Ransomware im Mittelstand: Lehren aus dem September

Stadtwerke, eine Kreishandwerkerschaft, eine Verbandsgemeinde: Der September 2026 hat erneut gezeigt, dass Ransomware in Deutschland längst nicht mehr nur Konzerne trifft, sondern vor allem mittelständische Strukturen — Organisationen mit schlanker IT, hoher Verantwortung und wenig Spielraum für tagelange Ausfälle. In diesem Beitrag fassen wir die jüngsten Fälle zusammen, analysieren die wiederkehrenden Einfallstore und leiten daraus ab, welche Schutzmaßnahmen für KMU und NIS2-regulierte Unternehmen jetzt Priorität haben sollten.

Die Vorfälle der letzten Wochen im Überblick

Drei Fälle aus Deutschland stehen exemplarisch für die aktuelle Lage:

• Stadtwerke Landsberg: Am 1. September verschlüsselte Ransomware zentrale IT-Systeme des kommunalen Versorgers. Die kritische Infrastruktur — Strom-, Wasser- und Wärmeversorgung — blieb nach Unternehmensangaben unbeeinträchtigt, der Verwaltungsbetrieb war jedoch massiv gestört (Quelle: Borns IT-Blog, 23.09.2026, auf Basis der offiziellen Mitteilung der Stadtwerke vom 07.09.2026).
• Kreishandwerkerschaft Borken: In der Nacht zum 11. September wurden Server der Handwerksorganisation kompromittiert; Telefon und E-Mail fielen tagelang aus. Der Angriff wird der Ransomware-Gruppe Rhysida zugeschrieben (Quellen: ComputerWeekly, KW38/2026, Borns IT-Blog).
• Verbandsgemeinde Otterbach-Otterberg: Am 17. September wurde eine Dokumentenaustauschplattform für Kindergärten kompromittiert — möglicherweise inklusive persönlicher Daten von Familien (Quelle: ComputerWeekly, KW39/2026).

Dazu kommt der Nachhall des Angriffs auf das Berliner Landesnetz: Die Gruppe Rhysida behauptet, dort im August 5,79 Terabyte an Daten erbeutet zu haben, darunter Passwörter und andere sensible Informationen. Als Einfallstor gilt eine „TerminalFix" genannte Variante der ClickFix-Masche, bei der Nutzer per gefälschter Fehlermeldung zur Ausführung von Schadcode verleitet werden (Quelle: Borns IT-Blog, 21.09.2026).

Das Muster hinter den Fällen

So unterschiedlich die Opfer sind — die Einfallstore ähneln sich. Analysen deutscher Ransomware-Fälle aus diesem Jahr zeigen wiederkehrend dieselben Schwächen: Phishing und Social Engineering (inklusive ClickFix-Maschen), Brute-Force-Angriffe auf VPN-Zugänge ohne Multi-Faktor-Authentifizierung sowie schwache Passwortrichtlinien (Borns IT-Blog, 21.09.2026). Keine dieser Techniken ist neu. Angreifer brauchen keine Zero-Days, solange Standardlücken offenstehen.

Warum der Mittelstand besonders verwundbar ist

Mittelständische Unternehmen und kommunale Betriebe teilen drei strukturelle Nachteile. Erstens: Die IT-Teams sind klein und mit dem Tagesgeschäft ausgelastet — für kontinuierliche Angriffserkennung fehlt schlicht die Kapazität. Zweitens: Verschlüsselungsangriffe starten bevorzugt nachts oder am Wochenende, wenn garantiert niemand auf Alarme schaut; die Vorfälle in Borken (Nacht zu Freitag) und Landsberg passen in dieses Bild. Drittens: Die Abhängigkeit von wenigen zentralen Systemen ist hoch — fällt der Hauptserver aus, steht der Betrieb.

