Kein bundesweites Verbot von Ransomware-Zahlungen, aber OFAC-Risiko droht

Kein Bundesgesetz verbietet Ransomware-Zahlungen, aber das ist nicht die ganze Geschichte

Ein aktueller juristischer Erklärtext der Spodek Law Group macht eine Aussage, die viele von Ransomware betroffene Organisationen überrascht: Es gibt kein Bundesgesetz, das die Zahlung von Lösegeld kategorisch verbietet. Das gilt selbst dann, wenn die Identität des Angreifers zum Zeitpunkt der Zahlung unbekannt ist. Für Unternehmen, die mit verschlüsselten Systemen, gestohlenen Kundendaten und zunehmenden Ausfallzeiten konfrontiert sind, könnte dies wie eine Freikarte klingen, einfach zu zahlen und weiterzumachen.

Das ist es nicht. Das Fehlen eines pauschalen strafrechtlichen Verbots bedeutet nicht, dass Ransomware-Zahlungen risikofrei sind. Die tatsächliche Gefahr kommt aus einer ganz anderen Richtung: dem Sanktionsrecht, das vom Office of Foreign Assets Control (OFAC) des Finanzministeriums durchgesetzt wird.

Wo OFAC-Sanktionen ins Spiel kommen

OFAC führt Listen gesperrter Personen, Organisationen und Länder, die mit Cyberkriminalität, staatlich gefördertem Hacking und anderen illegalen Aktivitäten in Verbindung stehen. Wenn eine Ransomware-Zahlung in die Hände einer sanktionierten Person oder eines umfassend sanktionierten Landes gelangt, können das betroffene Unternehmen und manchmal die Vermittler, die die Zahlung ermöglicht haben, zivilrechtlich belangt werden – unabhängig von der Absicht. Mit anderen Worten: Ein Unternehmen muss nicht wissentlich Geld an einen sanktionierten Akteur senden, um gegen die Vorschriften zu verstoßen; es reicht aus, dass es das Geld sendet, Punkt.

Es handelt sich um einen Rahmen der verschuldensunabhängigen Haftung, und genau deshalb ist die Reaktion auf Sicherheitsvorfälle ebenso zu einer juristischen wie zu einer technischen Aufgabe geworden. Unsere frühere Berichterstattung darüber, wie Ransomware-Zahlungen OFAC-Sanktionen riskieren beleuchtet diese Dynamik ausführlicher: Incident-Response-Teams schalten heute routinemäßig externe Anwälte und Sanktionsprüfspezialisten ein, bevor sie eine Zahlung autorisieren, gerade weil die falsche Überweisung einen Datenschutzverstoß in ein behördliches Durchsetzungsverfahren verwandeln kann.

Die Regierung hat auch gezeigt, dass sie bereit ist, Infrastruktur zu sanktionieren, die Ransomware ermöglicht, und nicht nur die Angreifer selbst. Die Entscheidung des Finanzministeriums, einen VPN-Dienst zu sanktionieren, der mit Ransomware-Operationen in Verbindung steht, über die wir in unserem Bericht über die erste VPN-Sanktionsmaßnahme des Finanzministeriums berichtet haben, zeigt, dass das Durchsetzungsnetz weit über die Personen hinausreicht, die Lösegeldforderungen tippen. Jeder in der Zahlungs- oder Geldwäschekette, einschließlich Diensten, die die Geldspur anonymisieren, kann ins Visier geraten.

Der Datenschutzaspekt, den Betroffene oft übersehen

Während sich die meisten Berichte über Ransomware-Sanktionen auf die finanziellen und rechtlichen Risiken für das zahlende Unternehmen konzentrieren, gibt es eine Datenschutzdimension, die mehr Aufmerksamkeit verdient. Wenn eine Organisation Lösegeld zahlt, tut sie das oft, um zu verhindern, dass gestohlene personenbezogene Daten (Kundendaten, Gesundheitsinformationen, Mitarbeiterdateien) veröffentlicht oder verkauft werden. Aber die Zahlung garantiert nicht, dass diese Daten gelöscht werden oder später nicht wieder auftauchen. Angreifer, die bereits sensible Datensätze exfiltriert haben, behalten auch nach Zahlungseingang ein Druckmittel, und es gibt keinen durchsetzbaren Mechanismus, der sie zwingt, ein Löschversprechen einzuhalten.

Diese Realität spielt sich öffentlich ab. Unser jüngster Beitrag darüber, wie Ransomware-Zahlungen zurückgehen, während 23andMe einen Vergleich über 18 Millionen US-Dollar zahlt, zeigt, dass die Folgen eines Datenschutzverstoßes lange nach einer Lösegeldentscheidung anhalten können und die Betroffenen die Konsequenzen kompromittierter genetischer und persönlicher Daten tragen – unabhängig davon, was das Unternehmen zu zahlen beschloss. Für Verbraucher ist die Sanktionsdebatte, die in Vorstandsetagen und Anwaltskanzleien geführt wird, eigentlich ein Stellvertreterkampf darum, ob ihre Daten privat bleiben.

Die Ergebnisse der Strafverfolgung fügen eine weitere Kontextebene hinzu. Das 16-jährige Urteil gegen einen Hacker hinter der Ransom-Cartel-Operation, über das wir im Fall des belarussischen Hackers und des Ransom-Cartel-Systems berichtet haben, zeigt, dass es zwar zu Strafverfolgungen kommt, diese aber in der Regel Jahre nachdem die Opfer und ihre Kunden den Schaden bereits erlitten haben.

Was das für Sie bedeutet

Wenn Sie ein Unternehmen führen, ist die Erkenntnis nicht, dass Ransomware-Zahlungen sicher sind, nur weil kein Strafgesetz sie pauschal verbietet. Sanktionsrisiken sind real, und sie gelten selbst dann, wenn Sie nicht wussten, wen Sie bezahlen. Bevor eine Zahlung geleistet wird, benötigen Organisationen eine Sanktionsprüfung, eine rechtliche Überprüfung und ein klares Verständnis dafür, dass OFAC-Strafen unabhängig von gutgläubiger Absicht verhängt werden können.

Wenn Sie ein Verbraucher sind, dessen Daten in einen solchen Vorfall verwickelt sein könnten, ist die Lehre eine andere, aber verwandte: Dass ein Unternehmen Lösegeld zahlt, ist nicht dasselbe wie der Schutz Ihrer Daten. Zahlungsentscheidungen werden von rechtlichen und finanziellen Risikokalkulationen geprägt, nicht unbedingt von dem, was Ihre Privatsphäre am besten schützt.

Wichtigste Erkenntnisse

• Kein Bundesgesetz verbietet Ransomware-Zahlungen kategorisch, aber OFAC-Sanktionen können dennoch eine zivilrechtliche Haftung begründen.
• Die Haftung nach dem Sanktionsrecht kann selbst dann eintreten, wenn keine Kenntnis darüber bestand, dass eine Zahlung an eine gesperrte Person oder einen gesperrten Staat ging.
• Die Zahlung von Lösegeld garantiert nicht, dass gestohlene Daten gelöscht oder von kriminellen Marktplätzen ferngehalten werden.
• Organisationen sollten vor jeder Ransomware-Zahlung Rechtsberatung und eine Sanktionsprüfung einbeziehen.
• Von einem Datenschutzverstoß betroffene Verbraucher sollten die Gefährdung unabhängig überwachen, anstatt davon auszugehen, dass eine Zahlung das Risiko beseitigt hat.