Ransomware-Lösegeld zahlen garantiert nichts

Ransomware Lösegeld zahlen oder nicht? Nach einem Angriff müssen Unternehmen diese schwierige Frage oft unter hohem Zeitdruck beantworten. Systeme und Daten sind verschlüsselt, wichtige Abläufe stehen still und die Angreifer setzen ihr Opfer mit einer Forderung und kurzen Fristen unter Druck.

Eine Zahlung garantiert jedoch weder, dass sich alle Daten wiederherstellen lassen, noch dass gestohlene Informationen vertraulich bleiben. Gleichzeitig kann die Entscheidung erhebliche finanzielle, rechtliche und betriebliche Folgen haben. Unternehmen müssen daher die Risiken sorgfältig abwägen, während sie den Geschäftsbetrieb wieder in Gang bringen.

Dieser Artikel erklärt, wie die Kommunikation mit Ransomware-Gruppen ablaufen kann, ob sich Lösegeldforderungen verhandeln lassen und welche Risiken trotz einer Zahlung bestehen bleiben. So können Sie die Lage besser einordnen und erkennen, welche Punkte bei den nächsten Schritten besondere Aufmerksamkeit erfordern.

Ransomware Lösegeld zahlen: Was Unternehmen wissen sollten

Mit einer Lösegeldforderung versuchen Angreifer, aus einem Cyberangriff Geld zu machen. Sie setzen ein Unternehmen dort unter Druck, wo der Angriff unmittelbar spürbar wird: bei verschlüsselten Daten, gestörten Abläufen und der Unsicherheit, wann der Betrieb wieder normal laufen kann. Je länger zentrale Systeme ausfallen, desto schwieriger wird es für Verantwortliche, in Ruhe abzuwägen.

Die Täter stellen meist eine Gegenleistung in Aussicht. Sie versprechen zum Beispiel einen Entschlüsselungsschlüssel oder die Freigabe von Daten. Wenn sie zuvor Informationen aus dem Unternehmen kopiert haben, kann zusätzlich die Drohung hinzukommen, diese zu veröffentlichen. Damit treffen sie das Unternehmen an zwei Stellen: bei der Verfügbarkeit seiner IT und beim Schutz vertraulicher Informationen.

Auch die Höhe der Forderung ist nicht unbedingt fest vorgegeben. Angreifer können den Betrag im Verlauf der Kommunikation verändern. Bei der ursprünglichen Forderung können wirtschaftliche Merkmale wie Branche, Umsatz oder Unternehmensgröße eine Rolle spielen. Für das betroffene Unternehmen ist daher nicht immer sofort erkennbar, ob der genannte Betrag endgültig ist oder Teil eines Druck- und Verhandlungsprozesses.

Warum eine Zahlung keine sichere Wiederherstellung garantiert

Eine Zahlung gibt dem Unternehmen keine Kontrolle darüber, was die Angreifer anschließend tatsächlich tun. Sie können einen Entschlüsselungsschlüssel bereitstellen, doch dieser muss nicht alle betroffenen Daten vollständig wiederherstellen. Dateien können fehlen oder beschädigt bleiben. Auch der Geschäftsbetrieb ist nicht automatisch wiederhergestellt, sobald einzelne Systeme wieder zugänglich sind.

Hinzu kommt das Risiko gestohlener Daten. Selbst wenn die Verschlüsselung aufgehoben wird, bleiben kopierte Informationen zunächst in der Hand der Täter. Das Unternehmen kann nicht zuverlässig überprüfen, ob diese Daten gelöscht, zurückgehalten oder später doch veröffentlicht werden. Eine Zahlung beendet die Erpressung deshalb nicht zwangsläufig.

Für Geschäftsführer und IT-Verantwortliche bedeutet das: Die Frage „Ransomware Lösegeld zahlen oder nicht?“ lässt sich nicht allein daran festmachen, ob die Forderung verhandelbar erscheint. Entscheidend ist auch, welche Daten und Systeme betroffen sind, welche Wiederherstellungsmöglichkeiten bestehen und welche Risiken nach einer Zahlung fortbestehen.

Auch nach einer Zahlung bleibt ungewiss, ob die Angreifer tatsächlich einen funktionierenden Schlüssel bereitstellen oder gestohlene Daten zurückhalten. Auch deshalb rät das BSI Betroffenen grundsätzlich davon ab, auf die Erpressung einzugehen. Eine Zahlung ist keine verlässliche Wiederherstellungsstrategie.

