Neue Forschung aus Singapur liefert eine unbequeme Mahnung an Unternehmen, die mit dem Gedanken spielen, eine Lösegeldforderung zu begleichen: Die Zahlung beendet das Martyrium oft nicht. Laut einem Bericht des Singapore Business Review haben 50 % der lokalen Organisationen, die von Erpressungsangriffen betroffen waren, Geld an ihre Angreifer übergeben, und ein auffälliger Anteil der Ransomware-Opfer, die zahlten, sah sich anschließend einer zweiten Forderung gegenüber.

Der Befund widerspricht der verbreiteten Annahme, dass eine Lösegeldzahlung ein schneller Weg sei, um ein kostspieliges Problem verschwinden zu lassen. Für viele Organisationen scheint sie das Gegenteil zu bewirken: Sie signalisiert kriminellen Gruppen, dass das Opfer sowohl willens als auch fähig ist zu zahlen, was es zu einem erstklassigen Kandidaten für Runde zwei macht.

Was die Forschung herausfand

Die Kernzahl der Studie ist einfach, aber ernüchternd. Die Hälfte der befragten Organisationen in Singapur, die einen Ransomware- oder Erpressungsangriff erlebten, entschied sich, ihre Angreifer zu bezahlen. Das ist eine Münzwurf-Entscheidung, die unter enormem Druck getroffen wird – oft bei verschlüsselten Systemen, lahmgelegten Betriebsabläufen und drohendem Reputationsschaden.

Was diesen Datensatz besonders bemerkenswert macht, ist die Nachbeobachtung: Ein erheblicher Teil derjenigen, die bezahlten, fand keine Abschluss. Stattdessen erhielten sie eine zweite Erpressungsforderung, sei es von derselben Gruppe, die für mehr zurückkehrte, oder von einem verbundenen Akteur, der denselben Zugang oder geleakte Daten ausnutzte. Dieses Muster ist nicht einzigartig für Singapur. Ähnliche Befunde sind andernorts aufgetaucht, darunter Analysen, die zeigen, dass Ransomware-Banden 22 % der Opfer, die bereits gezahlt haben, erneut erpressen, und separate Forschung aus Neuseeland ergab, dass etwa 1 von 5 Lösegeldzahlungen verraten wurden, indem Angreifer trotz erhaltener Zahlung erneut kamen.

Zusammen zeichnen diese Datenpunkte ein konsistentes Bild über verschiedene Märkte hinweg: Eine Lösegeldzahlung erkauft nicht zuverlässig Sicherheit, und in einer bedeutenden Zahl von Fällen kann sie die Wahrscheinlichkeit erhöhen, erneut ins Visier genommen zu werden.

Warum Angreifer für mehr zurückkommen

Die Verhaltenslogik hier ist einfach, sobald man sie aus der Perspektive des Kriminellen betrachtet. Ein Opfer, das bereits gezahlt hat, demonstriert drei für einen Erpresser wertvolle Dinge: Es hat verfügbares Geld, es hat entschieden, dass Zahlen der Alternative vorzuziehen ist, und es könnte an den technischen Abwehrmaßnahmen mangeln, um ein erneutes Eindringen zu verhindern.

Ransomware-Operationen ähneln zunehmend Unternehmen mit eigenen internen Kennzahlen. Ein zahlender Kunde ist, unverblümt gesagt, ein bewährter Lead. Einige Gruppen operieren zudem als Affiliates oder Franchises, was bedeutet, dass die Daten oder der Netzwerkzugang eines Opfers von einem völlig anderen kriminellen Outfit weiterverkauft oder wiederverwendet werden können, was zu einer zweiten Forderung führt, die nichts mit der Gruppe hinter dem ersten Angriff zu tun hat. In beiden Fällen bleibt das Opfer doppelt auf dem Risiko sitzen.

Genau diese Dynamik ist der Grund, warum Cybersicherheitsbehörden und Forscher seit Langem davor warnen, eine Lösegeldzahlung als Lösung und nicht als vorübergehende und unzuverlässige Notlücke zu betrachten.

