---
title: "Remote-Ransomware in Microsoft 365: Vom Alarm zur Abwehr mit Sophos Fusion"
description: Laut Sophos steckt Remote-Verschlüsselung hinter 70 % der erfolgreichen Ransomware-Angriffe in Microsoft-Umgebungen. Warum Defender sie nicht meldet und wie ein Verteidigungssystem mit MDR-Team eingreift.
image: https://blog.medialine.com/hubfs/2026/06_Medialine_Group_Blog/10_Oktober/ML-Group-Blog-Oktober-Sophos-Fusion-2026.png
---
[](https://blog.medialine.com)
- [IT-News](https://blog.medialine.com/it-news?hsLang=de-de)
## [IT-News Alles was Sie über die aktuellen IT-Themen wissen müssen.](https://blog.medialine.com/it-news?hsLang=de-de)
### [Business Continuity Alles rund um stabile IT-Systeme und immer verfügbare Daten im digitalen Zeitalter.](https://blog.medialine.com/it-news/business-continuity?hsLang=de-de)
### [Datacenter Entdecken Sie, wie moderne Datenzentren das Rückgrat der digitalen Wirtschaft bilden.](https://blog.medialine.com/it-news/datacenter?hsLang=de-de)
### [IT Security Bleiben Sie auf dem Laufenden über die Praktiken und Trends in der IT Security.](https://blog.medialine.com/it-news/it-security?hsLang=de-de)
### [KI & Modern Work Entdecken Sie, wie der Arbeitsplatz der Zukunft aussieht.](https://blog.medialine.com/it-news/ki-modern-work?hsLang=de-de)
### [Managed Services Finden Sie heraus, wie Managed Services helfen sich auf Ihr Kerngeschäft zu konzentrieren.](https://blog.medialine.com/it-news/managed-services?hsLang=de-de)
### [Unified Communications Wir zeigen Ihnen, wie Sie die Kommunikation in Ihrem Unternehmen verbessern können.](https://blog.medialine.com/it-news/unified-communications?hsLang=de-de)
### [Cloud Computing Erfahren Sie, wie die Cloud Skalierbarkeit und Flexibilität in Unternehmen bringt.](https://blog.medialine.com/it-news/cloud-computing?hsLang=de-de)
### [Business Software Entdecken Sie, wie die richtige Software Ihre Geschäftsprozesse optimieren kann.](https://blog.medialine.com/it-news/business-software?hsLang=de-de)
### [IT Services Erfahren Sie, wie professionelle Services Ihre IT-Landschaft transformieren können.](https://blog.medialine.com/it-news/it-services?hsLang=de-de)
- [Inside Medialine](https://blog.medialine.com/inside-medialine?hsLang=de-de)
## [Inside Medialine Lesen Sie über eine optimierte Arbeitsweise in unseren Tech-Tutorials, erfahren Sie mehr über Medialine-Insights in unseren Interviews und stöbern Sie in unsere Reihe Management im Fokus.](https://blog.medialine.com/inside-medialine?hsLang=de-de)
### [Tech-Tutorials Steigern Sie Ihre Produktivität mit praxisnahen Anleitungen, bewährten Techniken und digitalen Tools. Unsere Tech-Tutorials helfen Ihnen dabei, Ihre Arbeitsweise langfristig zu optimieren.](https://blog.medialine.com/inside-medialine/tech-tutorials?hsLang=de-de)
### [Management im Fokus Das Management der Medialine Group kommt zu Wort. Hier erfahren Sie, welche Wachstumsstrategien funktionieren und wie sich die digitale Zukunft gestalten lässt.](https://blog.medialine.com/inside-medialine/management-im-fokus?hsLang=de-de)
### [Im Interview Unsere Mitarbeiterinnen und Mitarbeiter berichten aus Ihrem Arbeitsalltag in der IT, über Chancen für die Zukunft und wie Sie Ihre Freizeit gestalten.](https://blog.medialine.com/inside-medialine/im-interview?hsLang=de-de)
### [Hörhammer & Hörhammer Im Podcastformat ordnen Martin und Stefan Hörhammer – CEO und COO der Medialine Group – die IT- und Business-Themen ein, die gerade wirklich etwas verändern.](https://blog.medialine.com/inside-medialine/hoerhammer-und-hoerhammer?hsLang=de-de)
- [Events](https://www.medialine.com/aktuelles/veranstaltungen)
- [Über uns](https://blog.medialine.com/%C3%BCber-uns?hsLang=de-de)
- [IT-Experten](https://blog.medialine.com/it-experten?hsLang=de-de)
[Kontakt aufnehmen](https://blog.medialine.com/anfrage?hsLang=de-de)
IT Security
# Remote-Ransomware in Microsoft 365: Vom Alarm zur Abwehr mit Sophos Fusion
Laut Sophos steckt Remote-Verschlüsselung hinter 70 % der erfolgreichen Ransomware-Angriffe in Microsoft-Umgebungen. Warum Defender sie nicht meldet und wie ein Verteidigungssystem mit MDR-Team eingreift.
