Aktualisiert am 9. Oktober 2026
Das Wichtigste in Kürze
- Eine allgemeine Entschlüsselung für .wncry-Dateien gibt es nicht. Das Projekt No More Ransom führt (Stand September 2026) keinen Decryptor für WannaCry – nur einen für „WannaCryFake“, eine andere Schadsoftware, die den Namen kopiert.
- Die Tools WannaKey/Wanakiwi halfen 2017 nur auf Windows XP bis 7 und nur, solange der Rechner nicht neu gestartet wurde.
- Realistische Rettungswege: Backup, Windows-Schattenkopien (falls nicht gelöscht), Dateiwiederherstellung.
- Infiziert werden heute fast nur noch ungepatchte Altsysteme. Der Patch MS17-010 stammt vom März 2017.
Was WannaCry ist
WannaCry (auch WannaCrypt, WanaCrypt0r 2.0, Wanna Decryptor) ist ein Erpressungstrojaner, der am 12. Mai 2017 eine weltweite Infektionswelle auslöste. Schätzungen gehen von mehr als 200.000 bis rund 300.000 betroffenen Rechnern in etwa 150 Ländern aus. Laut Wikipedia war es einer der schwersten Cyberangriffe der Geschichte.
Das Besondere: WannaCry ist ein Kryptowurm. Er verbreitete sich nicht per Klick auf einen Mailanhang, sondern selbstständig über das Netzwerk – über die SMBv1-Schwachstelle CVE-2017-0144. Den passenden Exploit „EternalBlue“ hatte die NSA entwickelt; die Gruppe „The Shadow Brokers“ veröffentlichte ihn im April 2017.
| Datum | Ereignis |
|---|---|
| 14. März 2017 | Microsoft veröffentlicht Sicherheitsupdate MS17-010 |
| 14. April 2017 | Shadow Brokers leaken EternalBlue |
| 12. Mai 2017 | WannaCry-Welle beginnt; Marcus Hutchins aktiviert den Kill-Switch |
| 13. Mai 2017 | Microsoft liefert Notfall-Patches auch für XP und Server 2003 |
| Dezember 2017 | USA und Großbritannien machen Nordkorea (Lazarus-Gruppe) verantwortlich |
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stufte WannaCry als kritische Bedrohung ein.
Wer betroffen war
Am härtesten traf es den britischen Gesundheitsdienst NHS: Termine und Operationen fielen aus, Geräte in Kliniken waren blockiert. Laut GlobalSecurityMag waren unter anderem betroffen: Telefónica, Renault und Nissan, FedEx und die Deutsche Bahn, bei der Anzeigetafeln an Bahnhöfen das Erpresserfenster zeigten.
Wie der Angriff gestoppt wurde
Der britische Forscher Marcus Hutchins („MalwareTech“) fand im Code eine unregistrierte Domain, die WannaCry vor dem Verschlüsseln abfragte. Er registrierte sie – ab dann beendete sich die Malware auf Rechnern mit Internetzugang selbst. Bereits verschlüsselte Dateien rettete das nicht, aber es bremste die Ausbreitung massiv.
So erkennst du einen WannaCry-Befall
- Dateien tragen die Endung .wncry (auch .wcry, .wncryt als Zwischendateien).
- Ein rotes Fenster „Wana Decrypt0r 2.0“ mit Countdown erscheint, der Desktop-Hintergrund zeigt eine Warnung.
- In Ordnern liegen @[email protected] und @[email protected].
- Gefordert wurden 300 US-Dollar in Bitcoin, nach drei Tagen 600 US-Dollar. Laut Fortinet wurde die Lösegeldforderung in 28 Sprachen verfasst.
Vorsicht bei Verwechslungen: Viele spätere Schädlinge imitieren WannaCry nur. Lade eine Lösegeldnotiz oder eine verschlüsselte Beispieldatei bei ID Ransomware oder im Crypto Sheriff von No More Ransom hoch – beide bestimmen die tatsächliche Familie. Bei Nachahmern wie „WannaCryFake“ gibt es manchmal sehr wohl einen Decryptor.
Sofortmaßnahmen: WannaCry entfernen
- Netzwerk trennen. LAN-Kabel ziehen, WLAN aus. WannaCry sucht aktiv nach weiteren verwundbaren Rechnern im Netz.
- Nicht bezahlen. Bei WannaCry war die Zuordnung von Zahlungen zu Opfern kaum möglich; bis Mitte Juni 2017 gingen nach öffentlichen Auswertungen der Bitcoin-Adressen nur rund 130.000 US-Dollar ein – dokumentierte Entschlüsselungen nach Zahlung sind rar. Die Adressen gelten heute als tot.
- Beweise sichern. Fotos vom Erpresserfenster, Lösegeldnotiz, eine verschlüsselte Beispieldatei aufheben.
- Anzeige erstatten. Privatpersonen bei der Onlinewache ihrer Landespolizei; Unternehmen bei der Zentralen Ansprechstelle Cybercrime (ZAC) ihres Landeskriminalamts.
