6 Einleitung Ransomware hat sich von einem störenden Sicherheitsvorfall zu einem umfassenderen betrieblichen und finanziellen Risiko entwickelt. Organisationen entscheiden nicht mehr nur darüber, wie sie verschlüsselte Daten wiederherstellen. Sie bewerten unter erheblichem Zeitdruck rechtliche Risiken, regulatorische Pflichten, Auswirkungen auf Kunden und ihre langfristige Resilienz. Zugleich verändert sich die Ökonomie von Ransomware. Die Zahlungsquoten sinken, die Ergebnisse einer Zahlung sind uneinheitlich, und Angreifer passen ihre Taktiken entsprechend an. Diese Veränderungen zwingen Organisationen, neu zu überdenken, wie sie sich auf Vorfälle vorbereiten und darauf reagieren. Eine moderne Strategie für die Ransomware-Wiederherstellung hängt heute weniger von Verhandlungen ab als von der Fähigkeit, Daten eigenständig wiederherzustellen und den Betrieb wieder aufzunehmen. Die veränderte Ökonomie von Ransomware In den letzten Jahren hat sich Ransomware von einem berechenbaren Tauschmodell zu einer komplexeren Form der Cybererpressung entwickelt. Angreifer setzen nicht mehr nur auf Verschlüsselung. Sie kombinieren Datenexfiltration, betriebliche Störungen und Druck auf die Reputation, um ihre Verhandlungsmacht zu erhöhen. Aktuelle Daten zeigen, dass die Zahlungsquote bis Ende 2025 auf rund 20 % gesunken ist (auf Englisch), was einen stetigen Rückgang über mehrere Jahre widerspiegelt. Gleichzeitig ist die durchschnittliche Lösegeldzahlung gestiegen – getrieben von einer kleineren Zahl folgenschwerer Vorfälle statt von einer breiten Zahlungsbereitschaft. Diese Entwicklung zeigt einen wichtigen Wandel. Organisationen sind zunehmend in der Lage, eine Zahlung zu verweigern, doch wenn die Wiederherstellungsoptionen begrenzt sind, steht finanziell deutlich mehr auf dem Spiel. Warum eine Lösegeldzahlung wenig bringt Die Annahme, eine Lösegeldzahlung beende einen Ransomware-Vorfall, hält einer genaueren Prüfung nicht stand. Eine Zahlung mag wie ein schnellerer Weg zur Wiederherstellung wirken, doch die tatsächlichen Ergebnisse sind oft unsicher und unvollständig. Die Wiederherstellung der Daten bleibt unzuverlässig Entschlüsselungstools von Angreifern unterscheiden sich in Qualität und Leistung. Selbst wenn ein Schlüssel geliefert wird, kann die Entschlüsselung großer Datenbestände Tage dauern und zusätzliche Probleme wie beschädigte Dateien oder Kompatibilitätsprobleme verursachen. In manchen Fällen lassen sich Daten, die während der Verschlüsselung aktiv genutzt wurden, nicht vollständig wiederherstellen. Die Offenlegung von Daten wird nicht verhindert Eine Zahlung beseitigt nicht das Risiko, das von gestohlenen Daten ausgeht. Angreifer können Kopien behalten, Informationen in künftigen Kampagnen wiederverwenden oder Teile der Daten nach und nach veröffentlichen. Organisationen müssen daher regulatorische Anforderungen, rechtliche Risiken und die Kommunikation mit Kunden angehen – unabhängig davon, ob ein Lösegeld gezahlt wird. Wiederholte Angriffe erhöhen das Risiko Organisationen, die zahlen, werden möglicherweise eher erneut angegriffen. Eine Zahlung signalisiert Verhandlungsbereitschaft, was weitere Versuche derselben oder anderer Angreifer anziehen kann. Zusammen verringern diese Faktoren den strategischen Wert einer Zahlung und unterstreichen die Notwendigkeit alternativer Wiederherstellungsansätze. Warum immer mehr Organisationen nicht zahlen Der Rückgang der Lösegeldzahlungen ist kein Zufall. Er spiegelt eine Kombination aus verbesserten Abwehrfähigkeiten und einem besseren Verständnis der Folgen von Ransomware wider. Ausgereifte Praktiken für Backup und Wiederherstellung Organisationen haben in Backup-Strategien investiert, die zuverlässiger und besser auf die Wiederherstellungsziele abgestimmt sind. Regelmäßige Tests, bessere Aufbewahrungsrichtlinien und der Einsatz unveränderlichen Speichers haben das Vertrauen gestärkt, ohne Abhängigkeit von Angreifern wiederherstellen zu können. Stärkere Fähigkeiten zur Reaktion auf Vorfälle Security- und IT-Teams haben heute mehr Erfahrung im Umgang mit Ransomware-Vorfällen. Dazu gehört, betroffene Systeme zu