Osiris-Ransomware entfernen: Lassen sich .osiris-Dateien 2026 entschlüsseln?

Aktualisiert am 9. Oktober 2026

Das Wichtigste in Kürze

• Osiris ist eine Variante der Locky-Ransomware aus Dezember 2016. Dateien bekommen einen kryptischen Hex-Namen mit der Endung .osiris.
• Es gibt keinen kostenlosen Decryptor. No More Ransom führt (Stand September 2026) kein Tool für Locky oder Osiris. „AutoLocky“ und „PyLocky“, für die es Tools gibt, sind andere Schädlinge.
• Locky ist seit Jahren kaum noch aktiv. Wer heute .osiris-Dateien findet, stößt meist auf alte, verschlüsselte Daten – etwa auf einer vergessenen Festplatte.
• Rettung gelingt am ehesten über Backups und Cloud-Versionsverläufe.

Osiris und die Locky-Familie

Locky tauchte im Februar 2016 auf und war über Monate eine der meistverbreiteten Erpressungs-Malwares, vor allem verteilt über das Spam-Botnetz Necurs. Die Entwickler wechselten regelmäßig die Dateiendung und benannten die Varianten nach nordischen und ägyptischen Göttern.

Variante	Endung	Auftauchen
Locky	.locky	Februar 2016
Zepto	.zepto	Juni 2016
Odin	.odin	September 2016
Thor	.thor	Oktober 2016
Aesir	.aesir	November 2016
Osiris	.osiris	Dezember 2016

Laut elastio.com wurde Osiris am 1. Dezember 2016 erstmals gesichtet. Spätere Locky-Ableger 2017 hießen unter anderem Diablo6, Lukitus und Ykcol.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft Ransomware generell als eine der größten Bedrohungen ein. Locky selbst spielt dabei heute kaum noch eine Rolle; aktuelle Angriffe laufen über ganz andere Gruppen und Methoden.

So erkennst du Osiris

• Dateinamen sind nicht mehr lesbar: Aus Urlaub.jpg wird eine lange Kette aus Hexadezimalzeichen (Opfer-ID plus Zufallsteil) mit der Endung .osiris. Der Originalname ist erst nach einer Entschlüsselung wieder sichtbar.
• Lösegeldnotizen: DesktopOSIRIS.htm und DesktopOSIRIS.bmp (als Hintergrundbild) sowie OSIRIS-xxxx.htm in betroffenen Ordnern, wobei xxxx für vier Hex-Zeichen steht.
• Inhalt der Notiz: Link zu einer Tor-Zahlungsseite, persönliche ID, Anleitung zum Bitcoin-Kauf.

Das ID Ransomware-Projekt kann helfen, die genaue Ransomware-Variante zu identifizieren. Lade dort die Lösegeldnotiz und eine verschlüsselte Datei hoch – so schließt du aus, dass du es mit einem Nachahmer zu tun hast, für den es womöglich doch ein Tool gibt.

Typischer Infektionsweg damals

Locky/Osiris kam fast immer per Spam-Mail: angebliche Rechnungen oder Lieferdetails mit ZIP-Archiv, darin eine .js- oder .wsf-Skriptdatei (etwa „Item-Delivery-Details-…doc.wsf“) oder ein Word-Dokument mit Makro. Das Skript lud die eigentliche Ransomware als DLL nach.

Zwei Szenarien – zwei Vorgehensweisen

A) Aktiver Befall (Rechner verschlüsselt gerade oder hat es eben getan)

1. Netzwerk trennen, externe Laufwerke abziehen.
2. Beweise sichern: Notiz, Screenshot, einige verschlüsselte Dateien auf einen separaten Stick.
3. Abgesicherter Modus: Einstellungen → System → Wiederherstellung → Erweiterter Start → Problembehandlung → Erweiterte Optionen → Starteinstellungen → Taste 4.
4. Scannen: Microsoft Defender (Offline-Überprüfung) und ein Zweitscanner wie Malwarebytes oder ESET Online Scanner. Locky wird von allen gängigen Virenscannern seit Jahren erkannt.
5. Autostart und Aufgabenplanung prüfen: Task-Manager → Autostart; taskschd.msc → unbekannte Aufgaben deaktivieren. Das BSI empfiehlt in seiner Detektions-Anleitung genau diese Überprüfung.
6. Besser neu installieren: Nach einem Ransomware-Befall ist eine saubere Windows-Neuinstallation die einzige Variante, bei der du sicher sein kannst, dass nichts zurückbleibt.
7. Passwörter ändern – von einem sauberen Gerät aus.

