicheres und nachvollziehbares Vorgehen: erst sichern, dann entfernen.

Empfohlene Schritte:

Aktive (in Betrieb befindliche) Komponenten identifizieren: laufende Prozesse, verdächtige Dienste, ungewöhnliche Pfade oder nicht vertrauenswürdig signierte ausführbare Dateien
Persistenzen prüfen und entfernen (Komponenten, die nach einem Neustart weiterhin eine Rolle spielen): Autostarts, geplante Aufgaben, Run-Keys (Autostart in der Registry), WMI-Trigger (Windows-Automatik), neue Benutzerkonten
Remote-Zugänge prüfen: RDP-Konfiguration (Remote Desktop Protocol – Einstellungen für den Remote-Zugriff), Remote-Management-Tools, neue Firewall-Regeln, Admin-Freigaben
Artefakte sichern: Kopien der relevanten Dateien und Konfigurationen, Hashes dokumentieren
Neuinstallation bevorzugen: wenn Domain Controller, Jump Hosts (gesicherte Zwischensysteme für Serverzugriffe), Back-up-Server, Management-Server oder Hypervisor-Management betroffen sind
Manuelle Bereinigung eher vertretbar: bei Endpunkten ohne umfassende Rechte, klarem Befund und geringer Ausbreitung

Diese Priorisierung reduziert das Risiko, dass sich Schadsoftware unbemerkt dauerhaft im System festsetzt. Denn viele Cyberkriminelle nutzen zusätzliche Schadkomponenten, um Zugriff zu behalten, selbst wenn die sichtbare Ransomware entfernt wurde.

Entschlüsselung nach der Entfernung

Eine Entschlüsselung kommt nur für bestimmte Varianten und Konstellationen von Ransomware infrage. Bei vielen professionell geführten Angriffen bleiben Entschlüsselungstools ohne Täter-Schlüssel wirkungslos. Planen Sie deshalb grundsätzlich mit der Wiederherstellung aus Back-ups.

Methoden zur Entschlüsselung:

Klären Sie die Ransomware-Variante. Nutzen Sie dafür die Art der Lösegeldnotiz, neu hinzugekommene Dateiendungen, Hashwerte aus dem Arbeitsspeicher des Rechners und einen Abgleich mit Threat Intelligence (aktuelle Infos zu bekannten Tätergruppen und Schadsoftware).
Nutzen Sie Entschlüsselungstools nur aus vertrauenswürdigen Quellen. Testen Sie diese immer an Kopien befallener Dateien und halten Sie Ergebnisse nachvollziehbar fest.
Sichern Sie die Datenqualität nach der Wiederherstellung. Arbeiten Sie mit Stichproben, Anwendungsprüfungen und Integritätschecks.

Junger Mann studiert das Vodafone Cyber Security Whitepaper am Laptop

Whitepaper: Cyber Security

Cyberangriffe und kein Ende: Die potenziellen Schäden sind gewaltig und auch der Mittelstand ist zunehmend betroffen. Unser Cyber-Security-Whitepaper verrät, wie wirksamer Schutz vor Kriminellen gelingt:

Zahlen, Daten und Fakten zur Bedrohung durch Cyberattacken
Einblicke in Angriffsmethoden wie Malware, Ransomware & Co.
Maßnahmenplan, um Ihr Unternehmen effektiv zu schützen

Jetzt kostenlos downloaden

Systembereinigung nach der Entfernung

Die Bereinigung entscheidet, ob Sie das Risiko einer erneuten Infektion mit Ransomware nachhaltig senken. Sie schließen zunächst den Eintrittsweg und „härten“ die Umgebung, bevor Sie Systeme wieder anbinden. Danach rotieren Sie Passwörter und intensivieren die Überwachung. Auch hier gilt: Jegliche Bereinigungsmaßnahmen müssen aus Sicherheitsgründen in einer komplett abgetrennten Umgebung erfolgen, die nicht mit dem Firmennetzwerk verbunden sein darf.

