Double-Extortion-Ransomware 2025: Backups reichen nicht aus

Ransomware hatte früher ein einfaches Spielbuch: Dateien des Opfers sperren, Zahlung verlangen und abwarten. Wenn das Ziel über solide Backups verfügte, konnte es oft seine Systeme wiederherstellen und ohne Zahlung weitermachen. Dieses Sicherheitsnetz ist weitgehend verschwunden. Im Jahr 2025 sind Ransomware-Akteure zu einer Taktik übergegangen, die als Double Extortion (doppelte Erpressung) bekannt ist – sie kombiniert Dateiverschlüsselung mit der Drohung, gestohlene Daten öffentlich zu veröffentlichen, selbst wenn das Opfer auf die Lösegeldforderung gar nicht eingeht.

Diese Veränderung betrifft viel mehr als nur die IT-Abteilungen. Sie verändert, was es für Unternehmen wie für Privatpersonen tatsächlich bedeutet, auf einen Ransomware-Angriff „vorbereitet“ zu sein.

Was Double Extortion bedeutet und warum Backups Sie nicht mehr retten

Die traditionelle Ransomware-Verteidigungsstrategie drehte sich stets um Backups: Wenn Ihre Dateien verschlüsselt sind, stellen Sie sie aus einer sauberen Kopie wieder her und machen weiter. Dieser Rat ist nicht verschwunden, aber er ist für sich allein nicht mehr ausreichend.

Double-Extortion-Ransomware erzeugt eine zweite Druckebene. Bevor die Angreifer die Systeme eines Opfers verschlüsseln, kopieren sie zunächst still und leise sensible Dateien aus dem Netzwerk. Selbst wenn das Opfer dann alles aus Backups wiederherstellt, ohne einen Cent zu zahlen, besitzen die Angreifer weiterhin eine Kopie dieser gestohlenen Daten. Ihr neuer Hebel ist nicht mehr „Zahlen Sie, sonst verlieren Sie Ihre Dateien“, sondern „Zahlen Sie, sonst veröffentlichen wir Ihre Kundendaten, Finanzdokumente oder internen Kommunikationen online“.

Das stellt die gesamte Kalkulation der Ransomware-Reaktion auf den Kopf. Ein Unternehmen mit tadellosen Backups und einem schnellen Wiederherstellungsprozess kann immer noch erpresst werden, denn die Bedrohung hat sich von der Verfügbarkeit (können Sie auf Ihre Daten zugreifen) zur Vertraulichkeit (können Sie Ihre Daten privat halten) verlagert. Für Organisationen, die sensible personenbezogene Informationen verarbeiten, kann dieser Unterschied zwischen einem eingedämmten IT-Vorfall und einer ausgewachsenen Reputations- und Rechtskrise liegen.

Welche Sektoren und Datenarten ins Visier genommen werden

Ransomware-Gruppen tendieren zu Organisationen, die Daten von so hohem Wert besitzen, dass Leak-Drohungen glaubwürdig und schmerzhaft wirken. Branchen, die große Mengen sensibler personenbezogener Informationen, Finanzdaten oder Betriebsdaten verwalten, sind durchgängig attraktive Ziele, gerade weil die Gefahr einer Veröffentlichung echte Konsequenzen nach sich zieht: Bußgelder, Klagen und Verlust des Kundenvertrauens.

Das Gesundheitswesen war ein besonders deutliches Beispiel dafür, was auf dem Spiel steht, wenn Double Extortion gelingt. Patientendaten vereinen einige der sensibelsten Datentypen, die es gibt – Krankengeschichten, Versicherungsdaten, Sozialversicherungsnummern – alles an einem Ort. Das ist einer der Gründe, warum ein datenschutzrelevanter Vorfall im Gesundheitswesen, der zig Millionen Patienten betraf, zu einer so eindrücklichen Fallstudie darüber wurde, was passiert, wenn gestohlene Daten nicht bloß auf einem Server verschlüsselt, sondern in kriminelle Hände gelangen.

Das übergeordnete Muster für 2025 ist kein schrumpfender Pool von Ransomware-Akteuren, die sich auf weniger, aber größere Ziele stürzen. Es ist das Gegenteil: ein zersplittertes und wettbewerbsintensiveres kriminelles Ökosystem, in dem mehrere Gruppen gleichzeitig Double-Extortion-Kampagnen in verschiedenen Branchen durchführen. Diese Diversifizierung wird in der Berichterstattung darüber vertieft, wie Ransomware-Banden sich auf dem Weg ins Jahr 2026 vermehren, ohne dass eine Verlangsamung des Gesamttrends in Sicht ist.

