12 Beispiele für Ransomware: Die Angriffe, die die Art und Weise verändert haben, wie sich Unternehmen schützen

Kurz gesagt: Ransomware ist eine Schadsoftware, die die Dateien oder Systeme eines Unternehmens sperrt und eine Zahlung verlangt, um diese wieder freizugeben. Die folgenden zwölf Ransomware-Beispiele reichen von „WannaCry“ im Jahr 2017 bis zum Angriff auf den niederländischen Krankenhaussoftwareanbieter ChipSoft im Jahr 2026, darunter fünf Fälle aus den Niederlanden und ein Fall aus Belgien. Der Einstieg erfolgt meist auf ganz gewöhnliche Weise: eine Phishing-E-Mail, ein leicht zu erratendes Passwort, ein Konto ohne Multi-Faktor-Authentifizierung oder ein Helpdesk, der das Passwort für die falsche Person zurücksetzt. Das Lösegeld ist selten der eigentliche Kostenfaktor. Vielmehr sind es die wochenlangen Ausfälle und der Wiederaufbau.

Was Ransomware ist und welche Lehren sich aus diesen Fällen ziehen lassen

Zur Definition und zu den Varianten siehe „Was ist Ransomware?“. Eine umfassendere Liste niederländischer Vorfälle finden Sie unter „Die größten Cyberangriffe in den Niederlanden“. Bei den zwölf Fällen fallen drei Dinge besonders auf:

• Angreifer melden sich häufiger an, als sie sich Zugang verschaffen. Ein Passwort oder ein Klick ist meist der erste Schritt.
• Zwischen der Eingabe und der Verschlüsselung vergeht etwas Zeit. Neun Tage bei Change Healthcare, 69 Tage an der Universität Maastricht.
• Mit der Zahlung ist die Sache noch nicht erledigt. Der KNVB hat gezahlt und konnte dennoch nicht sicher sein, dass seine Daten sicher waren.

Die 12 Ransomware-Beispiele auf einen Blick

Die 12 Ransomware-Beispiele im Detail

1. WannaCry (2017): Der Wurm, der den NHS traf

Was geschah: Am 12. Mai 2017 verbreitete sich WannaCry über Windows-Systeme, die nicht aktualisiert worden waren. Europol zählte mehr als 200.000 Opfer in mindestens 150 Ländern. In England waren nach Erkenntnissen des National Audit Office mindestens 81 von 236 NHS-Trusts betroffen.

Die Lehre daraus: Keine der NHS-Einrichtungen musste dafür bezahlen. Die infizierten Systeme waren entweder nicht gepatcht oder wurden nicht mehr unterstützt – daher ist eine rechtzeitige Aktualisierung nach wie vor die kostengünstigste Abwehrmaßnahme.

2. NotPetya und Maersk (2017): 45.000 PCs in zehn Tagen

Was geschah: Im Juni 2017 gelangte NotPetya über ein bösartiges Update einer ukrainischen Buchhaltungssoftware in die Systeme. Der Reedereikonzern Maersk wurde zum Kollateralschaden und musste innerhalb von zehn Tagen 4.000 Server, 45.000 PCs und 2.500 Anwendungen neu installieren, wie der Vorstandsvorsitzende mitteilte. Kosten: 250 bis 300 Millionen US-Dollar.

Die Erkenntnis: Der Eintrag war ein vertrauenswürdiges Update. Die Netzwerksegmentierung und Offline-Backups entscheiden darüber, wie lange der Ausfall dauert.

3. Universität Maastricht (2019): 69 Tage von der Phishing-E-Mail bis zur Lösegeldforderung

Was geschah: Am 15. und 16. Oktober 2019 wurden auf zwei Arbeitsplätzen zwei Phishing-E-Mails geöffnet. Am 23. Dezember verschlüsselte die Ransomware „Clop“ 267 Windows-Server. Die Universität zahlte 30 Bitcoin, etwa 200.000 Euro. Im Jahr 2022 konnte die Polizei einen Teil davon sicherstellen, der zu diesem Zeitpunkt einen Wert von rund 500.000 Euro hatte.