isolieren, Angriffsvektoren zu identifizieren und funktionsübergreifende Reaktionen zu koordinieren. Dadurch sind Organisationen weniger auf Angreifer angewiesen, um die Kontrolle zurückzugewinnen. Externer Druck durch Aufsichtsbehörden und Versicherer Regulatorische Rahmenwerke und Cyberversicherungen legen zunehmend Wert auf Resilienz und raten von unnötigen Zahlungen ab. Von Organisationen wird erwartet, dass sie Daten wiederherstellen und den Betrieb aufrechterhalten können, ohne standardmäßig auf Lösegeldverhandlungen zurückzugreifen. Zusammen rücken diese Faktoren die Standardreaktion von der Zahlung weg. Die Rolle der Datenexfiltration bei modernen Angriffen Datenexfiltration ist zu einem festen Bestandteil von Ransomware-Kampagnen geworden. Angreifer nutzen die Drohung einer Veröffentlichung, um den Druck auf die Opfer zu erhöhen – besonders dann, wenn Verschlüsselung allein nicht ausreicht, um eine Zahlung zu erzwingen. Die Wirksamkeit dieser Taktik nimmt jedoch ab. Organisationen werden skeptischer gegenüber den Behauptungen von Angreifern und können besser überprüfen, welche Daten tatsächlich kompromittiert wurden. In vielen Fällen übertreiben Angreifer den Umfang der Exfiltration oder legen unvollständige Belege vor. Selbst wenn bestätigt ist, dass Daten gestohlen wurden, garantiert eine Zahlung nicht, dass sie gelöscht oder nicht veröffentlicht werden. Das verringert die Verhandlungsmacht, die mit der Exfiltration verbunden ist, und trägt zum allgemeinen Rückgang der Zahlungsquoten bei. Backup-Fehler als Hauptgrund für Zahlungen Trotz verbesserter Backup-Strategien bleiben Fehler bei der Umsetzung von Backups eine der Hauptursachen für Lösegeldzahlungen. Bei vielen Vorfällen stellen Organisationen genau dann fest, dass ihre Backups unvollständig, veraltet oder unbrauchbar sind, wenn sie gebraucht werden. Diese Fehler entstehen oft durch eine schleichende Konfigurationsdrift statt durch bewusste Nachlässigkeit. Backup-Richtlinien mögen auf dem Papier ausreichend wirken, versagen aber unter realen Bedingungen – wegen Änderungen an der Infrastruktur, Datenwachstum oder übersehener Abhängigkeiten. Angreifer nehmen genau diese Schwachstellen zunehmend ins Visier. Statt Backups direkt zu löschen, ändern sie Konfigurationen, verringern die Backup-Häufigkeit oder lassen saubere Kopien auslaufen. Wenn der Angriff ausgeführt wird, sind die Wiederherstellungsoptionen bereits stark eingeschränkt. Diese Dynamik unterstreicht, wie wichtig es ist, Backups als aktive Bestandteile der Sicherheitsstrategie zu behandeln statt als passive Absicherung. Die Realität von Entschlüsselung und Wiederherstellungszeiten Einer der hartnäckigsten Irrtümer bei der Reaktion auf Ransomware ist die Annahme, dass die Zahlung für einen Entschlüsselungsschlüssel zu einer schnellen Rückkehr zum Normalbetrieb führt. In der Praxis bleibt die Wiederherstellung auch nach einer Zahlung komplex. Branchendaten zufolge kann die Wiederherstellung mit einem Entschlüsselungsschlüssel selbst mit fortschrittlichen Tools im Durchschnitt rund acht Tage dauern. Dieser Zeitrahmen berücksichtigt noch keine zusätzlichen Verzögerungen durch beschädigte Dateien, Systemabhängigkeiten oder eine unvollständige Wiederherstellung der Daten. Organisationen müssen außerdem sicherstellen, dass der Angreifer keinen Zugriff mehr auf die Umgebung hat und die wiederhergestellten Systeme sicher sind, bevor sie den Betrieb wieder aufnehmen. Diese Schritte sind unabhängig davon nötig, ob ein Lösegeld gezahlt wird. Eine Zahlung beseitigt die Ausfallzeit daher nicht. Sie fügt der Wiederherstellung eine zusätzliche Ebene der Komplexität hinzu. Entscheidungen unter Druck Ransomware-Vorfälle schaffen Bedingungen, unter denen Entscheidungen schnell und mit unvollständigen Informationen getroffen werden müssen. Angreifer nutzen diese Lage aus, indem sie überzogene Behauptungen aufstellen, Fristen setzen und über Kunden oder Partner zusätzlichen Druck ausüben. Das kann zu Entscheidungen führen, die kurzfristige Entlastung über langfristige Ergebnisse stellen. Eine häufige Herausforderung ist der Rückgriff auf externe Vergleichswerte. Spektakuläre