Ein Ransomware-Angriff kann den Geschäftsbetrieb eines Unternehmens innerhalb kürzester Zeit erheblich beeinträchtigen. Dateien sind plötzlich verschlüsselt, zentrale Anwendungen nicht mehr erreichbar und im schlimmsten Fall stehen Produktion, Verwaltung oder andere wichtige Geschäftsprozesse still. Gleichzeitig verlangen die Angreifer ein Lösegeld und versprechen im Gegenzug, die verschlüsselten Daten wieder freizugeben.
Für Verantwortliche stellt sich dann eine entscheidende Frage: Sollte man bei Ransomware Lösegeld zahlen oder nicht?
Eine Zahlung kann auf den ersten Blick wie der schnellste Weg aus der Krise erscheinen. Doch sie bietet keine Garantie dafür, dass Daten tatsächlich vollständig wiederhergestellt werden können. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Betroffenen grundsätzlich, nicht auf die Erpressung einzugehen und kein Lösegeld zu bezahlen. Stattdessen sollen Systeme bereinigt und Daten möglichst aus intakten Backups wiederhergestellt werden.
Wie häufig Unternehmen trotzdem zahlen, zeigt der State of Ransomware 2025 von Sophos. Für die Untersuchung wurden 3.400 IT- und Cybersicherheitsverantwortliche aus 17 Ländern befragt, deren Unternehmen im vorherigen Jahr von Ransomware betroffen waren. International zahlte etwa die Hälfte der betroffenen Unternehmen Lösegeld, um ihre Daten zurückzubekommen. Bei den untersuchten deutschen Unternehmen lag die Zahlungsquote sogar bei 63 Prozent.
Die Entscheidung ist daher in der Praxis komplexer, als ein einfaches „zahlen oder nicht zahlen“ vermuten lässt. Unternehmen müssen technische, wirtschaftliche und rechtliche Faktoren berücksichtigen. Gleichzeitig sollte unter hohem Zeitdruck vermieden werden, eine Entscheidung zu treffen, deren Folgen später nicht mehr rückgängig gemacht werden können.
Dieser Beitrag zeigt, welche Risiken eine Ransomware-Lösegeldzahlung mit sich bringt, welche Alternativen Unternehmen haben und welche Schritte unmittelbar nach einem Angriff wichtig sind. Außerdem erfahren Sie, wie sich Unternehmen so vorbereiten können, dass sie im Ernstfall möglichst unabhängig von den Forderungen der Angreifer bleiben.
Sollte man bei Ransomware Lösegeld zahlen?
Grundsätzlich sollten Unternehmen nach einem Ransomware-Angriff nicht vorschnell Lösegeld zahlen. Das BSI rät bei bereits verschlüsselten Systemen ausdrücklich dazu, grundsätzlich nicht auf die Erpressung einzugehen. Stattdessen sollen nach einer Bereinigung des Netzwerks vorhandene und intakte Backups für die Wiederherstellung genutzt werden.
Der wichtigste Grund dafür ist einfach: Eine Zahlung schafft keine Sicherheit.
Das Unternehmen überweist Geld an Kriminelle und ist anschließend darauf angewiesen, dass diese ihre Zusagen einhalten. Es gibt keine Garantie, dass ein funktionierender Entschlüsselungsschlüssel geliefert wird. Selbst ein vorhandener Schlüssel kann fehlerhaft sein oder nicht alle betroffenen Daten korrekt wiederherstellen. Das BSI weist außerdem darauf hin, dass eine erfolgreiche Entschlüsselung die notwendige Bereinigung beziehungsweise Neuinstallation kompromittierter Systeme nicht ersetzt.
Hinzu kommt ein weiteres Problem: Moderne Ransomware-Angriffe beschränken sich häufig nicht auf die Verschlüsselung. Angreifer können zuvor sensible Daten aus dem Unternehmensnetzwerk kopieren und anschließend mit deren Veröffentlichung drohen.
Eine Zahlung löst dieses Problem nicht zuverlässig. Selbst wenn die Täter behaupten, gestohlene Daten nach Zahlung zu löschen, kann ein Unternehmen kaum überprüfen, ob tatsächlich sämtliche Kopien vernichtet wurden.
Auch wirtschaftlich darf die Entscheidung nicht allein anhand der Lösegeldforderung getroffen werden. Neben einer möglichen Zahlung entstehen häufig weitere Kosten durch Betriebsunterbrechungen, IT-Forensik, Wiederherstellung, Rechtsberatung und zusätzliche Sicherheitsmaßnahmen.
Der Sophos-Report 2025 beziffert die durchschnittlichen Kosten für die Bereinigung und Wiederherstellung nach einem Ransomware-Angriff weltweit auf rund 1,53 Millionen US-Dollar – zusätzlich zu einer möglichen Lösegeldzahlung. Für die untersuchten deutschen Unternehmen lagen sie bei rund 1,56 Millionen US-Dollar.
Eine Lösegeldzahlung bedeutet deshalb nicht automatisch:
zahlen → entschlüsseln → normal weiterarbeiten.
Auch nach einer Zahlung muss untersucht werden, wie die Angreifer in das Netzwerk gelangt sind, welche Systeme kompromittiert wurden und ob weitere Zugänge oder Schadsoftware vorhanden sind.
Für Unternehmen ist deshalb eine andere Frage wesentlich wichtiger:
Wie können wir unsere kritischen Geschäftsprozesse unabhängig von den Angreifern wiederherstellen?
Je besser ein Unternehmen auf diese Frage vorbereitet ist, desto geringer wird der Druck, auf eine Lösegeldforderung einzugehen.
Wann Unternehmen trotzdem über eine Zahlung nachdenken
Trotz der grundsätzlichen Empfehlung gegen Lösegeldzahlungen gibt es Situationen, in denen Verantwortliche eine Zahlung zumindest als mögliche Option diskutieren.
Das kann beispielsweise der Fall sein, wenn zentrale Systeme vollständig ausgefallen sind, keine kurzfristig nutzbaren Backups zur Verfügung stehen und der Betriebsstillstand die Existenz des Unternehmens bedroht.
Stellen wir uns einen mittelständischen Produktionsbetrieb vor: ERP-System, zentrale Server und wichtige Produktionsanwendungen sind verschlüsselt. Gleichzeitig stellt sich heraus, dass die letzten zuverlässig nutzbaren Backups mehrere Tage alt sind und eine vollständige Wiederherstellung möglicherweise Wochen dauern würde.
Mit jedem Tag Stillstand entstehen weitere Verluste. Liefertermine können nicht eingehalten werden, Aufträge verzögern sich und Kunden könnten zu Wettbewerbern wechseln.
Unter solchen Bedingungen steigt der Druck erheblich.
Eine Zahlung sollte trotzdem nicht automatisch als wirtschaftlich sinnvollste Lösung betrachtet werden. Zunächst müssen die verfügbaren Alternativen bewertet werden.
Entscheidend sind insbesondere folgende Fragen:
- Sind wirklich alle geeigneten Backups unbrauchbar?
- Wie lange würde eine Wiederherstellung ohne Zahlung dauern?
- Welche Systeme sind tatsächlich geschäftskritisch?
- Können einzelne Prozesse vorübergehend manuell oder über Ersatzsysteme weitergeführt werden?
- Gibt es Hinweise darauf, dass zusätzlich Daten gestohlen wurden?
- Welche rechtlichen Risiken bestehen?
- Welche Kosten verursacht der Betriebsstillstand tatsächlich?
- Ist eine Cyberversicherung vorhanden?
Vor allem sollte eine solche Entscheidung nicht von einer einzelnen Person getroffen werden. Je nach Situation sollten Geschäftsführung, IT-Sicherheit, Incident-Response-Spezialisten, Rechtsberatung, Datenschutzverantwortliche und gegebenenfalls der Cyberversicherer eingebunden werden.
Das BSI empfiehlt ebenfalls, einen vorhandenen Cyberversicherer frühzeitig zu informieren und mögliche Zahlungen mit zuständigen Ermittlungsbehörden beziehungsweise der Rechtsabteilung oder Rechtsanwälten abzuklären.
Die entscheidende Frage lautet daher nicht einfach:
„Ist das Lösegeld günstiger als der Betriebsstillstand?“
Vielmehr muss geprüft werden:
„Welche realistischen Handlungsoptionen haben wir, welche Risiken entstehen jeweils und wie schnell können wir den Geschäftsbetrieb auf einem sicheren Weg wiederherstellen?“
Genau hier zeigt sich der Wert einer guten Vorbereitung. Unternehmen mit getesteten Backups, klaren Wiederanlaufplänen und einem funktionierenden Incident-Response-Prozess besitzen im Ernstfall wesentlich mehr Handlungsmöglichkeiten und geraten weniger stark unter den Druck der Angreifer.
Warum eine Zahlung keine Garantie bietet
Wer nach einem Ransomware-Angriff Lösegeld zahlt, erhält dafür keine garantierte Gegenleistung. Das betroffene Unternehmen muss darauf vertrauen, dass die Angreifer nach Eingang der Zahlung tatsächlich einen funktionierenden Entschlüsselungsschlüssel bereitstellen.
Selbst wenn ein solcher Schlüssel geliefert wird, bedeutet das jedoch nicht automatisch, dass sämtliche Systeme anschließend wieder problemlos funktionieren.
Bei umfangreichen Angriffen können große Datenbestände, Server und Anwendungen betroffen sein. Die Entschlüsselung kann entsprechend viel Zeit in Anspruch nehmen. Außerdem können Dateien beschädigt sein oder einzelne Systeme nach der Entschlüsselung weiterhin Probleme verursachen.
Unternehmen sollten deshalb zwei Fragen klar voneinander unterscheiden:
Erhalten wir einen funktionierenden Entschlüsselungsschlüssel?
und
Können wir damit unseren Geschäftsbetrieb sicher und vollständig wiederherstellen?
Hinzu kommt, dass ein Entschlüsselungswerkzeug lediglich die Verschlüsselung rückgängig machen kann. Die Ursache des Angriffs beseitigt es nicht. Gestohlene Zugangsdaten, vorhandene Schadsoftware oder versteckte Zugänge können weiterhin ein Sicherheitsrisiko darstellen.