Die Erkenntnis: Die Angreifer waren 69 Tage lang im System. Eine einzige gemeldete E-Mail in diesem Zeitraum hätte den Ausgang der Sache verändern können.

4. Hof van Twente (2020): Willkommen 2020

Was geschah: Das Administratorpasswort dieser niederländischen Gemeinde lautete „Welkom2020“, und durch eine Änderung an der Firewall im November 2020 wurde der Server für das Internet zugänglich gemacht. Die Angreifer zerstörten die Sicherungskopien. Die Gemeinde zahlte kein Lösegeld; die Wiederherstellung kostete etwa 4 Millionen Euro.

Die Lehre daraus: Ein Gericht hat später die Gemeinde selbst haftbar gemacht. Ein leicht zu erratendes Passwort ohne brauchbares Backup ist die teuerste Kombination.

5. Colonial Pipeline (2021): ein altes VPN-Konto

Was geschah: Am 7. Mai 2021 verschaffte sich die Gruppe „DarkSide“ über ein altes VPN-Konto mit einem offengelegten Passwort und ohne Multi-Faktor-Authentifizierung Zugang zum US-amerikanischen Kraftstoffpipelinebetreiber. Colonial stellte den Betrieb seiner Pipeline für mehrere Tage ein und zahlte 4,4 Millionen US-Dollar. Das US-Justizministerium konnte 2,3 Millionen US-Dollar zurückerhalten.

Die Lehre daraus: Das Konto sollte eigentlich nicht mehr genutzt werden. Löschen Sie alte Konten und verlangen Sie bei jeder Fernanmeldung eine Zwei-Faktor-Authentifizierung.

6. Kaseya (2021): ein Anbieter, bis zu 1.500 Opfer

Was geschah: Am 2. Juli 2021 nutzte die REvil-Gruppe eine Sicherheitslücke in der VSA-Software von Kaseya aus, die IT-Dienstleister zur Verwaltung der Systeme ihrer Kunden einsetzen. Über diese Dienstleister gelangte die Ransomware zu 800 bis 1.500 Unternehmen. REvil forderte 70 Millionen US-Dollar.

Die Lehre daraus: Niederländische Forscher des DIVD hatten Kaseya bereits über die Sicherheitslücken informiert. Sie sollten wissen, welche Lieferanten Administratorzugriff auf Ihre Systeme haben.

7. VDL Groep (2021): 105 Unternehmen haben den Betrieb eingestellt

Was geschah: Im Oktober 2021 wurde der niederländische Industriekonzern VDL mit seinen 105 Unternehmen, darunter das Automobilwerk NedCar, Opfer eines Cyberangriffs. Es dauerte mehr als einen Monat, bis alle Betriebe ihre Produktion wieder aufnehmen konnten. Die Polizei brachte den Angriff mit der „Conti“-Malware in Verbindung; ein Verdächtiger wurde 2024 in Kiew festgenommen.

Die Erkenntnis: VDL hat nie gesagt, ob es sich gelohnt hat. Für einen Hersteller liegen die Kosten im Stillstand, also probiert es aus.

8. Stadt Antwerpen (2022): bis zu 70 Millionen Euro

Was geschah: In der Nacht vom 5. auf den 6. Dezember 2022 griff die Hackergruppe „Play“ die Stadt Antwerpen an und stahl mehr als 500 GB an Daten. Die Stadt gibt an, niemals Lösegeld gezahlt zu haben. Der Stadtrat schätzte die Kosten auf bis zu 70 Millionen Euro.

Die Erkenntnis: Die flämische Aufsichtsbehörde stellte fehlende Sicherheitsupdates, eine zu seltene Zwei-Faktor-Authentifizierung und eine unzureichende Netzwerksegmentierung fest. Es fehlte an den Grundlagen.

