Die nächste Generation der Cyberbedrohung Wie KI Ransomware angreift – und wie Unternehmen reagieren müssen

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

Impossible Cloud GmbH

Ransomware war schon immer eine ernsthafte und lästige Bedrohung. Mit dem Einsatz von KI wird sie noch raffinierter – und damit beunruhigender. Cyberkriminelle nutzen KI, um ihre Angriffe zu perfektionieren. Aber die Verteidigung ist nicht machtlos.

Ransomware bleibt das Damoklesschwert über jedem Unternehmen – vom Handwerksbetrieb bis zum Konzern. Was früher oft Wochen oder sogar Monate dauerte, geschieht heute in kürzester Zeit: Systeme brechen zusammen, Produktionslinien stehen still, Kundendaten werden verschlüsselt. Die Folgen? Meist verheerend – und längst nicht nur finanziell. Jetzt kommt KI ins Spiel und verstärkt die Bedrohungslage. Cyberangriffe werden gezielter, automatisierter und schwerer zu erkennen. Das zwingt Unternehmen zum Umdenken: IT-Sicherheit und Compliance dürfen keine getrennten Baustellen mehr sein. Denn Sicherheit ohne Compliance ist blind, und Compliance ohne Sicherheit ist leer – nur gemeinsam schaffen sie wirksamen und nachweisbaren Schutz. Auch IT-Dienstleister – Systemhäuser, MSP, Integratoren – geraten stärker in den Fokus: Sie sind zugleich lohnendes Ziel und unverzichtbarer Schutzfaktor.

KI als Treiber moderner Ransomware

Künstliche Intelligenz macht Ransomware effizienter – und das ist beunruhigend konkret. Angreifer scannen automatisiert ganze Netzwerke, priorisieren Schwachstellen und variieren Exploit-Kits sowie Angriffsketten. Was IT-Teams früher Tage kostete, läuft heute in Minuten bis Stunden – oft vollautomatisiert. Besonders perfide: Stimmen- und zunehmend Video-Deepfakes machen Social Engineering zum Präzisionsinstrument; Phishing-Inhalte sind so glaubwürdig, dass sie selbst geschulte Mitarbeitende treffen können, auch direkt in Kollaborations-Tools. Ransomware-as-a-Service senkt seit Jahren die Einstiegshürden. KI senkt sie weiter durch Automatisierung, bessere Täuschung und schnellere Skalierung. Die Hemmschwelle sinkt, die Schlagkraft steigt.

Das Problem verschärft sich für IT-Dienstleister. Wer Systeme überwacht oder Sicherheitsdienste anbietet, steht im Fadenkreuz: RMM-/Supply-Chain-Angriffe zielen auf die zentrale Rolle von MSP. Eine durchdachte Sicherheitsstrategie muss beide Perspektiven zusammenführen: Früh erkennen, schnell reagieren und im Ernstfall eindämmen — ergänzt um robuste Prävention (Härtung, MFA, EDR, Backups, Least Privileg) und Lieferketten-/RMM-Kontrollen (Remote Monitoring und Management).

Schutzstrategien & Handlungsfelder

Die Abwehr KI-gestützter Ransomware erfordert ein integriertes Vorgehen, das im Wesentlichen vier Handlungsfelder umfasst:

1. Technische Abwehrmaßnahmen

Technische Schutzmaßnahmen sind das Fundament. Dazu gehören:

• Regelmäßige Updates und Patch-Management: Lücken werden zeitnah geschlossen, bevor Angreifer sie automatisiert ausnutzen.

• Endpoint-Security und EDR/XDR: Moderne Lösungen mit Verhaltensanalysen und Threat Hunting erkennen verdächtige Aktivitäten frühzeitig – klassischer „Antivirus“ genügt nicht mehr.

• Backups und Restore-Tests: Nicht nur die Erstellung, sondern auch die regelmäßige Wiederherstellung wird geprüft. Idealerweise werden Backups immutable, offline oder in strikt getrennten Clouds gespeichert.

• Netzwerk- und Mikrosegmentierung: Kritische Systeme werden isoliert, damit ein Angriff nicht das gesamte Unternehmensnetzwerk kompromittiert.

• Zugriffskontrollen und Zero-Trust: Mitarbeitende erhalten nur die Rechte, die sie benötigen; Identitäten werden konsequent überprüft und jede Aktion protokolliert.

Diese Maßnahmen reduzieren die Angriffsfläche erheblich und bilden die Basis für organisatorische und rechtliche Schritte.

2. Rechtliche und regulatorische Anforderungen

Technik allein genügt nicht. Parallel ist die rechtliche Absicherung zwingend:

• DSGVO: Unternehmen müssen Datenschutzverletzungen binnen 72 Stunden melden (Art. 33) und jederzeit nachweisen, dass „angemessene technische und organisatorische Maßnahmen“ (Art. 32) umgesetzt sind. Ergänzend kann eine Datenschutz-Folgenabschätzung (DSFA, Art. 35) erforderlich sein, insbesondere wenn KI-gestützte Systeme eingesetzt werden, die ein hohes Risiko für die Rechte und Freiheiten von Betroffenen mit sich bringen. Ziel ist es, Risiken strukturiert zu identifizieren, zu bewerten und durch Schutzmaßnahmen zu minimieren. Ergebnisse und ergriffene Maßnahmen sind zu dokumentieren und fortlaufend zu überprüfen.

