RSA-4096-Ransomware entfernen und .RSA-4096-Dateien entschlüsseln

Aktualisiert am 9. Oktober 2026

Das Wichtigste in Kürze

• RSA-4096 ist eine Variante der Xorist-Ransomware (erstmals Anfang 2024 dokumentiert). Sie hängt .RSA-4096 an Dateinamen an und legt HOW TO DECRYPT FILES.txt ab.
• Gefordert werden 2 Bitcoin. Zahl nicht – eine Garantie auf Entschlüsselung gibt es nicht.
• Hoffnung besteht: No More Ransom listet Decryptoren für die Xorist-Familie (Emsisoft, Trend Micro). Ob sie bei dieser Variante greifen, ist nicht bestätigt – ein Versuch kostet aber nichts.
• Erst Rechner isolieren und Schädling entfernen, dann Daten retten, verschlüsselte Dateien unbedingt aufbewahren.

Was hinter RSA-4096 steckt

Laut pcrisk.com wurde RSA-4096 bei der Analyse neuer Malware-Einreichungen auf VirusTotal entdeckt. Die Analyse stammt vom März 2024 und ordnet den Schädling der Xorist-Familie zu. Xorist ist kein einzelnes Programm, sondern ein seit Jahren kursierender Baukasten: Kriminelle stellen damit eigene Varianten mit frei wählbarer Dateiendung, Lösegeldnotiz und Verschlüsselungsmethode zusammen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft Ransomware generell als eine der größten Bedrohungen für die IT-Sicherheit ein.

Der Name ist Einschüchterung. Die Notiz behauptet, jede Datei sei mit einem „einzigartigen RSA-4096-Schlüssel“ verschlüsselt, der auf einem geheimen Server liege und nach 48 Stunden gelöscht werde. Xorist-Varianten nutzten historisch deutlich einfachere Verfahren (XOR bzw. TEA) – genau deshalb gibt es für die Familie überhaupt Decryptoren. Übrigens: „RSA-4096“ tauchte schon 2015/2016 in Lösegeldnotizen anderer Familien (etwa CryptoWall-Nachahmern) auf. Prüf deshalb immer, welche Familie dich wirklich erwischt hat.

So erkennst du den Befall

• Dateien heißen plötzlich dokument.pdf.RSA-4096, foto.jpg.RSA-4096 und lassen sich nicht öffnen.
• In Ordnern bzw. auf dem Desktop liegt HOW TO DECRYPT FILES.txt, eventuell erscheint zusätzlich ein Fenster.
• Die Notiz fordert 2 Bitcoin und nennt eine Kontaktadresse bei einem verschlüsselten Maildienst.
• Virenscanner melden u. a. Trojan-Ransom.Win32.Xorist (Kaspersky), Win32/Filecoder.Q (ESET) oder Win32:Filecoder-M (Avast).

Notfallplan: RSA-4096 entfernen

1. Isolieren. LAN-Kabel ziehen, WLAN aus, USB-Sticks und externe Platten abziehen. So schützt du Netzlaufwerke und Backups.
2. Beweise sichern. Lösegeldnotiz, Screenshots und ein paar verschlüsselte Dateien auf einen separaten Stick kopieren.
3. Im abgesicherten Modus starten. Windows 11/10: Einstellungen → System → Wiederherstellung → Erweiterter Start → Jetzt neu starten → Problembehandlung → Erweiterte Optionen → Starteinstellungen → Neu starten → Taste 4.
4. Scannen und entfernen. Microsoft Defender (Offline-Überprüfung) plus ein Zweitscanner wie Malwarebytes, ESET Online Scanner oder Kaspersky Virus Removal Tool. Lade Tools auf einem sauberen Gerät und übertrage sie per USB. Das BSI empfiehlt in seiner Top-10-Liste gegen Ransomware den Einsatz aktueller Antivirensoftware.
5. Autostart prüfen. Task-Manager (Strg + Umschalt + Esc) → Autostart → unbekannte Einträge deaktivieren. Auf Registry-Basteleien verzichtest du besser, wenn du nicht genau weißt, was du tust.
6. Im Zweifel neu aufsetzen. Bei geschäftlichen Rechnern oder unklarer Lage ist eine saubere Windows-Neuinstallation die sicherere Wahl.
7. Passwörter ändern – von einem sauberen Gerät aus, zuerst E-Mail und Online-Banking.

Lassen sich .RSA-4096-Dateien entschlüsseln?

