Unternehmen zahlen weiterhin Lösegeld, wie neue Daten zeigen

Trotz jahrelanger Empfehlungen, die Unternehmen auffordern, Lösegeldforderungen abzulehnen, stellen viele Firmen immer noch Schecks für Cyberkriminelle aus. Eine neue Studie des Sicherheitsunternehmens Proofpoint ergab, dass fast ein Viertel (22 %) der Unternehmen, die ein Lösegeld gezahlt haben, erneut mit einer zweiten Erpressungsforderung konfrontiert wurden – eine Zahl, die ernsthafte Fragen aufwirft, ob das Zahlen tatsächlich etwas löst.

Die Forschung erscheint zu einem Zeitpunkt, an dem die Behörden so stark wie nie zuvor darauf drängen, dass Unternehmen gegenüber Angreifern hart bleiben. Das britische National Cyber Security Centre (NCSC) rät seit langem davon ab, Lösegeld zu zahlen, und warnt, dass dies weitere Angriffe fördert und keine Garantie dafür bietet, dass gestohlene oder verschlüsselte Daten tatsächlich zurückgegeben werden. Dennoch deuten die Ergebnisse von Proofpoint darauf hin, dass offizielle Ratschläge und reale Geschäftsentscheidungen oft zwei sehr verschiedene Dinge sind.

Warum Unternehmen trotzdem zahlen

Ransomware-Angriffe bringen Unternehmen in eine wenig beneidenswerte Lage. Wenn Systeme gesperrt sind oder sensible Daten mit öffentlicher Veröffentlichung bedroht werden, sind Führungskräfte oft gezwungen, Reputationsschäden, regulatorische Risiken und Betriebsausfallzeiten gegen die Kosten einer Lösegeldzahlung abzuwägen. Für viele Unternehmen fühlt sich das Zahlen wie der schnellste Weg zurück zur Normalität an, selbst wenn Sicherheitsexperten warnen, dass es selten so reibungslos funktioniert.

Diese Abwägung wird noch problematischer, wenn man bedenkt, wie sehr sich das Geschäft mit Ransomware selbst professionalisiert hat. Verhandlungen sind zu einer Art Kleinindustrie geworden, bei der spezielle Firmen beauftragt werden, mit den Angreifern zu kommunizieren und die Forderungen zu reduzieren. Diese Branche ist jedoch nicht frei von Kontroversen. In einem bemerkenswerten Fall wurde ein professioneller Verhandlungsführer zu 70 Monaten Gefängnis verurteilt, weil er an einem BlackCat-Ransomware-Deal beteiligt war – eine deutliche Erinnerung daran, dass die Personen, die diese Zahlungen vermitteln, nicht immer im besten Interesse des Unternehmens handeln. Ein verwandter Fall, in den derselbe Verhandlungsführer verwickelt war, der in Gerichtsakten als Martino identifiziert wurde, unterstreicht zusätzlich, wie undurchsichtig und rechtlich riskant das Ökosystem der Lösegeldzahlungen werden kann, sobald ein Mittelsmann beteiligt ist.

Die Kosten für die Privatsphäre durch Lösegeldzahlungen

Die Statistik der 22 % wiederholten Erpressung ist bedeutsam, weil sie der Kernrechtfertigung widerspricht, die die meisten Unternehmen für das Zahlen anführen: dass es das Problem verschwinden lässt. Wenn fast ein Viertel der Opfer nach der Zahlung erneut ins Visier genommen wird, erkauft die Zahlung keine Sicherheit. Sie bestätigt den Angreifern möglicherweise nur, dass die Organisation bereit und in der Lage ist zu zahlen, was sie zu einem attraktiveren Ziel für künftige Angriffe macht.

Es gibt auch eine Dimension der Privatsphäre, die in diesen Diskussionen oft übersehen wird. Ransomware-Angriffe beinhalten häufig den Diebstahl sensibler Daten – Kundenunterlagen, Mitarbeiterinformationen, Finanzdaten – lange bevor eine Verschlüsselung stattfindet. Eine Lösegeldzahlung macht diese Offenlegung nicht rückgängig. Die Angreifer haben die Daten möglicherweise bereits kopiert, und eine Zahlung bietet keine überprüfbare Garantie, dass sie gelöscht und nicht später verkauft oder veröffentlicht werden. Für die Personen, deren Daten in den Systemen eines betroffenen Unternehmens gespeichert sind, hat die hinter verschlossenen Türen stattfindende Lösegeldverhandlung wenig Einfluss darauf, ob ihre Informationen privat bleiben.

Was das für Sie bedeutet

Als Verbraucher sind diese Daten eine Erinnerung daran, dass die Entscheidung eines Unternehmens, ein Lösegeld zu zahlen, nicht unbedingt Ihre persönlichen Informationen schützt. Benachrichtigungen über Sicherheitsverletzungen und Angebote zur Kreditüberwachung nach einem Ransomware-Vorfall sollten ernst genommen werden, unabhängig davon, ob das betroffene Unternehmen angibt, die Situation mit den Angreifern gelöst zu haben.

Wenn Sie in der IT, in der Sicherheit oder in der Führungsetage tätig sind, sollten die Ergebnisse von Proofpoint direkt in die Planung der Reaktion auf Vorfälle einfließen. Die Zahlung sollte niemals als schnelle Lösung betrachtet werden. Unternehmen, die einmal gezahlt haben, scheinen weiterhin attraktive Ziele zu bleiben, was bedeutet, dass Wiederherstellungspläne eine stärkere Härtung nach einem Vorfall beinhalten müssen, nicht nur eine Überweisung und ein erleichtertes Aufatmen.

Umsetzbare Erkenntnisse

Einige praktische Schritte können helfen, sowohl die Wahrscheinlichkeit eines Angriffs als auch die Folgen eines solchen zu verringern:

  • Pflegen Sie Offline-Backups, die getestet wurden, damit Verschlüsselungsforderungen ihre Druckwirkung verlieren.
  • Behandeln Sie jeden Ransomware-Vorfall standardmäßig als Datenschutzverletzung, da Angreifer häufig Daten exfiltrieren, bevor sie sie verschlüsseln.
  • Konsultieren Sie frühzeitig Strafverfolgungsbehörden und Agenturen wie das NCSC, anstatt direkt zu Zahlung oder Verhandlung zu springen.
  • Wenn ein Verhandlungsführer beteiligt ist, überprüfen Sie ihn sorgfältig angesichts der rechtlichen Risiken, die durch die jüngsten Strafverfolgungen hervorgehoben wurden.
  • Kommunizieren Sie transparent mit betroffenen Kunden oder Mitarbeitern, unabhängig davon, ob ein Lösegeld gezahlt wurde.

Ransomware verschwindet nicht, und die Versuchung, für eine schnelle Lösung zu zahlen, wird stark bleiben. Doch diese neuen Daten untermauern, was Regulierungsbehörden seit Jahren sagen: Ein Lösegeld zu zahlen, ist selten das Ende der Geschichte, sondern vielleicht erst der Beginn einer neuen.