• IT-Sicherheitsgesetz 2.0: Höhere Anforderungen an KRITIS-Betreiber und Hersteller kritischer Komponenten; auch andere Organisationen orientieren sich daran, um den Stand der Technik einzuhalten.

• NIS2/DORA: Erweitern die Pflichten für zahlreiche Branchen (im Falle von DORA insbesondere für Finanzinstitute), unter anderem durch Vorfallmeldungen, Risikomanagement und Lieferkettenkontrollen.

• Verantwortung der Leitung: Die Geschäftsführung trägt die Gesamtverantwortung für die Einhaltung rechtlicher und technischer Anforderungen und kann bei Pflichtverletzungen persönlich haftbar gemacht werden.

Auch Partner und Dienstleister sind einzubeziehen: Wer Monitoring, Betrieb oder Patch-Management übernimmt, agiert oft als Auftragsverarbeiter, NIS2-relevante Lieferkette und/oder als IKT-Drittdienstleister im Sinne des DORA. Verträge und Service-Level-Agreements müssen Zuständigkeiten klar regeln – sowohl für technische Sicherheit als auch für rechtliche Absicherung.

3. Organisatorische Prozesse

Mitarbeitende bleiben eine zentrale Angriffsfläche – und zugleich der wichtigste Sensor. Effektive organisatorische Maßnahmen umfassen:

• Schulungen und Awareness: Rollenbasiert, szenario- und verhaltensorientiert (u. a. Phishing, Social Engineering, Deepfakes). Ergänzt durch Kennzahlen zur Wirksamkeit wie Reporting-Quote und Time-to-Report.

• Notfallpläne und Eskalation: Klar definierte Rollen und Phasen im Incident Response (Triage, Analyse, Containment, Eradication, Recovery, Lessons Learned). Dazu feste Kommunikationswege – auch für Datenschutzmeldungen – sowie ein abgestimmtes Eskalationsschema.

• Simulationen und Übungen: Tabletop-, technische und Live-Übungen, die reale Angriffe nachstellen, erhöhen die Reaktionsfähigkeit und führen zu messbaren Verbesserungen in Prozessen und Abläufen.

4. Zusammenarbeit mit Partnern

Viele Maßnahmen gelingen nur in enger Abstimmung mit Systemhäusern, Managed Service Providern und Integratoren. Klare Vereinbarungen regeln Zuständigkeiten so, dass technische, organisatorische und rechtliche Aufgaben ineinandergreifen:

• Datenschutz-Verträge: Schriftliche Auftragsverarbeitungsverträge mit klaren Mindestinhalten, insbesondere zu TOMs, Weisungen, Nachweisen und Unterauftragsvergabe.

• Risikomanagement und Lieferkette: Sicherheits- und Meldepflichten müssen vertraglich und organisatorisch verankert sein; auch Lieferkettenkontrollen gehören dazu.

• RMM-/MSP-Sicherungen: Missbrauch legitimer Fernwartungstools ist ein häufiger Angriffsvektor. Dagegen helfen Allow-Lists, signierte Binaries, Telemetrie und strenges Rechte- sowie Zugangsmanagement.

KI im Kampf gegen KI

KI kann auch die Verteidigung stärken: Moderne Systeme nutzen Anomalie- und Verhaltensanalysen sowie (teil-)automatisierte Reaktionen. Wichtig bleibt jedoch, dass menschliche Expertise eingebunden ist und Modelle regelmäßig überwacht und angepasst werden, um Fehler und Umgehungen zu vermeiden. Angreifer entwickeln ihre Verfahren kontinuierlich weiter; erste KI-gestützte Ransomware-Prototypen zeigen, wohin sich die Bedrohungslage entwickelt. Unternehmen müssen daher ihre Strategien fortlaufend anpassen und gegensteuern.

Fazit

KI verändert die Spielregeln bei Ransomware grundlegend: Angriffe werden raffinierter, automatisierter und schwerer zu erkennen, während regulatorische Anforderungen wachsen. Unternehmen und ihre Partner müssen deshalb alle Handlungsfelder konsequent angehen – Technik, Organisation, Recht/Compliance und Partnerkoordination. Nur im Zusammenspiel entsteht wirksamer und nachweisbarer Schutz, der langfristige Resilienz ermöglicht.

Über den Autor

Dr. Jan Scharfenberg, LL.M. (Stellenbosch), ist Director für Informationssicherheit bei der ISiCO Datenschutz GmbH. Dort unterstützt er Unternehmen beim Aufbau von Informationssicherheitsmanagementsystemen (ISMS) sowie bei der Compliance mit Regulierungen wie DORA, NIS2, BSI-G, KRITIS-VO und dem Cyber Resilience Act. Darüber hinaus ist er als Rechtsanwalt bei Schürmann Rosenthal Dreyer Rechtsanwälte tätig.

(ID:50536851)