Besonders kritisch wird es, wenn die Angreifer vor der Verschlüsselung Daten aus dem Netzwerk kopiert haben. Eine Zahlung kann nicht zuverlässig garantieren, dass diese Informationen anschließend gelöscht werden. Das Unternehmen besitzt letztlich keine technische Möglichkeit zu überprüfen, ob weitere Kopien existieren.
Deshalb gilt: Eine Lösegeldzahlung kann höchstens einen Teil des Problems lösen.
Unabhängig davon, ob gezahlt wird, muss untersucht werden, wie die Angreifer in das Netzwerk gelangt sind, welche Systeme betroffen waren und welche Sicherheitsmaßnahmen notwendig sind, bevor die Infrastruktur wieder vollständig in Betrieb genommen wird.
Was aktuelle Ransomware-Zahlen über Lösegeldzahlungen zeigen
Aktuelle Studien zeigen, dass Lösegeldzahlungen trotz der damit verbundenen Risiken weiterhin vorkommen. Gleichzeitig erreichen die Forderungen teilweise erhebliche Größenordnungen.
Für den State of Ransomware 2025 wurden 3.400 IT- und Cybersicherheitsverantwortliche aus Unternehmen mit 100 bis 5.000 Beschäftigten befragt, die im vorherigen Jahr von Ransomware betroffen waren.
Ein besonders auffälliger Wert betrifft die Höhe der Forderungen: Laut Sophos erhielten 59 Prozent der Unternehmen Lösegeldforderungen von mehr als einer Million US-Dollar. Bei Unternehmen mit einem Jahresumsatz von mehr als einer Milliarde US-Dollar lagen 39 Prozent der Forderungen sogar bei mindestens fünf Millionen US-Dollar.
Dabei entspricht die ursprüngliche Forderung nicht zwangsläufig dem Betrag, der am Ende tatsächlich gezahlt wird. Von den Unternehmen, die Lösegeld zahlten, überwiesen laut Sophos 53 Prozent weniger als ursprünglich gefordert. 18 Prozent zahlten dagegen mehr.
Für Deutschland zeigt die Untersuchung ebenfalls, wie relevant das Thema ist. Bei den untersuchten deutschen Unternehmen, deren Daten verschlüsselt wurden, zahlten 63 Prozent Lösegeld. Die mediane Forderung lag bei rund 600.000 US-Dollar, während die mediane tatsächliche Zahlung etwa 412.000 US-Dollar betrug.
Diese Zahlen sollten jedoch nicht isoliert betrachtet werden.
Denn die Lösegeldzahlung ist nur ein Teil der finanziellen Folgen eines Ransomware-Angriffs. Sophos bezifferte die durchschnittlichen Wiederherstellungskosten der untersuchten Unternehmen 2025 weltweit auf rund 1,53 Millionen US-Dollar – ohne eine mögliche Lösegeldzahlung.
Für Unternehmen bedeutet das: Selbst eine erfolgreiche Entschlüsselung beendet die finanziellen Folgen des Angriffs nicht automatisch.
Zusätzliche Kosten können beispielsweise entstehen durch:
- Betriebs- und Produktionsausfälle,
- IT-Forensik und Incident Response,
- Wiederherstellung oder Neuaufbau von Systemen,
- externe IT- und Sicherheitsspezialisten,
- Rechts- und Datenschutzberatung,
- zusätzliche Arbeitsstunden,
- Sicherheitsmaßnahmen nach dem Angriff.
Aktuelle Ransomware-Statistiken zeigen deshalb vor allem eines: Die wirtschaftliche Betrachtung eines Angriffs darf sich nicht auf die Frage beschränken, wie hoch das geforderte Lösegeld ist.
Entscheidend sind die Gesamtkosten des Vorfalls und die vorhandenen Möglichkeiten zur Wiederherstellung.
Wie hoch sind Lösegeldforderungen bei Ransomware?
Eine allgemeingültige Summe für das Lösegeld bei Ransomware gibt es nicht. Die Forderungen können von vergleichsweise kleinen Beträgen bis hin zu Millionenbeträgen reichen.
Professionelle Angreifer legen die Summe teilweise nicht zufällig fest. Wenn sie sich bereits vor der Verschlüsselung länger im Unternehmensnetzwerk bewegen konnten, können sie Informationen sammeln, die Rückschlüsse auf die wirtschaftliche Situation und die Bedeutung bestimmter Systeme zulassen.
Die Höhe einer Forderung kann daher unter anderem beeinflusst werden durch:
- Größe und Umsatz des Unternehmens,
- Branche und Geschäftsmodell,
- Bedeutung der betroffenen Systeme,
- erwartete Kosten eines längeren Betriebsausfalls,
- Umfang möglicherweise gestohlener Daten,
- vermutete Zahlungsfähigkeit des Unternehmens.
Der Sophos-Report verdeutlicht die Größenordnung: 59 Prozent der untersuchten Unternehmen erhielten 2025 Forderungen von mehr als einer Million US-Dollar. Gleichzeitig zeigt der Unterschied zwischen Forderung und tatsächlicher Zahlung, dass die zuerst verlangte Summe nicht automatisch dem später gezahlten Betrag entspricht.
Für Unternehmen sollte daraus jedoch keinesfalls die Schlussfolgerung entstehen, dass sich eine Art „üblicher Preis“ für einen Ransomware-Angriff bestimmen lässt.
Viel wichtiger ist die eigene Abhängigkeit von den Angreifern.
Ein Unternehmen mit aktuellen, geschützten und getesteten Backups kann möglicherweise innerhalb eines akzeptablen Zeitraums selbst wiederherstellen. Ein Unternehmen ohne funktionierende Wiederherstellungsstrategie steht dagegen wesentlich stärker unter Druck – unabhängig davon, ob die Angreifer 100.000 Euro oder eine Million Euro verlangen.
Deshalb ist für die Bewertung eines Angriffs nicht nur die Höhe der Forderung entscheidend, sondern vor allem die Frage:
Wie schnell können die wichtigsten Geschäftsprozesse unabhängig von den Angreifern wiederhergestellt werden?
Je besser diese Frage bereits vor einem Angriff beantwortet werden kann, desto weniger bestimmt die Lösegeldforderung die Handlungsfähigkeit des Unternehmens.
Bekannte Fälle von Ransomware-Lösegeldzahlungen
Bekannte Ransomware-Angriffe zeigen, wie schnell Unternehmen unter erheblichen wirtschaftlichen und operativen Druck geraten können. Ein häufig genanntes Beispiel ist der Angriff auf Colonial Pipeline im Jahr 2021. Nach dem Angriff wurden Teile des Pipeline-Betriebs vorübergehend eingestellt. Das Unternehmen zahlte schließlich rund 4,4 Millionen US-Dollar in Bitcoin an die Angreifer. Ein Teil davon konnte später durch US-Behörden sichergestellt werden.
Auch der weltweit tätige Fleischproduzent JBS entschied sich 2021 nach einem Ransomware-Angriff für eine Zahlung. Das Unternehmen zahlte nach eigenen Angaben rund 11 Millionen US-Dollar in Bitcoin.
Solche prominenten Fälle dürfen allerdings nicht als Argument verstanden werden, dass die Zahlung von Lösegeld grundsätzlich der richtige Weg ist. Vielmehr zeigen sie, unter welchem Druck selbst große Unternehmen nach einem erfolgreichen Angriff stehen können.
Für andere Unternehmen lassen sich daraus vor allem drei Erkenntnisse ableiten:
- Eine Lösegeldzahlung kann trotz hoher Sicherheits- und IT-Budgets als Option diskutiert werden, wenn kritische Geschäftsprozesse ausfallen.
- Die Zahlung garantiert keine schnelle und vollständige Wiederherstellung.
- Eigene Wiederherstellungsoptionen bleiben entscheidend, selbst wenn Lösegeld gezahlt wurde.
Für die Praxis ist deshalb weniger entscheidend, ob andere Unternehmen in der Vergangenheit gezahlt haben. Viel wichtiger ist, wie stark das eigene Unternehmen im Ernstfall von den Angreifern abhängig wäre.
Die größten Risiken einer Lösegeldzahlung
Eine Lösegeldzahlung kann kurzfristig wie eine Möglichkeit erscheinen, den Betriebsstillstand zu verkürzen. Gleichzeitig entstehen dadurch Risiken, die Unternehmen bei ihrer Entscheidung berücksichtigen müssen.
Das grundlegende Problem: Es handelt sich um eine Transaktion mit Cyberkriminellen. Es gibt weder einen rechtlich durchsetzbaren Anspruch auf einen funktionierenden Entschlüsselungsschlüssel noch eine Garantie dafür, dass die Angreifer anschließend keine weiteren Forderungen stellen.
Zu den wichtigsten Risiken gehören:
Keine garantierte Wiederherstellung:
Ein bereitgestellter Decryptor kann langsam oder fehlerhaft sein. Einzelne Dateien oder Systeme können beschädigt bleiben.
Keine garantierte Löschung gestohlener Daten:
Wurden Informationen vor der Verschlüsselung kopiert, kann das Unternehmen kaum überprüfen, ob die Angreifer diese nach einer Zahlung tatsächlich vollständig löschen.
Weiterhin kompromittierte Systeme:
Die Entschlüsselung von Dateien beseitigt weder gestohlene Zugangsdaten noch automatisch Schadsoftware oder versteckte Zugänge.
Mögliche rechtliche Risiken:
Je nachdem, wer hinter einem Angriff steht, können beispielsweise Sanktionsvorschriften relevant werden. Eine mögliche Zahlung sollte deshalb rechtlich geprüft werden.
Finanzierung weiterer Angriffe:
Lösegeldzahlungen machen das Geschäftsmodell Ransomware für Cyberkriminelle wirtschaftlich attraktiv und können weitere kriminelle Aktivitäten finanzieren.
Unternehmen sollten daher nicht ausschließlich fragen: „Was bekommen wir, wenn wir zahlen?“
Mindestens genauso wichtig ist:
„Welche Probleme bestehen selbst nach einer erfolgreichen Zahlung weiter?“
Diese Betrachtung verhindert, dass eine Entschlüsselung fälschlicherweise mit einer vollständigen Behebung des Sicherheitsvorfalls gleichgesetzt wird.
