Lösegeld nach Cyberangriff zahlen? Was Unternehmen wissen müssen

Ein erfolgreicher Ransomware-Angriff endet meistens gleich: verschlüsselte Systeme, ein Countdown und eine Lösegeldforderung auf schwarzem Bildschirm. Die Frage, die dann im Raum steht, klingt einfach, ist es aber nicht: Lösegeld zahlen oder nicht?

Wer sich mit dieser Entscheidung erst im Ernstfall auseinandersetzt, hat schon verloren. Die Antwort sollte feststehen, bevor der Angriff passiert.

Zwei Arten von Lösegeldforderungen

Angreifer arbeiten heute meist mit zwei Hebeln.

Warum eine Lösegeldzahlung selten Sinn ergibt

Nur in einem Fall kommt Zahlen überhaupt infrage: wenn keinerlei Chance besteht, Daten auf anderem Weg zurückzubekommen, und der Fortbestand des Unternehmens akut gefährdet ist. In allen anderen Fällen ist Zahlen der falsche Weg.

Ein Schlüssel klingt nach einer schnellen Lösung, funktioniert in der Praxis aber oft nicht zuverlässig. Bezahlte Schlüssel funktionieren teils nicht, oder die Entschlüsselung dauert so lange, dass eine Wiederherstellung aus dem Backup deutlich schneller wäre. Selbst wenn die Entschlüsselung klappt, sind Systeme damit nicht automatisch wieder einsatzbereit: Datenbanken müssen auf Konsistenz geprüft, Zugänge und Passwörter zurückgesetzt werden, weil Angreifer für die Verschlüsselung meist Administratorkonten nutzen.

Wie unwahrscheinlich eine vollständige Wiederherstellung tatsächlich ist, zeigt eine Untersuchung von Fortinet aus dem Jahr 2024: Nur 4 % der Organisationen, die Lösegeld zahlen, bekommen ihre Daten vollständig zurück.

Auch das Versprechen, gestohlene Daten nach Zahlung zu löschen, hält selten. Organisierte Kriminelle folgen keinem Ehrenkodex. Daten werden trotzdem im Darknet weiterverkauft oder gezielt Wettbewerbern angeboten. Eine Zahlung kauft also weder Sicherheit noch Kontrolle zurück, sie macht ein Unternehmen im Gegenteil zu einem bevorzugten Ziel für weitere Forderungen: „Du bist ein gut zahlender Kunde für die.“ Wer einmal zahlt, gilt für Angreifer als verlässliches Ziel für die nächste Forderung.

Rechtliches Risiko bei Lösegeldzahlungen

Viele Angreifergruppen operieren aus Ländern wie Russland oder Nordkorea, die international sanktioniert sind. Wer dorthin Zahlungen leistet, kann sich damit selbst strafbar machen. Ein Aspekt, der in der akuten Drucksituation häufig komplett untergeht, aber vor jeder Entscheidung von einem im Strafrecht erfahrenen Anwalt geprüft werden sollte. Ebenso wichtig: eine Anzeige, die den Fall dokumentiert und dazu beiträgt, dass belastbarere Statistiken über Angreifergruppen entstehen.

Backup und Recovery nach einem Ransomware-Angriff

Die belastbarste Antwort auf eine Lösegeldforderung ist die, die längst vor dem Angriff feststeht: ein getestetes, funktionierendes Backup und ein Notfallplan mit klaren Prioritäten, welche Systeme zuerst wiederhergestellt werden müssen. Wer das vorbereitet und durchgetestet hat, kommt in einem angemessenen Zeitraum wieder in den produktiven Betrieb.

Kein System darf ungeprüft zurück ins Produktivnetz. Angreifer sind teils wochenlang unbemerkt in einer Umgebung aktiv. Deshalb werden Systeme zunächst aus dem Backup in ein isoliertes Netz eingespielt und automatisiert sowie manuell auf Spuren eines Angriffs geprüft, bevor sie schrittweise zurück in die Produktivumgebung kommen. Nur so lässt sich verhindern, dass ein wiederhergestelltes System sofort erneut verschlüsselt wird. Der Anspruch dabei: Die Umgebung muss nach der Wiederherstellung sicherer sein, als sie es vor dem Angriff war, unter anderem, weil Systeme ohnehin offline sind und sich in dieser Zeit Patches nachziehen lassen.

Wie alt ein Backup sein darf, lässt sich nicht pauschal beantworten. Das hängt vom Digitalisierungsgrad und den Geschäftsprozessen ab: Manche Unternehmen kommen mit wochen- oder sogar monatealten Ständen zurecht, andere geraten bei Ausfällen von 48 Stunden im Hochtransaktionsbereich schon in echte Probleme.

Ohne Backup: individuelle Lösungen sind möglich

Fehlt ein funktionierendes Backup, heißt das nicht automatisch, dass gezahlt werden muss. Läuft die Kernwertschöpfung eines Unternehmens, etwa Fertigung oder Logistik, weitgehend ohne IT, lassen sich betroffene Randsysteme oft aus anderen Quellen rekonstruieren, etwa aus Exporten, Exceltabellen oder Zulieferdaten. Ob eine Zahlung überhaupt notwendig ist, hängt also stark von Organisationsgröße und Digitalisierungsgrad ab und muss im Einzelfall geprüft werden.

Lösegeldverhandlung oder Aussitzen?

Wer sich zur Zahlung entscheidet, sollte einen professionellen Broker einschalten, der Preise realistisch verhandeln kann. Von eigenmächtigem Hinhalten der Angreifer ist eher abzuraten: Wer die Kriminellen verärgert, riskiert, dass diese mit mehr Energie zurückschlagen. Sinnvoller ist es, Angreifer komplett zu ignorieren, die Internetverbindung zu kappen und konsequent den eigenen Notfallplan durchzuziehen, statt einen offenen Schlagabtausch in der eigenen Umgebung zu riskieren.

Cyberversicherung und Lösegeldzahlungen

Ein Lösegeldbaustein in der Cyberversicherung macht meist nur einen kleinen Teil der Police aus, verglichen etwa mit der Betriebsunterbrechung. Er kann im Ernstfall trotzdem hilfreich sein, verschiebt aber auch die Entscheidung eher in Richtung Zahlung. Das eigentliche Problem, fehlende Garantie auf Datenrückgabe und rechtliches Risiko, löst er nicht.

Entscheidungshilfe: Lösegeld zahlen nach einem Cyberangriff

Die Reihenfolge lässt sich so zusammenfassen: zuerst prüfen, ob ein Backup existiert, und es in dem Moment noch einmal testen, unabhängig davon, ob es vorher schon getestet wurde. Danach zwingend ein Security-Check, bevor irgendein System zurück ins Netz geht.

Erst wenn beides keine Option bietet und der Fortbestand des Unternehmens akut gefährdet ist, wird eine Zahlung zur letzten, nicht zur ersten Option, immer begleitet von juristischer Unterstützung.

Ein funktionierendes Berechtigungskonzept und eine saubere Netzwerksegmentierung entscheiden oft schon vorher, wie weit ein Angreifer überhaupt kommt.

Wer sich strukturiert auf genau diese Entscheidung vorbereiten möchte, findet ergänzend einen Leitfaden zum kostenlosen Download: secure mag – Lösegeld-Ratgeber