Ransomware-Lösegeld ist verhandelbar, aber Zahlung garantiert nichts Unternehmen verhandeln zum ersten Mal, Angreifer zum hundertsten

Anbieter zum Thema

FAST LTA GmbH

FTAPI Software GmbH

Nach einem Ransomware-Angriff beginnt für viele Unternehmen eine Phase, auf die sie kaum vorbereitet sind: die Kommunikation mit den Angreifern. Während Ransomware-Gruppen diese Verhandlungen routiniert führen, ist es für Unternehmen meist das erste Mal. Forderungen sind verhandelbar, aber selbst eine Zahlung garantiert keine vollständige Wiederherstellung.

Nach einem erfolgreichen Angriff hinterlassen die Angreifer in der Regel eine Nachricht auf den betroffenen Systemen. Die sogenannte „Ransom Note“. Diese wird in unterschiedlichen Formen bereitgestellt, zum Beispiel als Textdatei (.txt /.html) in betroffenen Verzeichnissen, als auto­matisch geöffnetes Dokument nach dem Login oder als veränderter Desktop-Hintergrund. Ziel ist es, sicherzustellen, dass die Nachricht von den Betroffenen schnell gesehen wird. In einigen Fällen wird die Ransom Note bewusst mehrfach im System abgelegt. Damit stellen Angreifer sicher, dass die Nachricht auch dann sichtbar bleibt, wenn einzelne Systeme bereits isoliert oder neu gestartet wurden. Inhaltlich enthält die Ransom Note typischerweise:

• eine eindeutige Kennung für das betroffene Unternehmen

• einen Link zu einer speziellen Webseite

• Anweisungen zur Kontaktaufnahme

• häufig auch erste Fristen

Der Zugriff erfolgt meist über anonymisierte Netzwerke wie Tor. Unternehmen werden dort in eine geschlossene Kommunikationsumgebung geleitet.

Die meisten Ransomware-Angriffe treffen den Mittelstand

Cyber-Erpressung treibt Mittelständler in die Insolvenz

Kommunikationswege der Angreifer

Die Kommunikation mit Ransomware-Gruppen erfolgt heute über unterschiedliche Kanäle. Welche genutzt werden, hängt stark von der Professionalität der Gruppe ab. Viele etablierte Ransomware-Gruppen betreiben eigene Plattformen im Tor-Netzwerk. Diese funktionieren ähnlich wie ein Chat- oder Ticket-System und dienen als zentrale Anlaufstelle für die Kommunikation. Dort können Unternehmen:

• Nachrichten mit den Hackern austauschen

• Lösegeldforderungen einsehen

• über Zahlungsbedingungen sprechen

• Dateien zur Test-Entschlüsselung bereitstellen

Diese Portale ermöglichen standardisierte Abläufe und werden daher häufig von professionellen Gruppen genutzt. Auffällig ist, dass viele dieser Plattformen technisch stabil und sehr professionell aufgebaut sind. Einige Gruppen betreiben ihre Infrastruktur wie klassische Online-Dienste - mit Login-Bereichen, festen Ablaufstrukturen und wiederkehrenden Kommunikationsmustern. Teilweise nutzen Angreifer jedoch auch Messenger-Dienste wie Telegram, Tox oder Jabber. Diese werden vor allem für direkte Kommunikation eingesetzt. Da diese Kanäle weniger strukturiert sind, kommen sie seltener bei groß angelegten Kampagnen zum Einsatz.

The Global Cost of Ransomware

Erschreckende Zahlen zu Ransomware-Attacken weltweit

Typische Muster in der Kommunikation

Die Kommunikation mit Ransomware-Gruppen folgt oft bestimmten Mustern. Ziel ist es, den Druck auf das betroffene Unternehmen zu erhöhen und eine schnelle Entscheidung herbeizuführen. Dazu gehören unter anderem:

• klare Zeitvorgaben für eine Zahlung

• Hinweise auf mögliche Veröffentlichung von Daten

• schrittweise Offenlegung von Informationen

• Anpassung der Forderung im Verlauf der Kommunikation

In vielen Fällen ist die initiale Forderung nicht final, sondern Teil eines Verhandlungsprozesses. Auswertungen realer Fälle zeigen, dass Forderungen häufig verhandelbar sind. Preisnachlässe sind keine Seltenheit und können je nach Situation deutlich ausfallen. Gleichzeitig orientieren sich viele Angreifer bei der Festlegung der Forderung an wirtschaftlichen Kennzahlen wie Umsatz, Branche oder Größe des Unternehmens.

