Im Juli 2026 dokumentierten Sicherheitsforscher den vollautomatischen Angriff auf ein Unternehmen. Ein KI-Programm brach selbstständig in ein Firmennetz ein, durchsuchte es nach Passwörtern, breitete sich aus und verschlüsselte am Ende eine komplette Datenbank — vom Einbruch bis zur Erpressung. Von einem Hacker irgendwo auf der Welt bei einer KI in Auftrag gegeben. Das ist die Richtung, in die sich Ransomware bewegt. Und es ist nicht die einzige Veränderung.
Zahlen zwecklos - behalten Sie Ihr Geld
Früher war Ransomware ein einfacher Handel: Die Angreifer verschlüsselten die Daten, das Opfer zahlte, die Daten kamen (vielleicht) zurück. Heute reicht das den Tätern nicht mehr. Viele stehlen die Daten erst, bevor sie sie verschlüsseln — und drohen dann zusätzlich, alles zu veröffentlichen. Fachleute bei Cisco Talos nennen das den „Double Tap".
Bei dem Beispiel zu Beginn der Lektion verschlüsselte die KI die Daten mit einem Schlüssel, den sie einmal erzeugte, kurz anzeigte — und nie speicherte oder verschickte. Die Erpresser forderten trotzdem Bitcoin. Das Opfer hätte seine Daten also selbst nach einer Zahlung nicht zurückbekommen können, weil der Schlüssel schlicht nicht mehr existierte. Ein extremes Beispiel für die allgemeine Regel:
Entschlüsselte Daten nach einer Lösegeldzahlung
ist ein Versprechen von Kriminellen, kein Vertrag.
Die Folge ist bitter: Wer zahlt, kauft sich nicht frei. Er löst bestenfalls das erste Problem (die Verschlüsselung), aber die gestohlenen Daten bleiben in fremder Hand. Deshalb rät das BSI grundsätzlich davon ab, Lösegeld zu zahlen — es gibt keine Garantie für die "Rückgabe", und der Erpressen behält sowieso eine Kopie davon auf seinen Servern. Und wer einmal zahlt, zahlt auch zweimal oder dreimal oder, oder, oder.
Wer zahlt,
kauft sich nicht frei.
Angriff von der Stange:
Ransomware as a Service
Man muss heute nicht mehr programmieren können, um einen Ransomware-Angriff zu starten. Kriminelle Anbieter verkaufen fertige Angriffs-Baukästen wie ein gewöhnliches Software-Abo — Ransomware as a Service.
Das klingt nach einem technischen Detail, hat aber eine unangenehme Konsequenz für alle: Weil die Einstiegshürde gefallen ist, gibt es viel mehr Angreifer. Ransomware ist vom Spezialwerkzeug zur Massenware geworden — und Massenware trifft am Ende auch kleine Betriebe, die früher „unter dem Radar" blieben.
Und jetzt greift die KI allein an
Der Fall aus dem Einstieg — von den Forschern JADEPUFFER genannt — ist der erste dokumentierte Ransomware-Angriff, den eine KI von Anfang bis Ende allein gefahren hat. Das Beunruhigende daran ist nicht ein einzelner neuer Trick, sondern die Kombination: Die KI erledigte Aufgaben, für die es früher einen erfahrenen Angreifer brauchte — und das rund um die Uhr, in enormer Geschwindigkeit und praktisch umsonst.
Und was heißt das für Sie? Zunächst: JADEPUFFER kam nicht über einen Menschen ins Netz, sondern über eine offene technische Lücke auf einem Server, die sich die KI gesucht hat. Silche Lücken muss die IT kennen und im Griff haben.
Aber dieselbe KI-Automatisierung trifft auch den zweiten, für Sie entscheidenden Einfallsweg: das Phishing. Eine KI schreibt täuschend echte Nachrichten in Sekunden und verschickt sie in Wellen — Tag für Tag, hundertfach, unermüdlich. Genau das ist die Absicht: Sie sollen zermürbt werden, bis Sie in einem Moment der Eile, Müdigkeit oder Ablenkung den einen Fehler machen, auf den es die Angreifer abgesehen haben: Sie klicken.
Die Rechnung ist erbarmungslos zugunsten der Angreifer — dieser muss nur ein einziges Mal treffen, Sie müssen jedes Mal überlegen un d entscheiden. Genau deshalb ist der aufmerksame Mensch am Bildschirm die erste Verteidigungslinie.
Die schusssichere Weste für Unternehmen: das Backup
Wachsamkeit ist die eine Säule. Die zweite trägt auch dann noch, wenn ein Klick doch einmal danebengeht — und sie ist gegen Ransomware der stärkste Schutz überhaupt: das Backup. Die ganze Erpressung funktioniert nur, weil die Angreifer Ihre Daten in Geiselhaft nehmen. Gibt es eine unversehrte, vom Befall nicht erreichte Sicherungskopie, lassen sich die Daten zurückholen, und der Erpresser läuft ins Leere. Der Haken steckt genau in diesem Wort: unversehrt — und daran scheitert es in der Praxis oft.
Wie so ein Backup technisch angelegt wird, ist Sache der IT. Für Sie im Alltag zählt nur eines: Speichern Sie Ihre Arbeit dort, wo das Unternehmen sichert — auf dem Server oder den freigegebenen Laufwerken, nicht lokal auf Ihrem eigenen Gerät. Nur was auf den zentralen Datenspeichern liegt, ist vom Backup abgedeckt.
Ein Backup schützt nur, wenn es vom Angriff nicht erreicht wurde — und das ist kniffliger, als es klingt. Angreifer sind oft schon einige Tage bis zwei Wochen unbemerkt im Netz, bevor sie zuschlagen; die eigentliche Verschlüsselung beginnt dann häufig nachts oder am Wochenende. In dieser Zeit kann die Schadsoftware längst in die Sicherungen gelangt sein — wird ein solches Backup zurückgespielt, holt man sich das Problem gleich mit zurück. Und selbst eine unversehrte Kopie nützt wenig, solange die Angreifer noch im Netz sind oder eine Hintertür hinterlassen haben: Dann wird nach der Wiederherstellung einfach erneut verschlüsselt. Deshalb gilt — und das ist Sache der IT: erst das Netzwerk vollständig bereinigen, dann aus einer integren Sicherung zurückspielen, nie einfach das Backup drüberbügeln. Wo ein betroffenes Unternehmen im Ernstfall anfängt, zeigt das BSI mit Checklisten Schritt für Schritt: Ich habe einen IT-Sicherheitsvorfall – was tun?
Ransomware wird erpresserischer, billiger und selbstständiger. Die KI kann technisch selbst eindringen; über Phishing bleiben Sie das Ziel. Deshalb zählen zwei Dinge: Aufmerksamkeit als erste Säule und ein sauberes Backup als zweite, das den Schaden im Ernstfall auffängt.
