Laut Sophos steckt Remote-Verschlüsselung hinter 70 % der erfolgreichen Ransomware-Angriffe in Microsoft-Umgebungen. Warum Defender sie nicht meldet und wie ein Verteidigungssystem mit MDR-Team eingreift.
Freitag, 23:40 Uhr. Auf Ihrem Fileserver verändern sich Tausende Dateien in schneller Folge. Der Server meldet nichts. Kein fremder Prozess, keine unbekannte Binärdatei, keine auffällige Verbindung nach außen.
Er meldet nichts, weil es nichts zu melden gibt. Der Angreifer sitzt nicht auf diesem Server, sondern auf einem ungeschützten Gerät im selben Netz, und greift über eine SMB-Freigabe zu. Was der Fileserver sieht, ist ein autorisierter Zugriff, der Dateien schreibt. Also seine Kernaufgabe.
Auffallen wird das am Montagmorgen. Bis dahin arbeitet der Angriff rund 60 Stunden ungestört, und die durchschnittlichen Wiederherstellungskosten eines erfolgreichen Ransomware-Vorfalls liegen bei 1,3 Millionen Euro.
Dieses Muster ist in Microsoft-Umgebungen längst der Regelfall. Microsoft 365, Defender und Entra ID sind dabei nicht das Problem, sondern eine solide Basis. Das Problem sind die Lücken dazwischen. Und zwei Fragen bleiben offen: Wer schaut nachts auf das Signal, und wer darf es stoppen?
Das ist der Unterschied zwischen Erkennung (EDR), und Managed Detection and Response (MDR): Erkennung liefert ein Signal, MDR liefert eine Reaktion. Ein Verteidigungssystem sorgt zusätzlich dafür, dass diese Reaktion nicht an einem einzelnen Werkzeug hängt, sondern über Endpunkt, Identität, E-Mail und Firewall hinweg koordiniert erfolgt.
Signaturbasierte Erkennung setzt voraus, dass etwas Bekanntes auf dem System landet: eine ausführbare Datei, ein Skript, ein dokumentiertes Muster. Remote-Verschlüsselung liefert davon nichts. Der schädliche Code läuft ausschließlich im Arbeitsspeicher des kompromittierten Fremdgeräts. Ihr Fileserver bekommt nur das Ergebnis zu sehen.
Die Einstiegspunkte sind in fast jeder gewachsenen Umgebung dieselben: ein altes NAS ohne EDR-Agent, ein vergessener Testserver mit einem Standardkennwort, ein Drucker-Managementsystem, ein privates Notebook im VPN.
Was in der Praxis übrigens öfter vorkommt: Das ungeschützte Gerät ist oft gar kein Altsystem, sondern ein frisch aufgesetzter Rechner, der noch auf sein Deployment wartet. Zwischen „im Netz" und „im Management" liegen in vielen Häusern ein paar Tage. Dieses Fenster reicht.
Verschärfend kommt hinzu, dass der Weg auf dieses Gerät heute selten über eine Schwachstelle führt. Er führt über gültige Zugangsdaten aus Entra ID, erbeutet per Phishing oder aus einem fremden Datenleck. Für Microsoft 365 sieht der Zugriff danach aus wie ein legitimer Mitarbeiter, der abends noch auf eine Freigabe zugreift.
Eine schärfere Policy genügt hier nicht. Der Pfad entsteht strukturell, weil der Schutzmechanismus auf dem falschen Gerät sitzt. Solange auch nur ein System im Netzwerk ungeschützt erreichbar ist, existiert dieser Weg. Und in gewachsenen Umgebungen existiert praktisch immer ein solches System.
Multi-Faktor-Authentifizierung schützt die Anmeldung, aber nicht die Sitzung danach. Endpoint-Software schützt das Gerät, aber nicht die Freigabe, auf die von außen geschrieben wird. Wie Angreifer diese Lücke auf Identitätsebene ausnutzen, haben wir im Beitrag „Erst die Session, dann das Konto: Warum MFA nicht mehr reicht“ beschrieben.
