Proofpoint-Umfrage: Die Bezahlung von Ransomware-Banden geht oft nach hinten los

Die Zahlung von Lösegeld beendet die Bedrohung selten, so eine Umfrage

Eine neue Umfrage des Sicherheitsunternehmens Proofpoint untermauert eine Warnung, die Strafverfolgungsbehörden seit Jahren wiederholen: Die Bezahlung einer Ransomware-Bande lässt das Problem selten verschwinden. Der Untersuchung zufolge gaben 58 Prozent der befragten Unternehmen im Vereinigten Königreich zu, nach einem Ransomware-Angriff ein Lösegeld gezahlt zu haben. Doch die Daten legen nahe, dass diese Entscheidung oft mehr Ärger einlädt als Abschluss bringt.

Die Umfrage ergab, dass etwa 22 Prozent der Organisationen, die ein Lösegeld zahlten, erneut von denselben Angreifern erpresst wurden – teilweise mit zusätzlichen Forderungen für dieselben gestohlenen Daten. In einigen Fällen zahlten die Opfer einmal, um ihre Systeme zu entsperren, nur um Wochen oder Monate später mit neuen Drohungen konfrontiert zu werden, dieselben Informationen zu veröffentlichen, wenn nicht eine weitere Zahlung erfolgt. Noch besorgniserregender: Etwa 2 Prozent der Opfer, die ein Lösegeld zahlten, erhielten ihre Dateien überhaupt nicht zurück, entweder weil die von den Angreifern bereitgestellten Entschlüsselungswerkzeuge versagten oder weil die Kriminellen nie vorhatten, ihr Versprechen zu halten.

Dieses Muster deckt sich mit dem, was FBI und Europol Unternehmen seit Jahren sagen: Lösegeldzahlungen finanzieren kriminelle Operationen, garantieren selten eine saubere Lösung und können eine Organisation als zahlungsbereites, leichtes Ziel kennzeichnen.

Warum Lösegeldzahlungen zu wiederholten Angriffen führen

Die Logik hinter der wiederholten Erpressung ist aus Sicht der Kriminellen einfach. Sobald ein Unternehmen gezeigt hat, dass es zahlt, um ein Problem verschwinden zu lassen, wird es zu einer bekannten Größe für Angreifer und oft auch für andere kriminelle Gruppen, die Opferdaten in Untergrundforen kaufen und verkaufen. Eine Zahlung bedeutet nicht zwangsläufig, dass gestohlene Daten gelöscht werden. In vielen Fällen verbleiben Kopien auf der Infrastruktur der Angreifer, werden mit Partner-Gruppen geteilt oder heimlich als Druckmittel für eine zweite Forderungsrunde aufbewahrt.

Dies ist der Kernkonflikt, den Proofpoints Daten hervorheben: Die kurzfristige Erleichterung, durch eine Zahlung den Betrieb wiederherzustellen, kann eine längerfristige Belastung schaffen. Angreifer wissen, dass ein Unternehmen unter Druck, das Geschäft fortzusetzen, das Kundenvertrauen zu wahren und regulatorische Prüfungen zu vermeiden, eher erneut zahlt, als den Konsequenzen eines Datenlecks ins Auge zu sehen. Genau diese Kalkulation befeuert die Wiederverpressung, und deshalb bezeichnen Sicherheitsforscher Lösegeldzahlungen weiterhin als eine Entscheidung, die eine unmittelbare Krise gegen eine potenziell größere, wiederkehrende eintauscht. Die Berichterstattung über dieselbe Proofpoint-Umfrage zu wiederholten Ransomware-Angriffen stellte fest, dass die Anreizstruktur für Angreifer sich nur noch verstärkt, sobald ein Opfer Zahlungsbereitschaft beweist.

Die Datenschutzfolgen jenseits des Lösegelds

Während die Berichterstattung über Ransomware sich oft auf betriebliche Ausfallzeiten konzentriert, verdienen die Auswirkungen auf die Privatsphäre gleichermaßen Aufmerksamkeit. Wenn ein Unternehmen Lösegeld zahlt, um die Veröffentlichung von Daten zu verhindern, vertraut es faktisch darauf, dass ein kriminelles Unternehmen ein Versprechen ohne jede rechtliche Durchsetzbarkeit einhält. Kundendaten, Mitarbeiterinformationen, Finanzdetails und Gesundheitsdaten können unabhängig von einer Zahlung weiterhin dem Weiterverkauf oder einem Leck ausgesetzt sein. Für die Personen, deren Daten in diesen kompromittierten Systemen liegen, bietet eine Lösegeldzahlung keine wirkliche Sicherheit, dass ihre persönlichen Informationen sicher sind.

Dies ist besonders relevant für Organisationen, die mit sensiblen personenbezogenen Daten umgehen, bei denen ein Verstoß Benachrichtigungspflichten, behördliche Strafen und anhaltende Reputationsschäden auslösen kann – lange nachdem ein Lösegeld gezahlt wurde. Die Ergebnisse der Umfrage untermauern, dass Ransomware kein reiner IT-Vorfall ist. Es handelt sich um einen Datenschutzvorfall mit Konsequenzen, die lange nach dem Abebben der ersten Schlagzeilen wieder auftauchen können.

Was das für Sie bedeutet

Wenn Sie ein Unternehmen führen oder IT- und Sicherheitsentscheidungen dafür treffen, ist die Erkenntnis aus dieser Umfrage klar: Die Zahlung eines Lösegelds ist kein garantierter Weg zur Lösung und kann Ihre Anfälligkeit für künftige Angriffe erhöhen. Entscheidungen, die in der Panik eines akuten Vorfalls getroffen werden, sollten gegen die Realität abgewogen werden, dass Angreifer gestohlene Daten oft unabhängig von einer Zahlung behalten und dass eine sichtbare Zahlungsbereitschaft eine Organisation zu einem wiederholten Ziel machen kann.

Für Verbraucher ist dies eine Erinnerung daran, dass Datenpannen im Zusammenhang mit Ransomware-Angriffen eine längere Nachwirkung haben können, als die erste Berichterstattung vermuten lässt. Persönliche Informationen, die bei einem Vorfall offengelegt wurden, können bei späteren Leaks erneut auftauchen, selbst wenn das betroffene Unternehmen die Situation als gelöst gemeldet hat.

Kernaussagen

• Fast sechs von zehn befragten britischen Organisationen zahlten nach einem Angriff ein Lösegeld, so die Daten von Proofpoint.
• Etwa 22 Prozent derjenigen, die zahlten, wurden erneut erpresst, oft unter Verwendung derselben gestohlenen Daten.
• Ein kleiner Prozentsatz der Opfer, die zahlten, erhielt überhaupt nie wieder Zugang zu ihren Dateien.
• Strafverfolgungsbehörden, darunter FBI und Europol, empfehlen weiterhin, von Lösegeldzahlungen abzusehen.
• Unternehmen sollten in die Planung von Notfallmaßnahmen, Offline-Backups und die Vorbereitung auf Benachrichtigungspflichten investieren, anstatt Lösegeldzahlungen als schnelle Lösung zu betrachten.

Ransomware bleibt eine hartnäckige Bedrohung, aber diese Umfrage verleiht einer Botschaft Nachdruck, die Sicherheitsexperten seit Jahren vertreten: Bezahlen erkauft keine Gewissheit. Organisationen wie Einzelpersonen sind besser mit Prävention, Vorbereitung und Skepsis gegenüber jedem Versprechen beraten, das kriminelle Akteure als Geiselhalter gestohlener Daten abgeben.