15 Oktober 2026

Ransomware ist Schadsoftware, mit der Angreifer Systeme oder Daten blockieren beziehungsweise verschlüsseln, um Druck für eine Lösegeldforderung aufzubauen. Angriffe können zusätzlich den Diebstahl von Daten und die Drohung mit deren Veröffentlichung umfassen. In Produktionsunternehmen können sowohl unmittelbar betroffene Systeme als auch die Abhängigkeit von ausgefallenen IT-Diensten den Betrieb beeinträchtigen.

Was bedeutet Ransomware für die Produktion?

Die Folgen beschränken sich nicht auf einen gesperrten Bürorechner. Auftragsinformationen, Qualitätsunterlagen oder Logistiksysteme können für einen geregelten Produktionsablauf erforderlich sein. Sind sie nicht mehr verfügbar oder nicht mehr vertrauenswürdig, kann eine Anlage trotz funktionsfähiger Steuerung nicht wie vorgesehen betrieben werden.

Das BSI beschreibt Ransomware als Schadprogramme zur Blockade von Systemen oder Verschlüsselung von Daten. In seinen Hinweisen zur Erkennung weist es außerdem auf Datenabfluss und die mögliche Löschung lokaler Sicherungen hin. Die Bewertung eines Vorfalls muss deshalb über die sichtbare Verschlüsselung hinausgehen.

Ein Angriff kann mehrere Folgen gleichzeitig haben: fehlende Verfügbarkeit, unklare Integrität von Informationen und Verlust ihrer Vertraulichkeit. Eine wieder lesbare Datei beantwortet nicht automatisch die Frage, ob sie zuvor verändert oder kopiert wurde.

Direkte und indirekte Auswirkungen unterscheiden

Betroffener Bereich	Mögliche Folge	Produktionsbezogene Frage
Auftrags- und Planungssysteme	Benötigte Aufträge oder Termine fehlen	Welche freigegebenen Informationen sind noch verfügbar?
Qualitätssysteme	Prüfdaten und Freigaben sind nicht nutzbar	Welche Produkte dürfen weiterbearbeitet oder geliefert werden?
Engineering-Systeme	Programme und Konfigurationen sind unklar	Welcher Zustand ist vertrauenswürdig?
Logistik und Versand	Material- oder Warenbewegungen stocken	Welche zulässigen Ersatzabläufe bestehen?
OT-Komponenten	Überwachung oder Steuerungsfunktionen sind beeinträchtigt	Wie wird ein beherrschbarer Anlagenzustand hergestellt?

Der tatsächlich betroffene Umfang muss fachlich untersucht werden. Aus dem Ausfall eines IT-Systems folgt nicht automatisch eine Manipulation jeder Steuerung. Umgekehrt darf aus weiterlaufenden Maschinen nicht geschlossen werden, dass der gesamte Produktionsprozess unbeeinträchtigt ist.

Wie können sich die Folgen ausbreiten?

Gemeinsame Konten, weitreichende Berechtigungen und unkontrollierte Verbindungen können Auswirkungen vergrößern. Auch Abhängigkeiten von zentralen Diensten spielen eine Rolle. Wenn mehrere Bereiche dieselben Informationen oder Verwaltungsfunktionen benötigen, kann deren Ausfall viele Tätigkeiten gleichzeitig betreffen.

Eine geeignete Netzwerksegmentierung kann bestimmte Ausbreitungswege begrenzen. Sie beseitigt jedoch nicht jede Abhängigkeit. Ein getrenntes Produktionsnetz benötigt möglicherweise weiterhin freigegebene Auftragsdaten aus einem betroffenen System. Technische Trennung und betriebliche Fortführbarkeit sind daher gemeinsam zu planen.

Bei der Vorbereitung sollten Unternehmen besonders die Funktionen betrachten, ohne die wichtige Tätigkeiten nicht fortgeführt werden können. Dazu zählen neben Technik auch Ansprechpartner, Unterlagen und externe Dienstleistungen.

Praxisbeispiel: Fertigung läuft, Versand ist eingeschränkt

Das folgende Beispiel ist fiktiv. Nach einem Ransomware-Vorfall ist ein zentrales System nicht verfügbar. Die Steuerungen einer Montage arbeiten weiter, aber aktuelle Versand- und Freigabeinformationen können nicht zuverlässig abgerufen werden. Der Betrieb bewertet deshalb nicht nur den Zustand der Maschinen, sondern den gesamten Auftragsprozess.

