LockBit-Zerschlagung legt gebrochene Versprechen der Ransomware-Branche offen

Als die Strafverfolger hinter den Vorhang blickten

Im Februar 2024 zerschlug eine Koalition internationaler Strafverfolgungsbehörden die Infrastruktur hinter LockBit, einer der aktivsten Ransomware-Operationen der jüngeren Vergangenheit. Was die Ermittler fanden, als sie Zugriff auf die Systeme von LockBit erlangten, war mehr als nur Beweise für kriminelle Aktivitäten. Sie entdeckten, dass die Gruppe Kopien gestohlener Opferdaten aufbewahrt hatte – auch nachdem sie den Opfern, häufig gegen Zahlung, versichert hatte, die Daten seien gelöscht worden.

Dieses Detail zählt weit mehr, als es auf den ersten Blick scheint. Seit Jahren umfasst das Standardvorgehen für von Ransomware betroffene Organisationen eine stille, unbequeme Option: das Lösegeld zahlen, sich ein Löschversprechen vom Angreifer geben lassen und weitermachen. Die LockBit-Enthüllung bestätigt, was viele Sicherheitsforscher lange vermutet haben: Dieses Versprechen ist oft wertlos, und die Opfer haben meist keine Möglichkeit, dies zu erkennen.

Die Kluft zwischen dem, was Opfern gesagt wird, und dem, was tatsächlich passiert

Ransomware-Verhandlungen finden in der Regel nicht öffentlich statt, vermittelt durch Incident-Response-Firmen, Versicherer oder die Opferorganisationen selbst. Wenn eine kriminelle Gruppe behauptet, gestohlene Dateien gelöscht zu haben, gibt es selten eine unabhängige Möglichkeit, diese Behauptung zu überprüfen. Den Opfern wird im Wesentlichen zugemutet, dem Wort genau der Akteure zu vertrauen, die in ihre Systeme eingedrungen sind und ihre Daten gestohlen haben.

Der Fall LockBit zeigt, warum dieses Vertrauen fehl am Platz ist. Selbst wenn ein kriminelles Unternehmen ausgefeilt genug ist, um einen funktionierenden „Kundendienst“ für seine Opfer zu betreiben – mit Verhandlungsportalen und Löschzertifikaten –, fehlt schlicht der Anreiz, die wertvollen gestohlenen Daten tatsächlich zu vernichten. Daten haben Wiederverkaufswert, Druckmittelwert und künftigen Erpressungswert. Sie zu löschen, läuft den Eigeninteressen des Angreifers zuwider.

Diese Diskrepanz schafft es selten so in die Schlagzeilen wie die Meldung eines Datenschutzvorfalls. Unternehmen, die stillschweigend zahlen, um ein Problem aus der Welt zu schaffen, haben wenig Grund, öffentlich zu machen, dass das Löschversprechen nicht eingehalten wurde – vor allem, wenn sie es nie herausfinden. Dieses Schweigen ist mit ein Grund, warum negative Folgen weit häufiger eintreten, als es öffentlich bekannt wird. Die Zerschlagung der LockBit-Infrastruktur ist einer der wenigen Fälle, in denen die Kluft zwischen Versprechen und Realität überhaupt sichtbar wurde – ganz ähnlich, wie Googles Zerschlagung eines mit der KP Chinas verbundenen Hacker-Netzwerks den Vorhang über Aktivitäten lüftete, die den betroffenen Organisationen sonst verborgen geblieben wären.

Warum dies die Denkweise von Organisationen zu Ransomware verändern sollte

Die praktische Lehre lautet nicht, dass eine Lösegeldzahlung immer die falsche Entscheidung ist. Jeder Vorfall bringt seine eigenen rechtlichen, betrieblichen und finanziellen Zwänge mit sich, und einige Organisationen mögen weiterhin entscheiden, dass die Zahlung das kleinste Übel ist. Die Lehre ist: Eine Zahlung darf niemals als Lösung für ein Datenkompromittierungsproblem betrachtet werden.

Sobald Daten die Kontrolle einer Organisation verlassen, sollten sie als dauerhaft kompromittiert gelten – ungeachtet aller nachfolgenden Zusicherungen. Das bedeutet, dass Meldepflichten, Kundenkommunikation und Risikobewertungen so fortgeführt werden müssen, als ob die gestohlenen Daten weiterhin im Umlauf sind – denn das sind sie möglicherweise. Cyberversicherungen und Incident-Response-Pläne, die nach einer Zahlung von einer sauberen Lösung ausgehen, beruhen auf einer überholten und zunehmend diskreditierten Prämisse.

Was das für Sie bedeutet

Für Personen, deren Daten im Zuge eines Ransomware-Angriffs in einen Datenschutzvorfall geraten sein könnten, ist die LockBit-Enthüllung eine Mahnung, die Wachsamkeit nicht fallen zu lassen, nur weil ein Unternehmen den Vorfall als „abgeschlossen“ meldet. Ein Löschversprechen von Kriminellen ist keine Garantie, und Ihre Informationen könnten noch lange nach dem Abklingen der Schlagzeilen offenliegen.

Für Unternehmen, vor allem für kleine und mittlere ohne dedizierte Sicherheitsteams, ist dies ein Plädoyer für Prävention statt Verhandlung. Starke Backup-Strategien, Netzwerksegmentierung und grundlegende Endpoint-Hygiene verringern die Wahrscheinlichkeit, jemals in die Lage zu kommen, sich auf das Wort eines Erpressers verlassen zu müssen. Zu prüfen, wie persönliche und berufliche Konten geschützt sind – auch ob sensibler Datenverkehr über sichere Verbindungen geleitet wird –, ist ein sinnvoller Ausgangspunkt; manche Organisationen ziehen Optionen wie jene auf Seiten heran, die Anbieter wie IVPN oder Mozilla VPN vergleichen, als Teil eines umfassenderen Bemühens, die Angriffsfläche zu verringern, auch wenn kein einzelnes Tool eine vollständige Sicherheitsstrategie ersetzt.

Umsetzbare Erkenntnisse

• Gehen Sie davon aus, dass sämtliche bei einem Ransomware-Vorfall gestohlenen Daten auf unbestimmte Zeit gefährdet bleiben, selbst wenn ein Löschversprechen abgegeben wurde.
• Lassen Sie eine Lösegeldzahlung nicht die vollständige Benachrichtigungspflicht bei Datenschutzverletzungen und Maßnahmen zum Kundenschutz ersetzen.
• Priorisieren Sie Backups und Netzwerksegmentierung, damit die Zahlung an Angreifer nie die einzige Option ist.
• Falls Sie benachrichtigt werden, dass Ihre Daten von einem Vorfall betroffen sind, überwachen Sie Ihre Konten und Kreditauskünfte weit über die erste Bekanntgabe hinaus.
• Fordern Sie von jeder Organisation, die Ihre Daten verarbeitet, Transparenz darüber, wie sie auf Ransomware-Vorfälle reagiert – und nicht nur, ob sie gezahlt hat.

Die LockBit-Zerschlagung gewährte einen seltenen, ungefilterten Einblick, wie Cyber-Erpressung tatsächlich abläuft, sobald die Kriminellen nicht mehr die Kontrolle über die Erzählung haben. Löschversprechen als Tatsachen zu behandeln statt als unbestätigte Behauptungen eines feindlichen Akteurs, hat zu vielen Opfern ein falsches Gefühl der Abgeschlossenheit vermittelt. Skeptisch zu bleiben und vorbereitet zu bleiben, ist die bessere langfristige Strategie.