9. KNVB (2023): Bezahlen ohne ein gutes Gefühl

Was geschah: Im April 2023 stahl die LockBit-Gruppe personenbezogene Daten vom niederländischen Fußballverband KNVB, angeblich nachdem ein Mitarbeiter auf eine Phishing-E-Mail hereingefallen war. Laut RTL Nieuws belief sich die Forderung auf mehr als 1 Million Euro. Im September bestätigte der KNVB, dass er gezahlt habe, ohne jedoch die Höhe des Betrags zu nennen.

Die Lehre daraus: Der Verband erklärte, er könne nicht sicher sein, dass die Daten vertraulich blieben. Mit einer Zahlung erkauft man sich ein Versprechen von Kriminellen.

10. Change Healthcare (2024): keine MFA auf einem Portal

Was geschah: Am 12. Februar 2024 meldeten sich Angreifer mit gestohlenen Zugangsdaten bei einem Fernzugriffsportal des US-amerikanischen Zahlungsabwicklers für das Gesundheitswesen Change Healthcare an. Das Portal verfügte über keine Multi-Faktor-Authentifizierung. Neun Tage später wurde die Ransomware ALPHV/BlackCat eingesetzt. Die Muttergesellschaft UnitedHealth bestätigte die Zahlung eines Lösegelds und meldete Kosten in Höhe von 872 Millionen US-Dollar für das erste Quartal.

Die Lehre daraus: Eine einzige fehlende Sicherheitsmaßnahme reichte aus. Die Daten von 192,7 Millionen Menschen waren davon betroffen.

11. Marks & Spencer (2025): Eine Passwortzurücksetzung für die falsche Person

Was geschah: Am 17. April 2025 gaben sich Angreifer als Mitarbeiter von M&S aus und veranlassten einen Dritten, ein Passwort zurückzusetzen, wie Vorstandsvorsitzender Archie Norman den Abgeordneten mitteilte. Daraufhin kam es zum Angriff durch die Ransomware „DragonForce“. Online-Bestellungen kamen wochenlang zum Erliegen, und der Halbjahresgewinn sank von 391,1 Millionen Pfund auf 3,4 Millionen Pfund.

Die Lehre daraus: Es bedurfte keines technischen Fehlers. Ein Helpdesk benötigt einen Verifizierungsschritt, den selbst ein überzeugender Anrufer nicht umgehen kann.

12. ChipSoft (2026): Ransomware beim Anbieter von Krankenhausdaten

Was geschah: Am 7. April 2026 bestätigte das Sicherheitszentrum für das Gesundheitswesen Z-CERT einen Ransomware-Angriff auf ChipSoft, das die meisten niederländischen Krankenhäuser mit Software für Patientenakten beliefert. Elf Krankenhäuser nahmen die ChipSoft-Software vom Netz. Patientendaten einer beträchtlichen Anzahl von Gesundheitsdienstleistern wurden gestohlen; ChipSoft teilte später mit, dass eine Veröffentlichung verhindert worden sei.

Die Lehre daraus: Die Krankenhäuser selbst waren nicht das Ziel, dennoch kam es zu Beeinträchtigungen ihres Betriebs. Planen Sie für den Fall ein, dass ein wichtiger Lieferant ausfällt.

Wie sich ein Ransomware-Angriff abspielt

Die Fälle durchlaufen dieselben fünf Schritte. In unserem Artikel über die Phasen eines Cyberangriffs werden diese näher beschrieben.

1. Erster Zugriff. Eine Phishing-E-Mail, ein gestohlenes oder erratenes Passwort oder ein System, das nicht aktualisiert wurde.
2. Seitliche Bewegung. Die Angreifer erkunden das Netzwerk und verschaffen sich weitere Zugriffsrechte, oft über Tage oder Wochen hinweg.
3. Exfiltration. Dabei werden Daten aus dem Unternehmen kopiert.
4. Verschlüsselung. Dateien, Server und Sicherungskopien werden gesperrt, häufig nachts oder an Feiertagen.
5. Doppelte Erpressung. Man muss erst für den Schlüssel bezahlen und dann noch einmal, damit die gestohlenen Daten offline bleiben. Im Jahr 2025 stahl die Nova-Gruppe Untersuchungsdaten von etwa 715.000 Frauen aus dem niederländischen Labor „Clinical Diagnostics“ und forderte 1,1 Millionen Euro.