Für einen begrenzten Teil der Produkte existiert ein vorbereiteter Ersatzablauf mit unabhängig verfügbaren, geprüften Informationen. Nur diese Aufträge werden entsprechend den festgelegten Zuständigkeiten weiterbearbeitet. Andere Aufträge bleiben zurückgestellt, bis ihre Voraussetzungen geklärt sind.

Die Wiederherstellung erfolgt in einer abgestimmten Reihenfolge. Vor der erneuten Nutzung werden die erforderlichen Systeme und Daten geprüft. Im Ersatzablauf entstandene Informationen müssen anschließend kontrolliert abgeglichen werden, damit keine widersprüchlichen Bestände oder doppelten Aufträge entstehen.

Das Beispiel zeigt, dass ein Produktionsunternehmen auch durch einen indirekten Systemausfall erheblich betroffen sein kann. Eine unverändert laufende Maschine ist kein ausreichender Nachweis dafür, dass die vorgesehenen Leistungen weiterhin sicher und nachvollziehbar erbracht werden.

Schutz und Vorbereitung im Unternehmen

Zugriffe und Änderungen beherrschen

Benutzer- und Dienstkonten benötigen passende Rechte. Nicht mehr benötigte Zugänge sollten kontrolliert beendet und besonders weitreichende Berechtigungen gesondert betreut werden. Neue Verbindungen oder Dienste müssen in das Schutzkonzept aufgenommen werden. Für die Produktion ist dabei die Abstimmung zwischen IT und OT-Security entscheidend.

Sicherungen und Wiederherstellung prüfen

Sicherungen müssen gegen denselben Vorfall ausreichend geschützt sein und die tatsächlich benötigten Daten enthalten. Ebenso wichtig ist ein überprüfter Wiederherstellungsablauf. Dabei sind Programme, Konfigurationen, notwendige Software und betriebliche Freigaben zu berücksichtigen. Ein erfolgreiches Kopieren von Dateien ist noch kein vollständiger Wiederanlauf.

Reaktionswege vorbereiten

Das Unternehmen benötigt erreichbare Zuständige und nutzbare Kommunikationswege auch bei Ausfall üblicher Systeme. Maßnahmen für Eingrenzung und Wiederherstellung sollten mit den Anlagenverantwortlichen abgestimmt sein. Die Reaktion darf nicht unbeabsichtigt zusätzliche Gefährdungen oder unkontrollierte Prozesszustände verursachen.

Der BSI-Maßnahmenkatalog zu Ransomware verbindet technische Vorsorge mit der Vorbereitung auf Vorfälle und Wiederherstellung. Dazu gehört die Verfügbarkeit von Reaktionsplänen auch bei verschlüsselten Daten. Die konkrete Umsetzung muss auf die jeweiligen Geschäfts- und Produktionsabläufe zugeschnitten werden.

Was bei einem Vorfall organisatorisch wichtig ist

Ein vermuteter Angriff sollte über die vorgesehenen Meldewege an die zuständigen Fachleute gelangen. Diese beurteilen Umfang und notwendige Maßnahmen gemeinsam mit den Betriebsverantwortlichen. Unkoordinierte Änderungen können den Zustand verschlechtern oder wichtige Informationen für die Untersuchung verlieren lassen.

Die Behandlung umfasst üblicherweise technische Untersuchung, betriebliche Prioritäten und abgestimmte Kommunikation. Je nach Auswirkungen wird das Krisenmanagement einbezogen. Rechtliche oder vertragliche Meldeanforderungen sind für den konkreten Fall durch die zuständigen Stellen zu prüfen; sie lassen sich nicht aus dem Schlagwort Ransomware allein ableiten.

Eine Lösegeldforderung ist kein verlässlicher Wiederherstellungsplan. Der Deutsche Bundestag hat in einer veröffentlichten Zusammenfassung einer Regierungsantwort darauf hingewiesen, dass auch eine Zahlung die Wiederherstellung nicht garantiert. Zudem beantwortet eine Entschlüsselung nicht die Fragen nach verbliebenen Zugängen, Datenabfluss oder einem vertrauenswürdigen Systemzustand.