Sophos Fusion verändert die Bedrohungssuche grundlegend. Statt Sicherheitsdaten aus einzelnen Silos manuell zu analysieren, korreliert Fusion Signale aus Identitäten, Endpunkten, Firewalls, E-Mail-Systemen und Drittanbieter-Lösungen automatisch miteinander. KI erkennt Zusammenhänge, die für Menschen oft verborgen bleiben, und ermöglicht eine koordinierte Reaktion über alle Sicherheitswerkzeuge hinweg. Das Ergebnis: Bedrohungen werden schneller erkannt, präziser bewertet und gestoppt, bevor sie Schaden anrichten.
Fusion ist dabei kein weiteres Produkt in Ihrer Konsole, sondern die Weiterentwicklung von Sophos Central – eine zusätzliche Schicht über der Microsoft-Umgebung, die Sie bereits betreiben. Ihre Tenant-Struktur, Ihre Defender-Policies und Ihre Conditional-Access-Regeln bleiben unangetastet.
Dabei gilt: KI erkennt Muster, Menschen treffen Entscheidungen. Sophos MDR ist das Expertenteam in diesem System, das rund um die Uhr bewertet und mit Durchgriffsrecht in Ihrem Tenant eingreift. Als Sophos Platinum Partner setzen wir den Service regelmäßig in Microsoft-Umgebungen auf:
Der entscheidende Unterschied ist die Handlungsvollmacht. Ein reiner Monitoring-Dienst schickt eine E-Mail und wartet auf Sie. Sophos MDR greift – je nach vereinbartem Reaktionsmodus – unmittelbar durch in Entra ID, Defender und Exchange Online:
Angriffe passieren überwiegend außerhalb der Geschäftszeiten. Eine Rund-um-die-Uhr-Abdeckung mit Durchgriffsrecht senkt die Verweildauer des Angreifers spürbar, ohne dass Sie ein eigenes Notfallteam aufbauen müssten. Wie schnell das geht, zeigt ein dokumentierter Fall aus dem Sophos-MDR-Betrieb: Sämtliche aktiven Sitzungen eines über Phishing gekaperten Kontos wurden binnen 95 Sekunden nach dem ersten Alarm widerrufen.
Auch im Gesamtbetrieb ist das Tempo messbar: Bei autorisierten MDR-Fällen vergehen von der Case-Erstellung bis zur vollautomatisierten Reaktion durchschnittlich 89 Sekunden.
CryptoGuard löst das Remote-Encryption-Problem an der einzigen Stelle, an der es sich lösen lässt: an der Datei selbst. Die Technologie fragt nicht, welcher Prozess schreibt. Sie prüft, was geschrieben wird.
Erkannt wird der mathematische Fingerabdruck von Verschlüsselung: die charakteristische Entropie veränderter Dateiinhalte. Ob der Schreibvorgang lokal erfolgt oder über eine Freigabe von einem Gerät hereinkommt, das nie einen Agenten gesehen hat, spielt für diese Prüfung keine Rolle. Wird das Muster bestätigt, greift die zweite Hälfte des Mechanismus: Vor jeder Veränderung werden Kopien der betroffenen Dateien vorgehalten, der Ursprungszustand lässt sich automatisiert zurückschreiben.
Ihr Fileserver verteidigt sich damit selbst, statt auf einen Schutz zu warten, der auf dem angreifenden Gerät ohnehin nie installiert war. In Microsoft-Umgebungen ist das der teuerste Angriffsfall. Deshalb zahlt sich der Schutz hier am schnellsten aus.
Ein weiterer Baustein für ein MDR (und einen weiteren Artikel wert), ist die Erkennung identitätsbasierter Angriffe. Mit Sophos Identity Threat Detection and Response (ITDR) stoppen Sie identitätsbasierte Angriffe, indem es Ihre Umgebung kontinuierlich auf Identitätsrisiken und Fehlkonfigurationen überwacht und gleichzeitig Darknet-Informationen zu kompromittierten Zugangsdaten bereitstellt.
