Winona County zahlte 128.000 Dollar Lösegeld und wurde dann erneut angegriffen

Eine Lösegeldzahlung, die keine dauerhafte Sicherheit brachte

Winona County, Minnesota, musste 2026 eine harte Lektion über Ransomware lernen: Die Zahlung eines Lösegelds schützt nicht vor dem nächsten Angriff. Im Januar legte Ransomware die Computersysteme der County-Verwaltung lahm, unterbrach den Betrieb und zwang die Verantwortlichen in schwierige Verhandlungen. Mit Unterstützung seines Versicherers erklärte sich das County bereit, 128.539,57 US-Dollar zu zahlen, um wieder Zugang zu seinen Daten zu erhalten und den normalen Betrieb wiederherzustellen.

Elf Wochen später drang eine separate Ransomware-Bande, die nichts mit den ersten Angreifern zu tun hatte, erneut in das Netzwerk des Countys ein. Die Verantwortlichen untersuchen das Ausmaß dieses zweiten Vorfalls noch, aber allein der zeitliche Ablauf wirft ernste Fragen darüber auf, wie sich lokale Regierungen nach einem Ransomware-Angriff verteidigen und ob die Zahlung von Lösegeldforderungen das zukünftige Risiko tatsächlich verringert.

Warum die Lösegeldzahlung nicht das Ende der Geschichte war

Sicherheitsexperten warnen seit langem, dass die Zahlung einer Lösegeldforderung nicht garantiert, dass eine Organisation nicht erneut ins Visier genommen wird. Die Erfahrung von Winona County ist ein reales Beispiel dafür, warum es diesen Rat gibt. Ein erfolgreicher Ransomware-Angriff legt oft zugrunde liegende Schwachstellen offen: nicht gepatchte Software, offengelegte Anmeldedaten, falsch konfigurierte Fernzugriffstools oder Lücken in der Netzwerksegmentierung. Wenn diese Ursachen nach dem ersten Vorfall nicht vollständig behoben werden, bleibt eine Organisation ein attraktives Ziel – manchmal sogar noch mehr, da Angreifer nun wissen, dass das Opfer zahlungswillig ist.

Die Tatsache, dass eine andere Ransomware-Bande hinter dem zweiten Angriff steckte, deutet darauf hin, dass die zugrunde liegenden Schwachstellen des Countys, was auch immer sie waren, auch nach der Lösung des ersten Vorfalls weiterhin ausnutzbar blieben. Dies ist ein Muster, das Sicherheitsforscher bereits dokumentiert haben: Ransomware-Gruppen teilen manchmal Informationen darüber, welche Opfer gezahlt haben, oder entdecken unabhängig voneinander dieselben ungepatchten Einstiegspunkte, die den ersten Angreifern den Zugang ermöglichten. Ob dies hier der Fall war, müssen die Ermittler noch klären, aber die kurze Zeitspanne von elf Wochen zwischen den Angriffen ist unabhängig von der spezifischen Ursache bemerkenswert.

Für eine lokale Regierung geht es um mehr als nur die Lösegeldzahlung selbst. Die Systeme des Countys verarbeiten typischerweise sensible Daten von Einwohnern, darunter Grundbucheinträge, Gerichtsakten und in einigen Fällen personenbezogene Daten. Wenn diese Systeme zweimal in weniger als drei Monaten kompromittiert werden, besteht die Möglichkeit, dass Einwohnerdaten auf eine Weise offengelegt wurden, die möglicherweise erst nach Abschluss der Ermittlungen vollständig verstanden wird.

Was das für Sie bedeutet

Die meisten Leser sind keine IT-Administratoren eines Countys, aber diese Geschichte ist trotzdem relevant, wenn Sie mit Dienstleistungen der lokalen Regierung interagieren, Grundsteuern online bezahlen, öffentliche Aufzeichnungen anfordern oder persönliche Daten bei einem County-Amt hinterlegt haben. Ransomware-Angriffe auf Gemeinden und Countys sind zunehmend häufiger geworden, da diese Organisationen oft mit begrenzten IT-Budgets arbeiten und gleichzeitig große Mengen sensibler Einwohnerdaten verwalten.

Wenn Sie in einer Gerichtsbarkeit leben oder Geschäfte mit einer solchen tätigen, die einen Ransomware-Vorfall erlebt hat, lohnt es sich, auf offizielle Mitteilungen darüber zu achten, welche Daten möglicherweise betroffen sind. Countys sind in der Regel verpflichtet, Einwohner zu benachrichtigen, wenn persönliche Informationen kompromittiert wurden, obwohl der Zeitplan für diese Benachrichtigung hinter dem ersten Angriff zurückbleiben kann – insbesondere wenn, wie im Fall von Winona County, ein zweiter Vorfall die Ermittlungen erschwert.

Dieser Fall ist auch eine nützliche Erinnerung für alle, die IT-Systeme verwalten – sei es für ein Unternehmen, eine gemeinnützige Organisation oder eine lokale Behörde: Die Wiederherstellung nach einem Ransomware-Angriff sollte eine vollständige Sicherheitsüberprüfung umfassen, nicht nur die Datenwiederherstellung. Die Zahlung zur Entsperrung von Systemen bewältigt die unmittelbare Krise, behebt aber nicht die Schwachstellen, die Angreifern beim ersten Mal den Zugang ermöglichten, und sie verhindert möglicherweise nicht, dass eine völlig andere Gruppe dieselben Lücken findet.

Praktische Maßnahmen

Wenn Sie sich von dieser Geschichte angesprochen fühlen – ob als Einwohner, Geschäftsinhaber oder IT-Entscheider – hier sind praktische Schritte, die Sie unternehmen können:

• Prüfen Sie auf offizielle Mitteilungen von lokalen Regierungsbehörden, mit denen Sie interagieren, wenn Sie von einem Ransomware-Angriff in Ihrer Gegend gehört haben, und befolgen Sie deren Anweisungen zum Schutz Ihrer persönlichen Daten.
• Wenn Sie Systeme für eine Organisation verwalten, behandeln Sie die Ransomware-Wiederherstellung als Gelegenheit, den Netzwerkzugriff vollständig zu überprüfen, bekannte Schwachstellen zu patchen und Backup-Strategien zu überarbeiten – anstatt nur verschlüsselte Dateien wiederherzustellen.
• Bedenken Sie, dass die Zahlung eines Lösegelds eine Geschäftsentscheidung ist, die Versicherer und Verantwortliche manchmal unter Druck treffen, aber sie ist keine Sicherheitslösung. Organisationen, die zahlen, sollten weiterhin davon ausgehen, dass sie ein Ziel bleiben, bis sie die Lücken geschlossen haben, die den Einbruch ermöglichten.
• Einwohner, die um die Offenlegung persönlicher Daten besorgt sind, sollten in den Monaten nach einem gemeldeten Datenschutzvorfall bei einer Regierungsbehörde ihre Kredit- und Kontoaktivitäten genau überwachen, da Benachrichtigungs- und Ermittlungszeitpläne langsam sein können.

Die aufeinanderfolgenden Ransomware-Angriffe auf Winona County zeigen, dass eine Lösegeldzahlung Zeit kauft, aber keine Immunität. Da lokale Regierungen weiterhin Hauptziele sind, profitieren sowohl Verantwortliche als auch Einwohner davon, jeden Ransomware-Vorfall als Signal zu behandeln, die Verteidigung zu stärken – nicht nur als Rechnung, die bezahlt und vergessen wird.