Wie die Kommunikation mit Ransomware-Angreifern abläuft

Nach einem Angriff erfahren Unternehmen häufig über eine Nachricht der Täter, dass Daten verschlüsselt wurden und eine Lösegeldforderung vorliegt. Ab diesem Moment beginnt eine Kommunikation, deren Ablauf die Angreifer meist vorgeben. Sie bestimmen, über welchen Kanal gesprochen wird, welche Informationen sie bereitstellen und bis wann das Unternehmen reagieren soll.

Ransom Note, Kontaktwege und Fristen

Die erste Nachricht wird oft als „Ransom Note“ bezeichnet. Angreifer können sie als Textdatei in betroffenen Ordnern ablegen, nach dem Anmelden automatisch anzeigen oder als Desktop-Hintergrund einrichten. Häufig enthält sie eine Kennung für das betroffene Unternehmen, einen Link zur Kontaktaufnahme und erste Fristen. Die Kennung hilft den Tätern, die Kommunikation einem Angriff zuzuordnen.

Viele Ransomware-Gruppen nutzen dafür eigene Portale im Tor-Netzwerk. Diese funktionieren ähnlich wie Chat- oder Ticketsysteme. Dort können die Beteiligten Nachrichten austauschen, Forderungen einsehen und über Bedingungen sprechen. Manche Angreifer lassen Unternehmen zudem einzelne Dateien zur Testentschlüsselung übermitteln. Andere nutzen Messenger-Dienste wie Telegram, Tox oder Jabber.

Die Abläufe unterscheiden sich je nach Gruppe. Einige Portale wirken professionell und folgen festen Schritten. Das ändert jedoch nichts daran, dass Unternehmen mit Kriminellen kommunizieren. Ein geordnet wirkender Ablauf ist keine Zusicherung, dass die Täter ihre Versprechen einhalten.

Typische Druckmittel und Double Extortion

Angreifer versuchen, eine schnelle Entscheidung herbeizuführen. Dazu setzen sie Zahlungsfristen und drohen mit der Veröffentlichung gestohlener Unternehmensdaten. Im Verlauf der Kommunikation können sie weitere Informationen offenlegen oder kleine Datenauszüge veröffentlichen. Solche Beispiele sollen belegen, dass sie tatsächlich auf Daten zugreifen konnten, und den Druck erhöhen.

Bei der sogenannten „Double Extortion“ verschlüsseln die Täter Systeme und drohen zugleich, zuvor entwendete Daten zu veröffentlichen. Damit reicht eine funktionierende Datensicherung allein nicht unbedingt aus, um alle Folgen des Angriffs zu beseitigen. Selbst wenn das Unternehmen seine Systeme aus eigenen Sicherungen wiederherstellen kann, bleibt die Sorge um vertrauliche Informationen bestehen.

Auch die Forderung kann sich während der Kommunikation verändern. Die Angreifer können den Betrag anpassen oder weitere Bedingungen stellen. Gespräche ziehen sich teilweise über mehrere Tage oder Wochen hin. Die Kommunikation ist damit ein Teil des Vorfalls, aber keine Garantie für eine erfolgreiche Wiederherstellung oder dafür, dass Daten vertraulich bleiben.

Sollte ein Unternehmen bei einem Ransomware-Angriff Lösegeld zahlen?

Das BSI rät grundsätzlich davon ab, Lösegeld zu zahlen. Eine Zahlung garantiert weder, dass die Daten vollständig wiederhergestellt werden, noch dass gestohlene Informationen vertraulich bleiben. Unternehmen sollten die Entscheidung nicht allein unter dem Druck einer Frist treffen. Beziehen Sie die zuständigen internen Verantwortlichen und bei Bedarf externe Fachleute ein.

Warum Forderungen veränderlich sein können

Die erste Forderung kann als Ausgangspunkt für weitere Gespräche dienen. Angreifer können den Betrag im Verlauf anpassen. Dabei können sie auch wirtschaftliche Merkmale des betroffenen Unternehmens berücksichtigen, etwa dessen Branche, Umsatz oder Größe. Ein mögliches Entgegenkommen beim Preis sagt allerdings nichts darüber aus, ob die Täter anschließend ihre Zusagen einhalten.