Daten kommen möglicherweise trotzdem nicht vollständig zurück
Selbst wenn Cyberkriminelle nach einer Lösegeldzahlung einen funktionierenden Entschlüsselungsschlüssel bereitstellen, kann die Wiederherstellung aufwendig sein.
Bei einem größeren Ransomware-Angriff können zahlreiche Server, Arbeitsplatzrechner, Datenbanken und Anwendungen betroffen sein. Die Entschlüsselung großer Datenmengen benötigt Zeit und kann bei einzelnen Dateien oder Systemen zu Problemen führen.
Hinzu kommen Abhängigkeiten zwischen verschiedenen Anwendungen. Eine Unternehmenssoftware besteht beispielsweise häufig nicht nur aus einem einzelnen Server. Datenbanken, Benutzerverwaltung, Schnittstellen und weitere Komponenten müssen korrekt zusammenspielen. Ist eine davon beschädigt, kann die Anwendung trotz entschlüsselter Dateien weiterhin ausfallen.
Noch wichtiger ist der Sicherheitszustand der Systeme.
Ein Server ist nicht automatisch wieder vertrauenswürdig, nur weil seine Dateien entschlüsselt wurden. Angreifer könnten weiterhin über kompromittierte Benutzerkonten, gestohlene Zugangsdaten oder andere Zugänge verfügen.
Deshalb muss nach einem Ransomware-Angriff geprüft werden:
- Welche Systeme wurden tatsächlich kompromittiert?
- Welche Zugangsdaten müssen zurückgesetzt werden?
- Sind weitere Schadprogramme oder verdächtige Zugänge vorhanden?
- Welche Systeme sollten besser vollständig neu aufgebaut werden?
- Welche Daten können aus vertrauenswürdigen Backups wiederhergestellt werden?
In bestimmten Situationen kann ein kontrollierter Neuaufbau daher sicherer sein als die einfache Weiterverwendung entschlüsselter Systeme.
Genau hier zeigt sich die Bedeutung eines belastbaren Backup-Konzepts. Entscheidend ist nicht nur, dass Sicherungen vorhanden sind, sondern dass sie vom Angriff nicht betroffen und innerhalb der benötigten Zeit wiederherstellbarsind.
Unternehmen sollten deshalb bereits vor einem Angriff wissen, welche Systeme besonders kritisch sind und wie schnell diese aus Backups wiederhergestellt werden können.
Das Ziel einer guten Ransomware-Vorsorge besteht letztlich darin, die Abhängigkeit von den Angreifern möglichst gering zu halten. Je zuverlässiger die eigenen Wiederherstellungswege funktionieren, desto weniger kann eine Lösegeldforderung das Unternehmen unter Druck setzen.
Zahlung schützt nicht vor Veröffentlichung gestohlener Daten
Bei modernen Ransomware-Angriffen werden Daten häufig nicht nur verschlüsselt. Angreifer können sensible Informationen bereits vorher aus dem Unternehmensnetzwerk kopieren und anschließend mit deren Veröffentlichung drohen. Dieses Vorgehen wird als Double Extortion bezeichnet.
Betroffen sein können beispielsweise:
- Kunden- und Mitarbeiterdaten
- Verträge und interne Dokumente
- Finanzinformationen
- personenbezogene Daten
- Geschäftsgeheimnisse
- Zugangsdaten oder technische Dokumentationen
Damit besitzen die Angreifer zwei Druckmittel: Einerseits können verschlüsselte Systeme nicht mehr genutzt werden, andererseits droht die Veröffentlichung gestohlener Informationen.
Selbst funktionierende Backups lösen in diesem Fall nur einen Teil des Problems. Ein Unternehmen kann seine Systeme möglicherweise vollständig wiederherstellen – die kopierten Informationen befinden sich trotzdem weiterhin in den Händen der Angreifer.
Eine Ransomware-Lösegeldzahlung bietet auch hier keine Sicherheit. Zwar können die Täter versprechen, gestohlene Informationen nach der Zahlung zu löschen. Ob tatsächlich sämtliche Kopien vernichtet wurden, lässt sich jedoch kaum zuverlässig überprüfen.
Unternehmen müssen deshalb zwei Bereiche getrennt betrachten:
Wiederherstellung: Wie bekommen wir unsere Systeme und Daten wieder in einen sicheren Betriebszustand?
Datenabfluss: Welche Informationen könnten gestohlen worden sein und welche Folgen ergeben sich daraus?
Besonders wichtig wird die zweite Frage, wenn personenbezogene Daten betroffen sind. Dann müssen mögliche datenschutzrechtliche Melde- und Informationspflichten geprüft werden. Nach Art. 33 DSGVO kann bei einer Verletzung des Schutzes personenbezogener Daten eine Meldung an die zuständige Aufsichtsbehörde erforderlich sein. Diese muss, soweit möglich, innerhalb von 72 Stunden nach Bekanntwerden erfolgen.
Eine erfolgreiche Entschlüsselung bedeutet daher nicht automatisch, dass der gesamte Sicherheitsvorfall beendet ist. Ein möglicher Datenabfluss muss unabhängig davon untersucht und bewertet werden.
Unternehmen können erneut zum Ziel werden
Ein weiteres Risiko besteht darin, dass die ursprüngliche Schwachstelle nach der Wiederherstellung weiterhin vorhanden ist. Werden lediglich verschlüsselte Dateien entschlüsselt, ohne die Ursache des Angriffs zu untersuchen, kann ein erneuter Zugriff möglich bleiben.
Angenommen, die Angreifer sind über gestohlene Zugangsdaten in das Unternehmensnetzwerk gelangt. Dort verschaffen sie sich zusätzliche Berechtigungen, kopieren Daten und führen schließlich die Ransomware aus.
Nach einer Lösegeldzahlung werden die Dateien entschlüsselt – die kompromittierten Zugangsdaten bleiben jedoch weiterhin gültig.
Genau deshalb ist nach einem Ransomware-Angriff eine Root-Cause-Analyse wichtig. Sie soll klären, wie der Angriff überhaupt möglich wurde.
Mögliche Einfallstore sind beispielsweise:
- gestohlene Zugangsdaten,
- Phishing,
- ungepatchte Schwachstellen,
- unzureichend abgesicherte Remote-Zugänge,
- kompromittierte Benutzer- oder Administratorkonten.
Zusätzlich sollte untersucht werden, wie weit sich die Angreifer innerhalb des Netzwerks bewegen konnten. Denn zwischen dem ursprünglichen Eindringen und der sichtbaren Verschlüsselung kann einige Zeit liegen.
Währenddessen können Angreifer weitere Konten kompromittieren, Berechtigungen ausweiten, Backups angreifen oder zusätzliche Zugänge einrichten.
Nach einem Vorfall sollte deshalb unter anderem geklärt werden, welche Zugangsdaten geändert werden müssen, welche Schwachstellen zu schließen sind und ob verdächtige Konten, Schadsoftware oder persistente Zugänge vorhanden sind.
Der Grundsatz lautet:
Entschlüsselung ist nicht dasselbe wie Bereinigung.
Systeme sollten erst dann wieder vollständig produktiv eingesetzt werden, wenn der Sicherheitsvorfall ausreichend untersucht und die wesentlichen Ursachen beseitigt wurden.
Ist es erlaubt, bei Ransomware Lösegeld zu zahlen?
Neben der technischen und wirtschaftlichen Bewertung müssen Unternehmen auch die rechtlichen Rahmenbedingungen berücksichtigen. Die Frage „Darf man Ransomware-Lösegeld zahlen?“ lässt sich dabei nicht pauschal mit einem einfachen Ja oder Nein beantworten.
Eine Lösegeldzahlung kann insbesondere dann rechtlich problematisch werden, wenn das Geld an Personen oder Organisationen fließt, die von Finanzsanktionen betroffen sind. Für Unternehmen ist das besonders schwierig, weil die tatsächliche Identität der Angreifer nicht immer eindeutig feststeht.
Der Name einer Ransomware-Gruppe in einer Erpressernachricht reicht nicht zwingend aus, um den tatsächlichen Empfänger einer Zahlung zweifelsfrei zu bestimmen.
Deshalb sollte eine mögliche Zahlung nicht ausschließlich als technische oder wirtschaftliche Entscheidung behandelt werden.
Bevor eine Zahlung überhaupt ernsthaft erwogen wird, sollten je nach Situation unter anderem folgende Stellen eingebunden werden:
- Geschäftsführung
- IT- und Informationssicherheit
- Rechtsberatung
- Datenschutzverantwortliche
- Incident-Response- und Forensik-Spezialisten
- Cyberversicherer
- gegebenenfalls zuständige Behörden
Auch das BSI weist in seinen Empfehlungen für Ransomware-Vorfälle darauf hin, dass mögliche Zahlungen unter anderem mit den zuständigen Ermittlungsbehörden sowie der eigenen Rechtsabteilung beziehungsweise Rechtsanwälten abgeklärt werden sollten.
Hinzu kommen mögliche Meldepflichten. Sind personenbezogene Daten betroffen, muss die Situation unter anderem nach den Vorgaben der DSGVO bewertet werden. Je nach Unternehmen, Branche und konkretem Vorfall können weitere gesetzliche oder regulatorische Anforderungen relevant sein.
Wichtig ist außerdem eine nachvollziehbare Dokumentation der Entscheidung. Festgehalten werden sollten beispielsweise das bekannte Ausmaß des Angriffs, vorhandene Wiederherstellungsoptionen, mögliche Datenabflüsse, einbezogene Fachstellen sowie die Gründe für die gewählte Vorgehensweise.
Damit wird deutlich: Selbst wenn eine Lösegeldzahlung aus rein wirtschaftlicher Sicht zunächst günstiger erscheint als ein längerer Betriebsstillstand, können andere Faktoren die Bewertung grundlegend verändern.
Unternehmen sollten deshalb bereits vor einem Angriff festlegen, wer eine solche Entscheidung treffen darf und welche Experten dafür hinzugezogen werden müssen.
Im Ernstfall müssen dann nicht erst Zuständigkeiten geklärt werden, während zentrale Systeme bereits stillstehen. Ein vorbereiteter Entscheidungsprozess spart Zeit und reduziert das Risiko, unter hohem Druck eine vorschnelle Entscheidung zu treffen.
