Sicherheit 11. April 2026 · Milan Cák · 11 min čítania

Viren und Malware im Unternehmen: Wie man sich schützt

Arten von Viren und Malware für DACH-Unternehmen — Ransomware, Trojaner, Spyware, Phishing. Wie man EDR auswählt, wie man bei Infektion vorgeht, konkrete Präventionsschritte.

Súčasť série: Cybersicherheit für Unternehmensdaten: Der vollständige Leitfaden

Für DACH-Unternehmen ist Malware die häufigste IT-Krise. BSI-Statistiken zeigen, dass 2025 jedes dritte mittelgroße Unternehmen einen schwerwiegenden Sicherheitsvorfall erlebt hat. Ein Großteil war durch grundlegende Maßnahmen vermeidbar.

Dieser Artikel gibt Unternehmens-inhabern und IT-Verantwortlichen einen praktischen Überblick: Was sind die aktuellen Bedrohungen, wie erkennt man eine Infektion, wie reagiert man und wie schützt man sich.

Malware-Typen in 2026

Ransomware — die dominante Bedrohung

Ransomware verschlüsselt Dateien auf dem infizierten System und verlangt Lösegeld (typisch 50.000–500.000 EUR für DACH-KMU) für den Entschlüsselungsschlüssel.

So funktioniert ein typischer Ransomware-Angriff:

Einstieg — Phishing-E-Mail, infizierter Anhang oder Schwachstelle in VPN/RDP
Lateral Movement — Angreifer erkundet das Netzwerk, sucht weitere Systeme, Backups
Backup-Sabotage — oft werden zuerst Backups gelöscht oder verschlüsselt
Verschlüsselung — alle erreichbaren Dateien werden verschlüsselt
Lösegeld-Forderung — Kontaktaufnahme mit Instruktionen

Bekannte Gruppen in 2026: LockBit, BlackCat/ALPHV, Cl0p, Play, Royal.

Kosten eines Ransomware-Vorfalls für DACH-KMU (50–200 Mitarbeiter):

Downtime: 9 Tage × Tagesumsatz
Forensische Analyse: 15.000–40.000 EUR
Rechtliche + Benachrichtigungskosten: 10.000–25.000 EUR (DSGVO)
Infrastruktur-Neuinstallation
NIS2-Bußgelder bis 2 % Umsatz
Gesamt: 80.000–350.000 EUR (ohne Lösegeld)

Trojaner — der häufigste Einstiegspunkt

Ein Trojaner tarnt sich als legitimes Programm (PDF-Reader-Update, Business-Software, E-Mail-Anhang). Nach dem Ausführen installiert er Schadcode oder öffnet eine Backdoor für den Angreifer.

Varianten:

RAT (Remote Access Trojan) — gibt dem Angreifer vollständige Kontrolle über den Computer
Banking Trojan — fängt Online-Banking-Sitzungen ab, manipuliert Überweisungen
Dropper — lädt weitere Malware nach (Ransomware, Keylogger)

Spyware und Keylogger

Spyware sammelt still Daten: Zugangsdaten, vertrauliche Dokumente, E-Mails. Keylogger zeichnen alle Tastatureingaben auf — besonders wertvoll für Passwörter und Banking-Daten.

Im DACH-B2B-Kontext besonders gefährlich: Spyware, die über Monate unentdeckt bleibt und systematisch Business Intelligence sammelt.

Worms — selbstverbreitende Schadsoftware

Im Gegensatz zu Viren benötigen Worms keine Benutzeraktion zum Verbreiten. Sie nutzen Netzwerkschwachstellen, um sich von Computer zu Computer zu verbreiten. In Unternehmensnetzwerken können sie sich in Minuten ausbreiten.

Bekanntes Beispiel: WannaCry (2017) infizierte über 200.000 Computer weltweit in einem Tag, darunter viele Krankenhäuser und Unternehmen.

Fileless Malware

Eine zunehmende Kategorie: Fileless Malware hinterlässt keine Dateien auf der Festplatte. Sie operiert direkt im Arbeitsspeicher und nutzt legitime System-Tools (PowerShell, WMI) für schädliche Aktionen.

Klassische Antivirussoftware kann Fileless Malware oft nicht erkennen — ein weiterer Grund für EDR.

Wie Malware ins Unternehmen kommt

Phishing — Eingangstor Nr. 1

~60 % aller Unternehmensinfektion beginnen mit einer Phishing-E-Mail. Der Mitarbeiter klickt auf einen Link oder öffnet einen Anhang, der Malware ausführt oder Anmeldedaten stiehlt.

In 2026 sind Phishing-E-Mails aufgrund von KI schwer zu erkennen:

Perfekte Grammatik in Deutsch
Bekannter Absendername gespooft
Kontext-bezogener Inhalt (echte Bestellnummern, echte Namen)
Professionelles Design identisch mit echten Unternehmens-E-Mails

Schutz: E-Mail-Gateway mit Anti-Phishing, SPF/DKIM/DMARC, Mitarbeiterschulung.

