Ransomware-Banden erpressen 22 % der Opfer, die bereits gezahlt haben, ein zweites Mal

Was die neuen Daten zur Ransomware-Mehrfacherpressung zeigen

Neue Zahlen, über die Connor Jones bei DataBreaches.Net berichtet, bestätigen, was Sicherheitsforscher seit Jahren vermuten: Die Zahlung an eine Ransomware-Bande beendet die Tortur nicht – oft markiert sie nur den Beginn von Runde zwei. Laut den Umfragedaten, die in dem Bericht zitiert werden, entschieden sich im vergangenen Jahr 58 Prozent der betroffenen britischen Organisationen, eine Lösegeldforderung zu bezahlen. Von den Zahlenden wurden 22 Prozent erneut von derselben oder einer anderen kriminellen Gruppe mit einer zweiten Zahlungsforderung angegriffen.

Das bedeutet, dass etwa jedes fünfte Unternehmen, das die schwierige Entscheidung zur Zahlung traf, für sein Geld nichts Dauerhaftes bekam. Der Erpressungszyklus setzte einfach neu ein, manchmal innerhalb weniger Wochen. Dieses Muster wiederholter Ransomware-Erpressungszahlungen entwickelt sich zu einem prägenden Merkmal der aktuellen Bedrohungslandschaft und zwingt Sicherheitsteams sowie Führungskräfte dazu, die gesamte Abwägung, ob eine Zahlung jemals eine rationale Reaktion ist, zu überdenken.

Warum eine einmalige Zahlung zu einem zweiten Angriff einlädt

Die Logik der Mehrfacherpressung ist aus krimineller Perspektive einfach. Sobald eine Organisation zeigt, dass sie zahlungsbereit ist, wird sie zu einem markierten Ziel. Ransomware-Betreiber führen Buch darüber, welche Opfer nachgegeben haben, wie schnell sie zahlten und wie viel sie zu übergeben bereit waren. Diese Informationen zirkulieren häufig in Affiliate-Netzwerken und werden manchmal zwischen kriminellen Gruppen, die nach einem Ransomware-as-a-Service-Modell operieren, verkauft oder geteilt.

Ein Opfer, das einmal 500.000 Dollar zahlt, signalisiert effektiv, dass es sowohl über die Barreserven als auch die Risikotoleranz verfügt, um erneut zu zahlen. Angreifer wissen, dass ein zweites Eindringen – selbst ein weniger ausgefeiltes – gute Erfolgsaussichten hat, wenn die zugrunde liegenden Schwachstellen, die den ersten Einbruch ermöglichten, nie vollständig behoben wurden. In vielen Fällen doppelter und dreifacher Erpressung werden gestohlene Daten selbst nach der Zahlung nicht gelöscht, trotz gegenteiliger Versprechungen, was die Tür für eine Folgeforderung offen lässt, die auf der Drohung mit der Veröffentlichung derselben gestohlenen Informationen beruht.

Genau aus diesem Grund raten Strafverfolgungsbehörden, einschließlich des FBI, durchgängig davon ab, Lösegelder zu zahlen. Eine Zahlung garantiert weder die Wiederherstellung von Daten noch die Löschung gestohlener Dateien und – wie diese neuen Daten zeigen – auch nicht, dass die Angreifer fernbleiben.

Proaktive Abwehrmaßnahmen, die das Ransomware-Risiko verringern

Wenn das Bezahlen das Problem nicht zuverlässig löst, ist der nachhaltigere Weg, die Wahrscheinlichkeit eines erfolgreichen Einbruchs von vornherein zu verringern. Mehrere Verteidigungsschichten tauchen in den Ergebnissen der Incident Response immer wieder als Unterschied zwischen einem eingedämmten Vorfall und einem katastrophalen auf.

Netzwerksegmentierung begrenzt, wie weit ein Angreifer sich bewegen kann, nachdem er einen ersten Fuß gefasst hat. Statt eines flachen Netzwerks, in dem eine einzige kompromittierte Zugangsberechtigung den Zugriff auf alles eröffnet, zwingen segmentierte Umgebungen Angreifer dazu, um jeden weiteren Zentimeter zu kämpfen, und verschaffen Verteidigern Zeit zum Erkennen und Reagieren.