[Fabian Paul](https://blog.medialine.com/author/fabian-paul)
Sept. 28, 2026
---
Freitag, 23:40 Uhr. Auf Ihrem Fileserver verändern sich Tausende Dateien in schneller Folge. **Der Server meldet nichts**. Kein fremder Prozess, keine unbekannte Binärdatei, keine auffällige Verbindung nach außen.
Er meldet nichts, weil es nichts zu melden gibt. Der Angreifer sitzt nicht auf diesem Server, sondern **auf einem ungeschützten Gerät im selben Netz**, und greift über eine SMB-Freigabe zu. Was der Fileserver sieht, ist ein autorisierter Zugriff, der Dateien schreibt. Also seine Kernaufgabe.
Auffallen wird das am Montagmorgen. Bis dahin arbeitet der Angriff rund 60 Stunden ungestört, und die durchschnittlichen **Wiederherstellungskosten eines erfolgreichen Ransomware-Vorfalls liegen bei 1,3 Millionen Euro**.
Dieses Muster ist in Microsoft-Umgebungen längst der Regelfall. Microsoft 365, Defender und Entra ID sind dabei nicht das Problem, sondern eine solide Basis. Das Problem sind die Lücken dazwischen. Und zwei Fragen bleiben offen: Wer schaut nachts auf das Signal, und wer darf es stoppen?
Das ist der **Unterschied zwischen Erkennung (EDR), und Managed Detection and Response (MDR)**: Erkennung liefert ein Signal, MDR liefert eine Reaktion. Ein Verteidigungssystem sorgt zusätzlich dafür, dass diese Reaktion nicht an einem einzelnen Werkzeug hängt, sondern über Endpunkt, Identität, E-Mail und Firewall hinweg koordiniert erfolgt.
### **Der Angriff, den Ihre Sensoren nicht sehen**
Signaturbasierte Erkennung setzt voraus, dass etwas Bekanntes auf dem System landet: eine ausführbare Datei, ein Skript, ein dokumentiertes Muster. Remote-Verschlüsselung liefert davon nichts. Der schädliche Code läuft ausschließlich im Arbeitsspeicher des kompromittierten Fremdgeräts. Ihr Fileserver bekommt nur das Ergebnis zu sehen.
#### **🛡️ Wo das Gerät herkommt, das Sie nicht überwachen**
Die Einstiegspunkte sind in fast jeder gewachsenen Umgebung dieselben: ein altes NAS ohne EDR-Agent, ein vergessener Testserver mit einem Standardkennwort, ein Drucker-Managementsystem, ein privates Notebook im VPN.
Was in der Praxis übrigens öfter vorkommt: Das ungeschützte Gerät ist oft gar kein Altsystem, sondern ein frisch aufgesetzter Rechner, der noch auf sein Deployment wartet. Zwischen „im Netz" und „im Management" liegen in vielen Häusern ein paar Tage. Dieses Fenster reicht.
