Lösegeld zahlen oder nicht? Eine Geschäftsentscheidung, keine IT-Entscheidung
Das Erpresserschreiben setzt eine Frist, die Geschäftsleitung soll sofort entscheiden. Genau das ist der Fehler. Diese Seite ordnet die Argumente, benennt die Risiken einer Zahlung und beschreibt, wie die Entscheidung strukturiert getroffen wird: mit Forensik, Versicherer, Anwalt und Strafverfolgung.
- Keine Garantie auf funktionierende Schlüssel oder Löschung der Daten
- BSI rät von Lösegeldzahlungen ab
- 4 Stimmen Geschäftsleitung, Versicherer, Anwalt, Strafverfolgung
- 72 h DSGVO-Frist läuft unabhängig von der Zahlung weiter
Warum die Zahlung selten das löst, was sie verspricht
Das BSI rät von Lösegeldzahlungen ab. Die Gründe sind nicht moralisch, sondern praktisch: Die Zahlung kauft weniger, als sie kostet.
- Technik
Entschlüsselung ist unsicher
Entschlüsselungswerkzeuge der Angreifer sind oft langsam, fehlerhaft und decken nicht alle Systeme ab. Große Datenbanken und virtuelle Maschinen sind besonders anfällig für Beschädigungen. Auch nach der Entschlüsselung bleibt der Zugangsweg offen; die Systeme müssen bereinigt oder neu aufgesetzt werden.
- Daten
Gestohlene Daten bleiben gestohlen
Die Zusage, kopierte Daten zu löschen, lässt sich nicht prüfen. Daten werden weiterverkauft, für spätere Erpressungen behalten oder trotz Zahlung veröffentlicht. Ihre Melde- und Informationspflichten nach der DSGVO bestehen unabhängig davon, ob Sie zahlen.
- Zukunft
Wer zahlt, bleibt Ziel
Zahlende Unternehmen gelten in der Szene als lohnend und werden erneut angegriffen oder ein zweites Mal mit denselben Daten erpresst. Jede Zahlung finanziert zudem die nächste Angriffswelle und hält das Geschäftsmodell am Leben.
Warum Unternehmen trotzdem zahlen
Es gibt Lagen, in denen die Geschäftsleitung die Zahlung ernsthaft prüft. Diese Gründe sollten benannt und geprüft werden, statt sie unter Zeitdruck als Ausweg zu nehmen.
-
Keine brauchbaren Backups
Backups fehlen, sind mitverschlüsselt oder Wochen alt. Ein Neuaufbau aus dem Nichts dauert Monate. In dieser Lage ist die Zahlung eine der wenigen Optionen, aber sie bleibt ein Glücksspiel. Prüfen Sie zuerst, ob wirklich alle Sicherungen verloren sind: Cloud-Dienste, Bandsicherungen, Dienstleister, Altbestände.
-
Stillstand kostet mehr als das Lösegeld
Wenn jeder Tag Stillstand die Existenz gefährdet, wirkt die Zahlung wie die günstigere Wahl. Rechnen Sie ehrlich: Entschlüsselung dauert ebenfalls Tage bis Wochen, und der Wiederaufbau kommt hinzu. Der Schadenskalkulator auf jamorie.eu hilft, den Stillstand in Zahlen zu fassen.
-
Drohung mit Veröffentlichung
Angreifer drohen, Kundendaten, Verträge oder Personaldaten zu veröffentlichen. Die Zahlung verhindert das nicht zuverlässig. Wirksamer ist, Betroffene selbst und rechtzeitig zu informieren, damit die Veröffentlichung ihre Wirkung verliert.
-
Druck von Kunden oder Gesellschaftern
Wer draußen steht, erwartet schnelle Lösungen. Erklären Sie, warum die Entscheidung Zeit braucht: Backups prüfen, Datenabfluss bewerten, rechtliche Fragen klären. Ein dokumentierter Entscheidungsprozess schützt die Geschäftsleitung besser als ein schneller Beschluss.
