Ransomware-Bericht: Fast die Hälfte der Opfer zahlt und verhandelt dann

Fast die Hälfte zahlt noch, aber sie feilschen zuerst

Ein neuer Bericht, der die Runde macht, zeichnet ein vertrautes, aber unangenehmes Bild: Fast die Hälfte der von Ransomware-Verschlüsselung betroffenen Organisationen zahlt am Ende das Lösegeld. Der Clou: Etwa die Hälfte dieser Opfer übergibt nicht einfach den vollen geforderten Betrag. Stattdessen verhandeln sie und bewegen die Angreifer oft dazu, einen geringeren als den ursprünglichen Preis zu akzeptieren, bevor die verschlüsselten Dateien entsperrt werden.

Oberflächlich betrachtet mag das wie ein kleiner Erfolg für die Opfer klingen. Eine kriminelle Gruppe dazu zu bringen, ihren Preis zu senken, fühlt sich in einer ohnehin schlechten Lage wie ein kleiner Sieg an. Aber die größere Geschichte dahinter handelt nicht davon, wer besser feilschen kann. Sie handelt davon, was es bedeutet, dass Lösegeldzahlungen und das Verhandeln mit Kriminellen zu einem normalisierten Bestandteil der Reaktion von Organisationen auf Cyberangriffe geworden sind.

Warum Unternehmen zahlen, anstatt aufzugeben

Ransomware funktioniert, indem sie Dateien und Systeme einer Organisation verschlüsselt und sie unbrauchbar macht, bis ein Entschlüsselungsschlüssel bereitgestellt wird – üblicherweise gegen Bezahlung. Für Unternehmen ohne solide Backups oder mit dem Druck, den Betrieb schnell wiederherzustellen, kann sich das Zahlen wie der schnellste Weg zur Normalität anfühlen. Diese Kalkulation lässt sich noch leichter rechtfertigen, wenn der Angreifer bereit ist, beim Preis nachzugeben, was dem Bericht zufolge häufig geschieht.

Diese Verhandlungsdynamik ist für die Ransomware-Ökonomie nicht neu. Viele Ransomware-Operationen werden inzwischen wie Unternehmen geführt, komplett mit Support-Chats, Zahlungsportalen und ja, Verhandlungsspielraum. Diese Professionalisierung trägt dazu bei, dass das Zahlen ein so häufiges Ergebnis statt eines letzten Auswegs geworden ist.

Aber Zahlen garantiert keine saubere Lösung. Selbst wenn ein Lösegeld gezahlt und ein Entschlüsselungsschlüssel übergeben wird, gibt es keine Garantie, dass die Angreifer nicht bereits zuvor sensible Daten kopiert haben. Das ist ein entscheidendes Detail, das in Diskussionen über Lösegeldverhandlungen oft verloren geht: Die Zahlung dient meist der Wiederherstellung des Dateizugriffs, nicht der Rückgängigmachung eines möglicherweise bereits erfolgten Datenabflusses.

Das Datenschutzrisiko, das hinter jeder Lösegeldzahlung lauert

Hier knüpft die Geschichte an ein viel größeres Datenschutzproblem an. Ransomware-Angriffe beinhalten zunehmend Datendiebstahl neben der Verschlüsselung, das heißt, die Angreifer kopieren sensible Dateien, bevor sie die Originale sperren. Verwandte Berichterstattung hat ergeben, dass 49 % der Ransomware-Opfer Daten verlieren, bevor sie den Angriff entdecken, was bedeutet, dass der Schaden für persönliche und organisatorische Daten bereits eingetreten sein kann, sobald eine Lösegeldforderung eingeht.