Für Erpresser ist das eine attraktive Rechnung: geringerer Widerstand als beim Konzern, aber hohe Zahlungsbereitschaft, weil jeder Stillstandstag unmittelbar Geld kostet.

Die NIS2-Dimension: Für viele ist Schutz jetzt Pflicht

Ein Fall wie Landsberg zeigt zugleich die regulatorische Seite: Energie- und Wasserversorger gehören zu den Sektoren, die unter die NIS2-Regulierung fallen. Betroffene Unternehmen — nach BSI-Schätzung deutlich mehr als bisher unter die KRITIS-Regeln fielen — müssen unter anderem Risikomanagement, Incident-Handling, Backup- und Krisenkonzepte sowie Meldeprozesse mit 24-Stunden-Erstmeldung nachweisen; die Geschäftsleitung haftet für die Umsetzung (Übersicht: BSI — NIS-2-regulierte Unternehmen). Wer heute noch nicht weiß, ob das eigene Unternehmen betroffen ist, sollte die Betroffenheitsprüfung nicht weiter aufschieben — die Anforderungen sind ohnehin das, was gute Sicherheitspraxis ausmacht.

Was wirksamen Ransomware-Schutz ausmacht

Aus den aktuellen Fällen lassen sich fünf Prioritäten ableiten, die den größten Effekt pro investiertem Euro bringen.

1. MFA und Passwort-Hygiene: die Basis schließen

Multi-Faktor-Authentifizierung auf allen externen Zugängen — VPN, E-Mail, Fernwartung, Cloud-Dienste — hätte mehrere der analysierten Angriffe erheblich erschwert. Ergänzend gehören Passwortrichtlinien und die Sperrung nach Fehlversuchen zum Pflichtprogramm.

2. Erkennung rund um die Uhr statt Alarm ins Leere

Zwischen Erstzugriff und Verschlüsselung liegen oft Stunden bis Tage. Ein 24/7 Security Monitoring mit Managed Detection & Response nutzt dieses Fenster: Verdächtige Anmeldungen, Rechteausweitung und beginnende Verschlüsselung werden erkannt und gestoppt, bevor der Schaden flächig wird — auch um 3 Uhr nachts, wenn das eigene Team schläft.

3. Backups, die Erpressung ins Leere laufen lassen

Entscheidend ist nicht, ob Backups existieren, sondern ob sie einen Angriff überstehen: mindestens eine Kopie offline oder unveränderlich (immutable), getrennte Zugangsdaten, und regelmäßig geprobte Wiederherstellung inklusive realistischer Zeitmessung. Wer weiß, dass er in 48 Stunden wieder arbeitsfähig ist, verhandelt aus einer anderen Position.

4. Mitarbeitende gegen ClickFix & Co. wappnen

Die TerminalFix-Masche zeigt, dass Angreifer gezielt auf Nutzerinteraktion setzen. Kurze, regelmäßige Sensibilisierung — konkret an aktuellen Maschen wie gefälschten Fehlermeldungen und Captcha-Aufforderungen erklärt — wirkt besser als jährliche Pflichtschulungen.

5. Den Ernstfall durchspielen, bevor er eintritt

Die Stadtwerke Landsberg konnten ihre Versorgungsleistungen weiterbetreiben — ein Ergebnis von Netztrennung und Notfallorganisation. Ein Incident-Response-Plan mit klaren Rollen, Kommunikationswegen und geübten Abläufen entscheidet darüber, ob ein Angriff ein beherrschbarer Zwischenfall bleibt oder zur Existenzkrise wird. Regelmäßige Penetrationstests validieren zusätzlich, ob die getroffenen Maßnahmen in der Praxis standhalten, und ein externer Informationssicherheitsbeauftragter hält Risikomanagement und NIS2-Nachweise dauerhaft aktuell.