So bereinigen Sie betroffene Systeme:

Eintrittsweg(e) schließen: Patches installieren, Konfigurationshärtung vornehmen, unnötige Dienste abschalten
Multi-Faktor-Authentifizierung verpflichtend umsetzen: für privilegierte Konten, Remote-Zugänge und Cloud-Administrationen
Least Privilege durchsetzen: Admin-Nutzung reduzieren, getrennte Admin-Konten nutzen, klare Rollenmodelle implementieren
Netzwerk segmentieren: Admin- und Back-up-Netze voneinander trennen und interne Verbindungen zwischen Systemen auf das Notwendige begrenzen
Back-ups robust machen: Offline-Kopien anlegen, unveränderliche Speicher nutzen, regelmäßige Restore-Tests durchführen

Im Anschluss folgt die Phase der verifizierten Wiederherstellung. Sie benötigen nachvollziehbare Prüfschritte, die Angriffsreste sichtbar machen.

Erneute Prüfung nach Wiederherstellung: EDR- und Offline-Checks für kritische Systeme durchführen
Monitoring schärfen: Anomalien bei Anmeldungen feststellen, neue Admin-Aktionen erkennen, Massenänderungen bemerken
Beobachtung fortführen: mehrere Wochen lang ein erhöhtes Alarmniveau aufrechterhalten, klare Eskalationspfade kennen und nutzen

Häufige Fehler beim Entfernen von Ransomware

Viele Fehler bei der Entfernung von Ransomware entstehen durch Zeitdruck und unklare Zuständigkeiten. Hierzu zählen:

Zu frühe Wiederanbindung: Systeme gehen wieder online, bevor Sie versteckte Startpunkte entfernt und den Eintrittspunkt (oder mehrere) geschlossen haben.
Back-up-Schäden durch Automatismen: Neue Datensicherungen überschreiben saubere Stände, weil geplante Jobs weiterlaufen.
Zu enger Blick auf Verschlüsselung: Teams behandeln nur die Verschlüsselung, obwohl Identitäten kompromittiert sind und Datenabfluss droht.
Beweismittelverlust: Logs oder Spuren verschwinden, weil Teams zu früh bereinigen oder Systeme ungeplant neu starten.
Unkoordinierte Parallelmaßnahmen: Mehrere Teams ändern gleichzeitig Konten und Systeme, ohne zentrale Steuerung und ohne gemeinsame Prioritäten.
Unsichere Kommunikation: Incident-Details laufen über unsichere oder kompromittierte Kanäle und erhöhen das Risiko weiterer Schäden.
Ungesicherte Mobilgeräte: Wenn Sie betroffene Mobilgeräte wie Smartphones und Tablets nicht prüfen und absichern, bleibt ein realistischer Rückweg für Angreifer:innen bestehen. Mobile Security umfasst z.B. Geräteschutz, Updates und Zugriffskontrollen für Mobilgeräte.

Lookout for Small Business

Schützen Sie Ihre gemeinschaftlich genutzten mobilen Endgeräte ganz einfach mit der Lookout-App vor Cyber-Angriffen.

Integrieren Sie Lookout in Ihre bestehenden Unified Endpoint Management-Lösungen (UEM) und steuern somit den einfachen Roll-out in Ihrer mobilen Flotte.

Neu: Jetzt mit Vodafone Managed Endpoint Security Service. Wir überwachen für Sie die Cyber-Sicherheit Ihres Unternehmens rund um die Uhr.

Lookout: Wirksamer Geräteschutz

Wann professionelle Hilfe notwendig ist

Externe Incident-Response-Unterstützung wird notwendig, wenn der Umfang der Überwachung, die jederzeitige Sicherstellung eines fortlaufenden Geschäftsbetriebs oder rechtliche Anforderungen Ihre internen Kapazitäten übersteigen. Besonders kritisch sind Ransomware-Angriffe, wenn die Identitätsinfrastruktur kompromittiert wurde und es Hinweise auf Datenabfluss gibt.