Jenseits von Lösegeldzahlungen: Echte Verteidigung aufbauen

Wenn die Zahlung keine garantierte Lösung ist, worauf sollten Organisationen und Einzelpersonen ihre Energie dann stattdessen konzentrieren? Die Antwort liegt darin, die Wahrscheinlichkeit eines erfolgreichen Angriffs von vornherein zu reduzieren und den Schaden zu begrenzen, wenn es doch dazu kommt.

Das beginnt mit den Grundlagen: Offline, getestete Backups pflegen, damit verschlüsselte Daten wiederhergestellt werden können, ohne mit Angreifern zu verhandeln. Es bedeutet auch, den Fernzugriff zu härten, da kompromittierte Anmeldeinformationen und offengelegte Remotedesktop-Protokolle nach wie vor häufige Einstiegspunkte für Ransomware-Banden sind. Sensiblen Verkehr zu verschlüsseln und sichere, gut konfigurierte VPN-Verbindungen für Remote- und Hybrid-Arbeit zu nutzen, kann die Angriffsfläche verringern, auf die Kriminelle angewiesen sind, um einen ersten Halt zu gewinnen. Mitarbeiterschulungen zum Erkennen von Phishing-Versuchen, die weiterhin eine führende Verbreitungsmethode für Ransomware-Nutzlasten sind, runden eine mehrschichtige Verteidigungsstrategie ab, die nicht darauf angewiesen ist, dass Angreifer ihr Wort halten.

Was das für Sie bedeutet

Besonders für kleine und mittelständische Unternehmen sollte diese Forschung die Planung der Reaktion auf Vorfälle neu gestalten. Wenn Ihre Organisation jemals von Ransomware getroffen wird, sollte die Entscheidung zu zahlen nicht als saubere Ausstiegsstrategie behandelt werden. Budgetieren und planen Sie so, als ob eine Zahlung nur vorübergehende Erleichterung erkaufen könnte, keine dauerhafte Lösung. Das bedeutet, einen dokumentierten Incident-Response-Plan, rechtliche und regulatorische Beratung im Voraus bereitzuhalten und ein klares Verständnis dafür zu haben, dass eine Zahlung zu weiterer Zielerfassung einladen kann, anstatt sie zu beenden.

Für Einzelpersonen und Remote-Arbeiter ist die Erkenntnis persönlicher: Die Schwachstellen, die Angreifer ausnutzen, von ungepatchter Software bis hin zu ungesicherten Verbindungen, sind oft mit grundlegender Hygiene verhinderbar und nicht mit teuren Werkzeugen.

Kernpunkte

  • Die Hälfte der von Erpressungsangriffen betroffenen Organisationen in Singapur bezahlte ihre Angreifer, so die neue Forschung.
  • Ein nennenswerter Anteil der Ransomware-Opfer, die zahlten, erhielt dennoch eine zweite Erpressungsforderung, was ähnliche Erkenntnisse weltweit widerspiegelt.
  • Die Zahlung sollte als letzter Ausweg und nicht als garantierte Lösung für einen aktiven Angriff betrachtet werden.
  • Starke Backups, sicherer Fernzugriff und Phishing-Sensibilisierung reduzieren die Wahrscheinlichkeit, überhaupt mit dieser Entscheidung konfrontiert zu werden.
  • Organisationen sollten die Incident-Response so planen, dass Angreifer zurückkehren könnten, anstatt anzunehmen, dass die Zahlung die Bedrohung beendet.

Letztlich ist die Forschung ein Aufruf, den Fokus von reaktiven Zahlungsentscheidungen auf proaktive Prävention zu verlagern. Die Unternehmen, die am besten darauf vorbereitet sind, einen Ransomware-Angriff zu überstehen, sind diejenigen, die niemals entscheiden müssen, ob das Bezahlen das Risiko wert ist.