Ransomware-Bericht: 37 % der Zahler sehen sich mit wiederholten Forderungen konfrontiert

Die wahre Einnahmequelle von Ransomware ist nicht die Verschlüsselung

Jahrelang konzentrierte sich die Ransomware-Abwehr auf einen Moment: die Sekunde, in der Dateien gesperrt werden. Doch neue Erkenntnisse, über die The National CIO Review berichtet, machen deutlich, dass die Verschlüsselung für die Cyberkriminellen oft der am wenigsten wertvolle Teil eines Ransomware-Angriffs ist. Der eigentliche Gewinn liegt im Datendiebstahl – und dieser Gewinn endet nicht, wenn das Lösegeld gezahlt oder die Systeme wiederhergestellt sind.

Dem Bericht zufolge haben 54 % der betroffenen Unternehmen eine Lösegeldforderung bezahlt. Das allein überrascht angesichts der Störungen durch verschlüsselte Systeme kaum. Was auffällt, ist das, was danach geschah: 37 % jener Unternehmen, die gezahlt hatten, erhielten später eine weitere Forderung – vom selben oder einem anderen Angreifer. Anders gesagt: Mehr als ein Drittel der Opfer, die dachten, den Vorfall abgeschlossen zu haben, standen wieder am Anfang und verhandelten erneut über dieselben gestohlenen Daten.

Warum gestohlene Daten Angreifern immer wieder Geld bringen

Sobald Angreifer vor dem Einsatz der Verschlüsselung Daten abgezogen haben, entstehen ihnen mehrere separate Einnahmequellen, die nicht darauf angewiesen sind, dass die Systeme des Opfers gesperrt bleiben. Der Bericht nennt mehrere davon:

• Androhung öffentlicher Verbreitung: Angreifer drohen, sensible Dateien zu veröffentlichen, wenn nicht eine zweite Zahlung erfolgt – selbst nach dem ursprünglichen Lösegeld für die Entschlüsselungsschlüssel.
• Weiterverkauf gestohlener Daten: Die Informationen werden auf kriminellen Marktplätzen an andere Bedrohungsakteure verkauft, unabhängig davon, ob das ursprüngliche Opfer gezahlt hat.
• Missbrauch von Zugangsdaten: Benutzernamen, Passwörter und Zugangs-Token aus gestohlenen Dateien werden genutzt, um andere Konten oder Systeme zu kompromittieren, manchmal bei Partnerunternehmen oder Zulieferern.
• Folgeangriffe: Erbeutete Details wie Netzwerkdiagramme, Lieferantenverträge oder interne Kommunikation machen künftige Eindringversuche einfacher und gezielter.

Genau deshalb beschreiben Sicherheitsforscher moderne Ransomware zunehmend als ein Problem des Datendiebstahls mit angehängter Verschlüsselung – und nicht umgekehrt. Die Verschlüsselung legt den Betrieb für Tage oder Wochen lahm. Gestohlene Daten lassen sich über Monate oder Jahre als Waffe einsetzen.

Ein aktuelles Beispiel, wie sich diese Dynamik öffentlich abspielte, war der Datenleck-Vorfall bei Tata Electronics, bei dem iPhone-18-Pro-Geheimnisse durchsickerten: Eine Ransomware-Gruppe namens World Leaks veröffentlichte sensible, noch nicht vorgestellte Produktinformationen, nachdem sie sich Zugang zu internen Systemen verschafft hatte. Solche Fälle zeigen, wie gestohlene Unternehmensdaten für Angreifer noch lange nach dem ersten Eindringen wertvoll bleiben – und wie allein die Androhung einer Veröffentlichung Unternehmen zu schwierigen Entscheidungen zwingen kann, selbst ohne eine funktionierende Verschlüsselungsnutzlast.