Schwachstellen in Software

~30 % der Angriffe nutzen bekannte Schwachstellen in ungepatchter Software. Besonders gefährdet:

VPN-Gateways (Citrix, Fortinet, Pulse Secure)
E-Mail-Server (Exchange, Zimbra)
Web-Anwendungen (WordPress, Drupal)
RDP (Remote Desktop Protocol) ohne MFA

Schutz: Monatliches Patch-Management, keine veraltete Software, MFA für alle Fernzugriffstools.

Kompromittierte Zugangsdaten

Passwörter aus anderen Datenlecks werden gegen Unternehmenskonten getestet (Credential Stuffing). Hat ein Mitarbeiter dasselbe Passwort für LinkedIn und das Unternehmens-E-Mail, reicht ein LinkedIn-Datenleck für den Angriff.

Schutz: Passwort-Manager (einzigartige Passwörter), MFA/Passkey.

Supply-Chain-Angriffe

Angreifer kompromittieren einen Software-Anbieter und infizieren damit alle Kunden (SolarWinds, 3CX, Kaseya). Für KMU bedeutet das: Sorgfalt bei der Auswahl von Software-Anbietern.

EDR vs. klassisches Antivirus

Der wichtigste Unterschied für Unternehmensschutz:

Funktion	Klassisches Antivirus	EDR (Endpoint Detection & Response)
Erkennungsmethode	Signaturbasiert	Verhaltensbasiert + ML
Zero-Day-Erkennung	Schlecht	Gut
Fileless Malware	Nicht erkannt	Erkannt
Forensik-Daten	Minimal	Vollständig (Timeline, Prozesse, Netzwerk)
Ferngesteuerte Isolierung	Nein	Ja
Zentrale Verwaltung	Eingeschränkt	Vollständig
Preis (jährlich/Gerät)	20–60 EUR	60–180 EUR

Empfehlung für DACH-KMU 2026: EDR ist der Standard. Klassisches Antivirus schützt nicht mehr ausreichend gegen moderne Bedrohungen.

Empfohlene EDR-Lösungen:

Microsoft Defender for Endpoint — oft in M365 Business Premium enthalten, gute Integration
CrowdStrike Falcon — führend in Enterprise, auch KMU-Paket
SentinelOne — starke Automatisierung, gute DACH-Präsenz
ESET PROTECT — besondere Stärke in Mitteleuropa, DACH-Support

Vorgehen bei Malware-Infektion

Sofortmaßnahmen (erste 15 Minuten)

Gerät vom Netzwerk trennen — Netzwerkkabel ziehen, WLAN deaktivieren, VPN deaktivieren. Verhindert Ausbreitung.
Nicht neu starten — Neustart kann forensische Spuren vernichten (Fileless Malware im RAM verloren).
Weitere möglicherweise betroffene Geräte identifizieren und ebenfalls trennen.
IT-Notfallkontakt informieren — internes Team oder externe IT-Sicherheitsfirma.
Beweise sichern — Screenshots, Fotos des Bildschirms.

Triage und Assessment (erste Stunden)

Welche Systeme sind betroffen?
Sind Backups intakt oder auch kompromittiert?
Welche Daten sind möglicherweise gestohlen worden (Exfiltration)?
Handelt es sich um Ransomware, Spyware oder was anderes?

Containment und Eradication

Betroffene Systeme isoliert halten bis vollständige Bereinigung
Bei Ransomware: Entschlüsselung nur von bestätigten, sauberen Backups
Kompromittierte Zugangsdaten sofort rotieren
Patch für ausgenutzte Schwachstelle einspielen

Recovery

Systeme von sauberen Backups wiederherstellen
Integrität der wiederhergestellten Daten überprüfen
Schrittweise Wiederinbetriebnahme
Überwachung auf Wiederauftreten

Post-Incident

Root-Cause-Analyse: wie kam die Malware rein?
Maßnahmenplan zur Verhinderung ähnlicher Vorfälle
Meldepflichten erfüllen (DSGVO: 72 Stunden; NIS2: 24 Stunden Early Warning)

Lösegeld zahlen oder nicht?

Bei Ransomware: BSI und BKA empfehlen nicht zu zahlen.

Gründe:

65 % der Zahlenden erhalten keinen funktionierenden Entschlüsselungsschlüssel
Zahlung finanziert weitere Angriffe
Keine Garantie, dass gestohlene Daten nicht veröffentlicht werden
Rechtliche Risiken (Zahlungen an sanktionierte Gruppen können illegal sein)

Alternative: Wiederherstellung aus immutable Backups. Wenn Sie gute Backups haben (3-2-1-Regel, immutable, regelmäßig getestet), ist Zahlung selten notwendig.

