Lösegeld oder nicht? Warum Cyber-Erpressung eine Datenschutzkrise ist

Wenn eine Lösegeldforderung auf den Bildschirmen eines Unternehmens auftaucht, ist der Instinkt oft, sie als IT-Notfall zu behandeln: Netzwerk isolieren, das Sicherheitsteam rufen, die Schäden an den Servern bewerten. Doch eine wachsende Zahl von Leitlinien, zuletzt ausführlich von Cyber Daily in seiner Aufschlüsselung der Entscheidungsfindung bei Cyber-Erpressung dargelegt, macht deutlich, dass die Zahlung oder Ablehnung eines Lösegelds weit mehr als eine technische Wahl ist. Es ist eine rechtliche, finanzielle und vor allem eine datenschutzrechtliche Entscheidung, die jeden Kunden, Mitarbeiter und Partner betrifft, dessen Daten in den kompromittierten Systemen liegen.

Das rechtliche Minenfeld hinter einer Lösegeldentscheidung

Einer der am meisten übersehenen Aspekte von Cyber-Erpressung ist, dass die Zahlung an die Kriminellen rechtlich nicht immer unkompliziert ist. Je nachdem, wer hinter dem Angriff steckt, kann eine Lösegeldzahlung das zahlende Unternehmen einem Sanktionsrisiko aussetzen, insbesondere wenn der Bedrohungsakteur oder seine Infrastruktur mit einer sanktionierten Person oder Gerichtsbarkeit in Verbindung steht. Unternehmen, die ohne rechtliche Prüfung überstürzt zahlen, können zusätzlich zum eigentlichen Vorfall unter regulatorische Beobachtung geraten. Wie bereits in unserer früheren Berichterstattung über Lösegeldzahlungen und das Risiko von OFAC-Sanktionen dargelegt, geht es bei der Zahlungsentscheidung nicht nur darum, ob ein Unternehmen die Forderung bezahlen kann. Es geht darum, ob die Zahlung selbst legal ist und ob die Organisation ihre Sorgfaltspflicht erfüllt hat, um dies festzustellen.

Genau deshalb darf die Reaktion auf Cyber-Erpressung nicht allein bei einer IT-Abteilung liegen. Rechtsberatung, Compliance-Beauftragte und häufig auch Strafverfolgungsbehörden müssen von Anfang an in die Gespräche einbezogen werden, nicht erst, nachdem eine Zahlung bereits angewiesen wurde.

Warum dies ein Datenschutzproblem ist, nicht nur ein IT-Problem

Früher ging es bei Ransomware hauptsächlich darum, Dateien zu sperren. Das hat sich geändert. Moderne Erpressergruppen stehlen zunehmend Daten, bevor sie etwas verschlüsseln, und nutzen dann die Androhung der Veröffentlichung als Druckmittel. Diese Verlagerung macht jeden Ransomware-Vorfall zu einem Datenschutzvorfall, unabhängig davon, ob Systeme letztendlich wiederhergestellt werden.

Wir haben diese Entwicklung in Echtzeit beobachtet. Einige Gruppen sind dazu übergegangen, nicht mehr nur das Opferunternehmen direkt zu bedrohen, sondern drohen nun, die eigenen Kunden eines Unternehmens zu kontaktieren, indem sie Druck auf die Personen ausüben, deren persönliche Daten tatsächlich auf dem Spiel stehen. Diese Taktik verändert die Kalkulation völlig: Selbst eine vollständige Lösegeldzahlung garantiert nicht, dass gestohlene Kundendaten nicht durchsickern, verkauft oder für weitere Erpressung genutzt werden.

Unternehmen, die eine Lösegeldforderung abwägen, müssen sich nicht nur fragen: „Können wir unsere Systeme wiederherstellen?“, sondern auch: „Was passiert mit den personenbezogenen Daten aller, die in unseren Systemen sind, egal wie wir uns entscheiden?“ Eine Lösegeldzahlung mag einen Entschlüsselungscode einbringen. Sie löscht jedoch nicht die Tatsache aus, dass sensible Daten überhaupt erst Kriminellen ausgesetzt waren.

Bezahlen garantiert keine Sicherheit

Selbst wenn Unternehmen zahlen, gibt es keine verlässlichen Beweise, dass das Problem damit beendet ist. Forschungsergebnisse von Proofpoint ergaben, dass ein erheblicher Anteil der Unternehmen, die ein Lösegeld zahlen, wiederholt Erpressungsversuchen ausgesetzt ist, zum Teil von denselben Angreifern, die eine zweite Zahlung fordern. Diese Daten untergraben eine der häufigsten Rechtfertigungen für die Zahlung: den Glauben, dass das Problem damit verschwindet.

Manche Organisationen haben einen völlig anderen Weg gewählt. Der Schweizer Zughersteller Stadler Rail lehnte öffentlich eine millionenschwere Lösegeldforderung ab, nachdem Angreifer Daten über einen Drittanbieter gestohlen hatten, und setzte darauf, dass die Ablehnung weniger riskant sei, als die Erpressungsökonomie zu legitimieren. Die Ransomware-Landschaft verändert sich indes ständig; ein jüngster Branchenüberblick, der zeigt, welche Gruppen das aktuelle Bedrohungsumfeld dominieren, belegt, dass die Zahlung an eine Bande das Gesamtrisiko durch die Dutzenden anderen, die weiterhin aktiv sind, nicht reduziert.

Was das für Sie bedeutet

Ob Sie ein kleines Unternehmen führen oder die Sicherheit eines großen Konzerns verwalten – die Entscheidung „zahlen oder nicht zahlen“ sollte niemals isoliert von denjenigen getroffen werden, die die Server verwalten. Sie erfordert eine rechtliche Prüfung auf Sanktions- und regulatorische Risiken, eine Datenschutzbewertung, welche Daten genau betroffen waren, und ein realistisches Verständnis, dass eine Zahlung keine Garantie gegen zukünftige Erpressung oder Datenlecks bietet. Für alltägliche Verbraucher ist die Schlussfolgerung anders, aber verwandt: Die Sicherheit Ihrer persönlichen Daten nach einem Datenschutzvorfall hängt stark von Entscheidungen ab, die Unternehmen treffen, mit denen Sie vielleicht nie direkt zu tun haben. Deshalb ist es wichtig zu verstehen, wie Organisationen mit Cyber-Erpressung umgehen, auch wenn Sie nicht selbst vor der Lösegeldforderung stehen.

Umsetzbare Handlungsschritte

Unternehmen sollten einen Notfallplan für Sicherheitsvorfälle aufstellen, bevor ein Angriff passiert, und darin ausdrücklich Rechtsberatung und Datenschutzbewertung neben der technischen Schadensbehebung vorsehen. Behandeln Sie eine Lösegeldentscheidung niemals als rein finanzielles Problem; die Sanktions- und Compliance-Risiken sind real und können den ursprünglichen Vorfall noch verschlimmern. Gehen Sie davon aus, dass alle exfiltrierten Daten unabhängig von einer Zahlung bereits kompromittiert sein könnten, und planen Sie Kunden- und Mitarbeiterbenachrichtigungen entsprechend. Bedenken Sie schließlich: Die sicherste langfristige Strategie gegen Cyber-Erpressung ist nicht eine schnelle Lösegeldzahlung, sondern stärkere Verteidigungsmaßnahmen, die den Erpressungsversuch von vornherein scheitern lassen.