Vorfälle dienen oft als Bezugspunkt, doch solche Vergleiche sind selten stichhaltig. Jeder Ransomware-Angriff unterscheidet sich in den betroffenen Systemen, der Sensibilität der Daten und den Wiederherstellungsmöglichkeiten. Wirksame Entscheidungen erfordern ein klares Verständnis der eigenen Lage statt Annahmen auf Basis externer Beispiele. Wenn die Zahlung zum letzten Ausweg wird In den meisten Fällen, in denen sich Organisationen für eine Zahlung entscheiden, ist betriebliche Notwendigkeit der Grund, nicht strategische Präferenz. Das geschieht typischerweise, wenn kritische Systeme nicht verfügbar sind, die Wiederherstellungszeiten inakzeptabel sind oder der externe Druck zu groß ist, um ihn zu ignorieren. Diese Szenarien verdeutlichen ein zentrales Prinzip. Die Entscheidung für eine Zahlung fällt oft lange vor dem Angriff – abhängig von der Stärke der Backup-Systeme, der Wirksamkeit der Wiederherstellungspläne und der Fähigkeit der Organisation, Störungen zu verkraften. Wer weniger auf Zahlungen angewiesen sein will, muss daher frühzeitig in diese Bereiche investieren. Eine Strategie für die Ransomware-Wiederherstellung aufbauen Eine resiliente Strategie für die Ransomware-Wiederherstellung stellt sicher, dass sich Daten schnell, zuverlässig und unabhängig von Angreifern wiederherstellen lassen. Zuverlässigkeit der Backups validieren Backups müssen regelmäßig durch vollständige Wiederherstellungsübungen getestet werden. So ist sichergestellt, dass sich Daten in akzeptablen Zeiträumen wiederherstellen lassen und alle kritischen Systeme erfasst sind. Backup-Infrastruktur absichern Backup-Systeme sollten mit demselben Sicherheitsniveau geschützt werden wie Produktionsumgebungen. Dazu gehören Zugriffskontrollen, Monitoring und der Einsatz unveränderlichen Speichers, um unbefugte Änderungen zu verhindern. Eine verzögerte Wiederherstellung einplanen Die Wiederherstellung beginnt nicht unmittelbar nach einem Angriff. Organisationen müssen zunächst bestätigen, dass die Bedrohung beseitigt ist und die Backups sauber sind. Das kann mehrere Tage dauern und sollte in der Wiederherstellungsplanung berücksichtigt werden. Realistische Tests durchführen Szenariobasierte Übungen helfen Organisationen, Lücken in ihren Reaktionsplänen zu erkennen und die Abstimmung zwischen Teams zu verbessern. Diese Übungen sollten reale Bedingungen abbilden statt idealisierter Szenarien. Wiederherstellung an den Geschäftsprioritäten ausrichten Wiederherstellungsstrategien sollten zuerst kritische Geschäftsfunktionen wiederherstellen. Dafür braucht es ein klares Verständnis der Abhängigkeiten und der möglichen Auswirkungen von Ausfallzeiten auf den Betrieb. Fazit Ransomware ist kein Problem mehr, das sich allein durch Zahlung lösen lässt. Die sinkende Wirksamkeit von Lösegeldzahlungen und die zunehmende Raffinesse der Angriffe haben den Fokus auf Resilienz und Wiederherstellung verschoben. Organisationen, die sich ohne Zahlung erholen können, haben gemeinsame Merkmale. Sie überprüfen ihre Annahmen, validieren ihre Backups und bereiten sich auf die betrieblichen Realitäten eines Angriffs vor, bevor er eintritt. In diesem Umfeld ist eine klar definierte Strategie für die Ransomware-Wiederherstellung unverzichtbar. Sie bildet die Grundlage dafür, während eines Vorfalls die Kontrolle zu behalten, und stellt sicher, dass Entscheidungen zur Wiederherstellung von Fähigkeiten statt von Zwängen bestimmt werden. Weiterführende Artikel: Ransomware-Wiederherstellung mit Objektspeicherhttps://www.solved.scality.com/ransomware-recovery-restore-faster-with-object-storage/ So bauen Sie einen ransomwaresicheren Backup-Schutz aufhttps://www.solved.scality.com/ransomware-backup-protection-how-to-build-immutable-recoverable-backups/ Unveränderlicher Speicher zur Abwehr von Ransomwarehttps://www.solved.scality.com/what-is-immutable-storage-definition-benefits-and-how-it-works/ 3-2-1-1-0-Backup-Strategie für Cyber-Resilienzhttps://www.solved.scality.com/3-2-1-1-0-backup-strategy-explained/ Backup-Strategie im Unternehmen für die Ransomware-Wiederherstellunghttps://www.solved.scality.com/enterprise-backup-strategy/