Was Geschäftsführung und Verantwortliche beachten müssen
Ein Ransomware-Angriff ist spätestens dann keine reine IT-Angelegenheit mehr, wenn wichtige Geschäftsprozesse ausfallen, sensible Daten betroffen sind oder eine Lösegeldforderung vorliegt. In dieser Situation trägt auch die Geschäftsführung Verantwortung dafür, dass Entscheidungen strukturiert und auf einer möglichst belastbaren Informationsgrundlage getroffen werden.
Bevor über eine mögliche Lösegeldzahlung entschieden wird, sollte deshalb ein möglichst klares Lagebild vorliegen. Dazu gehören insbesondere folgende Fragen:
- Welche Systeme und Geschäftsprozesse sind betroffen?
- Wie lange kann das Unternehmen den Ausfall verkraften?
- Sind saubere und funktionsfähige Backups vorhanden?
- Wie lange würde eine Wiederherstellung voraussichtlich dauern?
- Gibt es Hinweise auf einen Datenabfluss?
- Welche rechtlichen oder regulatorischen Pflichten bestehen?
- Welche Alternativen zur Lösegeldzahlung wurden geprüft?
Gerade während der ersten Stunden eines Angriffs sind allerdings häufig noch nicht alle Informationen verfügbar. Deshalb sollte klar zwischen bestätigten Erkenntnissen und Vermutungen unterschieden werden.
Behaupten die Angreifer beispielsweise, mehrere Terabyte vertraulicher Daten gestohlen zu haben, muss dieser Hinweis ernst genommen werden. Trotzdem sollte durch IT-Forensik möglichst genau untersucht werden, ob und welche Daten tatsächlich abgeflossen sind.
Ähnliches gilt für Backups. Die Aussage „Unsere Backups sind ebenfalls verschlüsselt“ sollte überprüft werden. Möglicherweise existieren weitere Offline-Sicherungen, unveränderbare Backups oder andere Wiederherstellungspunkte.
Wichtige Entscheidungen und Maßnahmen sollten außerdem nachvollziehbar dokumentiert werden. Dazu zählen unter anderem die festgestellten Auswirkungen des Angriffs, durchgeführte Sofortmaßnahmen, verfügbare Wiederherstellungsoptionen und die einbezogenen internen und externen Fachstellen.
Idealerweise sind die Verantwortlichkeiten bereits im Incident-Response-Plan festgelegt. Geschäftsführung, IT-Sicherheit, Datenschutz, Rechtsberatung und externe Spezialisten sollten wissen, welche Aufgaben sie im Ernstfall übernehmen.
So muss während eines laufenden Angriffs nicht erst geklärt werden, wer Entscheidungen treffen darf oder welcher externe Dienstleister kontaktiert werden soll.
Was gilt für Cyberversicherungen?
Eine Cyberversicherung kann dabei helfen, die finanziellen Folgen eines Ransomware-Angriffs abzufedern. Sie bedeutet jedoch nicht automatisch, dass eine mögliche Lösegeldzahlung vollständig übernommen wird.
Welche Leistungen tatsächlich versichert sind, hängt von der jeweiligen Police und den vereinbarten Bedingungen ab.
Je nach Vertrag können beispielsweise Kosten für folgende Bereiche abgedeckt sein:
- Incident Response und IT-Forensik,
- Wiederherstellung von Daten und Systemen,
- Betriebsunterbrechungen,
- Rechts- und Datenschutzberatung,
- Krisenkommunikation,
- externe IT-Sicherheitsexperten.
Deshalb sollte ein vorhandener Cyberversicherer möglichst frühzeitig über einen Ransomware-Vorfall informiert werden. Das BSI empfiehlt ebenfalls, die Versicherung frühzeitig einzubeziehen.
Unternehmen sollten außerdem prüfen, welche Bedingungen für die Kostenübernahme gelten. Manche Versicherungsverträge sehen beispielsweise bestimmte Meldewege oder die Einbindung festgelegter Dienstleister vor.
Wichtig ist daher, bereits vor einem Angriff zu wissen:
Wer ist unser Ansprechpartner beim Versicherer? Welche Leistungen sind versichert und welche Vorgaben müssen wir im Schadenfall einhalten?
Diese Informationen sollten Teil des Notfallplans sein und möglichst auch außerhalb der normalen IT-Infrastruktur verfügbar bleiben. Wird der Notfallplan ausschließlich auf einem Fileserver gespeichert, der während des Angriffs verschlüsselt wird, ist er im entscheidenden Moment möglicherweise nicht erreichbar.
Eine Cyberversicherung ersetzt zudem keine funktionierende IT-Sicherheitsstrategie. Selbst wenn bestimmte finanzielle Schäden versichert sind, können Betriebsstillstände, verlorenes Vertrauen und die operative Belastung eines Ransomware-Angriffs erhebliche Folgen haben.
Versicherung und Prävention sollten deshalb als zwei sich ergänzende Bausteine betrachtet werden.
Ransomware-Angriff: Was Unternehmen jetzt tun sollten
Wird ein Ransomware-Angriff entdeckt, zählt schnelles Handeln. Trotzdem sollten Verantwortliche nicht unkoordiniert reagieren.
Das erste Ziel besteht darin, die weitere Ausbreitung des Angriffs zu begrenzen und gleichzeitig wichtige Informationen für die Untersuchung zu erhalten.
Betroffene Systeme sollten möglichst schnell vom Netzwerk isoliert werden. Dadurch kann verhindert werden, dass sich Schadsoftware auf weitere Server, Arbeitsplatzrechner oder Netzwerkbereiche ausbreitet.
Gleichzeitig sollten kompromittierte Systeme nicht vorschnell gelöscht oder vollständig neu installiert werden. Dadurch könnten wichtige Spuren verloren gehen, die später für die Analyse des Angriffs benötigt werden.
Ein sinnvoller erster Ablauf sieht deshalb folgendermaßen aus:
1. Betroffene Systeme isolieren
Verdächtige oder bereits verschlüsselte Systeme sollten vom Netzwerk getrennt werden.
2. Incident-Response-Prozess aktivieren
Die festgelegten internen Verantwortlichen und gegebenenfalls externe Spezialisten werden informiert.
3. Umfang des Angriffs feststellen
Es wird geprüft, welche Systeme, Benutzerkonten und Geschäftsprozesse betroffen sind.
4. Beweise und Protokolldaten sichern
Relevante Logs und weitere Informationen sollten für die spätere forensische Untersuchung erhalten bleiben.
5. Backups schützen und prüfen
Noch vorhandene Sicherungen müssen vor weiteren Zugriffen geschützt und auf ihre Integrität untersucht werden.
6. Möglichen Datenabfluss untersuchen
Es sollte geprüft werden, ob die Angreifer vor der Verschlüsselung Informationen aus dem Netzwerk kopiert haben.
7. Meldepflichten bewerten
Datenschutzrechtliche und gegebenenfalls weitere regulatorische Anforderungen müssen frühzeitig berücksichtigt werden.
8. Wiederherstellung vorbereiten
Geschäftskritische Systeme werden priorisiert und anschließend kontrolliert wiederhergestellt.
Dabei sollte nicht versucht werden, sämtliche Anwendungen gleichzeitig wieder in Betrieb zu nehmen. Unternehmen sollten zunächst diejenigen Systeme priorisieren, die für zentrale Geschäftsprozesse unverzichtbar sind.
Ein Produktionsunternehmen könnte beispielsweise feststellen, dass Identitätsdienste, ERP-System und Produktionsanwendungen zuerst benötigt werden, während andere interne Anwendungen vorübergehend ausfallen können.
Die grundlegende Reihenfolge lautet deshalb:
Angriff eindämmen → Ausmaß verstehen → kritische Systeme priorisieren → sicher wiederherstellen.
Erst wenn ein belastbares Lagebild vorhanden ist, lässt sich auch fundierter beurteilen, ob eine Lösegeldforderung überhaupt Einfluss auf die Wiederherstellungsstrategie haben sollte.
Je besser Backups, Notfallprozesse und Incident Response vorbereitet sind, desto mehr Möglichkeiten besitzt ein Unternehmen, den Geschäftsbetrieb ohne Abhängigkeit von den Angreifern wiederherzustellen.
Die wichtigsten Sofortmaßnahmen
Nach der Entdeckung eines Ransomware-Angriffs sind vor allem die ersten Stunden entscheidend. Ziel ist es, die weitere Ausbreitung zu begrenzen, den tatsächlichen Umfang des Vorfalls festzustellen und gleichzeitig die Grundlage für eine sichere Wiederherstellung zu schaffen.
An erster Stelle steht die Isolation betroffener Systeme. Infizierte Rechner oder Server sollten möglichst schnell vom Netzwerk getrennt werden. Je nach Ausmaß des Angriffs kann es notwendig sein, einzelne Netzwerkbereiche vorübergehend zu isolieren.
Anschließend sollte der vorbereitete Incident-Response-Prozess aktiviert werden. Verantwortliche aus IT, Informationssicherheit und Geschäftsführung müssen informiert und bei Bedarf externe Spezialisten hinzugezogen werden.
Besonders wichtig ist, nicht sofort alle betroffenen Systeme zu löschen oder neu aufzusetzen. Logdateien und andere Spuren können dabei helfen festzustellen, wie die Angreifer eingedrungen sind, welche Konten kompromittiert wurden und ob möglicherweise Daten abgeflossen sind.
Parallel dazu sollten vorhandene Backups geschützt und überprüft werden. Dabei geht es nicht nur um die Frage, ob Sicherungen vorhanden sind, sondern ob diese vom Angriff unberührt geblieben sind und tatsächlich für eine Wiederherstellung verwendet werden können.
Die wichtigsten Sofortmaßnahmen lassen sich daher kompakt zusammenfassen:
- Betroffene Systeme und Netzwerkbereiche isolieren.
- Incident-Response-Team und Verantwortliche informieren.
- Beweise und relevante Protokolldaten sichern.
- Ausmaß des Angriffs untersuchen.
- Backups vor weiteren Zugriffen schützen und prüfen.
- Kompromittierte Benutzer- und Administratorkonten identifizieren.