Wiederanlauf statt bloßer Entschlüsselung

Vor einer Rückkehr zum Normalbetrieb müssen die betroffenen Funktionen kontrolliert wiederhergestellt werden. Die Reihenfolge richtet sich nach den priorisierten Tätigkeiten und ihren Abhängigkeiten. Ein zentraler Dienst kann beispielsweise Voraussetzung für mehrere Anwendungen sein, während einzelne Produktionsbereiche einen vorbereiteten Ersatzablauf nutzen.

Die Freigabe sollte den vorgesehenen Leistungsumfang und noch bestehende Einschränkungen benennen. Auch Rückstände und Daten aus Zwischenlösungen sind zu berücksichtigen. Business Continuity unterstützt diese Vorbereitung, ersetzt aber nicht die technische Untersuchung des Vorfalls.

Häufige Fragen zu Ransomware

Kann Ransomware die Produktion stoppen, ohne eine SPS zu verschlüsseln?

Ja. Wenn notwendige Auftragsdaten, Qualitätsfreigaben oder Logistikfunktionen ausfallen, kann der Gesamtprozess eingeschränkt sein, obwohl Steuerungen weiterarbeiten. Die Auswirkungen hängen von den Abhängigkeiten und vorhandenen Ersatzabläufen ab. Eine Bewertung sollte deshalb sowohl direkte technische Schäden als auch indirekte betriebliche Folgen berücksichtigen.

Reicht ein Backup als Schutz?

Eine geeignete Sicherung ist eine wichtige Voraussetzung für bestimmte Wiederherstellungen, verhindert aber weder jeden Angriff noch einen Datenabfluss. Außerdem müssen Sicherungen nutzbar und vor demselben Ereignis ausreichend geschützt sein. Erst ein überprüfter Ablauf zeigt, ob Systeme und betriebliche Funktionen damit innerhalb der benötigten Zeit wiederhergestellt werden können.

Sind verschlüsselte Daten automatisch auch gestohlen?

Das lässt sich nicht allein aus der Verschlüsselung ableiten. Datenabfluss kann Teil eines Angriffs sein und muss gesondert untersucht werden. Ebenso beweist fehlende sichtbare Verschlüsselung nicht, dass keine Daten kopiert wurden. Die Bewertung benötigt geeignete technische Informationen und eine nachvollziehbare Untersuchung des konkreten Vorfalls.

Garantiert eine Zahlung die Rückkehr zum Normalbetrieb?

Nein. Schon die Wiederherstellung verschlüsselter Daten ist dadurch nicht garantiert. Darüber hinaus können weitere Veränderungen, unklare Datenstände oder fortbestehende Zugänge vorliegen. Ein belastbarer Wiederanlauf benötigt deshalb eine eigenständige technische und betriebliche Prüfung. Eine Forderung der Angreifer ersetzt weder diese Prüfung noch eine vorbereitete Wiederherstellungsstrategie.

Wie kann ein Betrieb seine Vorbereitung überprüfen?

Durch geeignete Übungen und kontrollierte Wiederherstellungstests. Dabei sollten nicht nur einzelne Dateien, sondern wichtige Tätigkeiten und ihre Abhängigkeiten betrachtet werden. Erreichbarkeit von Verantwortlichen, Verfügbarkeit der Unterlagen und nutzbare Ersatzabläufe sind ebenfalls relevant. Erkannte Lücken müssen anschließend mit Zuständigkeiten und Terminen bearbeitet werden.

Quellen und fachliche Einordnung

BSI: Ransomware – Vorsicht vor Erpressersoftware, Begriffseinordnung.
BSI: Top 10 Ransomware-Maßnahmen – Detektion, Datenabfluss und Angriffe auf Sicherungen.
BSI: Maßnahmenkatalog Ransomware, Vorsorge und Wiederherstellung.
Deutscher Bundestag: Regierung gegen Lösegeldzahlungen bei Ransomware-Attacken, 2022, fehlende Wiederherstellungsgarantie.

Das Produktionsbeispiel und die betrieblichen Prüffragen sind eigenständige Erläuterungen. Stand: Oktober 2026.