Laut srlabs.de ist eine Entschlüsselung ohne den privaten Schlüssel nur möglich, wenn:

• die Entwickler Fehler in der Verschlüsselung gemacht haben,
• Ermittler Server und Schlüssel beschlagnahmen,
• oder die Täter die Schlüssel selbst veröffentlichen.

Bei Xorist greift typischerweise Punkt eins. Deshalb lohnt sich der Weg über No More Ransom, das gemeinsame Projekt von Europol, der niederländischen Polizei und IT-Sicherheitsfirmen.

Schritt für Schritt zum passenden Tool

1. NoMoreRansom.org besuchen
2. Im Crypto Sheriff eine verschlüsselte Datei und die Lösegeldnotiz hochladen.
3. Zusätzlich gegenprüfen: ID Ransomware hilft bei der genauen Identifizierung: Notiz und Beispieldatei hochladen, das Ergebnis nennt die Familie und ob ein Decryptor bekannt ist.
4. Wird Xorist erkannt, einen der gelisteten Decryptoren testen – immer an Kopien, nie an den einzigen Originalen.

Tool	Anbieter	Voraussetzung / Hinweis
Xorist Decryptor	Emsisoft	braucht ein Dateipaar: eine verschlüsselte Datei (mind. 144 Byte) plus dieselbe Datei unverschlüsselt, z. B. aus einer Mail oder alten Sicherung
Ransomware Decryptor	Trend Micro	deckt laut No More Ransom u. a. XORIST ab

Beide Anbieter weisen darauf hin, dass ihre Tools bei neueren Varianten versagen können. Ein unverschlüsseltes Original findest du oft in E-Mail-Anhängen, auf dem Smartphone oder in einem alten Backup.

Daten retten ohne Decryptor

• Cloud-Versionsverlauf: OneDrive, Google Drive und Dropbox bewahren ältere Dateiversionen auf. Laut BSI-Empfehlungen ist die Nutzung von Cloud-Backups mit Versionierung eine wichtige Schutzmaßnahme.
• Schattenkopien: Rechtsklick auf Ordner → Eigenschaften → Vorgängerversionen. Viele Erpresser löschen sie, ein Blick lohnt trotzdem.
• Datenrettung: Tools wie PhotoRec oder Recuva finden manchmal die gelöschten Originale – am besten von einem USB-Stick aus starten und auf ein anderes Laufwerk wiederherstellen.
• Offline-Backup: Die sicherste Rettung, sofern die Platte beim Angriff nicht angeschlossen war.

Mehr zu belastbaren Backup-Strategien findest du in unserem Beitrag zu Cloud-Backup.

Zahlen? Nein.

• Es gibt keine Garantie, dass nach der Zahlung ein funktionierender Schlüssel kommt.
• Du finanzierst weitere Angriffe und landest womöglich auf einer Liste zahlungswilliger Opfer.
• Zwei Bitcoin sind für Privatleute eine absurd hohe Forderung – bei einem simplen Baukasten-Schädling erst recht.

Stattdessen Anzeige erstatten: Privatpersonen über die Onlinewache der Landespolizei, Unternehmen bei der Zentralen Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts.

Vorbeugen

1. 3-2-1-Backups: drei Kopien, zwei Medien, eine offline oder unveränderbar. Wiederherstellung regelmäßig testen.
2. Updates für Windows, Browser und Programme automatisch installieren.
3. Keine Cracks und dubiosen Downloads – Xorist-Varianten verbreiten sich häufig über gecrackte Software, gefälschte Updates und Mailanhänge.
4. Makros und Skripte aus Mails nicht ausführen; Vorsicht bei ZIP-, ISO-, JS- und OneNote-Anhängen.
5. Alltags-Konto ohne Adminrechte nutzen.

Wie ein Wurm ganz ohne Nutzerklick zuschlagen kann, zeigt der Klassiker WannaCry.

FAQ

Ist RSA-4096 wirklich mit RSA-4096 verschlüsselt?

Das behauptet die Lösegeldnotiz. Xorist-Varianten setzten in der Vergangenheit auf einfachere Verfahren; die Angabe dient vor allem der Einschüchterung. Belastbar klären kann das nur eine Analyse der konkreten Probe.

Kann ich die verschlüsselten Dateien löschen?

Nein. Kopiere sie auf ein separates Laufwerk und prüfe in einigen Monaten erneut bei No More Ransom.

Entfernt der Virenscanner auch die Verschlüsselung?

Nein. Er entfernt nur den Schädling. Die Dateien bleiben verschlüsselt, bis ein Decryptor oder ein Backup hilft.

Ist das dieselbe Ransomware wie „Osiris“?

Nein. Osiris war eine Locky-Variante von 2016/2017 – eine ganz andere Familie.