Welche Rolle Verschlüsselung und VPNs in einer mehrschichtigen Verteidigung spielen

Kein einzelnes Werkzeug kann Double Extortion aufhalten, aber ein mehrschichtiger Ansatz verringert sowohl die Wahrscheinlichkeit eines Angriffs als auch den Schaden, wenn doch einer eintritt.

Ruhende sensible Daten – also auf Servern oder Geräten gespeicherte – zu verschlüsseln, bedeutet, dass selbst wenn Angreifer Dateien entwenden, das Gestohlene ohne die richtigen Schlüssel möglicherweise unlesbar ist. Das verhindert zwar keinen Angriff, kann aber die Leak-Drohung, die Double Extortion ihre Bissigkeit verleiht, neutralisieren.

Ebenso wichtig ist die Verschlüsselung von Daten während der Übertragung. Ein VPN schafft einen verschlüsselten Tunnel für Daten, die zwischen Geräten und Netzwerken bewegt werden. Das hilft zu verhindern, dass Angreifer Anmeldedaten oder Dateien abfangen, während sie über weniger sichere Verbindungen reisen, etwa in öffentlichem WLAN oder bei Remote-Zugängen. Für hybride und Remote-Belegschaften schließt das einen der gängigen Einstiegspunkte, über die sich Ransomware-Gruppen Erstzugriff verschaffen, bevor sie ihre Verschlüsselungsnutzlast einsetzen.

Weder Verschlüsselung noch VPN ersetzen Endgerätesicherheit, Netzwerksegmentierung oder Mitarbeiterschulungen im Hinblick auf Phishing, das nach wie vor ein Haupteinfallstor für Ransomware ist. Aber zusammen verkleinern diese Schichten die Angriffsfläche und begrenzen, was Kriminelle mit den Daten, die sie stehlen können, tatsächlich anfangen können.

Was das für Sie bedeutet

Wenn Sie ein Unternehmen führen, ist die Schlussfolgerung eindeutig: Eine reine Backup-Strategie ist kein vollständiger Ransomware-Verteidigungsplan mehr. Sie müssen auch darüber nachdenken, was passiert, wenn Ihre Daten gestohlen werden, nicht nur wenn sie verschlüsselt werden. Das bedeutet, sensible Dateien im Ruhezustand zu verschlüsseln, Remote-Zugänge mit VPNs zu sichern, von vornherein einzuschränken, wer auf sensible Daten zugreifen kann, und einen Incident-Response-Plan zu haben, der öffentliche Leak-Drohungen berücksichtigt, nicht nur Systemausfälle.

Wenn Sie Privatperson sind, ist das Risiko indirekter, aber dennoch real. Ihre persönlichen Daten – Krankenakten, Finanzdaten, Anmeldedaten – befinden sich möglicherweise in Systemen von Unternehmen oder Dienstleistern, die ins Visier von Double-Extortion-Angriffen geraten. Starke, einzigartige Passwörter, die Aktivierung der Multi-Faktor-Authentifizierung und ein umsichtiger Umgang mit der Herausgabe sensibler Informationen an Organisationen reduzieren Ihr persönliches Risiko, wenn es anderswo zu einem Datenleck kommt.

Umsetzbare Empfehlungen

• Betrachten Sie Backups als Wiederherstellungsversicherung, nicht als vollständige Ransomware-Abwehr; sie verhindern keine Datenleck-Erpressung.
• Verschlüsseln Sie sensible Daten sowohl im Ruhezustand als auch bei der Übertragung und verwenden Sie ein VPN für den Remote-Zugriff, um das Abhörrisiko zu verringern.
• Gehen Sie davon aus, dass jede Organisation, die Ihre persönlichen Daten speichert, zum Ziel werden kann, und überwachen Sie Konten nach einem gemeldeten Vorfall auf ungewöhnliche Aktivitäten.
• Unternehmen sollten Incident-Response-Pläne entwickeln, die ausdrücklich Szenarien von Datenlecks behandeln, nicht nur die Systemwiederherstellung.

Double-Extortion-Ransomware im Jahr 2025 spiegelt eine grundlegende Wahrheit moderner Cyberbedrohungen wider: Angreifer passen sich schneller an, als statische Verteidigungen mithalten können. Informiert zu bleiben, wie sich diese Taktiken weiterentwickeln, und Verschlüsselung, Zugriffskontrollen und sichere Verbindungen entsprechend mehrschichtig einzusetzen, bleibt der praktikabelste Weg, um Risiken in einem Umfeld zu reduzieren, in dem Backups allein nicht mehr ausreichen.