22 % der britischen Ransomware-Zahler werden erneut erpresst

Die Zahlung an eine Ransomware-Gang war noch nie eine Sicherheitsgarantie, doch neue Forschungsergebnisse beziffern, wie oft dieses Wagnis scheitert. Jüngsten Erkenntnissen zufolge haben 58 % der britischen Organisationen, die von Ransomware betroffen waren, das geforderte Lösegeld gezahlt, und 22 % dieser Zahler wurden anschließend erneut mit einer zweiten Erpressung konfrontiert. Die Botschaft für IT-Teams und für alle, deren persönliche Daten über Unternehmensnetzwerke laufen, lautet: Das alte Prinzip „Zahlen und weitermachen“ funktioniert nicht mehr.

Die neue Realität: Zahlen beendet den Angriff nicht

Ransomware folgte früher einem ziemlich vorhersehbaren Drehbuch: Angreifer verschlüsseln Ihre Dateien, Sie zahlen, Sie erhalten einen Entschlüsselungsschlüssel, und der Vorfall ist abgeschlossen. Dieses Drehbuch wurde umgeschrieben. Der Trend zur doppelten Erpressung – bei der Angreifer Daten stehlen, bevor sie sie verschlüsseln, und damit drohen, diese Daten unabhängig von einer Zahlung zu veröffentlichen – bedeutet, dass eine Lösegeldtransaktion nichts abschließt. Die 22-Prozent-Zahl, die wiederholte Erpressungen gegenüber bereits zahlenden Organisationen zeigt, bestätigt, wovor viele Sicherheitsforscher seit Jahren warnen: Sobald Ihre Daten aus dem Haus sind, haben Sie keine wirkliche Kontrolle mehr darüber, was weiter damit geschieht. Eine kriminelle Gruppe, die einmal bezahlt wurde, hat jeden Anreiz, zurückzukehren – sei es derselbe Akteur oder ein anderer, der mit weiterverkauften Zugängen arbeitet.

Für Windows-Administratoren ändert dies insbesondere die Kalkulation im Incident Response. Die Wiederherstellung aus Backups wurde früher als Alternative zur Zahlung betrachtet. Jetzt muss sie als grundlegende Erwartung behandelt werden, denn eine Zahlung stoppt das Ausbluten beim Datendiebstahl nicht zuverlässig. Getestete, offline gesicherte Backups, starke Identitätssicherheitskontrollen und ein dokumentierter Wiederherstellungsplan sind es, die den Kreislauf tatsächlich durchbrechen – nicht eine Überweisung an eine anonyme Wallet.

KI beschleunigt die initiale Kompromittierung

Das andere große Thema dieser Forschung ist die wachsende Rolle von KI in den frühen Phasen eines Angriffs. Die initiale Kompromittierung – der Moment, in dem Angreifer erstmals Fuß im Netzwerk fassen – ist der Bereich, in dem KI-Tools Berichten zufolge die größte Wirkung entfalten. Schnellere Aufklärung, überzeugendere Phishing-Köder und die raschere Identifizierung ausnutzbarer Schwachstellen verkürzen alle das Zeitfenster, das Verteidiger haben, um zu erkennen, dass etwas nicht stimmt, bevor Schaden entsteht.

Das ist wichtig, weil die meisten Ransomware-Abwehrmaßnahmen noch auf der Annahme beruhen, dass Angreifer Zeit brauchen, um sich durch ein Netzwerk zu bewegen, bevor sie ernsthaften Schaden anrichten. Wenn KI diesen Zeitplan verkürzt, sind Organisationen, die sich ausschließlich auf regelmäßige Patch-Zyklen und manuelle Überwachung verlassen, zunehmend schutzlos. Das unterstreicht, warum Identitätssicherheit – Dinge wie Multi-Faktor-Authentifizierung, Privileged Access Management und schnelle Anomalieerkennung – genauso wichtig geworden ist wie der Endpoint-Schutz.