Verschärfend kommt hinzu, dass der Weg auf dieses Gerät heute selten über eine Schwachstelle führt. Er führt über gültige Zugangsdaten aus Entra ID, erbeutet per Phishing oder aus einem fremden Datenleck. Für Microsoft 365 sieht der Zugriff danach aus wie ein legitimer Mitarbeiter, der abends noch auf eine Freigabe zugreift.
#### **⚙️ Diese Lücke ist keine Konfigurationsfrage**
Eine schärfere Policy genügt hier nicht. Der Pfad entsteht strukturell, weil der Schutzmechanismus auf dem falschen Gerät sitzt. Solange auch nur ein System im Netzwerk ungeschützt erreichbar ist, existiert dieser Weg. Und in gewachsenen Umgebungen existiert praktisch immer ein solches System.
Multi-Faktor-Authentifizierung schützt die Anmeldung, aber nicht die Sitzung danach. Endpoint-Software schützt das Gerät, aber nicht die Freigabe, auf die von außen geschrieben wird. Wie Angreifer diese Lücke auf Identitätsebene ausnutzen, haben wir im Beitrag „[**Erst die Session, dann das Konto: Warum MFA nicht mehr reicht**](https://blog.medialine.com/it-news/it-security/business-e-mail-compromise?hsLang=de-de)“ beschrieben.
## **Sophos Fusion: Vom Signal zur koordinierten Abwehr**
Sophos Fusion verändert die Bedrohungssuche grundlegend. Statt Sicherheitsdaten aus einzelnen Silos manuell zu analysieren, **korreliert Fusion Signale aus Identitäten, Endpunkten, Firewalls, E-Mail-Systemen und Drittanbieter-Lösungen automatisch miteinander.** KI erkennt Zusammenhänge, die für Menschen oft verborgen bleiben, und ermöglicht eine koordinierte Reaktion über alle Sicherheitswerkzeuge hinweg. Das Ergebnis: Bedrohungen werden schneller erkannt, präziser bewertet und gestoppt, bevor sie Schaden anrichten.
Fusion ist dabei kein weiteres Produkt in Ihrer Konsole, sondern die Weiterentwicklung von Sophos Central – **eine zusätzliche Schicht über der Microsoft-Umgebung**, die Sie bereits betreiben. Ihre Tenant-Struktur, Ihre Defender-Policies und Ihre Conditional-Access-Regeln bleiben unangetastet.
Dabei gilt: **KI erkennt Muster, Menschen treffen Entscheidungen**. Sophos MDR ist das Expertenteam in diesem System, das rund um die Uhr bewertet und mit Durchgriffsrecht in Ihrem Tenant eingreift. Als Sophos Platinum Partner setzen wir den Service regelmäßig in Microsoft-Umgebungen auf:
### 💻 24x7-Erkennung mit direkter Reaktion in Ihrem Tenant
Der entscheidende Unterschied ist die Handlungsvollmacht. Ein reiner Monitoring-Dienst schickt eine E-Mail und wartet auf Sie. Sophos MDR greift – je nach vereinbartem Reaktionsmodus – unmittelbar durch in Entra ID, Defender und Exchange Online:
- **Sitzungen widerrufen:** Aktive Sessions eines kompromittierten Kontos werden sofort beendet, auch wenn der Angreifer bereits ein gültiges Token besitzt.
- **Anmeldungen sperren:** Riskante Logins werden blockiert, bevor weitere Zugriffe erfolgen.
- **Schädliche Posteingangsregeln entfernen:** Manipulierte Weiterleitungen und Filterregeln werden aktiv ausgeräumt.
- **Systeme isolieren:** Betroffene Hosts werden vom Netzwerk getrennt, bleiben für die Analyse aber erreichbar.
Angriffe passieren überwiegend außerhalb der Geschäftszeiten. Eine Rund-um-die-Uhr-Abdeckung mit Durchgriffsrecht senkt die Verweildauer des Angreifers spürbar, ohne dass Sie ein eigenes Notfallteam aufbauen müssten. Wie schnell das geht, zeigt ein dokumentierter Fall aus dem Sophos-MDR-Betrieb: Sämtliche aktiven Sitzungen eines über Phishing gekaperten Kontos wurden binnen **95**** Sekunden** nach dem ersten Alarm widerrufen.