Beziehen Sie professionelle Hilfe ein, wenn folgende Situationen vorliegen:

Kernsysteme sind betroffen: Domain Controller, Back-up-Server, Virtualisierungsumgebungen oder zentrale Admin-Werkzeuge sind möglicherweise oder tatsächlich kompromittiert.
Der Einstieg bleibt unklar: Sie können Eintrittspunkt und Angriffsverlauf nicht belastbar rekonstruieren und erkennen seitliche Ausbreitung nur lückenhaft.
Es gibt Hinweise auf Datenabfluss: Sie sehen auffällige Uploads, finden Exfiltrationstools oder erhalten Drohungen, dass sensible Daten veröffentlich werden könnten.
Die Wiederherstellung kommt nicht voran: Abhängigkeiten blockieren den Restore, Prioritäten kollidieren oder Anomalien treten weiterhin auf.
Die Dokumentationsanforderungen sind hoch: Versicherer, Aufsicht oder Datenschutzstellen verlangen belastbare Nachweise, oder es drohen rechtliche Auseinandersetzungen.

Eine junge Frau betrachtet lächelnd ein Tablet.

Vodafone Business Security Services

Unsere Expert:innen überwachen Ihre Sicherheit. Und sie übernehmen das Management Ihrer Vodafone Security-Lösung: Von der Ersteinrichtung bis zum Betrieb und der Wartung unterstützen wir Sie.

Rund um die Uhr
Immer aktuell
Alles auf einen Blick via Cyber Hub

Jetzt hier informieren

Unser Fazit: Warum Sie Ransomware gründlich entfernen sollten

Ein Ransomware-Vorfall kostet Unternehmen vor allem Zeit, Handlungsfähigkeit und Kundenvertrauen. Wer Ransomware rechtzeitig entfernt, begrenzt den Stillstand, schützt kritische Informationen und hält die Auswirkungen auf Kund:innen und Lieferketten so gering wie möglich.

Entscheidend bleibt ein strukturiertes Vorgehen. Wenn Ihre Teams betroffene Systeme früh isolieren, Zugriffe konsequent absichern und Systeme gründlich bereinigen oder neu aufsetzen, gelingt die Wiederherstellung kontrolliert. Klare Zuständigkeiten, getestete Back-ups und wirksame Zugriffskontrollen sorgen dafür, dass Ihre IT-Infrastruktur nach dem Vorfall stabil bleibt.

Jetzt Unternehmen schützen

Ransomware entfernen: Häufig gestellte Fragen (FAQ)

Die wichtigste Maßnahme lautet: Trennen Sie betroffene Systeme zuerst vom Netzwerk, damit sich der Angriff nicht weiter ausbreitet. Entfernen Sie außerdem sofort jegliche externen Laufwerke wie USB-Sticks und Festplatten. Das BSI empfiehlt, das oder die Systeme nicht auszuschalten, sondern interne oder externe Spezialist:innen mit der Analyse der Situation zu beauftragen. Das hilft eventuell nicht nur bei der Rekonstruktion von Daten, sondern auch, um Beweise für eine Infektion und deren Verlauf/Art zu sichern.

Clemens Förster

24.02.2026

# Tags:Sicherheit Cybersecurity Service Tipps

Managed Firewall

Cyberangriffe auf Unternehmensnetzwerke verursachen schnell große Schäden. Hier erfahren Sie, was eine Managed Firewall ist und was sie im Einzelnen leistet. Außerdem: wie Sie eine solche Firewall strategisch aufsetzen und Sicherheitslücken wirksam schließen. Dazu Praxisbeispiele und Use Cases.

Security

Was ist Ransomware?

Es ist der Albtraum für Unternehmen: Mitarbeitende starten ihre PCs – und statt des Desktops erscheint eine Lösegeldforderung. Alle Daten sind durch Ransomware verschlüsselt. Erst nach Zahlung einer hohen Geldsumme soll die Entschlüsselung erfolgen. Laut dem BSI zählen solche Angriffe zu den größten Cyberrisiken, besonders für kleine und mittlere Unternehmen (KMU). Was Ransomware ist und wie Sie Ihr Unternehmen schützen, erfahren Sie hier.