- Möglichen Datenabfluss untersuchen.
- Gesetzliche und regulatorische Meldepflichten prüfen.
- Externe Spezialisten und gegebenenfalls den Cyberversicherer einbinden.
- Wiederherstellung der wichtigsten Systeme priorisieren.
Gerade unter Zeitdruck ist ein strukturierter Ablauf wichtiger als hektisches Handeln. Ein Unternehmen sollte nicht versuchen, möglichst schnell wieder zum Zustand vor dem Angriff zurückzukehren, ohne vorher zu verstehen, wie die Kompromittierung stattgefunden hat.
Sonst besteht die Gefahr, dass genau jene Schwachstelle bestehen bleibt, über die die Angreifer ursprünglich eingedrungen sind.
Entscheidungsmatrix – Ransomware-Lösegeld zahlen oder nicht?
Die Entscheidung über eine Lösegeldzahlung sollte nicht allein davon abhängen, wie hoch die Forderung ist. Stattdessen müssen technische, wirtschaftliche und rechtliche Faktoren gemeinsam bewertet werden.
Eine einfache Entscheidungsmatrix hilft dabei, die wichtigsten Fragen strukturiert zu beantworten.
Sind funktionierende und saubere Backups vorhanden?
Wenn kritische Systeme innerhalb eines akzeptablen Zeitraums aus vertrauenswürdigen Backups wiederhergestellt werden können, sinkt die Abhängigkeit von den Angreifern erheblich.
Wie lange dauert die Wiederherstellung?
Entscheidend ist nicht nur, dass Backups existieren. Unternehmen müssen wissen, wie lange es dauert, bis die wichtigsten Geschäftsprozesse tatsächlich wieder funktionieren.
Wie kritisch ist der Betriebsausfall?
Ein Ausfall einzelner interner Anwendungen ist anders zu bewerten als der vollständige Stillstand von Produktion, Logistik oder Auftragsabwicklung.
Wurden zusätzlich Daten gestohlen?
Gibt es Hinweise auf eine Datenexfiltration, muss diese unabhängig von der Verschlüsselung behandelt werden. Eine Zahlung garantiert nicht, dass die Angreifer gestohlene Informationen tatsächlich löschen.
Welche Alternativen bestehen?
Neben Backups können je nach Situation redundante Systeme, vorhandene Snapshots, ein kontrollierter Neuaufbau oder möglicherweise verfügbare Entschlüsselungswerkzeuge infrage kommen.
Welche rechtlichen Risiken bestehen?
Vor einer möglichen Zahlung müssen rechtliche und insbesondere mögliche sanktionsrechtliche Fragen fachkundig geprüft werden.
Für Verantwortliche ergibt sich daraus folgende vereinfachte Orientierung:
| Situation | Schwerpunkt |
| Saubere Backups und schnelle Wiederherstellung möglich | Wiederherstellung ohne Abhängigkeit von den Angreifern |
| Backups vorhanden, Recovery dauert jedoch lange | Business Impact und Recovery-Optionen bewerten |
| Keine nutzbaren Backups und kritischer Betriebsausfall | Optionen gemeinsam mit Incident Response, Rechtsberatung und Management bewerten |
| Hinweise auf Datendiebstahl | Datenabfluss unabhängig von der Verschlüsselung untersuchen |
| Unklare Identität der Zahlungsempfänger | Rechtliche und sanktionsrechtliche Prüfung erforderlich |
Eine solche Matrix trifft die Entscheidung nicht automatisch. Sie verhindert aber, dass sich Verantwortliche ausschließlich auf die Frage konzentrieren:
„Ist das Lösegeld niedriger als der Schaden durch den Betriebsstillstand?“
Diese Rechnung greift zu kurz. Auch nach einer Zahlung können Wiederherstellungskosten, Sicherheitsmaßnahmen, Datenabflüsse und rechtliche Risiken bestehen.
Die bessere Entscheidungsgrundlage ist daher eine Gesamtbetrachtung aller verfügbaren Handlungsoptionen.
Welche Alternativen gibt es zur Lösegeldzahlung?
Die wichtigste Voraussetzung dafür, nach einem Ransomware-Angriff nicht von den Angreifern abhängig zu sein, sind funktionierende Alternativen zur Lösegeldzahlung.
Im Idealfall wurden diese bereits vor dem Sicherheitsvorfall vorbereitet und getestet.
Die wichtigste Alternative ist die Wiederherstellung aus sauberen Backups. Sind geschäftskritische Daten und Systeme ausreichend gesichert, können kompromittierte Systeme bereinigt oder neu aufgebaut und anschließend wiederhergestellt werden.
Je nach Angriff können zusätzlich weitere Möglichkeiten bestehen:
Entschlüsselungswerkzeuge:
Für bestimmte bekannte Ransomware-Varianten stehen kostenlose Decryptor-Tools zur Verfügung. Deshalb sollte geprüft werden, ob die eingesetzte Ransomware identifiziert und ohne Zahlung entschlüsselt werden kann.
Neuaufbau betroffener Systeme:
Statt kompromittierte Systeme weiterzuverwenden, kann ein vollständiger Neuaufbau die sicherere Alternative darstellen. Anschließend werden Daten aus vertrauenswürdigen Sicherungen zurückgespielt.
Redundante Systeme:
Vorbereitete Ausweichsysteme oder getrennte Notfallumgebungen können dazu beitragen, besonders wichtige Geschäftsprozesse schneller wieder aufzunehmen.
Manuelle Notfallprozesse:
Bestimmte Geschäftsprozesse lassen sich möglicherweise vorübergehend manuell durchführen. Solche Verfahren können den wirtschaftlichen Schaden während der Wiederherstellung reduzieren.
Entscheidend ist jedoch, dass diese Alternativen nicht nur auf dem Papier existieren.
Ein Backup, dessen Wiederherstellung noch nie getestet wurde, bietet im Ernstfall deutlich weniger Sicherheit als ein regelmäßig überprüfter Recovery-Prozess.
Unternehmen sollten deshalb bereits vor einem Angriff wissen:
- Welche Systeme sind für den Geschäftsbetrieb unverzichtbar?
- Wie schnell müssen sie wieder verfügbar sein?
- Wie aktuell müssen die wiederhergestellten Daten sein?
- Wo befinden sich geschützte Sicherungen?
- Wer ist für die Wiederherstellung verantwortlich?
- Welche Ersatzprozesse können während eines Ausfalls genutzt werden?
Damit verändert sich auch die Ausgangslage bei einer Erpressung.
Ein Unternehmen ohne vorbereitete Alternativen fragt möglicherweise:
„Was passiert, wenn wir das Lösegeld nicht zahlen?“
Ein gut vorbereitetes Unternehmen kann dagegen fragen:
„Welcher unserer vorbereiteten Wiederherstellungswege bringt uns am schnellsten und sichersten zurück in den Betrieb?“
Genau diese Unabhängigkeit ist eines der wichtigsten Ziele einer wirksamen Ransomware-Vorsorge.
Wiederherstellung aus Backups
Funktionierende Backups gehören zu den wichtigsten Alternativen zur Lösegeldzahlung. Sind aktuelle und vertrauenswürdige Sicherungen vorhanden, können Unternehmen betroffene Systeme neu aufbauen und ihre Daten wiederherstellen, ohne für die Entschlüsselung von den Angreifern abhängig zu sein.
Allerdings reicht es nicht aus, lediglich regelmäßig Backups zu erstellen. Entscheidend ist, dass die Sicherungen vom Angriff geschützt und im Ernstfall tatsächlich nutzbar sind.
Professionelle Angreifer versuchen teilweise gezielt, auch Backup-Systeme zu kompromittieren. Erhalten sie weitreichende administrative Berechtigungen, können sie versuchen, Sicherungen zu löschen oder Wiederherstellungspunkte unbrauchbar zu machen.
Deshalb sollten Unternehmen ihre Backup-Strategie so gestalten, dass nicht sämtliche Sicherungen direkt aus der produktiven Umgebung verändert werden können. Dazu können beispielsweise getrennte Offline-Backups oder Immutable Backups gehören, die für einen definierten Zeitraum nicht verändert oder gelöscht werden können.
Eine bekannte Orientierung bietet die 3-2-1-Regel:
- mindestens drei Kopien wichtiger Daten,
- auf zwei unterschiedlichen Speichermedien,
- mindestens eine Kopie außerhalb der eigentlichen Produktivumgebung.
Entscheidend sind zusätzlich regelmäßige Wiederherstellungstests. Denn zwischen „Wir erstellen Backups“ und „Wir können unser Unternehmen aus diesen Backups wiederherstellen“ besteht ein wesentlicher Unterschied.
Dabei sollten insbesondere zwei Werte festgelegt werden:
Recovery Point Objective (RPO): Wie viel Datenverlust kann das Unternehmen maximal akzeptieren?
Recovery Time Objective (RTO): Innerhalb welcher Zeit muss ein kritisches System wieder verfügbar sein?
Nach einem Angriff muss außerdem geprüft werden, welcher Sicherungsstand tatsächlich vertrauenswürdig ist. Angreifer können sich bereits einige Zeit vor der sichtbaren Verschlüsselung im Netzwerk befunden haben. Wird ein bereits kompromittierter Zustand wiederhergestellt, können Sicherheitsprobleme erneut in die Umgebung gelangen.
Ein belastbares Backup-Konzept besteht deshalb nicht nur aus Datensicherung, sondern aus Schutz, regelmäßigen Tests, klaren Wiederherstellungsprioritäten und dokumentierten Recovery-Prozessen.
Entschlüsselung ohne Zahlung prüfen
Bevor Unternehmen überhaupt erwägen, Ransomware-Lösegeld zu zahlen, sollte geprüft werden, ob eine Entschlüsselung ohne Unterstützung der Angreifer möglich ist.
Für bestimmte Ransomware-Familien existieren kostenlose Entschlüsselungswerkzeuge. Eine bekannte Anlaufstelle ist das internationale Projekt No More Ransom, das Informationen und Decryptor-Tools für verschiedene bekannte Ransomware-Varianten bereitstellt.
Ob eine solche Lösung verfügbar ist, hängt von der konkreten Schadsoftware und ihrer Version ab. Deshalb muss zunächst möglichst genau festgestellt werden, welche Ransomware für den Angriff verantwortlich ist.