Für die Verantwortlichen ist die Situation besonders schwierig, weil beide Seiten mit sehr unterschiedlichen Erfahrungen in das Gespräch gehen. Ransomware-Gruppen führen solche Verhandlungen häufig routiniert. Für das betroffene Unternehmen ist es dagegen meist eine Ausnahmesituation. Dazu kommen Fristen und die Sorge, dass Daten veröffentlicht werden. Unter diesem Druck kann es schwerfallen, Forderungen und mögliche Folgen nüchtern zu bewerten.

Welche Risiken während und nach einer Verhandlung bleiben

Verhandlungen können mehrere Tage oder sogar Wochen dauern. Währenddessen bleibt oft unklar, ob die Angreifer die Fristen verlängern, ihre Forderung verändern oder weitere Daten als Druckmittel veröffentlichen. Ein Gespräch kann daher Zeit beanspruchen, ohne dass am Ende eine sichere Wiederherstellung steht.

Auch eine Einigung beseitigt nicht alle Risiken. Die Angreifer können zwar eine Entschlüsselung oder den Verzicht auf eine Veröffentlichung in Aussicht stellen. Das Unternehmen kann aber nicht sicherstellen, dass alle Daten vollständig entschlüsselt oder gestohlene Informationen tatsächlich gelöscht werden. Eine verhandelte Forderung ist deshalb nicht mit einer verlässlichen Vereinbarung über die Wiederherstellung gleichzusetzen.

Was Unternehmen nach einem Ransomware-Angriff beachten sollten

Nach einem Angriff müssen Unternehmen mehrere Fragen parallel klären. Welche Systeme sind betroffen? Welche Abläufe können weiterlaufen? Und welche Wiederherstellungsmöglichkeiten gibt es? Gleichzeitig läuft möglicherweise die Kommunikation mit den Angreifern. Klare Zuständigkeiten helfen, die verschiedenen Aufgaben zu koordinieren und Entscheidungen nicht allein unter dem Druck einer Zahlungsfrist zu treffen.

Vor einer Entscheidung interne und externe Fachleute einbeziehen

Die Geschäftsführung und die IT-Verantwortlichen sollten früh zusammenarbeiten. Die IT kann einschätzen, welche Systeme betroffen sind und welche Daten verfügbar sind. Die Geschäftsführung muss zugleich mögliche Auswirkungen auf den Betrieb abwägen. Wichtig ist, dass die Beteiligten ihre Informationen bündeln und Entscheidungen nicht auf Grundlage einzelner, ungeprüfter Annahmen treffen.

Fehlt im Unternehmen Erfahrung mit solchen Vorfällen, kann externe Unterstützung sinnvoll sein. Spezialisten für Incident Response und IT-Forensik können helfen, den Angriff einzuordnen und den Zustand der Systeme zu bewerten. Wenn eine Cyberversicherung besteht, sollten Unternehmen außerdem früh prüfen, welche Meldewege und Vorgaben der Vertrag enthält. So lassen sich wichtige Beteiligte einbinden, bevor einzelne Schritte die weitere Bearbeitung erschweren.

Auch die interne Kommunikation braucht eine klare Zuständigkeit. Mitarbeitende sollten wissen, an wen sie Beobachtungen oder Fragen richten können. Gegenüber Kunden und Geschäftspartnern sollten Informationen abgestimmt und sachlich kommuniziert werden. So vermeiden Unternehmen widersprüchliche Aussagen in einer ohnehin angespannten Lage.

Wiederherstellung, Kommunikation und Prävention vorbereiten

Die Wiederherstellung beginnt mit einer Bestandsaufnahme. Unternehmen sollten klären, welche Systeme für den laufenden Betrieb besonders wichtig sind und welche Sicherungen zur Verfügung stehen. Regelmäßige Backups sind nur dann eine verlässliche Hilfe, wenn sich die gesicherten Daten auch wiederherstellen lassen. Deshalb sollten Sicherungen und Wiederherstellungsabläufe regelmäßig geprüft werden.

Für künftige Vorfälle lohnt es sich, einen Incident-Response-Prozess festzulegen. Darin sollte stehen, wer die Koordination übernimmt, wer Entscheidungen trifft und wie die Beteiligten erreichbar sind. Ebenso sollten Unternehmen festhalten, wie sie intern und extern kommunizieren und welche Schritte bei der Wiederherstellung zu berücksichtigen sind.

Diese Vorbereitung verhindert nicht jeden Angriff. Sie hilft aber, im Ernstfall schneller einen Überblick zu gewinnen und geordnet zu handeln. Regelmäßige Datensicherungen, überprüfte Sicherheitsmaßnahmen und klare Abläufe verringern das Risiko, dass wichtige Entscheidungen erst dann getroffen werden, wenn der Druck bereits besonders hoch ist.

