Ransomware-Ziele folgen der Zahlungswahrscheinlichkeit, nicht dem Bekanntheitsgrad
Jahrelang war das populäre Bild eines Ransomware-Opfers ein bekannter Name: ein Krankenhauskonzern, eine große Fluggesellschaft, ein globaler Hersteller. Doch eine aktuelle Analyse macht einen einfacheren und nützlicheren Punkt: Ransomware-Ziele folgen der Zahlungswahrscheinlichkeit, nicht dem Bekanntheitsgrad. Angreifer, und insbesondere die Affiliates, die die Mehrheit der Ransomware-Intrusionen durchführen, jagen keine Schlagzeilen. Sie jagen eine Auszahlung, und das verändert, wer ins Visier gerät.
Die Ökonomie dahinter ist einfach. Die meisten modernen Ransomware-Operationen funktionieren nach dem Ransomware-as-a-Service-Modell, bei dem eine Kerngruppe die Malware und die Infrastruktur entwickelt, während unabhängige Affiliates die eigentlichen Einbrüche durchführen. Diese Affiliates verdienen nur dann eine Provision, wenn ein Opfer zahlt. Diese eine Tatsache reorganisiert den gesamten Targeting-Prozess. Statt zu fragen „Wer würde für die größte Aufmerksamkeit sorgen“, fragen Affiliates: „Wer wird am wahrscheinlichsten zahlen, und wie schnell?“
Warum die Zahlungswahrscheinlichkeit den Markenbekanntheitsgrad schlägt
Wenn die Zahlung die einzige Einnahmequelle ist, wird Prominenz irrelevant, es sei denn, sie korreliert mit der Bereitschaft oder Fähigkeit zu zahlen. Eine bekannte Marke mit starken Backups, einem gehärteten Incident-Response-Plan und einem öffentlichen Bekenntnis, niemals mit Angreifern zu verhandeln, ist tatsächlich ein schlechtes Ziel, selbst wenn eine Kompromittierung mehr Medienaufmerksamkeit erzeugen würde. Gleichzeitig wird ein mittelständisches Unternehmen mit schwächeren Abwehrmaßnahmen, Cyberversicherungsschutz und einem Geschäftsmodell, das Ausfallzeiten nicht tolerieren kann, weitaus attraktiver.
Signale, die die wahrgenommene Zahlungswahrscheinlichkeit eines Opfers erhöhen, sind Hinweise auf verfügbare Mittel, ein klarer interner Prozess zur schnellen Genehmigung großer Zahlungen, die Abhängigkeit von kontinuierlichem Betrieb und eine Geschichte (öffentlich oder vermutet) früherer Lösegeldzahlungen. Organisationen, die öffentlich die Zahlung verweigert haben, senden das gegenteilige Signal. Stadler Rail beispielsweise lehnte eine Lösegeldforderung von 12,3 Millionen Dollar ab von der Erpresserbande Everest, nachdem Angreifer über einen Lieferanten technische Daten gestohlen hatten – eine Entscheidung, die den Anreiz für dieselbe Gruppe verringert, ähnliche Ziele künftig zu priorisieren. Die Berliner Landesregierung vertrat eine ähnliche Haltung und bestätigte, dass sie nicht an Hacker zahlen werde, trotz eines aktiven Erpressungsversuchs nach einem Netzwerkeinbruch. Jede öffentliche Weigerung nagt an der Zahlungswahrscheinlichkeits-Kalkulation, die die Entscheidungsfindung der Affiliates antreibt.
Der Datenschutz-Aspekt: Datendiebstahl wartet nicht auf eine Entscheidung
Diese Targeting-Logik hat eine direkte Datenschutz-Konsequenz, die in Debatten über Lösegeldzahlungen oft verloren geht. Lange bevor ein Opfer entscheidet, ob es zahlen soll, haben Angreifer in der Regel bereits Daten exfiltriert. Moderne Ransomware-Operationen setzen zunehmend auf doppelte Erpressung, indem sie Systeme verschlüsseln und gleichzeitig sensible Dateien stehlen, um sie als zusätzlichen Hebel zu nutzen. Das bedeutet, dass persönliche Informationen, Finanzunterlagen und interne Kommunikation unabhängig vom Lösegeld-Ergebnis offengelegt oder verkauft werden können.
Der Angriff der Gruppe ShinyHunters auf das kolumbianische Finanzdienstleistungsunternehmen Addi.com veranschaulicht dieses Risiko deutlich. Die Gruppe beanspruchte die Verantwortung für den Diebstahl von 16 Millionen Finanzdatensätzen – ein Ausmaß an Exposition, das nichts damit zu tun hat, ob Addi.com ein berühmtes oder politisch bedeutsames Ziel war. Es spiegelt dieselbe zugrunde liegende Logik wider: Ein Finanzdienstleistungsunternehmen, das große Mengen sensibler Daten hält, stellt eine hochwertige Gelegenheit zur Erpressung dar, unabhängig vom Markenbekanntheitsgrad. Für Alltagsnutzer bedeutet dies, dass Ihre Daten gefährdet werden können, einfach weil die Organisation, die sie hält, für einen Affiliate wie eine gute Wette aussah – nicht weil sie ein Ziel war, das irgendjemand erwarten würde.
Was das für Sie bedeutet
Wenn das Targeting von der Zahlungswahrscheinlichkeit statt von der Prominenz getrieben wird, lautet die praktische Schlussfolgerung, dass keine Organisation, unabhängig von Größe oder Sichtbarkeit, annehmen kann, sie sei „zu klein, um zu zählen“ für Ransomware-Betreiber. Kleinere Unternehmen, Gesundheitsdienstleister, Finanzplattformen und lokale Regierungsbehörden sind häufig gerade deshalb attraktiv, weil sie möglicherweise weniger ausgereifte Abwehrmaßnahmen und höheren operativen Druck haben, den Zugriff schnell wiederherzustellen.
Für Einzelpersonen verstärkt dies eine vertraute, aber wichtige Realität: Die Sicherheit Ihrer persönlichen Daten hängt stark von der Sicherheitslage jeder Organisation ab, die sie hält, nicht nur der berühmten. Finanzinstitute, kleinere Dienstleister und Lieferanten in einer Lieferkette sind alle plausible Einstiegspunkte, wie der Vorfall bei Stadler Rail zeigt.
Umsetzbare Erkenntnisse
Organisationen sollten Backup-Integrität, Incident-Response-Planung und öffentliche Kommunikation über die Lösegeldpolitik als Instrumente behandeln, die ihre Attraktivität für Affiliates, die auf einfache Auszahlungen aus sind, direkt verringern. Einzelpersonen sollten davon ausgehen, dass jeder Dienst, der sensible persönliche oder finanzielle Daten hält, ins Visier geraten könnte, und sollten starke, einzigartige Passwörter verwenden, Multi-Faktor-Authentifizierung aktivieren, wo immer möglich, und Konten nach jeder Sicherheitsverletzungsbenachrichtigung auf ungewöhnliche Aktivitäten überwachen. Da Ransomware-Ziele der Zahlungswahrscheinlichkeit statt dem Bekanntheitsgrad folgen, ist Wachsamkeit gegenüber kleineren, weniger bekannten Anbietern genauso wichtig wie das Verfolgen der Nachrichten über Angriffe auf große Marken. Das Bewusstsein dafür, wie diese Entscheidungen getroffen werden, ist eine der einfachsten Möglichkeiten, dem Risiko voraus zu sein.