Hinweise darauf können beispielsweise die Lösegeldforderung, veränderte Dateiendungen oder technische Merkmale der Schadsoftware liefern.
Die Analyse sollte möglichst durch erfahrene Incident-Response- oder IT-Forensik-Spezialisten erfolgen. Von unbekannten Entschlüsselungsprogrammen aus nicht vertrauenswürdigen Quellen ist dagegen abzuraten.
Steht ein geeigneter Decryptor zur Verfügung, sollte dieser zunächst in einer kontrollierten Umgebung getestet werden. So lässt sich feststellen, ob Dateien tatsächlich vollständig und fehlerfrei wiederhergestellt werden können.
Wichtig bleibt jedoch:
Eine erfolgreiche Entschlüsselung beseitigt nicht automatisch die Ursache des Ransomware-Angriffs.
Ist ein Angreifer beispielsweise über gestohlene Zugangsdaten oder eine ungepatchte Schwachstelle eingedrungen, muss dieses Problem unabhängig von der Entschlüsselung behoben werden.
Ein kostenloser Decryptor kann daher ein wertvolles Werkzeug für die Wiederherstellung sein – ersetzt aber weder die forensische Untersuchung noch die Bereinigung der kompromittierten Umgebung.
Systeme kontrolliert wiederherstellen
Nach der Eindämmung und Untersuchung des Angriffs beginnt die eigentliche Wiederherstellung. Gerade hier ist der Druck häufig groß: Mitarbeitende benötigen ihre Anwendungen, Kunden warten auf Leistungen und jeder zusätzliche Ausfalltag verursacht Kosten.
Trotzdem sollten Systeme nicht vorschnell wieder produktiv geschaltet werden.
Ein entschlüsselter Server ist nicht automatisch ein sicherer Server. Je nach Ausmaß der Kompromittierung kann es sinnvoller sein, betroffene Systeme vollständig neu aufzubauen und anschließend ausschließlich geprüfte Daten wiederherzustellen.
Die Reihenfolge sollte sich dabei an der geschäftlichen Bedeutung der Systeme orientieren.
Zuerst werden grundlegende und besonders kritische Dienste wiederhergestellt. Anschließend folgen zentrale Geschäftsanwendungen und erst danach weniger kritische Systeme.
Ein kontrollierter Wiederanlauf kann beispielsweise folgendermaßen aussehen:
- vertrauenswürdige Basisinfrastruktur bereitstellen,
- kompromittierte Zugangsdaten zurücksetzen,
- notwendige Sicherheitsupdates installieren,
- ursprüngliches Einfallstor schließen,
- Daten aus geprüften Backups wiederherstellen,
- Systeme auf verdächtige Aktivitäten kontrollieren,
- kritische Anwendungen schrittweise freigeben,
- Netzwerk und Benutzeraktivitäten verstärkt überwachen.
Besonders wichtig ist das Schließen der ursprünglichen Sicherheitslücke. War beispielsweise ein unzureichend geschützter Remote-Zugang oder eine ungepatchte Schwachstelle für den Angriff verantwortlich, muss diese Ursache vor der vollständigen Wiederaufnahme des Betriebs beseitigt werden.
Nach der technischen Wiederherstellung sollte außerdem ausgewertet werden, welche Sicherheitsmaßnahmen funktioniert haben und an welchen Stellen Verbesserungsbedarf besteht.
Das Ziel sollte nicht darin bestehen, die IT lediglich auf den Zustand vor dem Angriff zurückzusetzen.
Im Idealfall wird der Ransomware-Vorfall genutzt, um Schwachstellen dauerhaft zu beseitigen und die Infrastruktur widerstandsfähiger aufzubauen. Dadurch sinkt nicht nur das Risiko eines erneuten Angriffs – auch die Wahrscheinlichkeit, bei einem zukünftigen Vorfall überhaupt über eine Ransomware-Lösegeldzahlung nachdenken zu müssen, wird reduziert.
Wie Unternehmen verhindern, überhaupt vor der Lösegeldfrage zu stehen
Die beste Strategie gegen Ransomware besteht darin, die eigene IT so vorzubereiten, dass ein erfolgreicher Angriff nicht automatisch zu einem existenzbedrohenden Stillstand führt. Unternehmen sollten deshalb nicht nur versuchen, Ransomware vollständig zu verhindern. Ebenso wichtig ist die Fähigkeit, einen Angriff frühzeitig zu erkennen, seine Ausbreitung zu begrenzen und kritische Systeme schnell wiederherzustellen.
Dafür müssen mehrere Sicherheitsmaßnahmen zusammenspielen.
Multi-Faktor-Authentifizierung (MFA) erschwert beispielsweise den Missbrauch gestohlener Zugangsdaten. Sie sollte insbesondere bei administrativen Konten, Cloud-Diensten und extern erreichbaren Zugängen eingesetzt werden.
Ein konsequentes Patch- und Schwachstellenmanagement reduziert dagegen die Gefahr, dass bekannte Sicherheitslücken als Einfallstor genutzt werden. Besonders Systeme, die aus dem Internet erreichbar sind, sollten entsprechend priorisiert werden.
Ebenso wichtig ist das Prinzip der minimalen Berechtigungen. Mitarbeitende und Anwendungen sollten nur auf diejenigen Ressourcen zugreifen können, die sie für ihre Aufgaben tatsächlich benötigen. Werden Zugangsdaten kompromittiert, kann dadurch der mögliche Aktionsradius eines Angreifers eingeschränkt werden.
Weitere wichtige Bausteine sind:
- Netzwerksegmentierung zur Begrenzung der Ausbreitung,
- Endpoint Detection & Response zur Erkennung verdächtiger Aktivitäten,
- Schutz privilegierter Benutzerkonten,
- zentrale Protokollierung und kontinuierliches Monitoring,
- regelmäßige Mitarbeiterschulungen gegen Phishing,
- geschützte und getestete Backups,
- klare Prozesse für Sicherheitsvorfälle.
Dabei sollte keine einzelne Maßnahme als vollständiger Ransomware-Schutz betrachtet werden.
Eine Firewall allein verhindert beispielsweise nicht, dass gestohlene Zugangsdaten missbraucht werden. Ein Backup wiederum verhindert keinen Angriff, kann aber dessen Auswirkungen erheblich reduzieren.
Entscheidend ist deshalb ein mehrschichtiges Sicherheitskonzept.
Je früher verdächtige Aktivitäten erkannt werden und je stärker kritische Bereiche voneinander getrennt sind, desto schwieriger wird es für Angreifer, einen einzelnen kompromittierten Zugang in einen unternehmensweiten Ransomware-Vorfall zu verwandeln.
Das Ziel lautet letztlich nicht, jedes denkbare Risiko vollständig auszuschließen. Unternehmen sollten vielmehr erreichen, dass ein einzelner Sicherheitsfehler nicht unmittelbar zum Ausfall der gesamten Organisation führt.
Warum ein getesteter Incident-Response-Plan entscheidend ist
Technische Sicherheitsmaßnahmen sind wichtig, reichen im Ernstfall jedoch nicht aus. Wenn ein Ransomware-Angriff entdeckt wird, müssen innerhalb kurzer Zeit zahlreiche Entscheidungen getroffen werden.
Wer isoliert die betroffenen Systeme? Wer informiert die Geschäftsführung? Wann wird ein externer Incident-Response-Dienstleister eingeschaltet? Wer prüft mögliche Meldepflichten? Und wer entscheidet über die Reihenfolge der Wiederherstellung?
Ein Incident-Response-Plan beantwortet diese Fragen bereits vor dem Angriff.
Er sollte insbesondere festlegen:
- welche Personen im Ernstfall verantwortlich sind,
- wie ein Sicherheitsvorfall intern eskaliert wird,
- welche externen Spezialisten kontaktiert werden,
- wie betroffene Systeme isoliert werden,
- welche Kommunikationswege genutzt werden,
- wie Beweise und Logdaten gesichert werden,
- welche Systeme bei der Wiederherstellung Priorität besitzen,
- wie Geschäftsführung, Datenschutz und Rechtsberatung eingebunden werden.
Wichtig ist, den Plan nicht nur zu erstellen, sondern regelmäßig zu testen.
Dafür eignen sich beispielsweise sogenannte Tabletop-Übungen. Dabei wird ein realistischer Ransomware-Vorfall simuliert, ohne tatsächlich Systeme abzuschalten.
Ein mögliches Szenario könnte lauten:
Montagmorgen, 8:15 Uhr. Mehrere Mitarbeitende können keine Dateien mehr öffnen. Auf einem Fileserver erscheint eine Lösegeldforderung. Gleichzeitig meldet das Monitoring ungewöhnliche Aktivitäten eines Administratorkontos.
Die Verantwortlichen müssen nun anhand ihres bestehenden Notfallplans entscheiden, was als Nächstes passiert.
Solche Übungen decken häufig organisatorische Schwachstellen auf, bevor ein echter Angriff stattfindet. Vielleicht sind wichtige Telefonnummern veraltet, Zuständigkeiten unklar oder Wiederherstellungsprioritäten wurden nie festgelegt.
Genau deshalb gehört ein getesteter Incident-Response-Plan zu den wichtigsten Vorbereitungsmaßnahmen gegen Ransomware.
Je klarer Verantwortlichkeiten und Abläufe definiert sind, desto weniger Entscheidungen müssen während einer ohnehin angespannten Krisensituation improvisiert werden.
Was kostet ein Ransomware-Angriff wirklich – neben dem Lösegeld?
Bei der finanziellen Bewertung eines Ransomware-Angriffs steht häufig zuerst die Lösegeldforderung im Mittelpunkt. Tatsächlich kann sie jedoch nur einen Teil des Gesamtschadens ausmachen.
Selbst wenn ein Unternehmen Ransomware-Lösegeld zahlt, können zahlreiche weitere Kosten entstehen.
Besonders relevant ist der Betriebsstillstand. Können Mitarbeitende nicht auf zentrale Anwendungen zugreifen oder steht die Produktion still, entstehen mit jeder Stunde zusätzliche wirtschaftliche Schäden.