Auch im Gesamtbetrieb ist das Tempo messbar: Bei autorisierten MDR-Fällen vergehen von der Case-Erstellung bis zur vollautomatisierten Reaktion durchschnittlich 89 Sekunden.
### 🔒 CryptoGuard: Schutz vor Remote-Ransomware
CryptoGuard löst das Remote-Encryption-Problem an der einzigen Stelle, an der es sich lösen lässt: an der Datei selbst. Die Technologie fragt nicht, welcher Prozess schreibt. **Sie prüft, was geschrieben wird.**
Erkannt wird der mathematische Fingerabdruck von Verschlüsselung: die charakteristische Entropie veränderter Dateiinhalte. Ob der Schreibvorgang lokal erfolgt oder über eine Freigabe von einem Gerät hereinkommt, das nie einen Agenten gesehen hat, spielt für diese Prüfung keine Rolle. Wird das Muster bestätigt, greift die zweite Hälfte des Mechanismus: Vor jeder Veränderung werden Kopien der betroffenen Dateien vorgehalten, der Ursprungszustand lässt sich automatisiert zurückschreiben.
**Ihr Fileserver verteidigt sich damit selbst**, statt auf einen Schutz zu warten, der auf dem angreifenden Gerät ohnehin nie installiert war. In Microsoft-Umgebungen ist das der teuerste Angriffsfall. Deshalb zahlt sich der Schutz hier am schnellsten aus.
### 🔑 ITDR für Entra ID: Identität und E-Mail messbar resilienter
Ein weiterer Baustein für ein MDR (und einen weiteren Artikel wert), ist die **Erkennung identitätsbasierter Angriffe**. Mit **Sophos Identity Threat Detection and Response (ITDR)** stoppen Sie identitätsbasierte Angriffe, indem es Ihre Umgebung kontinuierlich auf Identitätsrisiken und Fehlkonfigurationen überwacht und gleichzeitig Darknet-Informationen zu kompromittierten Zugangsdaten bereitstellt.
Genau hier setzt Fusion an: Signale vom Endpunkt, aus Entra ID, aus Exchange Online, von der Firewall und aus Drittanbieter-Tools laufen in einer gemeinsamen Datenschicht zusammen, dem Context Lake. **Je mehr Quellen einspeisen, desto klarer und früher findet das MDR-Team die Nadel im Heuhaufen**. Und eine kompromittierte Identität führt dann nicht nur zu einem Alarm, sondern zu gesperrten Zugängen in der gesamten Umgebung.
Interesse geweckt?
**▶️ Nicht verpassen: Im Vortrag „Securing the AI Era“** gibt Sophos Einblicke in einen neuen Ansatz, bei dem Sicherheitskontrollen, agentenbasierte KI und menschliche Expertise in einer gemeinsamen Architektur zusammenarbeiten.
📆 21. Oktober 2026: MEWA Arena in Mainz
[JETZT TICKET SICHERN](https://www.medialine.com/aktuelles/veranstaltungen/d-evolve-2026-473377878)
### **Integration ohne Infrastrukturchaos**
Für den Einsatz ist bei Ihrer bestehenden Umgebung kein Umbau nötig. Die **Anbindung läuft über die Microsoft-Schnittstellen**, die in Ihrem Tenant ohnehin schon aktiv sind.
- **Mehr Sichtbarkeit auch ohne E5.** Fusion bindet Microsoft-Sicherheit über alle Lizenzstufen ein, von Business Basic bis E5. Ergänzend können Sie über die Microsoft Graph Security API zusätzliche Datenquellen aktivieren. Mehr Sichtbarkeit, ohne Ihre Lizenzstufe hochstufen zu müssen.
- **Offen für Ihre bestehenden Tools.** Über 500 Drittanbieter-Integrationen speisen in dieselbe Datenschicht. Verwaltet werden diese Tools weiterhin in ihren eigenen Konsolen.