Malware-Prävention: Checkliste

Mindeststandard für DACH-KMU 2026:

Häufige Fragen

Was ist der Unterschied zwischen einem Virus und Malware? Malware ist der Oberbegriff für jeglichen Schadcode. Ein Virus ist eine spezifische Unterart, die sich durch Anhängen an Dateien verbreitet. Weitere Typen: Worm (selbstverbreitend), Trojan (getarnt als legitimes Programm), Ransomware (verschlüsselt Dateien), Spyware (stiehlt Daten), Keylogger (zeichnet Tastatureingaben auf).

Wie erkenne ich eine Malware-Infektion? Anzeichen: ungewöhnlich langsamer Computer, unbekannte Programme installiert, Antivirussoftware deaktiviert, ungewöhnliche Kontoanmeldungen, Dateien die nicht geöffnet werden können. Bei Verdacht: sofort Gerät vom Netzwerk trennen, IT kontaktieren.

Reicht Windows Defender? Als Basisschutz für bekannte Bedrohungen ja. Für Unternehmen empfehlen wir Microsoft Defender for Endpoint (Business-Version) oder ein separates EDR: zentrales Management, Forensik-Daten, Verhaltensanalyse, Fernsteuerung.

Was tun bei Ransomware-Befall? Sofortmaßnahmen: (1) Gerät vom Netzwerk trennen, (2) nicht neu starten, (3) IT-Notfall kontaktieren, (4) Backups prüfen, (5) Lösegeld nicht zahlen. NIS2-Meldepflicht: BSI innerhalb 24 Stunden Early Warning.

Milan Cák

Modulario

📚 Pillar článok

Cybersicherheit für Unternehmensdaten: Der vollständige Leitfaden

Praktischer Cybersicherheits-Leitfaden für KMU in DACH — Viren, Ransomware, Phishing, 2FA, SSL, VPN, Backups und Incident Response. Konkrete Schritte, keine abstrakte Theorie.

Prečítať komplet →

Často kladené otázky

Was ist der Unterschied zwischen einem Virus und Malware?

Malware (malicious software) ist der Oberbegriff für jeglichen Schadcode. Ein Virus ist eine spezifische Unterart von Malware, die sich durch Anhängen an andere Dateien verbreitet und eine Benutzeraktion (z. B. Öffnen einer Datei) erfordert. Weitere Malware-Typen: Worm (selbstverbreitend ohne Benutzeraktion), Trojan (tarnt sich als legitimes Programm), Ransomware (verschlüsselt Dateien und verlangt Lösegeld), Spyware (stiehlt Daten), Keylogger (zeichnet Tastatureingaben auf).

Wie erkenne ich, ob mein Unternehmenscomputer mit Malware infiziert ist?

Typische Anzeichen: (1) Ungewöhnlich langsamer Computer oder starker Netzwerktraffic ohne erkennbare Ursache — Malware kommuniziert mit Command-and-Control-Servern. (2) Neue, unbekannte Programme oder Browser-Erweiterungen, die sich selbst installiert haben. (3) Antivirus-Software deaktiviert oder kann nicht gestartet werden — viele Malware-Typen versuchen Schutztools zu deaktivieren. (4) Ungewöhnliche Kontoanmeldungen aus unbekannten IPs oder zu unüblichen Zeiten. (5) Dateien, die nicht mehr geöffnet werden können (Ransomware-Anzeichen). Bei Verdacht: sofort Gerät vom Netzwerk trennen, IT-Support kontaktieren.

Reicht Windows Defender oder brauche ich ein zusätzliches Antivirusprogramm?

Windows Defender (Microsoft Defender Antivirus) ist in 2026 ein solider Basisschutz — AV-Tests geben ihm regelmäßig 99 %+ Erkennungsrate für bekannte Bedrohungen. Für Unternehmen empfehlen wir jedoch Microsoft Defender for Endpoint (die Business-Version) oder ein separates EDR. Der Unterschied: EDR bietet zentrales Management, Forensik-Daten nach einem Angriff, Verhaltensanalyse und Fernausführung von Isolierungs- und Remediation-Aktionen — für eine IT-Abteilung unverzichtbar.

Was soll ich tun, wenn mein Unternehmen von Ransomware getroffen wurde?

Sofortmaßnahmen: (1) Infiziertes Gerät sofort vom Netzwerk trennen (Kabel ziehen, WLAN deaktivieren) — verhindert Ausbreitung. (2) Weitere Geräte isolieren, die möglicherweise betroffen sind. (3) IT-Notfallkontakt und Versicherung kontaktieren. (4) NICHTS löschen — forensische Spuren bewahren. (5) Backups überprüfen — sind sie von der Verschlüsselung betroffen? (6) Lösegeld in der Regel nicht zahlen — 65 % der Zahlungen erhalten keinen funktionierenden Schlüssel. (7) Regulierungsbehörde melden (NIS2: BSI innerhalb 24 Stunden). Den Fehler, den viele machen: infiziertes Gerät neuinstarten und weitermachen — das kann Forensikspuren vernichten.