Zero-Trust-Zugriffskontrollen gehen davon aus, dass kein Benutzer und kein Gerät automatisch vertrauenswürdig ist, selbst innerhalb des Unternehmensperimeters. Jede Zugriffsanforderung wird verifiziert, was es erheblich erschwert, allein mit gestohlenen Anmeldeinformationen kritische Systeme zu entsperren.

Zuverlässige, getestete und offline aufbewahrte Backups gehören weiterhin zu den wirksamsten verfügbaren Ransomware-Abwehrmaßnahmen. Verschlüsselte Dateien verlieren ihre Druckwirkung, wenn eine Organisation den Betrieb aus sauberen Backups wiederherstellen kann, ohne mit jemandem verhandeln zu müssen. Das Schlüsselwort ist „getestet“: Backups, die nicht durch tatsächliche Wiederherstellungsübungen überprüft wurden, versagen oft genau dann, wenn sie am dringendsten benötigt werden.

Multi-Faktor-Authentifizierung, zeitnahes Patchen von ins Internet gerichteten Systemen und kontinuierliche Überwachung auf ungewöhnliche laterale Bewegungen vervollständigen die Basisausstattung, die Organisationen, die sich schnell erholen, von jenen trennt, die am Ende mit einer zweiten Erpressungsforderung konfrontiert werden.

Was Organisationen anstelle einer Zahlung tun sollten

Tritt ein Ransomware-Vorfall ein, ist der Impuls, schnell zu zahlen und das Problem verschwinden zu lassen, verständlich, insbesondere unter Druck von Kunden, Aufsichtsbehörden oder einem Vorstand, der eine schnelle Lösung fordert. Doch die Daten zur Mehrfacherpressung machen deutlich, dass eine Zahlung keine verlässliche Ausstiegsstrategie ist. Organisationen sind besser beraten, frühzeitig die Strafverfolgungsbehörden einzuschalten, Incident-Response-Experten hinzuzuziehen, die den tatsächlichen Umfang der Datenextrusion beurteilen können, und gegenüber betroffenen Interessengruppen transparent zu sein, anstatt anzunehmen, eine stille Zahlung werde das Problem verschwinden lassen.

Was das für Sie bedeutet

Ob Sie die IT für ein kleines Unternehmen verantworten oder die Sicherheitsstrategie in einer größeren Organisation beaufsichtigen – diese Daten sind ein klares Signal, Prioritäten neu zu setzen. Geld, das für Lösegeld-Rücklagen vorgesehen ist, ist weitaus besser in Segmentierungsprojekte, Zero-Trust-Rollouts und regelmäßig getestete Backup-Infrastruktur investiert. Auch Cyberversicherungspolicen und Incident-Response-Retainer sollten daraufhin überprüft werden, ob sie den Schwerpunkt auf Prävention und Wiederherstellungsfähigkeit legen und nicht nur die Deckung einer Zahlung ermöglichen.

Für Einzelpersonen gilt die Erkenntnis im kleineren Maßstab ähnlich: Starke, einzigartige Passwörter, Multi-Faktor-Authentifizierung und regelmäßige Backups privater und familiärer Geräte verringern das Risiko, dass eine einzige Ransomware-Infektion zu einem wiederholten Albtraum wird.

Umsetzbare Handlungsempfehlungen

Betrachten Sie Lösegeldzahlungen als letzten Ausweg, nicht als erste Reaktionsstrategie; die Daten zeigen, dass sie die Bedrohung häufig nicht beenden.
Investieren Sie in Netzwerksegmentierung, damit ein einzelnes kompromittiertes Konto nicht die gesamte Umgebung offenlegt.
Führen Sie Zero-Trust-Prinzipien für internen und externen Zugriff ein, indem Sie jede Anfrage verifizieren, anstatt allein dem Netzwerkstandort zu vertrauen.
Halten Sie offline gespeicherte, regelmäßig getestete Backups vor, damit die Wiederherstellung nicht von Verhandlungen mit Kriminellen abhängt.
Erstellen Sie jetzt einen Incident-Response-Plan, bevor ein Angriff stattfindet, damit Entscheidungen nicht unter Panik und Druck getroffen werden.

Die Zunahme von Ransomware-Mehrfacherpressungszahlungen ist ein starkes Argument dafür, Ressourcen von reaktiver Verhandlung auf proaktive Verteidigung zu verlagern. Organisationen, die diesen Wandel jetzt vollziehen, werden weit besser aufgestellt sein als jene, die immer noch hoffen, dass eine einmalige Zahlung das Problem verschwinden lässt.