- **Ihre Policies bleiben unangetastet.** Ihre bestehenden Konfigurationen bleiben, wie sie sind. Die Kontrolle über Ausnahmen und Sonderregelungen liegt weiter bei Ihnen.
- **Skalierbarer Einstieg.** Sie entscheiden, ob Sie mit Sophos MDR Essentials, mit Sophos Endpoint oder auf Basis von Microsoft Defender starten, und ob Sie später erweitern.
### **▶️ Fazit: Schutz endet nicht beim Alarm**
Microsoft liefert starke Bausteine. Aber ein Alarm bleibt eine Information. Der Unterschied zwischen einem gemeldeten und einem gestoppten Angriff liegt nicht in der Qualität Ihrer Erkennung, sondern darin, ob zur richtigen Zeit jemand handlungsfähig ist.
**Sophos Fusion setzt deshalb als Verteidigungssystem an mehreren Punkten gleichzeitig an**: verhaltensbasiert am Dateisystem, wo Remote-Verschlüsselung sonst unsichtbar bleibt. Auf Identitätsebene in Entra ID, wo die meisten Angriffe heute beginnen. Und organisatorisch durch das MDR-Team innerhalb von Fusion, das rund um die Uhr befugt ist, in Ihrem Tenant tatsächlich einzugreifen.
Weniger blinde Flecken, mehr Tempo, echte Maßnahmen statt nur Alarm. Die Integration nutzt Ihre bestehenden Microsoft-Schnittstellen, das Onboarding läuft strukturiert, und Sie behalten jederzeit die Kontrolle.
**Ihr nächster Schritt: Sophos Fusion kennenlernen**
Als **Sophos Platinum Partner** begleiten wir Sie von der Standortbestimmung über das Onboarding bis in den laufenden Betrieb:
Mit Sophos Fusion laufen Sophos MDR, Sophos Endpoint mit CryptoGuard (Schutz vor Remote-Ransomware), Sophos ITDR (Identitätsüberwachung für Entra ID) und Sophos Email (Phishing- und BEC-Schutz für Exchange Online) in **einem Verteidigungssystem** zusammen, **das Ihre Microsoft-365-Umgebung rund um die Uhr schützt** – ergänzt um Sophos Advisory Services.
[JETZT MEHR ERFAHREN!](https://solutions.medialine.com/sophos-fusion?hsLang=de-de)
### Kontaktformular
**Sie sind unsicher, wo Ihre Microsoft-365-Umgebung verwundbar ist?**
Sprechen Sie mit uns und vereinbaren Sie einen unverbindlichen Beratungstermin über das untenstehende Formular.
[IT Security](https://blog.medialine.com/tag/it-security) [IT-News](https://blog.medialine.com/tag/it-news) [IT-Experte - Fabian Paul](https://blog.medialine.com/tag/it-experte-fabian-paul)
## Weitere Artikel
KI & Modern Work
### [„Man-in-the-Middle“: Wie kann KI Cyber-Betrugsmaschen verhindern?](https://blog.medialine.com/it-news/ki-modern-work/ki-cyber-betrugsmaschen?hsLang=de-de)
IT-Fraud...Unbekannte haben sich in den E-Mail-Verkehr eines Mittelstandunternehmens eingeschlichen. Ein Mitarbeiter verhindert den Erfolg der...
Benny Gosper Juli 28, 2025
Business Software
### [Schluss mit Belegchaos: So lassen sich Reisekosten und Mitarbeiterausgaben durchgängig automatisieren](https://blog.medialine.com/it-news/business-software/reisekosten-automatisieren?hsLang=de-de)
Die Abrechnung nach einer Geschäftsreise kann schnell, strukturiert und komfortabel funktionieren. Ich zeige Ihnen, wie KI-Unterstützung und...
Tobias Hoffmann Aug. 17, 2026
IT Security
### [CRaaS: Betriebsfähig nach einem Ransomware-Angriff](https://blog.medialine.com/it-news/it-security/cyber-recovery-as-a-service?hsLang=de-de)
Ihre Daten wurden nach einem Hacker-Angriff verschlüsselt und Sie haben keinen Zugriff auf Ihr Backup? CRaaS kann helfen.
