Ransomware-Attacke: Zahlen oder nicht?

Ransomware: ein professionelles Geschäft mit hohem Schadenspotenzial

Hinter den Angriffen steckt in den meisten Fällen die organisierte Kriminalität. Technisch kompetent und streng organisiert stehen die Cyberkriminellen in einem regelrechten Konkurrenzkampf zueinander und bieten sich ihren Auftraggebern an. Man spricht in diesem Zusammenhang in Anlehnung an legitime Geschäftsmodelle von „Ransomware as a Service“. 

Wie hoch der tatsächliche Schaden ist, lässt sich nur schwer abschätzen, da viele Unternehmen Angriffe und eventuelle Zahlungen gar nicht erst melden. Eine aktuelle Analyse der über Kryptowährungen abgewickelten Zahlungsströme zeigt, dass 2023 weltweit mehr als 1 Mrd. US-Dollar Lösegeld an Cyberkriminelle gezahlt wurden. 

Das ist eine erhebliche Steigerung, nachdem die Zahlungen im Jahr 2022 erstmals rückläufig gewesen waren, und spiegelt einen Trend wider, der als „Big Game Hunting“ (zu Deutsch: Großwildjagd) bekannt ist: Angriffe werden gezielt auf zahlungskräftige, große Unternehmen ausgeführt. Nicht selten erreichen initiale Lösegeldforderungen daher zweistellige Millionenhöhen, in Extremfällen lagen sie auch schon mal darüber.

„Zahlen oder nicht?“ ist eine Frage von Ethik, Recht und Überleben

Die Empfehlung von Behörden und Fachleuten ist eigentlich eindeutig: Lösegeldforderungen sollten unter keinen Umständen bedient werden. Es gilt der Grundsatz, dass dem organisierten Verbrechen keine finanziellen Mittel zur Verfügung gestellt werden sollten. Aber halten sich alle an diesen Grundsatz? Nach Erkenntnissen des Branchenverbandes Bitkom zahlte in Deutschland immerhin 1 von 9 betroffenen Unternehmen das geforderte Lösegeld.

Die rechtliche Verbindlichkeit und Auslegung solcher Grundsätze sind zudem von Land zu Land sehr unterschiedlich. Zum Beispiel hat die US-Börsenaufsicht SEC für börsennotierte Unternehmen geregelt, dass ihr relevante Cyberereignisse, zu denen Ransomware-Attacken zählen, gemeldet werden müssen.

Dies führte bereits zur absurd anmutenden Situation, dass die Cyberkriminellen im Verlauf eines Angriffs drohten, Unternehmen bei der SEC anzuschwärzen, und so den Verhandlungsdruck erhöhen wollten. 

Oft ist es übrigens mit einer einzigen Zahlung nicht mehr getan, Stichwort Multi-Extortion: Unternehmen werden erstmal für die Entschlüsselung ihrer Daten zur Kasse gebeten, und dann nochmal, um deren Weitergabe zu verhindern. Ein dritter Erpressungsansatz zielt schließlich auf Geschäftspartner des Unternehmens ab. Sich von einem Opfer zum nächsten zu hangeln ist ohnehin eine probate Vorgehensweise der Kriminellen.

Lieber mit gutem Gewissen untergehen oder das Unternehmen retten?

Mehr noch als in den USA ist der Grundsatz, nicht zu zahlen, in Deutschland eher ein ethisches Gebot denn eine harte Regel. Rechtlich sind die Lösegeldzahlungen hierzulande nicht eindeutig geklärt, eine Anpassung des Strafrechts lässt auf sich warten. Gerade deshalb sollten sich Unternehmen im Vorfeld juristisch beraten lassen und sich idealerweise mit den Strafverfolgungsbehörden abstimmen. Dies gilt insbesondere dann, wenn das Unternehmen einen Bezug zu den USA hat. Denn das dortige Office of Foreign Assets Control (OFAC) empfiehlt in seinen Richtlinien dringend, bei Ransomware-Angriffen von Lösegeldzahlungen abzusehen, und kann bei Verstößen gegen diese Richtlinien auch empfindliche Sanktionen verhängen.