Vom vertrauten Insider zum Komplizen

Wenn ein Unternehmen Opfer einer Ransomware-Attacke wird, wendet es sich oft an einen spezialisierten Verhandlungsführer, um das heikle, risikoreiche Gespräch mit den Angreifern zu führen. Genau das war die Rolle, die Angelo Martino, 41, bei DigitalMint spielte – einem Unternehmen, das Organisationen dabei hilft, Ransomware-Vorfälle zu bewältigen und Zahlungen in ihrem Namen auszuhandeln. Martino wurde bei aktiven Sicherheitsverletzungen hinzugezogen und saß auf der Seite des Tisches, die dazu bestimmt war, Opfer zu schützen.

Stattdessen arbeitete Martino laut Gerichtsakten heimlich mit Partnern der Ransomware-Gruppe BlackCat (auch bekannt als ALPHV) zusammen, einem der berüchtigtsten Erpresserkollektive der letzten Jahre. Anstatt die Interessen seiner Kunden zu verteidigen, spielte er den Angreifern angeblich vertrauliche Informationen aus dem Inneren der Verhandlungen zu, die er eigentlich im Auftrag der Opfer führen sollte. Dieses Insiderwissen half der Bande Berichten zufolge, höhere Zahlungen zu erpressen, wobei der Plan insgesamt zu rund 75 Millionen Dollar beitrug, die aus mehreren Opferorganisationen herausgepresst wurden. Martino bekannte sich schuldig und wurde zu 70 Monaten Bundesgefängnis verurteilt.

Wie der Betrug die Ransomware-Verhandlung untergrub

Ransomware-Verhandlungen existieren, weil Unternehmen, die einem Angriff ausgesetzt sind, oft nicht über das nötige Fachwissen verfügen, um mit kriminellen Gruppen zu kommunizieren, die Glaubwürdigkeit von Drohungen einzuschätzen oder zu entscheiden, ob eine Lösegeldzahlung überhaupt ratsam ist. Firmen wie DigitalMint sollen als Firewall fungieren und ihre Erfahrung nutzen, um Forderungen zu reduzieren, die Fähigkeit zur Datenwiederherstellung zu überprüfen und zu verhindern, dass Opfer ein zweites Mal ausgebeutet werden.

Martinós Fall stellt dieses Modell auf den Kopf. Indem er sensible Details aus laufenden Verhandlungen weitergab – darunter interne Kundeninformationen, finanzielle Schmerzgrenzen und den Stand der Verhandlungsmacht eines Opfers –, lieferte er den BlackCat-Partnern praktisch das Drehbuch, das sie brauchten, um auf maximale Zahlungen zu drängen. Das ist ein schwerwiegender Vertrauensbruch, nicht nur zwischen Martino und seinem Arbeitgeber, sondern auch zwischen seinem Arbeitgeber und jedem Kunden, der davon ausging, dass sein Krisenreaktionsteam ausschließlich für ihn arbeitet.

Diese Art von Insider-Absprache ist besonders schädlich, weil sich Ransomware-Opfer ohnehin in einer verletzlichen Lage befinden. Sie stehen oft unter Druck, schnell über sensible Daten, Betriebsunterbrechungen und regulatorische Konsequenzen zu entscheiden. Fälle wie Instructures Lösegeldzahlung nach dem Canvas-Vorfall zeigen, dass Organisationen manchmal zu dem Schluss kommen, dass eine Zahlung die am wenigsten schädliche Option ist. Wenn der Verhandlungsführer, der diese Entscheidung begleitet, einen finanziellen Anreiz hat, gegen das Opfer zu arbeiten, wird die gesamte Berechnung, mit der eine Zahlung gerechtfertigt wird, ad absurdum geführt.

Warum dieser Fall größere Datenschutzbedenken für Unternehmen aufwirft

Die Auswirkungen auf die Privatsphäre gehen weit über die unmittelbaren finanziellen Verluste hinaus. Ransomware-Verhandlungen beinhalten in der Regel die Weitergabe hochsensiblen Materials: den Umfang gestohlener Daten, interne Sicherheitsbewertungen, Kommunikation auf Führungsebene und Details darüber, was ein Unternehmen zu zahlen bereit ist. Opfer geben diese Informationen in der Annahme preis, dass sie in einem eng kontrollierten Kreis vertrauenswürdiger Beteiligter bleiben.

Martinós Taten zeigen, dass das Ökosystem der Incident Response selbst zu einem Schwachpunkt werden kann. Selbst Organisationen, die nach einem Vorfall alles richtig machen – seriöse Firmen beauftragen, empfohlenen Protokollen folgen und mit den Strafverfolgungsbehörden kooperieren –, können ihre Daten und ihre Verhandlungsposition von innen heraus untergraben sehen. Dies erinnert an die Drucktaktiken, die bei anderen spektakulären Erpressungskampagnen zu beobachten waren, etwa die Eskalation, als ShinyHunters während der Canvas-Lösegeldkampagne Schulportale verunstalteten, wobei die Angreifer auf öffentliche Bloßstellung und Datendruck setzten, um eine Lösung zu erzwingen.

Was das für Sie bedeutet

Sollte Ihr Unternehmen jemals in die Lage kommen, mit einer Ransomware-Gruppe zu verhandeln, ist dieser Fall eine Mahnung, dass der Auswahlprozess für Dienstleister genauso viel Sorgfalt verdient wie Ihre Cybersicherheits-Tools. Fragen Sie potenzielle Verhandlungsfirmen nach internen Kontrollen, der Überprüfung von Mitarbeitern und wie Kundendaten während eines laufenden Falls segmentiert und überwacht werden. Verlangen Sie Klarheit darüber, wer Zugang zu Verhandlungsdetails hat und ob eine einzelne Person unkontrollierte Befugnisse über die Kommunikation mit den Angreifern besitzt.

Für Privatpersonen und kleinere Unternehmen ohne die Ressourcen für umfassende Due-Diligence-Prüfungen ist die Lehre allgemeiner: Minimieren Sie von vornherein sensible Daten, die offengelegt werden könnten. Starke Backup-Strategien, Netzwerksegmentierung und die Begrenzung der Menge personenbezogener oder finanzieller Daten, die in leicht zugänglichen Systemen gespeichert werden, verringern allesamt, wie viel Druck eine Ransomware-Gruppe – oder ein kompromittierter Insider – auf Sie ausüben kann.

Wichtige Erkenntnisse

  • Überprüfen Sie Incident-Response- und Verhandlungsfirmen mit derselben Gründlichkeit, die Sie auf jeden Dienstleister anwenden würden, der mit sensiblen Daten umgeht.
  • Fragen Sie, wie Verhandlungsfirmen den Zugriff ihrer Mitarbeiter während aktiver Ransomware-Fälle intern überwachen und prüfen.
  • Reduzieren Sie den Umfang sensibler Daten, die in kompromittierbaren Systemen gespeichert sind – weniger Expositionsfläche bedeutet weniger Druckmittel für Angreifer oder Insider.
  • Behandeln Sie Ransomware-Verhandlungen als eine Entscheidung, die eine eigene Aufsicht erfordert, nicht als Blackbox, die komplett von einem Dritten erledigt wird.

Der Fall Martino ist ein seltenes, aber ernstes Beispiel für Insiderverrat innerhalb der Ransomware-Bewältigungsbranche. Das bedeutet nicht, dass Verhandlungsfirmen generell nicht vertrauenswürdig sind, aber es unterstreicht, dass Vertrauen geprüft und nicht vorausgesetzt werden sollte – besonders dann, wenn die heikelsten Details eines Sicherheitsvorfalls auf dem Spiel stehen.