B) Altfund (alte Platte, Stick oder Backup voller .osiris-Dateien)

Das ist heute der häufigere Fall. Die Schadsoftware selbst ist meist längst weg, nur die verschlüsselten Dateien sind geblieben.

1. Datenträger an einem aktuellen, geschützten PC anschließen und scannen. Führe dabei keine unbekannten .exe, .js oder .wsf aus.
2. Prüfen, ob es irgendwo unverschlüsselte Kopien gibt (siehe unten).
3. Die .osiris-Dateien archivieren, falls je Schlüssel auftauchen – oder bewusst löschen, wenn nichts Wichtiges dabei war.

Gibt es einen Osiris-Decryptor?

Ehrliche Antwort: Nein. Locky verschlüsselt jede Datei mit AES-128 und schützt diesen Schlüssel mit RSA-2048. Ohne den privaten Schlüssel der Täter ist das nach heutigem Stand nicht zu knacken.

Das NoMoreRansom-Projekt sammelt Entschlüsselungs-Tools . Ein Tool für Locky oder Osiris ist dort nicht gelistet. Neue Tools entstehen, wenn Ermittler Server beschlagnahmen, Forscher Fehler finden oder Täter Schlüssel veröffentlichen – bei Locky ist das bislang nicht passiert.

Vorsicht vor Fake-Decryptoren: Angebliche „Osiris Decrypter“ auf YouTube, in Foren oder auf Download-Portalen sind Betrug, Malware oder schlicht wirkungslos. Seriös sind nur Tools, die No More Ransom oder bekannte Sicherheitsfirmen selbst anbieten. Das gilt auch für „Datenrettungsfirmen“, die garantierte Entschlüsselung versprechen – oft zahlen sie im Hintergrund nur das Lösegeld.

Daten trotzdem zurückholen

Weg	Erfolgsaussicht	Tipp
Externes Backup von vor dem Befall	hoch	nur wenn es nicht angeschlossen war
OneDrive, Google Drive, Dropbox	mittel bis hoch	Versionsverlauf bzw. Papierkorb im Webportal prüfen
Fotos auf Smartphone, in Messengern oder E-Mails	mittel	oft existieren Kopien an ganz anderer Stelle
Schattenkopien (Vorgängerversionen)	gering	Locky löscht sie in der Regel; Rechtsklick → Eigenschaften → Vorgängerversionen
Datenrettung (PhotoRec, Recuva)	gering	Ransomware löscht Originale teils ohne sicheres Überschreiben

Wie du dein Backup ransomware-fest aufstellst, erklärt unser Artikel zu Cloud-Backup.

Zahlen? Nein – und bei Osiris auch sinnlos

Die Zahlungsseiten der Locky-Kampagnen sind seit Jahren nicht mehr erreichbar. Selbst wer zahlen wollte, bekäme keinen Schlüssel. Generell gilt: Laut BSI-Informationen sollte man bei einem Angriff auf jeden Fall Anzeige erstatten . Das geht über die Onlinewache deiner Landespolizei, für Unternehmen über die Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts.

So schützt du dich vor aktueller Ransomware

1. 3-2-1-Backups mit mindestens einer Offline- oder unveränderbaren Kopie – und Wiederherstellung testen.
2. Office-Makros aus dem Internet blockiert lassen (Microsoft blockiert sie inzwischen standardmäßig) und keine Skriptdateien aus Mails öffnen.
3. Updates automatisch installieren.
4. Alltags-Konto ohne Adminrechte.
5. Anhänge prüfen: Rechnung per ZIP von unbekanntem Absender? Löschen, nicht öffnen.

Andere Fälle aus der Ransomware-Geschichte findest du in unseren Beiträgen zu RSA-4096 und WannaCry.

FAQ

Kann ich .osiris-Dateien einfach umbenennen?

Nein. Der Inhalt ist verschlüsselt, die Endung zu ändern bringt nichts.

Funktioniert der AutoLocky-Decryptor bei Osiris?

Nein. AutoLocky war ein anderer Schädling, der Lockys Namen nur imitierte.

Soll ich die verschlüsselten Dateien aufbewahren?

Wenn wichtige Daten dabei sind: ja, auf einem separaten Datenträger. Rechne aber realistisch nicht damit, dass für eine Kampagne von 2016 noch Schlüssel auftauchen.

Ist mein PC noch infiziert, wenn ich nur alte .osiris-Dateien finde?

Nicht zwingend. Ein vollständiger Scan mit aktuellem Virenschutz schafft Klarheit.