Hinzu kommen Kosten für die technische Bewältigung des Angriffs. Externe Incident-Response- und Forensik-Spezialisten müssen möglicherweise kurzfristig hinzugezogen werden. Server werden neu aufgebaut, Systeme überprüft und Sicherheitsmaßnahmen angepasst.
Weitere Kosten können entstehen durch:
- Produktions- und Betriebsausfälle,
- Wiederherstellung von Daten und Systemen,
- IT-Forensik und Incident Response,
- externe IT-Spezialisten,
- Rechts- und Datenschutzberatung,
- zusätzliche Personalkosten,
- Krisenkommunikation,
- mögliche Auftrags- und Umsatzverluste,
- nachträgliche Sicherheitsmaßnahmen.
Darüber hinaus können indirekte Folgen entstehen. Können Kunden über mehrere Tage nicht beliefert werden oder werden sensible Informationen veröffentlicht, kann dies Geschäftsbeziehungen und Vertrauen beeinträchtigen.
Deshalb ist die einfache Rechnung „Lösegeldforderung gegen Kosten des Stillstands“ unzureichend.
Auch nach einer Zahlung müssen Systeme untersucht und gegebenenfalls neu aufgebaut werden. Die Ursache des Angriffs muss beseitigt und ein möglicher Datenabfluss aufgearbeitet werden.
Für eine realistische Bewertung sollten Unternehmen deshalb die Total Cost of Incident betrachten: also die Gesamtheit aller direkten und indirekten Kosten, die durch den Sicherheitsvorfall entstehen.
Genau diese Perspektive macht deutlich, warum Prävention, getestete Backups und Incident Response nicht nur Maßnahmen der IT-Sicherheit sind. Sie dienen gleichzeitig der wirtschaftlichen Resilienz des Unternehmens.
Je schneller kritische Geschäftsprozesse sicher wiederhergestellt werden können, desto geringer kann der Gesamtschaden eines Ransomware-Angriffs ausfallen – und desto weniger Einfluss besitzt die eigentliche Lösegeldforderung auf die Entscheidung des Unternehmens.
Lösegeld zahlen oder Systeme selbst wiederherstellen – was ist wirtschaftlicher?
Nach einem Ransomware-Angriff kann eine Zahlung zunächst günstiger erscheinen als ein längerer Betriebsausfall. Diese Betrachtung greift jedoch zu kurz. Unternehmen sollten nicht nur die Höhe des Lösegelds mit den Kosten der Wiederherstellung vergleichen, sondern die Gesamtkosten beider Szenarien betrachten.
Szenario A: Das Unternehmen zahlt Lösegeld
Selbst wenn die Angreifer anschließend einen funktionierenden Entschlüsselungsschlüssel liefern, entstehen weiterhin Kosten. Die kompromittierte Umgebung muss untersucht, das ursprüngliche Einfallstor identifiziert und die Sicherheit der Systeme überprüft werden.
Hinzu kommt: Ein entschlüsseltes System ist nicht automatisch wieder vertrauenswürdig. Je nach Umfang des Angriffs können Neuinstallationen oder zusätzliche Sicherheitsmaßnahmen notwendig sein.
Szenario B: Das Unternehmen zahlt nicht und stellt selbst wieder her
In diesem Fall werden kompromittierte Systeme bereinigt oder neu aufgebaut und Daten aus vertrauenswürdigen Backups wiederhergestellt. Auch dieser Weg verursacht Kosten und kann Zeit beanspruchen. Dafür bleibt das Unternehmen unabhängig von der versprochenen Unterstützung der Angreifer.
Welche Variante wirtschaftlich weniger belastend ist, hängt deshalb stark von der Ausgangssituation ab. Besonders relevant sind die Qualität der Backups, die erwartete Wiederherstellungsdauer und die Bedeutung der ausgefallenen Geschäftsprozesse.
Unternehmen sollten dabei auch langfristige Auswirkungen berücksichtigen. Eine vermeintlich schnelle Lösung ist wenig wert, wenn anschließend weiterhin Sicherheitslücken bestehen oder Systeme erneut kompromittiert werden.
Die wirtschaftlich beste Lösung ist deshalb nicht zwangsläufig die mit den niedrigsten unmittelbaren Kosten, sondern diejenige, mit der sich ein sicherer und nachhaltiger Geschäftsbetrieb am zuverlässigsten wiederherstellen lässt.
Nach dem Ransomware-Angriff: Die ersten 24 Stunden, 7 Tage und 30 Tage
Ein Ransomware-Vorfall endet nicht, sobald verschlüsselte Dateien wieder verfügbar sind. Unternehmen müssen den Angriff zunächst eindämmen, anschließend den Geschäftsbetrieb kontrolliert wiederherstellen und danach die Ursachen dauerhaft beseitigen.
Eine Orientierung anhand der ersten 24 Stunden, 7 Tage und 30 Tage hilft dabei, diese Aufgaben zu strukturieren.
Dabei handelt es sich nicht um starre Fristen. Je nach Größe des Unternehmens und Ausmaß des Angriffs können einzelne Schritte früher oder später erfolgen.
Die ersten 24 Stunden – Schaden begrenzen
In den ersten Stunden steht die Eindämmung des Angriffs im Mittelpunkt. Betroffene Systeme müssen identifiziert und isoliert werden, damit sich die Ransomware möglichst nicht weiter im Netzwerk ausbreiten kann.
Gleichzeitig sollte das Incident-Response-Team aktiviert und ein erstes Lagebild erstellt werden.
Zu den wichtigsten Aufgaben gehören:
- betroffene Systeme und Netzwerkbereiche isolieren,
- Incident-Response-Prozess aktivieren,
- relevante Logs und Beweise sichern,
- Umfang des Angriffs untersuchen,
- Backups schützen und überprüfen,
- kompromittierte Benutzerkonten identifizieren,
- Hinweise auf Datenabfluss untersuchen,
- Geschäftsführung und relevante Verantwortliche informieren,
- Cyberversicherer und externe Spezialisten einbeziehen,
- mögliche Meldepflichten prüfen.
Besonders wichtig ist eine klare Priorisierung. Nicht jede technische Störung muss gleichzeitig gelöst werden. Zunächst geht es darum, die weitere Ausbreitung zu stoppen und herauszufinden, welche Systeme tatsächlich betroffen sind.
Parallel sollte geprüft werden, welche Geschäftsprozesse noch funktionieren und welche unmittelbar wiederhergestellt werden müssen.
Auch die Kommunikation sollte geregelt werden. Mitarbeitende benötigen klare Informationen darüber, welche Systeme sie verwenden dürfen und welche möglicherweise nicht genutzt werden sollen.
Am Ende der ersten Phase sollte das Unternehmen möglichst drei zentrale Fragen beantworten können:
Was ist passiert? Welche Bereiche sind betroffen? Welche sicheren Wiederherstellungsoptionen stehen zur Verfügung?
Je zuverlässiger diese Fragen beantwortet werden können, desto fundierter lassen sich die nächsten Schritte planen.
Die ersten 7 Tage – Geschäftsbetrieb wiederherstellen
Nach der akuten Eindämmung beginnt die kontrollierte Wiederherstellung. In den ersten Tagen sollte der Fokus darauf liegen, die wichtigsten Geschäftsprozesse wieder verfügbar zu machen, ohne dabei kompromittierte Systeme oder Sicherheitslücken zurück in die produktive Umgebung zu übernehmen.
Welche Systeme zuerst wiederhergestellt werden, sollte sich an ihrer Bedeutung für den Geschäftsbetrieb orientieren. Besonders kritische Anwendungen und grundlegende IT-Dienste erhalten Vorrang, während weniger wichtige Systeme später folgen können.
Zu den zentralen Aufgaben der ersten Tage gehören:
- geschäftskritische Systeme priorisiert wiederherstellen,
- kompromittierte Zugangsdaten zurücksetzen,
- betroffene Systeme bereinigen oder neu aufbauen,
- das ursprüngliche Einfallstor identifizieren und schließen,
- Backups vor der Wiederherstellung überprüfen,
- Netzwerk- und Benutzeraktivitäten verstärkt überwachen,
- mögliche Datenabflüsse weiter untersuchen.
Dabei sollte die Geschwindigkeit nicht zulasten der Sicherheit gehen. Ein Server sollte beispielsweise nicht allein deshalb wieder produktiv geschaltet werden, weil die darauf gespeicherten Dateien wieder verfügbar sind.
Gleichzeitig müssen technische und geschäftliche Wiederherstellung koordiniert werden. Es bringt wenig, einzelne Server erfolgreich wiederherzustellen, wenn die für einen Geschäftsprozess benötigten Anwendungen, Schnittstellen oder Identitätsdienste weiterhin fehlen.
Deshalb sollte regelmäßig geprüft werden: Welche Geschäftsprozesse funktionieren bereits wieder und welche technischen Abhängigkeiten verhindern noch den Normalbetrieb?
Auch Mitarbeitende benötigen während dieser Phase klare Informationen darüber, welche Systeme wieder freigegeben wurden und welche weiterhin nicht genutzt werden dürfen.
Das Ziel der ersten Tage ist somit nicht zwingend die vollständige Rückkehr zum Normalzustand. Wichtiger ist ein kontrollierter, sicherer und priorisierter Wiederanlauf der zentralen Geschäftsprozesse.
Die ersten 30 Tage – einen zweiten Angriff verhindern
Nachdem die wichtigsten Systeme wieder funktionieren, beginnt die nachhaltige Aufarbeitung des Vorfalls. Jetzt sollte untersucht werden, warum der Angriff erfolgreich war und welche Maßnahmen notwendig sind, um eine Wiederholung zu verhindern.
Im Mittelpunkt steht zunächst die Root-Cause-Analyse. Dabei wird das ursprüngliche Einfallstor möglichst genau bestimmt.
Möglicherweise wurde eine bekannte Schwachstelle ausgenutzt, ein Benutzerkonto kompromittiert oder ein unzureichend geschützter Remote-Zugang verwendet. Anschließend muss geprüft werden, warum vorhandene Sicherheitsmaßnahmen den Angriff nicht rechtzeitig verhindert oder erkannt haben.