Warum eine Zahlung nicht das Ende der Geschichte garantiert

Die Zahl der wiederholten Forderungen – 37 % – verdient besondere Aufmerksamkeit, denn sie untergräbt eine weit verbreitete Annahme: dass eine Lösegeldzahlung den Vorfall abschließt. Tatsächlich kann ein Opfer, sobald Daten das eigene Netzwerk verlassen haben, nicht überprüfen, ob Kopien gelöscht wurden, ob der Angreifer die Informationen nicht weiterverkauft oder ob eine andere Gruppe nicht bereits dieselben Dateien erhalten hat. Die Zahlung löst das Verschlüsselungsproblem. Am Datendiebstahl ändert sie nichts, denn diese Daten sind in dem Moment, in dem sie abgezogen werden, bereits außerhalb der Kontrolle des Opfers.

Das hat unmittelbare Auswirkungen darauf, wie Unternehmen ihre Ransomware-Vorsorge betrachten. Sicherung und Wiederherstellung sind wichtig, um Systeme wieder in Betrieb zu nehmen, aber sie verhindern weder eine Datenveröffentlichung, noch einen Weiterverkauf oder einen zweiten Erpressungsversuch. Die Abwanderung von Daten von vornherein zu unterbinden – durch Netzwerksegmentierung, strenge Zugriffskontrollen und die Begrenzung der Menge sensibler Daten, die überhaupt gespeichert oder erreichbar sind – ist ebenso wichtig wie die Wiederherstellungsplanung.

Was das für Sie bedeutet

Ob Sie die IT für ein kleines Unternehmen verwalten oder einfach nur Ihre eigenen Konten schützen – die Lehre aus diesen Daten ist dieselbe: Gehen Sie davon aus, dass jeder Vorfall, der Ihre Daten betrifft, zu einem anhaltenden Risiko führen kann und nicht nur zu einem einzelnen Ereignis. Wenn ein Unternehmen, mit dem Sie zu tun haben, einen Ransomware-Angriff meldet, betrachten Sie das als langfristiges Risiko. Wiederverwendete Passwörter, alte Zugangsdaten und persönliche Details, die mit diesem Vorfall zusammenhängen, können noch lange, nachdem die Schlagzeilen verblasst sind, bei Credential-Stuffing-Angriffen oder nachgelagerten Betrugsversuchen wieder auftauchen.

Für Unternehmen lautet die Konsequenz, Datenminimierung und Netzwerksegmentierung als Kernbestandteile der Ransomware-Abwehr zu betrachten – nicht als nachträgliche Ergänzung. Wenn sensible Daten von jedem einzelnen kompromittierten Punkt aus nur begrenzt erreichbar sind, verringert das die Menge dessen, was Angreifer selbst dann stehlen können, wenn sie eindringen.

Umsetzbare Handlungsempfehlungen

• Verwenden Sie für jedes Konto ein eigenes Passwort und aktualisieren Sie es, wenn Sie über einen Datenvorfall informiert werden, der Ihre Daten betrifft – selbst Monate später.
• Aktivieren Sie, wo immer möglich, die Multi-Faktor-Authentifizierung, um den Wert gestohlener Zugangsdaten zu mindern.
• Wenn Sie ein Unternehmen führen, überprüfen Sie, welche sensiblen Daten gespeichert sind und wer darauf zugreifen kann; je weniger Daten offenliegen, desto weniger Druckmittel haben Angreifer.
• Gehen Sie nicht davon aus, dass ein Ransomware-Vorfall mit der Zahlung des Lösegelds oder der Wiederherstellung der Systeme abgeschlossen ist. Achten Sie auf Anzeichen geleakter Daten oder erneuter Erpressungsversuche.
• Segmentieren Sie Netzwerke so, dass ein einzelnes kompromittiertes Gerät oder Konto nicht die gesamte Datenumgebung offenlegen kann.

Der größte Vorteil der Ransomware ist nicht die Verschlüsselung, die Schlagzeilen macht. Es ist der Datendiebstahl, der im Stillen vorher geschieht und für die Angreifer noch lange, nachdem die ursprüngliche Krise überwunden scheint, Wert generiert.