Die Zahlung an Ransomware-Hacker garantiert keinen Frieden

Unternehmen, die eine Lösegeldforderung bezahlen in der Hoffnung, das Problem verschwinden zu lassen, sollten diese Strategie vielleicht überdenken. Neue, von TechRadar vorgestellte Forschungsergebnisse zeigen, dass zwar 56 % der Opfer, die ein Lösegeld zahlten, wieder Zugriff auf ihre Systeme erhielten, aber mehr als ein Drittel – 37 % – kurz nach der ersten Zahlung eine zweite Erpressungsforderung erhielten. Weitere 2 % zahlten und bekamen ihre Daten überhaupt nie zurück.

Die Ergebnisse stellen die verbreitete Annahme infrage, dass eine Lösegeldzahlung eine einfache Transaktion ist: bezahlen, Entschlüsselungscode erhalten, weitermachen. Stattdessen deuten die Daten darauf hin, dass bei einem erheblichen Teil der Opfer die erste Zahlung von den Angreifern eher als Eröffnungszug denn als Abschluss betrachtet wird. Das deckt sich mit anderen aktuellen Forschungsergebnissen. Ein separater Ransomware-Bericht zeigt, dass fast die Hälfte der Unternehmen zahlt und dann verhandelt – ein weiterer Beleg dafür, dass Lösegeldzahlungen selten saubere, einmalige Kosten sind.

Warum Hacker erneut zuschlagen

Die Logik eines wiederholten Erpressungsversuchs ist aus Sicht des Angreifers einfach: Hat eine Opferorganisation bereits ihre Zahlungsbereitschaft und -fähigkeit bewiesen, wird sie für Nachforderungen zu einem attraktiveren Ziel. Ransomware-Gruppen wissen, dass Unternehmen, die unter dem Druck stehen, den Betrieb wiederherzustellen, Kundendaten zu schützen oder behördliche Strafen zu vermeiden, oft bereit sind, erneut zu zahlen, statt längere Ausfallzeiten oder eine öffentliche Bekanntgabe des Datenschutzvorfalls zu riskieren.

Die Untersuchung zeigt zudem einen weiteren Kniff im Lösegeldverhandlungsprozess: Preisflexibilität. Die im Bericht zitierten Experten weisen darauf hin, dass Ransomware-Akteure ihre anfängliche Forderung häufig senken, mitunter um bis zu 96 % des ursprünglich geforderten Betrags. Das ist keine Großzügigkeit, sondern eine Verhandlungsstrategie, bei der die erste Zahl bewusst überhöht ist und das eigentliche Ziel einfach darin besteht, vom Opfer irgendeine Zahlung zu erpressen. Diese Dynamik zu verstehen ist wichtig, denn sie zeigt, dass Lösegeldforderungen keine festen Preise in einem rationalen Markt sind, sondern Eröffnungsgebote in einer Verhandlung, die darauf abzielt, das Maximum aus einer ohnehin schon belasteten Organisation herauszuholen.

Zusammengenommen zeichnen die überhöhten Anfangsforderungen, die kräftigen Preisnachlässe und das Muster wiederholter Erpressung das Bild eines Ökosystems, das eher auf Druckmitteln als auf fairem Austausch beruht. Sobald ein Opfer gezahlt hat, besitzen die Angreifer den Beweis, dass Druck funktioniert – eine Information, die erneut genutzt werden kann, entweder gegen dieselbe Organisation oder innerhalb krimineller Kreise als Beleg dafür, dass sich ein Ziel lohnt.

Was das für Sie bedeutet

Für Privatpersonen, kleine Unternehmen und Großkonzerne gleichermaßen lautet die Schlussfolgerung nicht, dass Lösegelder niemals unter keinen Umständen gezahlt werden sollten (das ist eine Entscheidung, die jede Organisation anhand ihrer eigenen Risikotoleranz und rechtlichen Verpflichtungen abwägen muss). Vielmehr ist die Erkenntnis, dass eine Zahlung niemals als garantierte Lösung behandelt werden sollte. Wer eine Lösegeldzahlung erwägt, muss einplanen, dass es möglicherweise nicht die letzte Forderung bleibt und dass die Wiederherstellung der Daten selbst nach dem Geldtransfer nicht gesichert ist.

Das ist besonders relevant für kleinere Organisationen und Einzelpersonen, die unter Umständen keine speziellen Incident-Response-Teams haben. Derselbe Ransomware-Bericht, der zeigt, dass Opfer zahlen und dann erneut verhandeln, unterstreicht, dass selbst gut ausgestattete Unternehmen nach einem Angriff Schwierigkeiten haben, den Fall abzuschließen. Ohne professionelle Incident-Response-Unterstützung sind die Chancen auf ein positives Ergebnis nach einer Zahlung für kleinere Ziele nicht unbedingt besser.

Die praktische Konsequenz ist, dass Prävention und Vorbereitung weit wichtiger sind als Verhandlungsgeschick im Nachhinein. Zuverlässige, vom Netz getrennte Backups, getestete Wiederherstellungsverfahren und eine starke Endgerätesicherheit verringern von vornherein die Druckmittel der Angreifer. Wenn eine Organisation nie in Erwägung ziehen muss zu zahlen, weil sie aus Backups wiederherstellen kann, ist der gesamte Erpressungszyklus, inklusive des Risikos einer zweiten Forderung, bedeutungslos.

Umsetzbare Handlungsempfehlungen

Einige konkrete Schritte können die Anfälligkeit für Ransomware und den darauf folgenden Erpressungszyklus verringern:

  • Sorgen Sie für regelmäßige, getestete Backups, die offline oder in einer separaten, isolierten Umgebung gespeichert werden, damit die Wiederherstellung nicht von der Kooperation der Angreifer abhängt.
  • Betrachten Sie jede Lösegeldzahlung als geschäftliche Entscheidung mit einem echten Risiko von Nachforderungen, nicht als garantierte Lösung.
  • Beziehen Sie Strafverfolgungsbehörden und erfahrene Incident-Response-Experten mit ein, bevor Sie Zahlungsentscheidungen treffen, da diese oft Einblicke in die Erfolgsbilanz einer Angreifergruppe haben.
  • Investieren Sie in grundlegende Sicherheitshygiene wie Patching, Multi-Faktor-Authentifizierung und Netzwerksegmentierung, um das Risiko, überhaupt zum Opfer zu werden, zu senken.

Letztlich erinnert diese Forschung daran, dass eine Lösegeldzahlung keinen Abschluss erkauft, sondern eine Chance. Organisationen, die auf Resilienz statt auf Verhandlungen setzen, sind in einer weitaus stärkeren Position – ganz gleich, ob sie jemals mit einer Lösegeldforderung konfrontiert werden oder nicht.