Genau hier setzt Fusion an: Signale vom Endpunkt, aus Entra ID, aus Exchange Online, von der Firewall und aus Drittanbieter-Tools laufen in einer gemeinsamen Datenschicht zusammen, dem Context Lake. Je mehr Quellen einspeisen, desto klarer und früher findet das MDR-Team die Nadel im Heuhaufen. Und eine kompromittierte Identität führt dann nicht nur zu einem Alarm, sondern zu gesperrten Zugängen in der gesamten Umgebung.
▶️ Nicht verpassen: Im Vortrag „Securing the AI Era“ gibt Sophos Einblicke in einen neuen Ansatz, bei dem Sicherheitskontrollen, agentenbasierte KI und menschliche Expertise in einer gemeinsamen Architektur zusammenarbeiten.
📆 21. Oktober 2026: MEWA Arena in Mainz
Für den Einsatz ist bei Ihrer bestehenden Umgebung kein Umbau nötig. Die Anbindung läuft über die Microsoft-Schnittstellen, die in Ihrem Tenant ohnehin schon aktiv sind.
Microsoft liefert starke Bausteine. Aber ein Alarm bleibt eine Information. Der Unterschied zwischen einem gemeldeten und einem gestoppten Angriff liegt nicht in der Qualität Ihrer Erkennung, sondern darin, ob zur richtigen Zeit jemand handlungsfähig ist.
Sophos Fusion setzt deshalb als Verteidigungssystem an mehreren Punkten gleichzeitig an: verhaltensbasiert am Dateisystem, wo Remote-Verschlüsselung sonst unsichtbar bleibt. Auf Identitätsebene in Entra ID, wo die meisten Angriffe heute beginnen. Und organisatorisch durch das MDR-Team innerhalb von Fusion, das rund um die Uhr befugt ist, in Ihrem Tenant tatsächlich einzugreifen.
Weniger blinde Flecken, mehr Tempo, echte Maßnahmen statt nur Alarm. Die Integration nutzt Ihre bestehenden Microsoft-Schnittstellen, das Onboarding läuft strukturiert, und Sie behalten jederzeit die Kontrolle.
Ihr nächster Schritt: Sophos Fusion kennenlernen
Als Sophos Platinum Partner begleiten wir Sie von der Standortbestimmung über das Onboarding bis in den laufenden Betrieb:
Mit Sophos Fusion laufen Sophos MDR, Sophos Endpoint mit CryptoGuard (Schutz vor Remote-Ransomware), Sophos ITDR (Identitätsüberwachung für Entra ID) und Sophos Email (Phishing- und BEC-Schutz für Exchange Online) in einem Verteidigungssystem zusammen, das Ihre Microsoft-365-Umgebung rund um die Uhr schützt – ergänzt um Sophos Advisory Services.
Sie sind unsicher, wo Ihre Microsoft-365-Umgebung verwundbar ist?
Sprechen Sie mit uns und vereinbaren Sie einen unverbindlichen Beratungstermin über das untenstehende Formular.
IT-Fraud...Unbekannte haben sich in den E-Mail-Verkehr eines Mittelstandunternehmens eingeschlichen. Ein Mitarbeiter verhindert den Erfolg der...
Die Abrechnung nach einer Geschäftsreise kann schnell, strukturiert und komfortabel funktionieren. Ich zeige Ihnen, wie KI-Unterstützung und...
Als Geschäftsführer erinnere ich mich gut an eine kritische Situation, die mein Verständnis für Frühwarnsysteme und effektives Risikomanagement...
Einmal im Monat informieren wir zu aktuellen Trend-Themen, News und Veranstaltungen aus der IT-Welt. Zusätzlich erhalten Sie im Bedarfsfall Sondernewsletter, falls es aktuelle Entwicklungen oder Sicherheitsrisiken nicht zulassen, Ihnen diese Informationen bis zum nächsten planmäßigen Newsletter vorzuenthalten.
Unsere Datenschutzhinweise, die Sie umfassend über unsere Datenverarbeitung und Ihre Datenschutzrechte informieren, finden Sie hier.