Warum garantiert die Zahlung eines Lösegelds nicht, dass das Problem aus der Welt ist?

Eine Zahlung behebt nur den akuten Ausfall; gestohlene Daten können kopiert, weiterverkauft oder für eine zweite Erpressung genutzt werden, und Angreifer sind nicht verpflichtet, sich an die Vereinbarung zu halten.

Was versteht man unter doppelter Erpressung bei Ransomware-Angriffen?

Doppelte Erpressung bedeutet, dass Angreifer Systeme verschlüsseln und zusätzlich sensible Daten stehlen, bevor sie eine Zahlung fordern. Die gestohlenen Daten bleiben selbst dann eine Belastung, wenn ein Entschlüsselungsschlüssel geliefert wird.

Sind kleine und mittlere Unternehmen von wiederholten Ransomware-Angriffen bedroht?

Ja, sie sind zunehmend im Visier, weil sie oft über weniger Ressourcen für Erkennung und Reaktion verfügen und eine einzige erfolgreiche Zahlung sie als bereit und fähig zum erneuten Bezahlen kennzeichnen kann.

Was bedeutet Proofpoints Erkenntnis für Unternehmen, die eine Lösegeldzahlung erwägen?

Sie zeigt, dass Bezahlen den Vorfall nicht verschwinden lässt; stattdessen kann es ein neues Kapitel aufschlagen – über ein Drittel der Zahler erlebt einen zweiten Erpressungsversuch.

Proofpoint: 1 von 3 Lösegeldzahlern wird erneut erpresst

Q: Wie viel Prozent der Lösegeldzahler werden ein zweites Mal angegriffen?

Laut der Studie von Proofpoint wurde mehr als ein Drittel der Unternehmen, die eine Lösegeldforderung bezahlt hatten, später mit einem zweiten Erpressungsversuch konfrontiert.

Was Proofpoints Studie über wiederholte Angriffe herausfand

Eine neue Studie des Cybersicherheitsunternehmens Proofpoint sorgt für eine ernüchternde Realitätskorrektur bei Organisationen, die Lösegeldzahlungen als schnelle Lösung betrachten. Der Untersuchung zufolge wurde mehr als ein Drittel der Unternehmen, die eine Lösegeldforderung bezahlt hatten, später erneut mit einer Erpressung konfrontiert. Mit anderen Worten: Den Scheck auszustellen, schließt den Fall nicht ab – für einen erheblichen Teil der Betroffenen öffnet es lediglich ein neues Kapitel.

Diese Erkenntnis ist bedeutsam, weil sie eine gängige Annahme in Krisenstäben widerlegt: dass die Zahlung an die Angreifer der schnellste Weg sei, das Problem verschwinden zu lassen. Proofpoints Daten deuten auf das Gegenteil hin. Sobald ein Unternehmen zeigt, dass es zahlungsbereit ist, kann es zum wiederholten Ziel werden – entweder für denselben Angreifer oder für eine andere Gruppe, die erfahren hat, dass die Organisation leicht nachgibt.

Warum die Zahlung von Lösegeld keine Datensicherheit garantiert

Das zentrale Problem, das Proofpoint hervorhebt, ist, dass Lösegeldverhandlungen auf Vertrauen gegenüber Kriminellen beruhen, die keinerlei bindende Verpflichtung haben, ihren Teil der Abmachung einzuhalten. Die Zahlung zur Entschlüsselung gesperrter Dateien garantiert weder, dass gestohlene Daten nicht bereits anderswo kopiert wurden, noch verhindert sie, dass Angreifer Zugangsdaten, Netzwerkpläne oder exfiltrierte Dateien an andere kriminelle Gruppen weiterverkaufen.

Genau hier liegt der Mechanismus hinter dem in der Studie beschriebenen Kreislauf wiederholter Erpressung. Moderne Ransomware-Operationen setzen zunehmend auf doppelte Erpressung: Sie verschlüsseln Systeme und stehlen zugleich sensible Daten, bevor sie eine Lösegeldforderung stellen. Selbst wenn ein Entschlüsselungscode wie versprochen geliefert wird, bleibt das gestohlene Datenmaterial eine Hypothek. Es kann für eine zweite Erpressung genutzt, auf kriminellen Marktplätzen verkauft oder von einem völlig anderen Bedrohungsakteur eingesetzt werden, der den Zugang vom ursprünglichen Angreifer kauft. Die Zahlung behebt den akuten Ausfall, tut aber nichts gegen die grundlegende Offenlegung der Unternehmensdaten.