Klaus Radlinger Sept. 23, 2024
### Über IT-News auf dem Laufenden bleiben
Einmal im Monat informieren wir zu aktuellen Trend-Themen, News und Veranstaltungen aus der IT-Welt. Zusätzlich erhalten Sie im Bedarfsfall Sondernewsletter, falls es aktuelle Entwicklungen oder Sicherheitsrisiken nicht zulassen, Ihnen diese Informationen bis zum nächsten planmäßigen Newsletter vorzuenthalten.
Unsere Datenschutzhinweise, die Sie umfassend über unsere Datenverarbeitung und Ihre Datenschutzrechte informieren, finden Sie [hier](https://www.medialine.com/datenschutz).
### Willkommen an Bord! Bitte halten Sie sich fest, während wir durch den Datenstrom segeln.
Medialine EuroTrade AG
Breitlerstr. 43
D-55566 Bad Sobernheim
### Die Unternehmensgruppe
- [Medialine AG](https://group.medialine.com/die-medialine-group/medialine-ag)
- [interface systems GmbH](https://group.medialine.com/die-medialine-group/ifs)
- [Global Information Distribution GmbH](https://group.medialine.com/die-medialine-group/global-information-distribution)
- [CYBERDYNE GmbH](https://group.medialine.com/die-medialine-group/cyberdyne)
- [mentIQ GmbH](https://group.medialine.com/die-medialine-group/mentiq)
- [Medialine AG Österreich](https://group.medialine.com/die-medialine-group/medialine-ag-oesterreich)
- [Medialine Security](https://group.medialine.com/die-medialine-group/medialine-security)
- [Medialine EuroTrade S.R.L.](https://group.medialine.com/die-medialine-group/medialine-eurotrade-srl)
### Über uns
- [Medialine Group Leitbild](https://group.medialine.com/ueber-uns/leitbild)
- [Auszeichnungen](https://group.medialine.com/ueber-uns/auszeichnungen)
- [Referenzen](https://group.medialine.com/ueber-uns/referenzen)
### M&A
- [Teil der Medialine Group werden](https://group.medialine.com/teil-der-medialine-group-werden)
[Datenschutz](https://www.medialine.com/datenschutz) [Impressum](https://www.medialine.com/impressum) [AGB](https://www.medialine.com/media/7568ee17-ab8e-465f-a185-b4eee86ab6df/KsrQPA/Dokumente/Rechtliche%20Dokumente/Medialine%20AG%20Allgemeine%20Gesch%C3%A4ftsbedingungen.pdf)
© Medialine AG 2024
[Powered by Atlas - a B2B SaaS HubSpot theme](https://www.kalungi.com/atlas-hubspot-theme-for-b2b-saas-software)
```json
{
"@context" : "https://schema.org",
"@type" : "BlogPosting",
"author" : {
"@type" : "Person",
"name" : "Fabian Paul",
"url" : "https://blog.medialine.com/author/fabian-paul"
},
"dateModified" : "2026-09-28T16:01:05.162Z",
"datePublished" : "2026-09-28T16:00:47.000Z",
"headline" : "Remote-Ransomware in Microsoft 365: Vom Alarm zur Abwehr mit Sophos Fusion",
"image" : [ "https://blog.medialine.com/hubfs/2026/06_Medialine_Group_Blog/10_Oktober/ML-Group-Blog-Oktober-Sophos-Fusion-2026.png" ],
"mainEntityOfPage" : {
"@id" : "https://blog.medialine.com/it-news/it-security/remote-ransomware-microsoft-365-sophos-fusion-mdr",
"@type" : "WebPage"
},
"publisher" : {
"@type" : "Organization",
"logo" : {
"@type" : "ImageObject",
"url" : "https://blog.medialine.com/hubfs/Corporate%20Design/Logos/Group/ML_Group_Logo_Farbverlauf_CMYK.jpg"
},
"name" : "Medialine Eurotrade AG"
}
}
```