Use Case: Typischer Ablauf im Ernstfall

Wenn ein Unternehmen von einem Cybervorfall betroffen ist, braucht es schnell Klarheit. Was ist passiert? Welche Systeme sind betroffen? Gerade in produzierenden Unternehmen gilt es, die Systeme so schnell wie möglich wieder herzustellen, um den laufenden Betrieb sicherzustellen. Dazu kommt: Meldefristen müssen eingehalten werden, Kunden, Partner und Lieferanten müssen in Kenntnis gesetzt werden, um wichtiges Vertrauen ins eigene Unternehmen nicht zu strapazieren.

Wir von der Gröpper IT klären zunächst, was bereits bekannt ist und wo es direkten Handlungsbedarf gibt. Dabei prüfen wir auch, ob eine Cyberversicherung vorliegt und kontaktieren sie, um weitere Details abzustimmen. Unser Experten-Team startet währenddessen schon mit den ersten Scans, prüft, welche Systeme betroffen sind und eruiert erste Maßnahmen.

Für die Unterstützung im Ernstfall arbeiten wir bei Bedarf mit unserem Netzwerkpartner Riskworkers zusammen. Dort vereinen sich drei wichtige Fachbereiche: IT-Forensiker untersuchen den Angriff und helfen, das Ausmaß des Vorfalls einzuschätzen. Krisenmanager strukturieren die Reaktion und koordinieren die erforderlichen Maßnahmen. Lösegeldverhandler übernehmen bei Bedarf die Kommunikation und Verhandlung mit den Angreifern.

Diese Aufgaben greifen ineinander. Die forensischen Erkenntnisse helfen, die Lage zu verstehen. Das Krisenmanagement bringt die nötigen Schritte in eine sinnvolle Reihenfolge. Die Verhandler können die Forderungen und Aussagen der Angreifer einordnen. Wir halten die Abstimmung mit Ihnen und Riskworkers aufrecht und erklären verständlich, was bereits bekannt ist, was noch geprüft wird und welche Entscheidungen anstehen.

So müssen Sie in einer ohnehin belastenden Situation nicht selbst verschiedene Spezialisten suchen und deren Einschätzungen zusammenführen. Eine Zahlung ist dabei weder vorausgesetzt noch eine sichere Lösung. Gemeinsam schaffen wir eine fundierte Grundlage für die nächsten Schritte.

FAQ

Sollte ein Unternehmen bei einem Ransomware-Angriff Lösegeld zahlen?

Garantiert eine Zahlung, dass die Daten entschlüsselt werden?

Nein. Die Angreifer können zwar einen Entschlüsselungsschlüssel in Aussicht stellen. Es gibt aber keine Garantie, dass dieser funktioniert oder alle Daten wiederherstellt. Auch nach einer erfolgreichen Entschlüsselung kann unklar bleiben, ob zuvor gestohlene Informationen zurückgehalten oder gelöscht wurden.

Lassen sich Lösegeldforderungen verhandeln?

Forderungen können sich während der Kommunikation verändern. Angreifer können den Betrag anpassen oder weitere Bedingungen stellen. Eine niedrigere Forderung ist jedoch keine Garantie für eine erfolgreiche Wiederherstellung. Auch eine Einigung sagt nicht sicher voraus, ob die Täter ihre Zusagen einhalten.

Was bedeutet Double Extortion?

Bei Double Extortion verschlüsseln Angreifer Daten und drohen zusätzlich, zuvor entwendete Informationen zu veröffentlichen. Dadurch entsteht doppelter Druck. Selbst wenn ein Unternehmen seine Systeme aus eigenen Sicherungen wiederherstellen kann, bleibt das Risiko für die gestohlenen Daten bestehen.

Was sollten Unternehmen nach einem Angriff zuerst tun?

Klären Sie, welche Systeme und Geschäftsabläufe betroffen sind, und legen Sie fest, wer den Vorfall koordiniert. Beziehen Sie die zuständigen IT-Verantwortlichen ein. Wenn intern Erfahrung mit solchen Vorfällen fehlt, kann externe Incident-Response-Unterstützung helfen. Prüfen Sie außerdem, welche Datensicherungen verfügbar sind und welche Kommunikationswege für die Beteiligten gelten.