Fazit: Die Angriffe sind Standard — die Verteidigung sollte es auch sein

Die Septembervorfälle zeigen keine spektakulären neuen Angriffstechniken, sondern die konsequente Ausnutzung bekannter Lücken bei Organisationen, die niemand beobachtet hat. Genau darin liegt die gute Nachricht: Mit MFA, überwachten Systemen, resilienten Backups und einem geübten Notfallplan lässt sich das Risiko drastisch senken — zu Kosten, die in keinem Verhältnis zu einem einzigen Stillstandstag stehen. Wenn Sie einordnen möchten, wo Ihr Unternehmen heute steht und was NIS2 konkret von Ihnen verlangt, sprechen Sie uns an — wir geben Ihnen in einem unverbindlichen Erstgespräch eine ehrliche Standortbestimmung.

Häufige Fragen

Wie läuft ein typischer Ransomware-Angriff auf ein KMU ab?

Meist beginnt er unspektakulär: eine Phishing-Mail, ein erratenes VPN-Passwort oder eine ClickFix-Fehlermeldung, die Mitarbeitende zur Ausführung von Schadcode verleitet. Danach bewegen sich die Angreifer oft tagelang unbemerkt im Netz, sichern sich Administratorrechte, ziehen Daten ab — und verschlüsseln erst dann, häufig nachts oder am Wochenende.

Sollte man das Lösegeld zahlen?

BSI und Strafverfolgungsbehörden raten davon ab: Eine Zahlung garantiert weder funktionierende Entschlüsselung noch das Löschen gestohlener Daten und finanziert weitere Angriffe. Wer über getestete, angriffssichere Backups und einen Notfallplan verfügt, ist auf die Erpressung schlicht nicht angewiesen — genau deshalb sind diese Maßnahmen so wertvoll.

Gilt NIS2 auch für mein Unternehmen?

NIS2 erfasst 18 Sektoren — von Energie, Wasser und Gesundheit über Transport bis zu digitalen Diensten und dem verarbeitenden Gewerbe — in der Regel ab 50 Mitarbeitenden oder 10 Mio. € Jahresumsatz; auch kleinere Unternehmen können als Teil kritischer Lieferketten mittelbar betroffen sein. Eine strukturierte Betroffenheitsprüfung schafft in wenigen Tagen Klarheit über Pflichten und Fristen.

Was kostet 24/7-Überwachung — lohnt sich das für ein KMU?

Managed Detection & Response wird üblicherweise pro überwachtem System bzw. Nutzer monatlich abgerechnet und kostet einen Bruchteil eines eigenen Security-Teams, das für echten 24/7-Betrieb mindestens fünf Vollzeitkräfte erfordern würde. Verglichen mit den typischen Gesamtkosten eines erfolgreichen Ransomware-Angriffs — Stillstand, Wiederanlauf, Forensik, Meldepflichten — amortisiert sich MDR meist schon durch einen einzigen verhinderten Vorfall. ---

Quellen

• Borns IT- und Windows-Blog: Cybervorfälle — Fresenius, Stadtwerke Landsberg (23.09.2026): https://borncity.com/blog/2026/09/23/cybervorfaelle-fresenius-stadtwerke-landsberg/
• Borns IT- und Windows-Blog: Ein Blick hinter die Kulissen aktueller Cyberangriffe auf deutsche Organisationen (21.09.2026): https://borncity.com/blog/2026/09/21/ein-blick-hinter-die-kulissen-aktueller-cyberangriffe-auf-deutsche-organisationen/
• ComputerWeekly: Die Cyberangriffe der KW38/2026 im Überblick: https://www.computerweekly.com/de/news/366650772/Die-Cyberangriffe-der-KW38-2026-im-Ueberblick
• ComputerWeekly: Die Cyberangriffe der KW39/2026 im Überblick: https://www.computerweekly.com/de/news/366651276/Die-Cyberangriffe-der-KW39-2026-im-Ueberblick
• BSI: NIS-2-regulierte Unternehmen: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/nis-2-regulierte-unternehmen_node.html