Ransomware ist Schadsoftware, die Daten verschlüsselt oder Systeme sperrt und für die Freigabe ein Lösegeld fordert, meist in Kryptowährung. Verbreitet ist inzwischen die doppelte Erpressung, bei der Daten vor der Verschlüsselung abgezogen werden und zusätzlich mit ihrer Veröffentlichung gedroht wird; ein Backup allein löst das Problem dann nicht mehr. Der Einstieg erfolgt typischerweise über Phishing, gestohlene Zugangsdaten für Fernzugänge oder ungepatchte Schwachstellen an aus dem Internet erreichbaren Systemen.
Angeboten wird die Technik arbeitsteilig als Dienstleistung, was Angriffe auch ohne eigenes technisches Können ermöglicht und die Zahl der Fälle erklärt. Von einer Zahlung raten Ermittlungsbehörden ab, weil sie das Geschäftsmodell trägt und keine Gewähr für die Wiederherstellung oder die Vernichtung der abgeflossenen Daten bietet; die Entscheidung bleibt eine unternehmerische, sollte aber mit Rechtsberatung und Versicherung getroffen werden.
Vorbeugend zählt eine Kombination: Mehr-Faktor-Authentifizierung auf allen Fernzugängen, konsequentes Patchen, Netzwerksegmentierung, eingeschränkte Rechte und Sicherungen, die offline oder unveränderlich liegen und regelmäßig zurückgespielt werden. Ein Vorfall mit personenbezogenen Daten löst regelmäßig die Meldepflicht binnen 72 Stunden aus (Art. 33 DSGVO), auch dann, wenn nur verschlüsselt und nichts abgezogen wurde, weil bereits der Verlust der Verfügbarkeit eine Verletzung darstellt.