Hero Image

(M)eine Meinung: Lösegeldzahlungen bei Ransomware-Angriffen: ein geostrategisches Risiko

Quelle: ransomletter.github.io

Erpressungstrojaner in Form sogenannter Ransomware sind in den letzten Jahren zu einer ernsthaften und dauerhaften Bedrohung für die deutsche und europäische Wirtschaft herangewachsen. Eine aktuelle Bitkom-Studie beziffert den Schaden durch Daten-Diebstahl, Spionage und Sabotage für die deutsche Wirtschaft allein auf jährlich 223 Milliarden Euro - dies entspricht über 6% des gesamten deutschen Bruttoinlandsprodukts für 2021 (3,57 Billionen EUR). Neun von zehn deutschen Unternehmen sind mittlerweile betroffen, und auch Behörden und kritische Infrastrukturen sind nicht vor Angriffen gefeit. Für einen Großteil der Schäden sei laut Studie Ransomware verantwortlich. Auch Datensicherungen helfen den Opfern mittlerweile nur noch bedingt, denn seit einiger Zeit kopieren Verbrecherbanden Daten, bevor sie sie verschlüsseln, und drohen den Opfern dann mit der öffentlichen Preisgabe vertraulicher Daten, sollte die geforderte Lösegeldzahlung ausbleiben.

Aufgrund dieser Problematik ist die Bereitschaft von Unternehmen, Lösegeldzahlungen zu tätigen, zuletzt stark gestiegen. Laut einer aktuellen Studie des Sicherheitsdienstleisters Sophos zahlen rund 42% aller deutschen Unternehmen das geforderte Lösegeld, im Schnitt über EUR 250.000 - und dies trotz gegenteiliger Empfehlungen von BSI und BKA. Vor dem Hintergrund der enormen Kosten für die Wiederaufnahme des Betriebs ohne Lösegeldzahlung (laut Studie im Schnitt ca. 1,6 Millionen EUR) verwundert diese Entscheidung wenig. Die Zahlung von Lösegeld ist für das einzelne Unternehmen nicht nur finanziell günstiger, sie lässt sich über sogenannte Cyber-Versicherungen mittlerweile auch recht bequem im Jahresbudget einplanen. Rund 80% der von Sophos befragten Unternehmen sind gegen Ransomware-Angriffe versichert. Ein Großteil der Versicherer zahlt hierbei neben Wiederherstellungsmaßnahmen unter Umständen auch das geforderte Lösegeld, sofern sich hierdurch der Schaden für das Unternehmen minimieren lässt.

Lösegeldzahlungen sind jedoch bei Ransomware die Wurzel allen Übels: Ransomware ist seit Jahren ein stark organisiertes Verbrechen, dessen Umsätze in Deutschland die des gesamten europäischen Drogenhandels um rund das Achtfache übersteigen. Wenn Opfer von Ransomware das geforderte Lösegeld nicht zahlen würden, dann würde dieses Geschäftsmodell im Keim erstickt. Umgekehrt hat jedoch die Zahlungsbereitschaft der Opfer dieses kriminelle Geschäftsmodell erst ermöglicht. Reinvestitionen der aktiven Verbrecherbanden haben dazu geführt, dass diese heute hoch professionell vorgehen können und technisch und methodisch oft um Größenordnungen besser aufgestellt sind als die angegriffenen Unternehmen. Gewinne kommen hierbei in erster Linie Staaten zugute, die Deutschland eigentlich sanktioniert. Eine aktuelle BBC-Studie zeigt auf, dass 74% aller Ransomware-Lösegelder in 2021 an Verbrecherbanden in Russland gezahlt wurden. Diverse Medien haben wiederholt von starken Verbindungen des Kremls zu den betreffenden Verbrecherbanden berichtet. Lösegeldzahlungen schwächen somit das aktuelle EU-Embargo gegen Russland signifikant. Auch Nordkorea ist direkt in Ransomwareangriffe verstrickt, stiehlt darüber hinaus aber auch regelmäßig entsprechende Kryptowährungen zur Finanzierung seines Atomraketenprogramms.