Krisenkommunikation in Cyberangriffen

Wenn der Angriff kommt, zählt jedes Wort

Datenveröffentlichung als Druckmittel

Neben der Verschlüsselung setzen viele Gruppen zusätzlich auf die Androhung der Veröffentlichung von Daten. Diese Vorgehensweise wird häufig als „Double Extortion“ bezeichnet. Dabei werden Daten aus dem Unternehmen extrahiert, Systeme verschlüsselt und dann mit der Veröffentlichung der Daten gedroht. Einige Gruppen betreiben eigene Webseiten, auf denen betroffene Unternehmen gelistet werden. Erfolgt keine Reaktion, werden dort teilweise erste Datenausschnitte veröffentlicht. In einigen Fällen werden bereits vor Ablauf von Fristen gezielt kleine Datenpakete veröffentlicht. Diese „Samples“ dienen dazu, den Druck auf das Unternehmen zu erhöhen und die Glaubwürdigkeit der Drohung zu unterstreichen.

Einblicke in reale Abläufe

Ein besseres Verständnis solcher Prozesse ermöglichen Plattformen wie Ransomware.live oder RansomCh.at. Dort werden Aktivitäten von Ransomware-Gruppen sowie teilweise anonymisierte Kommunikations­verläufe dokumentiert.

Die veröffentlichten Verläufe zeigen auch, dass Verhandlungen teilweise über mehrere Tage oder Wochen geführt werden. Auch wenn die Kommunikation mit den Angreifern in vielen Fällen notwendig erscheint, bietet sie keine Garantie für eine erfolgreiche Lösung. Selbst bei einer Zahlung bestehen Risiken:

• Daten werden nicht vollständig entschlüsselt

• gestohlene Informationen werden dennoch veröffentlicht

• Angreifer behalten Zugriff auf Systeme

State of Ransomware 2025 von Sophos

Die Hälfte aller Unternehmen zahlt Lösegeld

Die Kommunikation ist daher nur ein Teil der Gesamtbewältigung eines Sicherheitsvorfalls. Ein oft unterschätzter Aspekt ist, dass Unternehmen in dieser Situation meist zum ersten Mal mit solchen Verhandlungen konfrontiert sind, während die Angreifer diese Prozesse routiniert durchführen. Diese ungleiche Ausgangslage erschwert Entscheidungen zusätzlich.

Vorbereitung ist entscheidend

Ein Ransomware-Angriff stellt für jedes Unternehmen eine Ausnahmesituation dar. Umso wichtiger ist es, im Vorfeld klare Abläufe und Verantwortlichkeiten zu definieren. Dazu gehören unter anderem:

• definierte Incident-Response-Prozesse

• klare Kommunikationswege

• regelmäßige Datensicherungen

• Überprüfung der eigenen Sicherheitsmaßnahmen

Die zunehmende Professionalität von Angreifern zeigt, dass Ransomware längst ein strukturiertes Geschäftsmodell ist. Unternehmen sollten daher ebenfalls strukturiert vorbereitet sein, um im Ernstfall angemessen reagieren zu können.

Über den Autor: Günther Wirrer ist Geschäftsführer der XSOC GmbH. XSOC ist ein deutsches Cybersecurity-Unternehmen mit klarem Fokus auf Security Operations Center (SOC) Services, Incident Response, Schwachstellenmanagement sowie Penetrationstests. XSOC ist Teil der Unternehmensgruppe der XNET Solutions, die seit über 20 Jahren Erfahrung im Aufbau, Betrieb und der Weiterentwicklung komplexer IT- und Sicherheitsumgebungen verfügt.

Drei RaaS-Gruppen dominieren Deutschlands Bedrohungslandschaft

Ransomware trifft Deutschland in Produktion, Dienstleistung und Handel

(ID:50861162)