Neuer Bericht: 37 % der Lösegeld-Zahler werden erneut erpresst

Lösegeld-Opfer, die zahlen, in der Hoffnung, das Problem verschwinden zu lassen, werden oft enttäuscht. Eine neu veröffentlichte globale Studie, der AI-Era-Ransomware-Report, befragte fast 1.000 Sicherheitsexperten in 12 Märkten und fand heraus, dass die Zahlung eines Lösegelds alles andere als eine garantierte Lösung ist. Die Ergebnisse stützen eine Warnung, die Sicherheitsforscher seit Jahren wiederholen: Wiederholte Erpressungszahlungen bei Ransomware sind ein reales und wachsendes Risiko – kein seltener Einzelfall.

Was der AI-Era-Ransomware-Report herausfand

Die Umfrage zeichnet ein ernüchterndes Bild davon, wie Organisationen reagieren, wenn Ransomware zuschlägt. Über die Hälfte der Organisationen, die einen Angriff erlitten haben – 54 % – zahlte am Ende ein Lösegeld, um ihre sensiblen Daten wiederherzustellen. Von denjenigen, die zahlten, erhielten 56 % tatsächlich wieder Zugriff auf ihre Dateien oder Systeme. Doch die beunruhigendere Zahl zeigt, was als Nächstes geschah: Mehr als ein Drittel der Opfer, 37 %, erhielt eine zweite Erpressungsforderung, nachdem sie die erste bereits bezahlt hatten.

Allein diese Statistik sollte die Art und Weise verändern, wie Organisationen über die Reaktion auf Ransomware denken. Zahlen ist keine einmalige Transaktion, die den Vorfall abschließt. Für mehr als ein Drittel der Opfer in dieser Studie war es schlicht der Eröffnungszug in einem längeren, kostspieligeren Kreislauf.

Warum Zahlen weder Sicherheit noch Datenwiederherstellung garantiert

Es lohnt sich, die Mathematik hier zu betrachten. Selbst unter den Organisationen, die zahlten, erlangten fast die Hälfte ihre Daten ohnehin nicht vollständig zurück. Und ein großer Teil derjenigen, die ihre Dateien zurückbekamen, wurde erneut ins Visier genommen – entweder von demselben Angreifer, der mehr Geld forderte, oder von einer anderen Gruppe, die die Zahlung als Beweis dafür sah, dass das Opfer verhandlungsbereit war.

Dieses Muster deckt sich mit anderen aktuellen Forschungen. Eine Proofpoint-Umfrage, über die vpn.social berichtet, fand ebenfalls heraus, dass die Zahlung an Ransomware-Banden oft nach hinten losgeht, wobei ein erheblicher Teil der zahlenden Opfer mit erneuten Erpressungsversuchen konfrontiert wird. Sobald eine Organisation zahlt, kann sie auf einer Liste bestätigter Zahler landen – Informationen, die unter kriminellen Gruppen zirkulieren und die Organisation zu einem attraktiveren Ziel für zukünftige Angriffe machen, nicht zu einem weniger attraktiven.

Es gibt auch keinen durchsetzbaren Vertrag in einer Ransomware-Verhandlung. Angreifer haben keinen rechtlichen oder rufschädigenden Anreiz, ihren Teil der Abmachung einzuhalten, sobald das Geld überwiesen ist. Entschlüsselungsschlüssel können unvollständig, fehlerhaft oder schlicht nie geliefert werden. Die Daten, die gestohlen und als Druckmittel verwendet wurden, können unabhängig von Versprechungen weiterhin verkauft, geleakt oder für eine zweite Erpressungsrunde zurückgehalten werden.

Die Präventionsalternativen: Backups, Verschlüsselung und Netzwerksegmentierung

Angesichts dieser Aussichten ist die widerstandsfähigere Strategie, die Wahrscheinlichkeit zu verringern, überhaupt erst entscheiden zu müssen, ob man zahlt. Einige Praktiken erweisen sich immer wieder als wirksame Verteidigung:

• Offline-, getestete Backups pflegen. Backups, die vom Hauptnetzwerk getrennt und regelmäßig auf Wiederherstellung getestet werden, ermöglichen es einer Organisation, sich zu erholen, ohne überhaupt mit einem Angreifer zu verhandeln.
• Sensible Daten im Ruhezustand und während der Übertragung verschlüsseln. Selbst wenn Angreifer Dateien exfiltrieren, begrenzt eine starke Verschlüsselung, was sie tatsächlich nutzen oder verkaufen können, und reduziert das Druckmittel hinter einer Datenleck-Drohung.
• Netzwerke segmentieren. Die Aufteilung von Systemen in isolierte Zonen begrenzt, wie weit sich Ransomware ausbreiten kann, sobald sie einen ersten Fuß in die Tür bekommt, und begrenzt den Schaden auf einen kleineren Teil der Organisation.
• Konsequent patchen und überwachen. Viele Ransomware-Einbrüche nutzen weiterhin bekannte, ungepatchte Schwachstellen oder schwache Fernzugriffs-Anmeldedaten aus – grundlegende Hygiene verschließt also einen großen Teil der Einstiegspunkte.

Keine dieser Maßnahmen macht eine Organisation immun gegen Angriffe, aber zusammen verringern sie sowohl die Wahrscheinlichkeit eines erfolgreichen Einbruchs als auch den Druck zu zahlen, falls einer auftritt.

Einen Incident-Response-Plan aufbauen, bevor ein Angriff erfolgt

Die Organisationen, die nach einem Ransomware-Vorfall am besten abschneiden, sind tendenziell diejenigen, die ihre Reaktion bereits vor dem Angriff geprobt haben. Das bedeutet, einen dokumentierten Plan zu haben, der festlegt, wer die Entscheidung über die Zahlung trifft, welche Rechts- und Strafverfolgungskontakte benachrichtigt werden, wie die Kommunikation mit Mitarbeitern und Kunden gehandhabt wird und wie Systeme isoliert und wiederhergestellt werden.

Tabletop-Übungen, bei denen Mitarbeiter ein simuliertes Angriffsszenario durchspielen, helfen, Lücken im Plan aufzudecken, solange kein echter Druck besteht. Sie beschleunigen auch die tatsächliche Reaktion, wenn ein Vorfall eintritt, verkürzen das Zeitfenster der Gefährdung und verringern die Versuchung zu zahlen, nur weil keine andere Option bereit zu sein scheint.

Was das für Sie bedeutet

Für IT-Leiter und Sicherheitsteams ist dieser Bericht eine Erinnerung daran, dass wiederholte Erpressungszahlungen bei Ransomware häufig genug sind, um sie in die Planung einzubeziehen – kein Worst-Case-Ausreißer. Behandeln Sie eine Lösegeldzahlung als letzte Möglichkeit mit einer realen Chance des Scheiterns, nicht als verlässliche Versicherung. Budgetieren Sie für Prävention (Backups, Segmentierung, Überwachung) genauso, wie Sie für jede andere Kerninfrastruktur-Kosten budgetieren würden, denn die Zahlen deuten darauf hin, dass dies langfristig billiger ist als wiederholte Verhandlungen mit Angreifern.

Für einzelne Nutzer und kleinere Organisationen ohne dediziertes Sicherheitsteam lassen sich dieselben Prinzipien herunterskalieren: Halten Sie eine Offline-Kopie von allem Unersetzlichen bereit, nutzen Sie Verschlüsselung, wo sie verfügbar ist, und wissen Sie im Voraus, wen Sie anrufen würden, wenn Ihre Systeme jemals gesperrt würden.

Die wichtigsten Erkenntnisse

• 54 % der befragten Organisationen, die einen Ransomware-Angriff erlitten, zahlten das Lösegeld, aber nur 56 % der Zahler erlangten vollständig wieder Zugriff auf ihre Daten.
• 37 % der Organisationen, die zahlten, wurden mit einer zweiten Erpressungsforderung konfrontiert – das zeigt, dass Zahlen das Risiko nicht beendet.
• Offline-Backups, Verschlüsselung und Netzwerksegmentierung verringern sowohl die Chancen eines erfolgreichen Angriffs als auch den Druck zu zahlen.
• Ein getesteter Incident-Response-Plan, der vor einem Angriff erstellt wird, verkürzt die Wiederherstellungszeit und reduziert die Abhängigkeit von Lösegeldzahlungen.
• Leser können die Proofpoint-Umfrageergebnisse für zusätzliche bestätigende Daten darüber einsehen, wie oft Lösegeldzahlungen einen Angriff nicht lösen.