Ransomware-Angriffe: Bezahlen oder verhandeln?
----------------------------------------------
 
Im Jahr 2023 wurden mehr als 2.200 Netzwerke in Krankenhäusern, Schulen, Regierungsorganisationen und tausenden privaten Unternehmen alleine in den Vereinigten Staaten von Cyberkriminellen angegriffen. Nach einem weiteren Rekordjahr für Ransomware und Datenerpressung bereiten sich Unternehmen aller Größen darauf vor, wann sie in Zukunft ihren ersten Cyberangriff erleben und ggfs. Lösegeld für Daten zahlen müssen. Doch welche Alternativen zu einer Lösegeldzahlung gibt es noch und ist verhandeln immer der beste Weg?
 
### Verhandlungsmöglichkeiten mit Cyberkriminellen
 
Es gibt oft Raum für Verhandlungen mit Cyberkriminellen oder in manchen Fällen die Option, das Lösegeld gar nicht zu zahlen. Aus rechtlicher und ethischer Sicht ist die Nichtzahlung die einzige richtige Option, auch die Strafverfolgungsbehörden unterstützen diesen Ansatz. Die zu erwartenden negativen Folgen, hinsichtlich Reputation, können die die ethischen Fragen in den Hintergrund stellen, insbesondere für auf Cyberangriffe schlecht vorbereitete Unternehmen. Somit könnte in vielen Fällen das „ethisch Richtige“ viel mehr kosten als einfach das Lösegeld zu zahlen. Bei jedem Cybersecurity-Vorfall ist Vorbereitung der Schlüssel – Ransomware ist keine Ausnahme.
 
#### Einen Cyber-Reaktionsplan erstellen
 
Wir alle kennen mittlerweile den Satz: "Es ist nicht die Frage, ob Sie angegriffen werden, sondern wann." Jederzeit handlungsfähig zu sein und zu bleiben, ist in allen Bereichen der IT-Sicherheit entscheidend. Ransomware wie Personalengpässe oder Netzwerkunterbrechungen zu behandeln, für die im Ernstfall Notfallpläne vorliegen, ist der einzige Weg, um diese Angriffe erfolgreich zu bewältigen. Deshalb ist es so wichtig, dass Firmen nicht erst warten, bis ein Angriff eintritt, um zu entscheiden, ob sie zahlen oder nicht. Ein detaillierter Leitfaden, der Schritt für Schritt erklärt, was zu tun ist und wer beteiligt ist – einschließlich wer benachrichtigt wird, wer den Vorstand informiert, wer mit der Presse spricht – muss ausgearbeitet, verstanden und für das Team zugänglich sein, welches das Problem behebt. Dieser Leitfaden sollte Fragen wie die folgenden beantworten:
 
  
- Verstößt die Zahlung eines Lösegelds gegen den Verhaltenskodex oder die Kernwerte des Unternehmens?   
- Ist es für das Unternehmen von Vorteil zu zahlen, und wie hoch ist der richtige Betrag?   
- Ist es überhaupt legal, das Lösegeld zu zahlen? Als Teil Ihres Reaktionsplans sollten Sie die regionalen Strafverfolgungsbehörden in Ihrer Umgebung kennenlernen. Sie können bei der Vorbereitung helfen und ziehen es vor, wenn Firmen präventiv tätig werden, bevor es zum Ernstfall kommt. Das Verständnis des Wirkungsradius von Ransomware und der schnelle Überblick über die unmittelbaren Auswirkungen eines Angriffs auf das Unternehmen sind entscheidend dafür, wie mit der Situation umgegangen werden muss. Dies ist für jede Firma individuell, aber wenn ein Unternehmen vorbereitet ist und seine Daten entsprechend gesichert sind, gibt es absolut keinen Grund zu zahlen. Ein Notfallwiederherstellungs- und Geschäftskontinuitätsplan wird nicht nur die Verhandlungen reibungsloser gestalten, sondern Ihr Geschäft am Laufen zu halten.
 