Vor diesem Hintergrund lässt sich feststellen, dass sich die Bereitschaft zu Lösegeldzahlungen mittlerweile für Deutschland zu einem massiven geostrategischen Risiko entwickelt hat, das nicht länger ignoriert werden darf. Lösegeldzahlungen stärken Deutschlands geopolitische Konkurrenten und schwächen die deutsche Wirtschaft und den deutschen Staat, sie gefährden unsere kritische Infrastrukturen. Aber auch hier vor Ort setzen Lösegeldzahlungen falsche Anreize, denn sie ermöglichen Unternehmen und Behörden einen vermeintlich einfachen Ausweg, der zwar kurzzeitig das Leid lindert, aber mittelfristig mehr Probleme verursacht als er löst: Anstatt in die Verbesserung ihrer IT-Sicherheit und ihrer Leistungsfähigkeit zu investieren, zahlen die Opfer Lösegeld und erhöhen somit die Wahrscheinlichkeit weiterer erfolgreicher Angriffe gegen sich selbst und andere. Das Nachsehen dabei haben insbesondere kleinere Unternehmen, die sich Lösegelder und Cyber-Versicherungen nicht leisten können und bei einem Angriff potenziell vor dem Ruin stehen. Statt diese Milliarden an Euro jährlich dem organisierten Verbrechen und den Staaten, die diese Verbrecherbanden beheimaten, zukommen zu lassen, sollten deutsche Unternehmen diese Gelder vielmehr in ihre eigene IT-Sicherheit investieren, um somit einerseits die Hürden für weitere Angriffe zu erhöhen und andererseits die Finanzströme der Verbrecherbanden versiegen zu lassen.

Die Unterzeichner:innen fordern daher die Bundespolitik auf:

  • Erlassen Sie Maßnahmen und setzen Sie Anreize, welche Lösegeldzahlungen bei Ransomware-Angriffen effektiv unterbinden.
  • Schaffen Sie die steuerliche Absetzbarkeit von Ransomware-Lösegeldzahlungen (§ 33 EStG) ab.
  • Führen Sie für Unternehmen ab einer bestimmten Größe eine Meldepflicht für Ransomware-Angriffe und Lösegeldzahlungen ein.
  • Unterbinden Sie Versicherungen, die diese Lösegeldzahlungen absichern.
  • Befördern Sie stattdessen Versicherungen, die die verursachten Umsatzeinbußen und Wiederherstellungsmaßnahmen absichern. Da die Versicherer zunehmend starke Sicherheitsmaßnahmen bei den Versicherungsnehmern einfordern, besteht hier die Möglichkeit, die IT-Sicherheit in der Breite signifikant zu erhöhen, ohne weitere regulatorische Maßnahmen treffen zu müssen.
  • Unterstützen Sie Unternehmen, die durch Ransomware-Angriffe in eine finanzielle Notlage geraten, in angemessener Weise, beispielsweise über einen Hilfsfonds, sodass diese nicht gezwungen werden, Lösegelder zu zahlen. Die Unterstützung sollte jedoch an Bedingungen geknüpft sein, welche sicherstellen, dass die Opfer ihre Pflicht zur eigenständigen Absicherung nicht vernachlässigen.
  • Forcieren Sie Maßnahmen, die deutschen Unternehmen in Zukunft Methoden und Technologien bereitstellen, um an sie gestellte IT-Sicherheitsanforderungen effektiv und dennoch möglichst kostengünstig erfüllen zu können.

Unterzeichner:innen

(Die angegebene Affiliation dient nur der besseren Identifikation der Person und ist kein Ausdruck der Position der jeweiligen genannten Organisation.)

Auch Sie möchten diesen Aufruf unterzeichnen? Dann tragen Sie sich bitte hier ein.

