Warum eine Lösegeldzahlung das Problem nicht beendet
Wenn Ransomware die Systeme eines Unternehmens lahmlegt, ist der Instinkt, zu zahlen und weiterzumachen, verständlich. Eine neue Umfrage des Sicherheitsunternehmens Proofpoint unter 953 Unternehmen deutet darauf hin, dass dieser Instinkt nach hinten losgehen kann. Den Ergebnissen zufolge werden Organisationen, die eine Lösegeldforderung bezahlen, oft attraktivere Ziele, nicht weniger. Sobald eine kriminelle Gruppe bestätigt, dass ein Opfer zahlungsbereit ist, kann dasselbe Opfer für einen Folgeangriff markiert werden.
Das ist wichtig, weil die Logik hinter Lösegeldzahlungen stets auf einem einfachen Handel beruhte: Geld gegen Abschluss. Führungskräfte bewilligen Zahlungen in der Annahme, dass Systeme wiederhergestellt, gestohlene Daten gelöscht, Betriebsunterbrechungen begrenzt und Kunden geschützt werden. Die Proofpoint-Untersuchung zeigt, dass dieser Handel weit weniger verlässlich ist, als die meisten Organisationen annehmen. Bezahlen beendet nicht unbedingt die Beziehung zum Angreifer; in manchen Fällen beginnt damit eine neue.
Die Geschäftslogik hinter einer zweiten Forderung
Ransomware-Gruppen agieren wie Unternehmen, und Unternehmen suchen Stammkunden. Ein Unternehmen, das bereits gezeigt hat, dass es zahlt, ist aus krimineller Sicht eine bewährte Einnahmequelle. Es verfügt über Betriebskapital, ein Führungsteam, das bereit ist, Zahlungen schnell zu genehmigen, und hat vermutlich immer noch Schwachstellen, die den ersten Angriff überhaupt erst ermöglicht haben.
Dieser letzte Punkt ist entscheidend. Eine Lösegeldzahlung bewältigt die unmittelbare Krise, behebt aber selten die zugrunde liegenden Sicherheitslücken, die den Angreifern den Zugang ermöglichten. Wenn derselbe Phishing-Vektor, ungepatchte Software oder exponierte Fernzugriffspunkte nach dem Vorfall weiterhin bestehen, hält nichts dieselbe Gruppe – oder einen Affiliate, der Zugang zu denselben Opferdaten gekauft hat – davon ab, es erneut zu versuchen. Unsere frühere Berichterstattung über Proofpoints Forschung zu Lösegeldzahlern geht tiefer darauf ein, wie häufig diese wiederholten Vorfälle auftreten und warum die Zahlung selbst als Signal für andere kriminelle Gruppen wirken kann, dass ein Ziel weich ist.
Erpressungsrisiko reduzieren, bevor es entsteht
Die gute Nachricht: Organisationen sind hier nicht machtlos. Die Maßnahmen, die das Ransomware-Risiko verringern, sind weitgehend dieselben, die Sicherheitsteams seit Jahren empfehlen – sie erhalten angesichts dieser Daten nur mehr Dringlichkeit.
Das Vorhalten von Offline-Backups, die getestet wurden, bleibt die bei weitem effektivste Methode, um überhaupt nie vor der Entscheidung zu stehen, zu zahlen oder nicht. Wenn Systeme aus dem Backup wiederhergestellt werden können, ohne den Entschlüsselungsschlüssel des Angreifers zu benötigen, bricht die gesamte Erpressungslogik zusammen. Auch Netzwerksegmentierung ist wichtig: Indem man begrenzt, wie weit sich ein Angreifer nach dem Eindringen bewegen kann, verringert man den Explosionsradius einer einzelnen Kompromittierung, was wiederum den Druck bei einer Lösegeldverhandlung reduziert.
Kontinuierliche Bedrohungsüberwachung und Endpoint-Erkennung helfen, Eindringversuche zu erkennen, bevor sie zu vollständigen Verschlüsselungsereignissen eskalieren. Viele Ransomware-Angriffe entfalten sich über Tage oder Wochen zwischen dem Erstzugang und der finalen Nutzlast; dieses Zeitfenster ist eine Gelegenheit zum Eingreifen. Sichere Fernzugriffspraktiken – einschließlich der Nutzung eines VPNs für verschlüsselte Verbindungen und Multi-Faktor-Authentifizierung für alle, die sich von außerhalb des Unternehmensnetzwerks anmelden – verschließen einen der häufigeren Eintrittspunkte, die Kriminelle ausnutzen. Keine dieser Maßnahmen garantiert Immunität, aber gemeinsam senken sie die Wahrscheinlichkeit, dass ein Unternehmen überhaupt mit einer Lösegeldforderung konfrontiert wird.
Was das für Sie bedeutet
Sollte Ihre Organisation jemals von Ransomware getroffen werden, legen die Proofpoint-Erkenntnisse nahe, dass das Zahlen nicht als saubere Lösung betrachtet werden sollte. Bevor Sie eine Zahlung genehmigen, lohnt sich die Frage, ob die zugrunde liegende Schwachstelle identifiziert und geschlossen wurde – denn wenn nicht, könnte die Zahlung lediglich die erste Rate einer fortlaufenden Beziehung zum Angreifer sein.
Dies ist auch der Moment, die Strafverfolgungsbehörden frühzeitig einzubeziehen, statt nur als nachträglichen Gedanken. Behörden, die Ransomware-Gruppen beobachten, können mitunter Entschlüsselungswerkzeuge, Bedrohungsinformationen über das Verhalten einer bestimmten Bande oder Kontext dazu liefern, ob eine Gruppe für wiederholte Erpressung bekannt ist. Externe Incident-Response-Expertise vor der Zahlungsentscheidung – und nicht erst danach – hinzuzuziehen, verschafft einer Organisation ein klareres Bild ihrer tatsächlichen Handlungsoptionen.
Für kleinere Unternehmen ohne dedizierte Sicherheitsteams ist die Rechnung ähnlich, aber die Ressourcen sind knapper. Das macht Prävention noch wichtiger: Grundlegende Hygiene wie regelmäßige Backups, gepatchte Software und sichere Fernzugriffstools trägt mehr zur Risikominderung bei, als jede Entscheidung nach einem Vorfall es jemals könnte.
Kernbotschaften
Die Kernlehre aus dieser Proofpoint-Umfrage ist einfach: Eine Lösegeldzahlung erkauft Zeit, nicht unbedingt Sicherheit. Organisationen sollten jeden Ransomware-Vorfall als Hinweis auf eine zu behebende Sicherheitslücke behandeln – unabhängig davon, ob eine Zahlung erfolgt. Praktische Schritte, die priorisiert werden sollten, umfassen Offline-Backups, Netzwerksegmentierung, Überwachung auf frühe Anzeichen eines Eindringens und die Absicherung des Fernzugriffs mit starker Authentifizierung und verschlüsselten Verbindungen.
Vor allem aber sollte jede Zahlungsentscheidung gemeinsam mit einem ernsthaften Sanierungsplan getroffen werden – nicht anstelle eines solchen. Ransomware-Banden betreiben ein Geschäft, und die Daten deuten darauf hin, dass sie genau wissen, welchen Kunden es sich lohnt, zweimal eine Rechnung zu stellen.