- Rechner bereinigen oder neu aufsetzen. Ein aktueller Virenscanner (Microsoft Defender, Malwarebytes, ESET u. a.) erkennt WannaCry zuverlässig. Sicherer ist aber eine Neuinstallation von Windows – nach einer Kompromittierung weißt du nie sicher, was noch auf dem System steckt.
- Patchen und SMBv1 abschalten. Nach der Bereinigung alle Updates installieren. Auf einem Windows 7 ohne Updates tauchst du sonst sofort wieder auf dem Radar auf.
Verschlüsselte Dateien nicht löschen. Kopiere sie auf ein separates Laufwerk – falls je ein Schlüssel auftaucht, brauchst du sie.
Können .wncry-Dateien entschlüsselt werden?
Ehrliche Antwort: meistens nicht. WannaCry verschlüsselt jede Datei mit AES-128 und sichert diese Schlüssel mit RSA-2048. Ohne den privaten Schlüssel der Täter ist das nicht zu knacken.
WannaKey und Wanakiwi (nur Sonderfälle)
2017 fanden Forscher einen Fehler: Auf älteren Windows-Versionen blieben die Primzahlen des RSA-Schlüssels im Arbeitsspeicher. Adrien Guinet entwickelte daraus WannaKey, Benjamin Delpy (gentilkiwi) mit Matt Suiche das komfortablere Wanakiwi:
- Funktionierte nur unter Windows XP, Vista, 7, Server 2003 und 2008.
- Nur, solange der Rechner seit der Infektion nicht neu gestartet wurde und der Speicher nicht überschrieben war.
- Verfügbar auf GitHub
Laut TÜV Nord konnten viele Opfer ihre Daten nicht wiederherstellen. Für einen Befall, der schon Tage zurückliegt oder nach einem Neustart, sind die Tools wirkungslos.
Was stattdessen helfen kann
| Rettungsweg | Chance | Hinweis |
|---|---|---|
| Offline-Backup (externe Platte, NAS-Snapshot) | hoch | nur, wenn das Backup-Medium während des Angriffs nicht verbunden war |
| Cloud-Versionsverlauf (OneDrive, Dropbox, Google Drive) | mittel bis hoch | frühere Dateiversionen im Webportal wiederherstellen |
| Windows-Schattenkopien („Vorgängerversionen“) | gering | WannaCry versucht, sie zu löschen; Rechtsklick auf Ordner → Eigenschaften → Vorgängerversionen |
| Datenrettung (z. B. PhotoRec, Recuva) | gering bis mittel | WannaCry löscht Originale nach dem Verschlüsseln, teils nicht sicher überschrieben |
| Lösegeld zahlen | praktisch null | nicht empfohlen, Adressen seit Jahren inaktiv |
Wie du dein Backup so anlegst, dass Ransomware es nicht mitverschlüsselt, zeigt unser Artikel zu Cloud-Backup für Unternehmen.
Ist WannaCry 2026 noch eine Gefahr?
Für ein aktuelles, gepatchtes Windows 11 praktisch nicht. Sicherheitsfirmen registrieren aber bis heute WannaCry-Erkennungen, meist auf Altsystemen: Industriesteuerungen, Medizin- und Messgeräte, vergessene Windows-7-Rechner, deren Hersteller keine Updates mehr liefern. Weil der Wurm sich selbst verbreitet, reicht dort ein infiziertes Gerät im Netz.
Relevant bleibt das Thema auch, weil Windows 10 seit Oktober 2025 nur noch über das kostenpflichtige bzw. befristete ESU-Programm Sicherheitsupdates bekommt – was das für dich bedeutet, steht in Windows 10 Support-Ende: Was jetzt gilt – ESU bis 2027, Windows 11 oder Linux.
So schützt du dich
- Updates automatisch installieren – Betriebssystem, Browser, Router-Firmware.
- SMBv1 deaktivieren. In aktuellen Windows-Versionen ist es standardmäßig nicht mehr installiert; prüfen unter „Windows-Features aktivieren oder deaktivieren“.
- Port 445 nicht ins Internet öffnen (keine Portweiterleitung am Router).
- Backups nach 3-2-1-Regel: drei Kopien, zwei Medien, eine davon offline oder unveränderbar.
- Altgeräte isolieren: Was nicht mehr gepatcht werden kann, gehört in ein abgetrenntes Netzsegment.
FAQ
Gibt es 2026 einen kostenlosen WannaCry-Decryptor?
Nein. Weder No More Ransom noch die großen Antivirenhersteller bieten einen, der ohne den Täterschlüssel funktioniert. Wanakiwi hilft nur im Sonderfall „Windows XP bis 7, kein Neustart“.
Soll ich die .wncry-Dateien löschen?
Nein, sichere sie getrennt. Sie kosten nur Speicherplatz, und sollte je ein Schlüssel veröffentlicht werden, brauchst du sie.
War Windows 10 betroffen?
Windows 10 hatte das Update MS17-010 bereits im März 2017 erhalten. Die meisten Infektionen trafen ungepatchte Windows-7-Rechner.
Wer steckt hinter WannaCry?
Die USA und Großbritannien schrieben den Angriff im Dezember 2017 der nordkoreanischen Lazarus-Gruppe zu. Nordkorea bestreitet das.