Welche Fragen vor einer Zahlung geklärt sein müssen
Die folgenden Punkte sind keine Rechtsauskunft, sondern die Liste der Fragen, die Ihr Anwalt und Ihr Versicherer beantworten müssen, bevor die Geschäftsleitung entscheidet.
| Frage | Wer sie klärt | Warum sie zählt |
|---|---|---|
| Stehen die Empfänger auf Sanktionslisten? | Anwalt, ggf. mit Verhandlern | Zahlungen an gelistete Personen oder Gruppen können selbst dann verboten sein, wenn das Unternehmen Opfer ist. |
| Berührt die Zahlung Geldwäsche- oder Strafrecht? | Anwalt | Die Zahlung an eine kriminelle Gruppe kann rechtliche Folgen für das Unternehmen und die handelnden Personen haben. |
| Deckt die Police Erpressungszahlungen? | Versicherer, Makler | Viele Policen zahlen nur mit vorheriger Zustimmung und über benannte Dienstleister. Eigenmächtige Zahlung gefährdet den Anspruch. |
| Welche Pflichten hat die Geschäftsleitung? | Anwalt | Eine Zahlung ohne Prüfung der Alternativen kann als Sorgfaltspflichtverletzung bewertet werden, ebenso ein Verzicht ohne Begründung. Dokumentation ist der Schutz. |
| Was erwartet die Strafverfolgung? | ZAC des Landeskriminalamts | Die Anzeige ist keine Pflicht, aber oft Bedingung der Versicherung. Die ZAC kennt die Angreifergruppe und hilft bei der Einschätzung. |
| Laufen Meldefristen weiter? | Datenschutzbeauftragter, Krisenstab | Ja. DSGVO 72 Stunden und NIS2 24 Stunden laufen ab Kenntnis, unabhängig von Verhandlungen oder Zahlung. |
So trifft die Geschäftsleitung die Entscheidung
Fünf Schritte, die auch unter Druck in ein bis zwei Tagen machbar sind. Das Ergebnis ist ein dokumentierter Beschluss, für den Sie später einstehen können.
-
Lagebild statt Bauchgefühl
Was ist verschlüsselt, was ist abgeflossen, was läuft noch? Sind Backups vorhanden, sauber und wie alt? Wie lange dauert der Wiederaufbau aus Backups, wie lange ohne? Die Forensik liefert die Fakten, nicht die Erpresser.
- Erpresserschreiben sichern, Angreifergruppe identifizieren
- Backups prüfen, aber nicht zurückspielen
- Wiederaufbauzeit realistisch schätzen
-
Beteiligte an einen Tisch
Geschäftsleitung, Forensik, Anwalt, Versicherer und die Zentrale Ansprechstelle Cybercrime. Jeder bringt eine Perspektive: Technik, Recht, Deckung, Erfahrung mit der Gruppe. Eine Person führt, eine protokolliert.
-
Optionen nebeneinanderlegen
Wiederherstellung aus Backups, Neuaufbau, Zahlung, Kombination. Für jede Option: Dauer, Kosten, Risiken, offene rechtliche Fragen. Die Zahlung ist eine Option unter mehreren, nicht der Ausgangspunkt.
-
Entscheiden und begründen
Die Geschäftsleitung beschließt und hält die Begründung schriftlich fest: Lage, geprüfte Optionen, eingeholte Stellungnahmen, Ergebnis. Dieses Dokument ist später Grundlage gegenüber Versicherer, Gesellschaftern und Prüfern.
-
Unabhängig vom Ergebnis: weitermachen
Meldungen absetzen, Betroffene informieren, Zugangsweg schließen, Wiederanlauf planen. Eine Zahlung beendet den Vorfall nicht. Auch danach gilt der Weg aus den ersten 24 Stunden.
Was dann mindestens gelten muss
Wenn die Geschäftsleitung nach Prüfung zahlt, dann kontrolliert und nicht allein. Diese Punkte begrenzen den Schaden einer Entscheidung, die ohnehin ein Risiko bleibt.
- Kontakt und Verhandlung führen erfahrene Verhandler, nicht die eigene IT oder die Geschäftsleitung persönlich.
- Versicherer und Anwalt haben der Zahlung vorher schriftlich zugestimmt; die Sanktionsprüfung ist dokumentiert.
- Vor der Zahlung wird eine Testentschlüsselung mit einzelnen Dateien verlangt und geprüft.
- Das Entschlüsselungswerkzeug läuft nur auf isolierten Systemen und wird von der Forensik geprüft, bevor es breit eingesetzt wird.
- Forensik, Bereinigung und Schließen des Zugangswegs laufen weiter, als wäre nicht gezahlt worden.
- Alle Melde- und Informationspflichten werden erfüllt; die Zahlung ändert daran nichts.