  1. Prof. Dr. Eric Bodden, Universität Paderborn & Fraunhofer IEM
  2. Prof. Dr. Tibor Jager, Bergische Universität Wuppertal
  3. Prof. Dr. Juraj Somorovsky, Universität Paderborn
  4. JProf. Dr. Ben Hermann, Technische Universität Dortmund
  5. Jun.-Prof. Dr. Nils Fleischhacker, Ruhr-Universität Bochum
  6. Prof. Dr. Andreas Zeller, CISPA Helmholtz-Zentrum für Informationssicherheit
  7. Prof. Dr. Johannes Kinder, Universität der Bundeswehr München
  8. Prof. Dr.-Ing. Thomas Eisenbarth, Universität zu Lübeck
  9. Prof. Dr.-Ing. Ulrich Greveler, Hochschule Rhein-Waal
  10. Prof. Dr. Andreas Noack, Hochschule Stralsund
  11. Prof. Dr.-Ing. Dorothea Kolossa, Ruhr-Universität Bochum
  12. Prof. Dr. Gregor Leander, Ruhr-Universität Bochum
  13. Prof. Dr. Florian Alt, Universität der Bundeswehr München
  14. Prof. Dr. Mira Mezini, Technische Universität Darmstadt
  15. Prof. Dr. Matthew Smith, Universität Bonn, Fraunhofer FKIE
  16. Prof. Dr. Daniel Gruss, Technische Universität Graz
  17. Prof. Dr. Konrad Rieck, Technische Universität Braunschweig
  18. Prof. Dr. Christian Bischof, Technische Universität Darmstadt
  19. Prof. Dr. Patricia Arias Cabarcos, Universität Paderborn
  20. Prof. Dr. M. Angela Sasse, Ruhr-Universität Bochum
  21. Prof. Dr. Stefan Brunthaler, FI CODE, Universität der Bundeswehr München
  22. Prof. Dr.-Ing. Andreas Mayer, Hochschule Heilbronn
  23. Prof. Dr. Dominik Herrmann, Otto-Friedrich-Universität Bamberg
  24. Prof. Dr. Michael Meier, Universität Bonn & Fraunhofer FKIE
  25. Dr. Matthias Wübbeling, Identeco GmbH & Co. KG
  26. Manuel HonkHase Atug, Netzaktivist
  27. Christine Regitz, Präsidentin Gesellschaft für Informatik e.V.
  28. Prof. Dr. Hannes Federrath, Universität Hamburg / Past President der Gesellschaft für Informatik e.V.
  29. Prof. Dr. Dominik Herrmann, Universität Bamberg / GI-Präsidium
  30. Alexander von Gernler, genua GmbH
  31. David Fuhr, HiSolutions AG

Grundsätzlich gebe ich den Verfassern Recht, dass Lösegeldzahlungen ein Problem sind. Aber es ist nicht die ursächliche Problematik. Das eigentlich Problem, ist das IT-Administratoren, CIO, etc. das Thema Datensicherung immer noch wie ein Stiefkind behandeln und es nicht der höchsten Priorität zuordnen die es verdient. Würden Datensicherungen korrekt sichergestellt (und dessen Wiederherstellbarkeit), dann würde niemand in die Versuchung geraten Lösegeld zu zahlen!

Ich gehe so weit und sage klar und deutlich: Wer keine 3-2-1-1-0[^1] Datensicherung macht und regelmäßig diese mit Wiederherstellungstests / DR Tests überprüft, macht nicht seine Arbeit richtig und ist falsch am Platz.

[^1]: 3-2-1-1-0 Goldene Backup Regel (3 Kopien der Daten, 2 verschiedene Medientypen, mindesten 1 Kopie "offsite" außer Haus, mindesten 1 Kopie offline gelargert z.B. Schließfach, 0 Fehler bei der Verifizierung der Datensicherung in regelmäßigen abständen (möglichst täglich).