Aus diesen Erkenntnissen sollten konkrete Verbesserungen entstehen. Dazu können gehören:
- erkannte Schwachstellen schließen,
- Multi-Faktor-Authentifizierung erweitern,
- privilegierte Benutzerkonten besser absichern,
- Netzwerksegmentierung verbessern,
- Monitoring und Angriffserkennung optimieren,
- Backup-Strategie überprüfen,
- Wiederherstellungsprozesse testen,
- Sicherheitsrichtlinien anpassen,
- Mitarbeitende gezielt sensibilisieren.
Dabei sollte nicht versucht werden, nach einem Ransomware-Angriff wahllos möglichst viele neue Sicherheitsprodukte einzuführen. Sinnvoller ist es, die tatsächlichen Schwachstellen des Vorfalls zu identifizieren und Maßnahmen nach Risiko und Bedeutung zu priorisieren.
Ein weiterer wichtiger Punkt ist die Aktualisierung des Incident-Response-Plans. Während eines realen Angriffs zeigt sich sehr deutlich, welche Prozesse funktionieren und an welchen Stellen Unsicherheiten entstehen.
Vielleicht waren Ansprechpartner nicht erreichbar, Wiederherstellungszeiten wurden falsch eingeschätzt oder wichtige Informationen waren während des IT-Ausfalls nicht verfügbar.
Solche Erkenntnisse sollten dokumentiert und in die zukünftige Notfallplanung übernommen werden.
Lessons Learned – welche Fragen Unternehmen nach dem Angriff beantworten sollten
Ein abgeschlossener Ransomware-Vorfall bietet die Möglichkeit, die eigene Sicherheitsstrategie anhand eines realen Ereignisses zu überprüfen. Eine strukturierte Lessons-Learned-Analyse sollte deshalb fester Bestandteil der Nachbereitung sein.
Dabei geht es nicht darum, einzelne Mitarbeitende für Fehler verantwortlich zu machen. Entscheidend ist vielmehr, technische und organisatorische Schwachstellen zu erkennen und daraus konkrete Verbesserungen abzuleiten.
Unternehmen sollten insbesondere folgende Fragen beantworten:
Wie konnten die Angreifer eindringen?
Das ursprüngliche Einfallstor muss möglichst genau identifiziert werden.
Wie lange konnten sich die Angreifer unentdeckt im Netzwerk bewegen?
Dadurch lässt sich beurteilen, ob Monitoring und Angriffserkennung verbessert werden müssen.
Warum konnte sich der Angriff ausbreiten?
Hier spielen beispielsweise Berechtigungen, Netzwerksegmentierung und der Schutz privilegierter Konten eine Rolle.
Welche Daten waren betroffen?
Neben verschlüsselten Daten sollte geklärt werden, ob Informationen kopiert oder anderweitig kompromittiert wurden.
Haben unsere Backups funktioniert?
Nicht nur die Existenz der Sicherungen, sondern auch Geschwindigkeit und Zuverlässigkeit der Wiederherstellung sollten bewertet werden.
Hat der Incident-Response-Plan funktioniert?
Waren Zuständigkeiten klar? Wurden die richtigen Personen rechtzeitig informiert? Waren externe Ansprechpartner erreichbar?
Welche Entscheidungen haben zu viel Zeit gekostet?
Gerade diese Frage kann helfen, den Ablauf beim nächsten Sicherheitsvorfall deutlich zu verbessern.
Am Ende sollte aus der Analyse ein konkreter Maßnahmenplan entstehen. Darin werden Verbesserungen priorisiert, Verantwortlichkeiten festgelegt und realistische Termine für die Umsetzung definiert.
Damit wird aus einem Ransomware-Vorfall zumindest eine wichtige Erkenntnis gewonnen: Das Unternehmen weiß anschließend deutlich genauer, wo seine tatsächlichen Schwachstellen liegen.
Das langfristige Ziel besteht darin, die Widerstandsfähigkeit so weit zu erhöhen, dass ein zukünftiger Angriff schneller erkannt, stärker eingegrenzt und zuverlässiger bewältigt werden kann – und die Frage, ob das Unternehmen Ransomware-Lösegeld zahlen muss, möglichst gar nicht erst entsteht.
Häufig gestellte Fragen zu Ransomware und Lösegeld
Rund um Ransomware und mögliche Lösegeldzahlungen entstehen im Ernstfall viele Fragen. Unternehmen müssen häufig innerhalb kurzer Zeit Entscheidungen treffen, obwohl das tatsächliche Ausmaß des Angriffs noch nicht vollständig bekannt ist. Dabei geht es nicht nur um die Frage einer möglichen Zahlung, sondern auch um die Wiederherstellung von Daten, rechtliche Aspekte, Cyberversicherungen und das richtige Vorgehen unmittelbar nach einem Angriff.
Sollte man bei Ransomware Lösegeld zahlen?
Grundsätzlich wird davon abgeraten, Ransomware-Lösegeld zu zahlen. Eine Zahlung garantiert weder die vollständige Wiederherstellung verschlüsselter Daten noch die Löschung zuvor gestohlener Informationen. Unternehmen sollten zunächst prüfen, welche sicheren Wiederherstellungsoptionen vorhanden sind und Incident-Response-, Rechts- und gegebenenfalls Versicherungsexperten einbeziehen.
Bekommt man nach einer Lösegeldzahlung seine Daten zurück?
Nicht zwangsläufig. Angreifer können zwar einen Entschlüsselungsschlüssel bereitstellen, dennoch können einzelne Dateien beschädigt sein oder die Wiederherstellung lange dauern. Außerdem beseitigt eine erfolgreiche Entschlüsselung nicht automatisch die ursprüngliche Sicherheitslücke oder weitere Spuren des Angriffs.
Ist die Zahlung von Ransomware-Lösegeld in Deutschland erlaubt?
Das lässt sich nicht pauschal beantworten. Insbesondere mögliche Sanktionsvorschriften und die Identität des Zahlungsempfängers müssen berücksichtigt werden. Unternehmen sollten eine mögliche Zahlung deshalb vorab rechtlich prüfen lassen und gegebenenfalls zuständige Behörden einbeziehen.
Wie hoch ist das Lösegeld bei Ransomware?
Die Höhe variiert erheblich. Sie hängt unter anderem von Unternehmensgröße, Branche, Zahlungsfähigkeit und Bedeutung der betroffenen Systeme ab. Forderungen können von vergleichsweise kleinen Beträgen bis in den Millionenbereich reichen.
Zahlt eine Cyberversicherung das Ransomware-Lösegeld?
Das hängt von der jeweiligen Versicherungspolice ab. Cyberversicherungen können unterschiedliche Leistungen wie Incident Response, IT-Forensik, Betriebsunterbrechung oder Wiederherstellung abdecken. Unternehmen sollten ihren Versicherer frühzeitig informieren und die konkreten Vertragsbedingungen prüfen.
Was passiert, wenn ein Unternehmen das Lösegeld nicht zahlt?
Dann muss die Wiederherstellung über eigene Möglichkeiten erfolgen, beispielsweise über saubere Backups, einen Neuaufbau betroffener Systeme oder verfügbare Entschlüsselungswerkzeuge. Haben Angreifer zusätzlich Daten gestohlen, kann außerdem die Veröffentlichung dieser Informationen angedroht werden.
Kann man Ransomware ohne Zahlung entschlüsseln?
In bestimmten Fällen ja. Für einige Ransomware-Varianten existieren kostenlose Decryptor-Tools. Deshalb sollte die verwendete Schadsoftware zunächst identifiziert und geprüft werden, ob ein seriöses Entschlüsselungswerkzeug verfügbar ist.
Wen sollte ein Unternehmen nach einem Ransomware-Angriff kontaktieren?
Je nach Schwere des Vorfalls sollten interne IT- und Sicherheitsverantwortliche, Geschäftsführung, Incident-Response- und Forensik-Spezialisten, Datenschutzverantwortliche, Rechtsberatung und gegebenenfalls der Cyberversicherer eingebunden werden. Zusätzlich sollte geprüft werden, welche Behörden informiert werden müssen.
Fazit: Ransomware-Lösegeld zahlen sollte die letzte Option sein
Ein Ransomware-Angriff bringt Unternehmen in eine schwierige Situation. Wichtige Systeme können ausfallen, Daten sind möglicherweise nicht mehr verfügbar und gleichzeitig steigt mit jeder Stunde Betriebsstillstand der wirtschaftliche Druck. Die Forderung der Angreifer zu bezahlen, kann dann wie der schnellste Weg zurück zum Normalbetrieb erscheinen.
Doch eine Ransomware-Lösegeldzahlung bietet keine Sicherheit. Selbst nach einer Zahlung gibt es keine Garantie, dass alle Daten vollständig wiederhergestellt werden können. Wurden Informationen gestohlen, lässt sich zudem kaum überprüfen, ob die Angreifer diese tatsächlich löschen.
Unternehmen sollten eine mögliche Zahlung deshalb niemals isoliert betrachten. Entscheidend sind unter anderem die verfügbaren Backups, die Dauer der Wiederherstellung, der Umfang des Angriffs, mögliche Datenabflüsse sowie rechtliche und wirtschaftliche Risiken.
Die beste Ausgangslage haben Unternehmen, die bereits vor einem Angriff vorbereitet sind. Dazu gehören insbesondere geschützte und getestete Backups, ein funktionierender Incident-Response-Plan, klar definierte Verantwortlichkeiten und technische Maßnahmen, die eine schnelle Ausbreitung im Netzwerk erschweren.
Das zentrale Ziel einer Ransomware-Strategie sollte daher nicht sein, bereits im Voraus festzulegen, ob im Ernstfall gezahlt wird. Viel wichtiger ist es, möglichst viele eigene Handlungsoptionen zu schaffen.
Je schneller ein Unternehmen kritische Systeme unabhängig von den Angreifern wiederherstellen kann, desto geringer ist der Druck, auf eine Lösegeldforderung einzugehen.
Möchten Sie wissen, wie gut Ihr Unternehmen auf einen Ransomware-Angriff vorbereitet ist? Eine strukturierte Überprüfung von Backup, IT-Sicherheit und Incident Response kann Schwachstellen sichtbar machen, bevor ein tatsächlicher Sicherheitsvorfall den Geschäftsbetrieb beeinträchtigt.