Dieses Detail ist enorm wichtig für jeden, dessen persönliche Informationen in den Systemen einer Organisation gespeichert sind – sei es ein Arbeitgeber, ein Gesundheitsdienstleister, eine Schule oder ein Online-Händler. Eine erfolgreiche Verhandlung über den Lösegeldbetrag macht einen bereits geschehenen Datendiebstahl nicht rückgängig. Sie hält die Angreifer auch nicht davon ab, diese Daten später zu verkaufen oder zu veröffentlichen, unabhängig davon, ob das Lösegeld vollständig gezahlt, heruntergehandelt oder ganz verweigert wurde.

Eine Lösegeldzahlung, selbst eine reduzierte, birgt zudem das Risiko, das Geschäftsmodell selbst zu stärken. Jede erfolgreiche Zahlung, ob verhandelt oder nicht, signalisiert den Angreifern, dass Ransomware profitabel bleibt, wodurch die Anreizstruktur für zukünftige Angriffe auf andere Organisationen erhalten bleibt.

Was das für Sie bedeutet

Die meisten Menschen, die über Statistiken zu Lösegeldzahlungen lesen, sind nicht diejenigen, die über das Zahlen entscheiden. Diese Entscheidung fällt normalerweise der IT-Leitung, Führungskräften oder Incident-Response-Teams zu. Doch die Konsequenzen wirken sich auf Mitarbeiter, Kunden und alle aus, deren Daten in den betroffenen Systemen gespeichert sind.

Wenn Sie von einem Unternehmen, das einen Ransomware-Angriff erlitten hat, eine Benachrichtigung über eine Datenpanne erhalten, nehmen Sie diese ernst, unabhängig davon, ob in der Nachricht eine Lösegeldzahlung erwähnt wird. Datendiebstahl kann bereits vor Beginn der Verschlüsselung stattfinden, sodass ein gezahltes Lösegeld und ein wiederhergestelltes System nicht zwangsläufig bedeuten, dass Ihre Daten sicher sind. Achten Sie auf Anzeichen von Identitätsdiebstahl, überwachen Sie Ihre Konten und erwägen Sie die Nutzung eines Kreditüberwachungsdienstes, falls die Organisation diesen nach einem Vorfall anbietet.

Für Unternehmen und IT-Teams ist der Verhandlungstrend eine Erinnerung daran, dass die Reaktionsplanung nicht nur Systemausfallzeiten, sondern auch eine mögliche Offenlegung von Daten berücksichtigen muss. Backups helfen, die Zahlung für einen Entschlüsselungsschlüssel zu vermeiden, aber sie verhindern nicht, dass gestohlene Daten durchsickern oder verkauft werden, wenn die Angreifer sie zuvor bereits exfiltriert haben.

Umsetzbare Handlungsempfehlungen

• Gehen Sie nicht davon aus, dass ein gezahltes Lösegeld bedeutet, dass Ihre Daten nie kopiert oder offengelegt wurden; fragen Sie betroffene Organisationen direkt, was nachweislich gestohlen wurde.
• Überwachen Sie Konten und Kreditaktivitäten nach jeder Meldung einer Datenpanne, selbst wenn das Unternehmen mitteilt, dass die Lösegeldzahlung abgewickelt wurde.
• Wenn Sie ein Unternehmen führen, priorisieren Sie frühzeitige Erkennung und Netzwerksegmentierung, damit Angreifer weniger Zeit haben, Daten vor der Verschlüsselung zu exfiltrieren.
• Verstehen Sie, dass Lösegeldverhandlungen zwar die Kosten senken, aber nicht das Risiko; die Gefahr durch gestohlene Daten bleibt eine separate und dauerhafte Bedrohung.

Die Trends bei Lösegeldzahlungen werden wahrscheinlich weiterhin Schlagzeilen machen, da immer mehr Organisationen die Zahlungskosten gegen die Wiederherstellungskosten abwägen. Doch für die Endnutzer liegt die eigentliche Erkenntnis nicht in Verhandlungstaktiken. Sie liegt darin, wachsam zu bleiben, was mit Ihren Daten lange nach dem Abflauen der Schlagzeilen über eine Lösegeldzahlung geschieht.