Ransomware-as-a-Service hat die Cyberkriminalität demokratisiert – im schlimmsten Sinne des Wortes. Wer heute einen ambulanten Pflegedienst angreift, muss kein Programmierer sein. Er muss nur zahlen. Was das für Ihren Betrieb bedeutet und warum das Gesundheitswesen ein bevorzugtes Ziel ist, erklärt dieser Beitrag.
Was ist Ransomware-as-a-Service – und warum ist es so gefährlich?
Ransomware ist Schadsoftware, die alle erreichbaren Daten verschlüsselt und dann Lösegeld fordert – auf Englisch „ransom“. Ransomware-as-a-Service – kurz RaaS – ist das Geschäftsmodell dahinter: Professionelle Entwickler bauen die Schadsoftware, stellen Infrastruktur, Support und sogar Verhandlungsdienstleistungen bereit – und vermieten das Gesamtpaket an andere Kriminelle.
Der Mieter – in der Fachsprache „Affiliate“ – führt den eigentlichen Angriff durch und behält typischerweise 70 bis 90 Prozent des Lösegeldes. Der Rest geht an die Betreiber. Laut dem Acronis Cyberthreats Report 2025 werben mittlerweile 80 Prozent der aktiven RaaS-Anbieter mit KI- oder Automatisierungsfunktionen. Angriffe werden schneller, präziser und billiger.
Das Ergebnis: Die Eintrittsschwelle für Cyberkriminalität ist dramatisch gesunken. Programmierkenntnisse sind nicht mehr nötig. Technisches Verständnis ist nicht mehr nötig. Wer zahlen kann, kann angreifen.
Wie ein RaaS-Angriff auf einen Pflegedienst konkret abläuft
Ein typischer Angriff läuft in mehreren Phasen ab – und beginnt fast immer mit dem Menschen, nicht mit der Technik:
Phase 1 – Zugang kaufen oder erschleichen: Der Angreifer kauft im Darknet gestohlene Zugangsdaten – oder er verschickt eine Phishing-Mail. Ein Mitarbeiter öffnet den Anhang. Zugangsdaten werden abgegriffen. Der Angreifer ist im System.
Phase 2 – Warten und auskundschaften: Die Schadsoftware bleibt still. Sie kartiert das Netzwerk, identifiziert wertvolle Daten, sucht Backups. Dieser Zeitraum dauert laut Sicherheitsforschern durchschnittlich mehrere Wochen – manchmal Monate. In dieser Zeit werden fleißig Backups erstellt – von bereits infizierten Daten.
Phase 3 – Zuschlagen: Alle erreichbaren Daten werden verschlüsselt. Backups auf demselben Netzwerk ebenfalls. Der Bildschirm zeigt eine Lösegeldforderung. Kein Zugriff auf Patientenakten, Tourenplanung, Abrechnungssoftware.
Phase 4 – Doppelte Erpressung: Laut aktuellen Studien beinhalten 74 Prozent aller Ransomware-Vorfälle mittlerweile Datenexfiltration – die Daten werden nicht nur verschlüsselt, sondern vorher gestohlen. Die Drohung: Zahlen Sie nicht, werden Ihre Patientendaten im Darknet veröffentlicht. Das ist eine zweite Erpressungsebene, die selbst dann greift, wenn Sie ein sauberes Backup haben.
Warum das Gesundheitswesen besonders im Visier steht
RaaS-Angreifer wählen ihre Ziele nicht zufällig. Sie wählen sie nach Datenwert, Zahlungsbereitschaft und Verwundbarkeit. Das Gesundheitswesen erfüllt alle drei Kriterien.
Patientendaten sind auf dem Schwarzmarkt besonders wertvoll – sie enthalten Diagnosen, Medikamentenpläne, Bankverbindungen, Sozialversicherungsnummern. Angreifer stehlen sensible Patientendaten gezielt und drohen, sie bei Nichtzahlung im Darknet zu verkaufen oder zu veröffentlichen.