- Der gesamte Vorgang wird protokolliert: wer, wann, was entschieden und ausgeführt hat.
Was den Stillstand kostet: Der Schadenskalkulator auf jamorie.eu rechnet Ausfallkosten pro Tag vor. Diese Zahl gehört in die Entscheidungsvorlage, neben Wiederaufbauzeit und Lösegeldforderung.
Die anderen Fragen des Vorfalls
Die Lösegeldfrage hängt an zwei anderen: Was ist abgeflossen, und was sagt die Forensik? Beide Seiten gehören zu dieser Entscheidung.
- Übersicht
Die ersten 24 Stunden
Eindämmen, Lagebild, Meldungen, Wiederanlaufplan: die Reihenfolge für den Vorfall auf der Startseite.
- Meldepflichten
Datenabfluss melden
DSGVO-Fristen, Betroffene identifizieren, Struktur einer Meldung, Dokumentationspflicht und NIS2.
- Forensik
Forensik und Beweissicherung
Was Forensik leistet, warum Systeme nicht einfach neu aufgesetzt werden und wann externe Hilfe nötig ist.
Zur Lösegeldfrage
Bekommen wir nach der Zahlung unsere Daten zurück?
Nicht sicher. Sie erhalten im besten Fall ein Entschlüsselungswerkzeug, das oft langsam ist, einzelne Dateien beschädigt und auf manchen Systemen gar nicht funktioniert. Die Systeme müssen danach trotzdem bereinigt oder neu aufgesetzt werden, weil der Zugangsweg der Angreifer sonst offen bleibt. Eine Zahlung ersetzt den Wiederaufbau nicht, sie verkürzt ihn höchstens.
Löschen die Angreifer die gestohlenen Daten, wenn wir zahlen?
Darauf gibt es keine belastbare Zusage. Sie erhalten eine Behauptung von Kriminellen, die Sie nicht prüfen können. Gestohlene Daten werden erfahrungsgemäß weiterverkauft, für spätere Erpressungen aufbewahrt oder trotz Zahlung veröffentlicht. Behandeln Sie abgeflossene Daten als dauerhaft kompromittiert, unabhängig von der Zahlung.
Ist eine Lösegeldzahlung verboten?
Ein pauschales Verbot gibt es in Deutschland nicht, aber die Zahlung kann rechtlich problematisch sein, etwa wenn die Empfänger auf Sanktionslisten stehen oder Geldwäscheregeln berührt werden. Ob und in welcher Form das für Ihren Fall gilt, klärt ein Anwalt mit Erfahrung in Cybervorfällen. Diese Seite ersetzt keine Rechtsberatung.
Übernimmt unsere Cyberversicherung das Lösegeld?
Manche Policen enthalten eine Erpressungsdeckung, viele nur unter Bedingungen: vorherige Zustimmung des Versicherers, Einsatz der vom Versicherer benannten Verhandler und Forensiker, Strafanzeige. Wer ohne Abstimmung zahlt, gefährdet den Anspruch. Lesen Sie die Police oder lassen Sie sie lesen, bevor Sie handeln.
Sollen wir mit den Erpressern Kontakt aufnehmen?
Nicht selbst und nicht ohne Vorbereitung. Wenn Kontakt aufgenommen wird, dann durch erfahrene Verhandler, abgestimmt mit Versicherer, Anwalt und Forensik. Der Kontakt kann Zeit verschaffen und Informationen liefern, etwa eine Liste der gestohlenen Daten. Er kann aber auch Fristen verkürzen und Druck erhöhen. Das ist eine Entscheidung des Krisenstabs.
Tobias Mogk
Sie stehen vor dieser Entscheidung?
Hinterlassen Sie Ihre Kontaktdaten, wir rufen zurück. Wir strukturieren die Entscheidung mit Ihnen: Lagebild, Optionen, Beteiligte, Dokumentation. Die Entscheidung selbst bleibt bei Ihrer Geschäftsleitung.
- Einordnung: Backups, Datenabfluss, Wiederaufbauzeit
- Welche Stellungnahmen vor dem Beschluss fehlen
- Wie der Beschluss dokumentiert wird
Danke, wir rufen Sie an.
Sie hören innerhalb eines Werktags von uns, meist deutlich schneller. Wenn Sie lieber gleich einen festen Termin wählen möchten, geht das direkt im Kalender auf jamorie.eu.
Termin selbst wählen