Warum Datendiebstahl die eigentliche Datenschutzgeschichte ist

Während verschlüsselte Dateien die meisten Schlagzeilen machen, rückt das Modell der doppelten Erpressung etwas in den Mittelpunkt, das für den Alltag der Menschen bedeutsamer ist: die Daten selbst. Jeder Ransomware-Vorfall, bei dem gestohlene Personalakten, Kundendatenbanken oder Mitarbeiterdateien betroffen sind, ist im Kern ein Datenschutzvorfall. Denken Sie an den Fall, wie der Datenleck im HR-System von Statistics South Africa Mitarbeiterdaten offenlegte – ein Beispiel, das zeigt, wie interne Systeme mit sensiblen persönlichen Informationen selbst zum eigentlichen Ziel werden können und nicht nur Kollateralschaden eines umfassenderen Angriffs sind. Wenn Ransomware-Gruppen diese Art von Daten vor dem Sperren der Systeme exfiltrieren, ändert eine Lösegeldzahlung nichts daran, dass Namen, Gehälter, Adressen oder Gesundheitsdaten möglicherweise bereits auf einem kriminellen Server liegen oder käuflich zu haben sind.

Das ist der Aspekt, der in der rein technischen Berichterstattung über Ransomware oft fehlt: Der zweite Erpressungsversuch ist nicht nur ein unternehmerisches Kopfzerbrechen, sondern eine zweite Welle der Gefährdung für die Personen, deren Daten ursprünglich gestohlen wurden. Mitarbeiter, Kunden und Patienten haben selten ein Mitspracherecht, ob ihre Organisation zahlt, tragen jedoch das anhaltende Risiko von Identitätsdiebstahl, gezieltem Phishing oder Betrug, lange nachdem die Schlagzeilen verblassen.

Was das für Sie bedeutet

Wenn Sie in der IT oder Sicherheit arbeiten, sind diese Daten ein klares Signal, die Lösegeldzahlung nicht mehr als Lösung zu betrachten, sondern als schlimmsten Fall einer Rückfalloption. Wiederherstellungspläne, unveränderliche Backups und identitätsorientierte Verteidigungsmaßnahmen verdienen mehr Budget und Testzeit, als sie üblicherweise erhalten. Wenn Sie Mitarbeiter oder Kunde einer Organisation sind, die einen Ransomware-Vorfall offengelegt hat, gehen Sie davon aus, dass Ihre Daten kopiert wurden, auch wenn Ihnen mitgeteilt wird, die Systeme seien „wiederhergestellt“. Überwachen Sie Ihre Konten, achten Sie auf Phishing-Versuche, die sich auf den Vorfall beziehen, und ziehen Sie eine Kreditüberwachung in Betracht, wenn sensible persönliche oder finanzielle Daten betroffen waren.

Umsetzbare Maßnahmen

Organisationen sollten die Integrität ihrer Backups regelmäßig überprüfen und sicherstellen, dass Backups wirklich vom Produktionsnetzwerk isoliert sind. Multi-Faktor-Authentifizierung und der Zugriff nach dem Least-Privilege-Prinzip sollten in allen Systemen – nicht nur in kritischen – nicht verhandelbar sein. Incident-Response-Pläne müssen das Szenario der doppelten Erpressung explizit berücksichtigen, einschließlich rechtlicher und kommunikativer Schritte für den Fall, dass gestohlene Daten öffentlich auftauchen. Personen, die von einer Ransomware-Bekanntgabe betroffen sind, sollten Passwörter ändern, MFA aktivieren, wo verfügbar, und wachsam gegenüber nachfolgenden Betrugsversuchen sein. Die Daten zeigen deutlich, dass eine zweite Ransomware-Erpressung kein seltener Randfall mehr ist – sie wird zu einem standardmäßigen Teil des Angriffslebenszyklus, und Vorbereitung ist die einzige wirkliche Verteidigung.