Gleichzeitig sind Pflegedienste besonders verwundbar: keine eigene IT-Abteilung, externe Dienstleister mit variablem Sicherheitsniveau, Zeitdruck im Alltag, Mitarbeiter ohne regelmäßige Sicherheitsschulungen. Eine Kombination, die RaaS-Affiliates gezielt ausnutzen.
Check Point bestätigt in seinem Ransomware Report 2024: Das Gesundheitswesen gehört zu den am häufigsten angegriffenen Branchen weltweit. Und das BSI registrierte im Zeitraum Juli 2024 bis Juni 2025 insgesamt 950 Ransomware-Angriffe auf deutsche Unternehmen und Behörden – die Mehrheit davon gegen kleine und mittlere Betriebe mit unzureichender Schutzarchitektur.
Was kostet ein Ransomware-Angriff wirklich?
Die mittlere Lösegeldforderung lag laut Sophos State of Ransomware 2025 bei 1,32 Millionen US-Dollar. Die tatsächliche mittlere Zahlung bei einer Million. Aber selbst wer nicht zahlt, kommt nicht billig davon: Die durchschnittlichen Wiederherstellungskosten ohne Lösegeldzahlung lagen bei 1,53 Millionen US-Dollar.
Für einen ambulanten Pflegedienst sind das existenzbedrohende Beträge. Aber die direkten Kosten sind nur ein Teil der Rechnung. Dazu kommen Forensikkosten, Anwaltskosten, DSGVO-Bußgelder, Betriebsunterbrechung, Reputationsschaden – und der Aufwand für die Behördenkommunikation, die innerhalb von 72 Stunden beginnen muss.
Wichtig zu wissen: Strafverfolgungsbehörden raten grundsätzlich vom Zahlen des Lösegeldes ab. Es gibt keine Garantie, dass die Schlüssel tatsächlich geliefert werden oder gestohlene Daten gelöscht werden. Zahlung sollte immer nur nach rechtlicher Prüfung und in Abstimmung mit Behörden in Betracht gezogen werden – und genau dabei hilft ein Cyberversicherer.
Lösegeld zahlen – zahlt die Cyberversicherung das?
Eine häufige Frage im Beratungsgespräch. Die Antwort ist differenziert: Manche Cyberversicherungen decken Lösegeldzahlungen ab – aber nicht alle, und nicht bedingungslos. Entscheidend sind die genauen Bedingungen der Police und ob die zuständigen Behörden eingebunden wurden.
Was eine gute Cyberversicherung in jedem Fall leistet: Sie stellt ein Expertenteam bereit, das in den ersten Stunden nach einem Angriff die richtigen Entscheidungen trifft – Forensiker, Anwälte, Krisenmanager. Denn die ersten 72 Stunden nach einem Ransomware-Angriff entscheiden oft darüber, wie groß der Gesamtschaden wird.
Was Sie jetzt konkret tun können
Drei Maßnahmen, die sofort wirksam sind:
Backups offline sichern. Backups auf demselben Netzwerk werden bei einem Ransomware-Angriff mitverschlüsselt. Nur physisch getrennte, offline gesicherte Backups sind im Ernstfall werthaltig.
Mitarbeiter regelmäßig schulen. Der häufigste Einstiegsvektor für RaaS-Angriffe ist die Phishing-Mail. Wer sein Team nicht regelmäßig sensibilisiert, lässt die Haustür offen – egal wie gut die Technik ist.
Cyberversicherung abschließen – die richtige. Nicht jede Police deckt Ransomware-Szenarien vollständig ab. Als TÜV-zertifizierter Berater für Cyberrisiken prüfen wir gemeinsam mit Ihnen, welche Police wirklich zu Ihrem Betrieb passt – und welche Obliegenheiten Sie erfüllen müssen, damit sie im Ernstfall leistet.
Das Erstgespräch ist kostenlos und unverbindlich.