Ransomware-Familien und Ransomware-as-a-Service

Clop, Conti, DarkSide, REvil, LockBit, ALPHV/BlackCat, Play, DragonForce: Bei den Namen in diesen Fällen handelt es sich eher um Marken als um feste Teams. Im „Ransomware-as-a-Service“-Modell vermieten die Entwickler die Software, und Partner führen den Angriff gegen einen Anteil am Lösegeld durch. In den Niederlanden und Belgien hat LockBit seit 2020 die meisten Opfer verzeichnet, während Qilin laut dem „Cyber-Bedrohungsradar 2026“ im vergangenen Jahr die aktivste Gruppe war.

Was die 12 Fälle gemeinsam haben

• Ein ganz gewöhnlicher Zugangsweg. Phishing bei Maastricht, ein schwaches Passwort bei Hof van Twente, keine MFA bei Colonial und Change Healthcare, ein Helpdesk bei M&S.
• Lieferanten als Einfallstor. Kaseya, ChipSoft und das Software-Update, das hinter NotPetya stand, trafen Kunden, die selbst nichts falsch gemacht hatten.
• Stillstand kostet mehr als Lösegeld. Maersk, VDL, Antwerpen und M&S beweisen es.

Was Mitarbeiter gegen Ransomware tun können

In mindestens der Hälfte der zwölf Fälle war der erste Schritt mit einer Person oder einem Passwort verbunden. Damit sind vier Gewohnheiten wertvoller als die meisten Tools:

• Melden Sie verdächtige E-Mails oder versehentliche Klicks sofort. Schnelligkeit ist wichtiger als Schuldzuweisungen. Unsere Übersicht über die verschiedenen Arten von Phishing-Angriffen zeigt, worauf Sie achten müssen.
• Verwenden Sie für jedes Arbeitskonto ein einzigartiges Passwort und die Multi-Faktor-Authentifizierung (MFA).
• Überprüfen Sie Anfragen zur Passwortzurücksetzung oder zum Fernzugriff, auch wenn der Anrufer den Eindruck erweckt, als käme er aus der IT-Abteilung.
• Installieren Sie die Updates, wenn Sie dazu aufgefordert werden.

Die technischen Aspekte – von Backups bis hin zur Segmentierung – werden im Abschnitt „So beugen Sie Ransomware vor“ behandelt. Welche Organisationen am stärksten gefährdet sind, wird im Abschnitt „Risikofaktoren für Ransomware-Angriffe“ erläutert.

Häufig gestellte Fragen

Was ist ein Beispiel für einen Ransomware-Angriff?

WannaCry im Jahr 2017, von dem mehr als 200.000 Opfer in mindestens 150 Ländern betroffen waren. Ein Beispiel aus den Niederlanden ist die Universität Maastricht, die 2019 30 Bitcoin zahlte, nachdem 267 Server verschlüsselt worden waren.

Was sind bekannte Beispiele für Ransomware in den Niederlanden?

Die Universität Maastricht (2019), die Gemeinde Hof van Twente (2020), die VDL Groep (2021), der KNVB (2023) und ChipSoft (2026). In Belgien ist der Angriff auf die Stadt Antwerpen (2022) am besten dokumentiert.

Wie beginnen die meisten Ransomware-Angriffe?

Durch eine Phishing-E-Mail, ein gestohlenes oder schwaches Passwort für ein Konto ohne Multi-Faktor-Authentifizierung oder ein System, das nicht aktualisiert wurde.

Sollte man das Lösegeld zahlen?

Die Fälle zeigen beide Vorgehensweisen. Die Universität Maastricht und der KNVB haben gezahlt; Hof van Twente und Antwerpen haben nicht gezahlt und ihre Systeme wiederhergestellt. Eine Zahlung bietet keine Garantie dafür, dass die Daten gelöscht werden, und finanziert zudem den nächsten Angriff.