Die wachsende Bedrohung für kleine und mittelständische Unternehmen

Während große Konzerne bisher die Schlagzeilen zu Ransomware dominierten, geraten zunehmend kleinere und mittlere Unternehmen ins Fadenkreuz – oft, weil sie weniger Ressourcen für Erkennung, Reaktion und Wiederherstellung haben. Diese Organisationen sind besonders anfällig für das von Proofpoint beschriebene Muster wiederholter Erpressung, da eine einzige erfolgreiche Zahlung sie als willig und fähig kennzeichnen kann, erneut zu bezahlen.

Diese Dynamik zeigt sich bereits bei Ransomware-as-a-Service-Operationen, die gezielt kleinere Organisationen angreifen. Wie in der Berichterstattung über Qilin und The Gentlemen Ransomware-Gangs, die Angriffe auf KMU eskalieren ausgeführt, konkurrieren diese Gruppen um Vorherrschaft, indem sie sich auf Unternehmen konzentrieren, denen es möglicherweise an Verhandlungserfahrung, juristischem Beistand oder der Incident-Response-Infrastruktur mangelt, die größere Firmen aufbieten können. Wenn ein kleineres Unternehmen einmal zahlt, hat es eventuell nicht die Mittel, seine Sicherheitslage anschließend grundlegend zu ändern – und lässt dieselben Schwachstellen für den nächsten Versuch offen.

Reduzieren Sie Ihr Risiko: Backups, Verschlüsselung und Notfallplanung

Proofpoints Ergebnisse untermauern eine Botschaft, die Sicherheitsexperten seit Jahren wiederholen: Prävention und Vorbereitung zählen mehr als Verhandlungen. Einige praktische Schritte können die Wahrscheinlichkeit eines Angriffs und den Schaden, falls es doch dazu kommt, spürbar verringern.

Erstens: Sorgen Sie für offline oder unveränderliche Backups, die regelmäßig geprüft werden. Eine Lösegeldzahlung wird oft dann zur einzigen Option, wenn Backups fehlen, veraltet oder während des Angriffs selbst verschlüsselt wurden. Zweitens: Verschlüsseln Sie sensible Daten im Ruhezustand und bei der Übertragung, sodass gestohlene Dateien selbst bei erfolgreicher Exfiltration nur begrenzten Wert haben. Drittens: Erstellen Sie einen Incident-Response-Plan, bevor ein Angriff geschieht, nicht erst währenddessen. Dieser Plan sollte klare Rollen, Kommunikationsprotokolle und vorab geprüfte juristische und forensische Kontakte enthalten, damit Entscheidungen nicht unter Panik und Zeitdruck getroffen werden.

Unternehmen sollten außerdem davon ausgehen, dass sämtliche von einem Eindringen betroffenen Daten irgendwann öffentlich werden oder weiterverkauft werden könnten – unabhängig davon, ob ein Lösegeld bezahlt wird. Sich auf diese Möglichkeit vorzubereiten – mit Verfahren zur Kundenbenachrichtigung, Angeboten zur Kreditüberwachung und rechtlicher Prüfung – ist weitaus zuverlässiger als die Hoffnung, eine kriminelle Gruppe werde gestohlene Dateien nach der Zahlung löschen.

Was das für Sie bedeutet

Wenn Ihre Organisation jemals mit einer Lösegeldforderung konfrontiert wird, legt die Forschung von Proofpoint nahe, dass die Zahlungsentscheidung nicht als garantierte Lösung betrachtet werden sollte. Das Risiko einer erneuten Erpressung nach einer Lösegeldzahlung ist real und dokumentiert: Bezahlen kann Sie als Ziel markieren, anstatt den Vorfall abzuschließen. Ganz gleich, ob Sie ein kleines Unternehmen führen oder die Sicherheit für ein größeres verantworten – die sicherste Annahme ist, dass ein Ransomware-Ereignis keine einmalige Sache sein muss, sofern Sie nicht die Ursachen beseitigen, die den Einbruch überhaupt ermöglicht haben.

Kernbotschaften

Gehen Sie nicht davon aus, dass eine Zahlung die Bedrohung beendet. Proofpoint fand heraus, dass über ein Drittel der zahlenden Opfer einen zweiten Erpressungsversuch erlebt.
Priorisieren Sie unveränderliche, geprüfte Backups, sodass die Zahlung niemals Ihr einziger Weg zur Wiederherstellung ist.
Verschlüsseln Sie sensible Daten, um den Schaden durch Abfluss selbst bei kompromittierten Systemen zu begrenzen.
Erstellen und üben Sie einen Incident-Response-Plan vor einem Angriff, nicht erst während eines Vorfalls.
Erkennen Sie, dass kleinere Unternehmen zunehmend von Gruppen wie Qilin und The Gentlemen ins Visier genommen werden – proaktive Verteidigung ist unabhängig von der Unternehmensgröße entscheidend.