#### Die Feinheiten der Verhandlungsführung verstehen
 
Der nächste Schritt mag offensichtlich erscheinen, ist aber essenziell: Überprüfen Sie, ob Sie tatsächlich angegriffen wurden. Es ist nicht ungewöhnlich, dass Bedrohungsakteure bluffen. Wenn Sie sich in der Lage befinden, den Angreifer damit zu konfrontieren, kann dies Ihre Position ins Positive umkehren. Noch besser, Sie als Unternehmen können sich entscheiden, die Cyberkriminellen vollständig zu ignorieren. Wenn Sie angegriffen wurden und Ihre Dateien verschlüsselt sind, beginnt jedoch die eigentliche Verhandlung. Die Dynamik, wie man an die Situation herangeht, hängt sehr davon ab, wer in Ihre Vorfallreaktionsstrategie eingebunden ist – Vertreter des Führungsteams, externe und interne Rechtsberater, eine Cyberversicherung und Kommunikationsteams. Es ist am besten, wenn Führungskräfte des Unternehmens nicht allein verhandeln, und es ist auch wichtig zu bestimmen, wer die Aktionen hinter den Kulissen ausführt, um das Team auf den besten Verhandlungskurs auszurichten. Verhandlungen können oft wie ein langes Tennisspiel sein – Zahlen, wie Bälle hin und her schlagen, bevor man sich einigt. Hier sind einige Punkte, die Sie im Vorfeld unbedingt klären müssen:
 
  
- Wurden private oder sensible Daten kompromittiert?   
- Welche Hackergruppe ist beteiligt?   
- Wann und wie sind die Daten nach der Zahlung wieder verfügbar?   
- Verfügen die Strafverfolgungsbehörden oder andere Unternehmen über die Entschlüsselungsmethode bereits von früheren Angriffen und kann so auf eine Verhandlung verzichtet werden? Ein detaillierter Überblick über den Angriff und der Beginn eines Dialogs mit dem Angreifer ermöglichen es Ihnen, ein besseres Angebot auszuhandeln oder zu verstehen, wann ein Bedrohungsakteur seine Macht überstrapaziert.
 
### Auf Bedrohungen vorbereitet sein – Veränderungen und Flexibilität sind unvermeidlich
 
Die Entwicklung von Software und der Aufstieg der generativen KI ermöglichen es Cyberkriminellen, raffinierter denn je zu sein. Große Sprachmodelle (LLMs) werden zudem manipuliert, damit Bedrohungsakteure aus einem externen Angriff eine Insiderbedrohung machen können. Bedrohungsakteure drohen sogar damit, Angriffe bei der Aufsichtsbehörde zu melden, wenn kein Lösegeld gezahlt wird. Gleichzeitig arbeiten das BSI und das BKA verstärkt daran, die Richtlinien weiter zu aktualisieren, die dabei helfen sollen, Cyberkriminelle während eines Ransomware-Angriffs zu ermitteln. Das BKA ermutigt Opfer, sich die Bitcoin-Adresse zu notieren, die die Angreifer zur Zahlung des Lösegelds angeben, um die Cyberbanden effektiver verfolgen zu können. Veränderungen in Taktik, Regulierung und Richtlinien werden eine Konstante sein und es liegt an den Unternehmen, sich bestmöglich auf solche Veränderungen vorzubereiten. Der Schlüssel zu einer erfolgreichen Verhandlung ist es, sich an den eigenen Notfallplan zu halten. Die Stärke Ihrer Verhandlungs- und Reaktionsstrategien sollte nicht vom Angriff selbst abhängen. Die Kunst des Verhandelns ist zeitlos und passt sich den ständigen Veränderungen der Cybersicherheitslandschaft an. Mit der Zeit wird es möglich sein, die Nichtzahlung als einzige Reaktion in Betracht zu ziehen und Ransomware somit obsolet zu machen.