Kurz gesagt: Das BKA hat im Mai die Cybercrime-Zahlen für 2025 vorgelegt: 1.041 gemeldete Ransomware-Angriffe, zehn Prozent mehr als im Vorjahr. Viele Geschäftsführer denken, ihr Dokumentenmanagement schütze die Akten davor. Tut es nicht — jedenfalls nicht so, wie die meisten glauben. Ein DMS ist kein Backup. Und ein Backup, das die Verschlüsselung übersteht, haben überraschend wenige.
Vor drei Wochen saß ich mit dem IT-Verantwortlichen eines Maschinenbauers aus dem Sauerland zusammen. 60 Mitarbeiter, ordentlich aufgestellt, eigener Server im Keller. Er sagte einen Satz, den ich fast jede Woche höre: „Unsere Dokumente sind sicher, die liegen ja im DMS."
Ich habe ihn gefragt, wo das DMS seine Dateien physisch ablegt. Auf einem Netzlaufwerk, das auf demselben Server liegt wie alles andere. Gemountet, von jedem Arbeitsplatz aus erreichbar. Dann habe ich ihm erklärt, was eine Ransomware in dieser Konstellation in elf Minuten anrichtet. Das Gespräch wurde danach deutlich ernster.
Die Zahl, die im Mai unterging
Am 12. Mai hat das Bundeskriminalamt das Bundeslagebild Cybercrime 2025 veröffentlicht. Die Schlagzeile war das geschätzte Schadensvolumen von 202,4 Milliarden Euro. Untergegangen ist die Zahl, die für den Mittelstand zählt: 1.041 gemeldete Ransomware-Fälle, zehn Prozent mehr als im Vorjahr. Gemeldet — die Dunkelziffer liegt deutlich höher.
Auffällig ist eine zweite Entwicklung: Es zahlen weniger Betriebe, aber die Forderungen steigen. Die durchschnittliche Lösegeldzahlung kletterte laut Auswertung der BKA-Zahlen auf rund 456.000 US-Dollar. Wer zahlt, zahlt mehr.
Das Muster dahinter beschreibt das BSI seit Jahren. Im Lagebericht zur IT-Sicherheit erfüllen kleine und mittlere Unternehmen im Schnitt nur etwa 56 Prozent der grundlegenden Sicherheitsanforderungen — und überschätzen ihren eigenen Schutz dabei systematisch. Rund 80 Prozent der gemeldeten Angriffe trafen den Mittelstand.
Warum gerade die? Weil Betriebe mit 50 bis 500 Mitarbeitern zahlungsfähig, aber selten gut geschützt sind. Solvent genug für ein Lösegeld, zu klein für ein eigenes Security-Team. Das ist keine Pechsträhne. Das ist Zielauswahl.
Was ein DMS gegen Verschlüsselung tut — und was nicht
Hier muss ich einmal aufräumen, weil sich zwei Dinge hartnäckig vermischen.
Ein DMS ist eine Ordnungs-, keine Sicherungsschicht
Ein Dokumentenmanagement-System sorgt dafür, dass Sie eine Rechnung von 2021 in zwölf Sekunden wiederfinden, dass Zugriffe protokolliert sind und dass nichts unbemerkt verändert wird. Das ist viel wert. Eine Datensicherung ist es nicht.
Liegen die Dateien des DMS auf einem Speicher, den ein verschlüsselnder Schädling über das Netz erreicht, verschlüsselt er sie mit. Die Datenbank gleich dazu. Ein DMS, das per Sync-Agent oder gemountetem Laufwerk arbeitet, repliziert im Zweifel sogar brav die bereits verschlüsselten Dateien in die nächste Ebene.
Ein DMS schützt Ihre Dokumente vor Chaos und vor neugierigen Kollegen. Vor einem Angreifer mit Schreibrechten auf dem Speicher schützt es sie nicht.
Wo ein DMS doch hilft: Versionierung
Es gibt trotzdem einen Punkt, an dem ein gut gebautes DMS gegen Ransomware arbeitet — die revisionssichere Ablage. GoBD-konforme Archivierung heißt, dass ein einmal abgelegtes Dokument nicht überschrieben, sondern nur versioniert wird. Schreibt die Schadsoftware eine verschlüsselte Fassung, bleibt die ursprüngliche als frühere Version erhalten — sofern der Archivspeicher selbst unveränderbar (WORM) ausgelegt ist und nicht bloß ein beschreibbarer Ordner.
Das ist der Unterschied zwischen „wir haben ein DMS" und „wir haben ein DMS mit unveränderbarem Archivspeicher". Den kennt kaum jemand, bis es darauf ankommt. Worauf es bei der revisionssicheren Ablage technisch ankommt, ist kein Detail für die IT allein — es ist eine Geschäftsführer-Entscheidung.
Die Regel, an der Ihr Backup hängt
Reden wir über das Backup, denn da entscheidet sich alles. Das BSI und inzwischen auch die NIS-2-Umsetzung in § 30 BSIG verlangen ein dokumentiertes Backup-Management samt Wiederherstellung nach einem Notfall. In der Praxis kondensiert das auf eine Regel, die früher 3-2-1 hieß und heute 3-2-1-1-0:
- 3 Kopien Ihrer Daten,
- auf 2 verschiedenen Speichermedien,
- davon 1 außer Haus,
- davon 1 offline oder unveränderbar (immutable) — die Kopie, die der Angreifer nicht erreicht,
- mit 0 Fehlern bei der Wiederherstellung, regelmäßig durch echtes Rückspielen getestet.
Die vierte Eins ist die, an der es scheitert. Viele Betriebe haben drei Kopien — aber alle hängen am selben Netz. Eine Ransomware, die einmal Domänen-Adminrechte erlangt hat, löscht oder verschlüsselt die Sicherungen gleich mit. Ich habe mehr als einen Fall gesehen, in dem das Backup-NAS als Netzlaufwerk Z: gemappt war. Das ist kein Backup. Das ist eine zweite Zielscheibe mit Laufwerksbuchstaben.
Die Null vergessen fast alle. Ein Backup, das nie zurückgespielt wurde, ist eine Hoffnung — kein Backup.
Ein Backup, das Sie noch nie wiederhergestellt haben, ist keine Sicherung. Es ist eine unbewiesene Behauptung.
Was ich Mittelständlern konkret rate
Kein Patentrezept, aber die Reihenfolge, die in der Praxis funktioniert:
- Klären Sie, wo Ihr DMS physisch liegt. Eigener Server, Netzlaufwerk, gehostet? Wer Schreibrechte auf diesen Speicher hat, kann ihn verschlüsseln.
- Trennen Sie mindestens eine Backup-Kopie netzseitig ab — offline oder per Object-Lock unveränderbar. Diese Kopie ist Ihre Lebensversicherung.
- Testen Sie eine echte Wiederherstellung. Einmal pro Quartal, mit Stoppuhr. Dauert der Restore acht Stunden, müssen Sie das vorher wissen, nicht während der Krise.
- Aktivieren Sie Versionierung und revisionssichere Ablage im DMS, wenn es das beherrscht. Eine verschlüsselte Datei überschreibt dann keine intakte.
- Schalten Sie Zwei-Faktor-Authentifizierung für alle Admin- und Remote-Zugänge scharf. Der häufigste Einstieg ist immer noch ein geleaktes Passwort, kein Hollywood-Hack.
- Schreiben Sie auf, wer im Ernstfall was tut. Eine halbe Seite reicht: Wer trennt die Netze, wer ruft den Dienstleister, wer meldet den Vorfall.
Punkt sechs ist längst Pflicht. Die Meldepflichten bei Sicherheitsvorfällen treffen mit NIS-2 erheblich mehr Betriebe als früher — wer dazugehört, sollte das nicht erst im Schadensfall herausfinden. Was die Richtlinie konkret für Ihr DMS bedeutet, haben wir an anderer Stelle aufgeschrieben.
Wo Hosting den Unterschied macht
Ein Teil des Problems löst sich, wenn Speicher und Sicherung nicht im eigenen Keller liegen, sondern bei einem Anbieter, der Versionierung und unveränderbare Snapshots als Standard mitbringt. Bei Aktenplatz liegen die Daten in deutschen Rechenzentren, die Ablage ist revisionssicher versioniert, und die Sicherungen sind vom produktiven System getrennt. Wie wir das technisch hosten, erklären wir lieber einmal zu ausführlich als zu knapp.
Unverwundbar macht das niemanden — diesen Verkäufersatz spare ich mir. Aber es verschiebt die entscheidende Frage von „Sind unsere Akten nach dem Angriff weg?" zu „Wie schnell sind sie wieder da?". Das ist im Ernstfall der einzige Unterschied, der zählt.
Fazit
Die 1.041 Fälle aus dem BKA-Bericht sind die, die jemand gemeldet hat. Die meisten Betriebe, die es trifft, schweigen — aus Scham oder aus Sorge um den Ruf.
Ein DMS allein bewahrt Sie nicht davor. Es ordnet, es protokolliert, es versioniert — und genau die Versionierung ist der Teil, der im Angriff hilft. Den Rest erledigt ein Backup, das der Angreifer nicht erreicht, und ein Restore, den Sie geübt haben.
Wenn Sie nicht sicher sind, wo Ihre Dokumente liegen und ob die letzte Sicherung jemals zurückgespielt wurde: Das sind die zwei Fragen, die wir am Anfang jedes Gesprächs stellen. Sie kosten nichts — und ersparen womöglich einen sehr teuren Montagmorgen.
