Ransomware

Ein ausdrückliches Zahlungsverbot kennt das deutsche Recht nicht. Strafbar wird die Zahlung, sobald das Geld einer sanktionierten Gruppe zugutekommt: Artikel 3 der Verordnung (EU) 2019/796 verbietet, gelisteten Akteuren unmittelbar oder mittelbar Gelder bereitzustellen, und § 18 Absatz 1 AWG stellt den Verstoß mit Freiheitsstrafe von drei Monaten bis zu fünf Jahren unter Strafe. Dazu die technische Grenze: Das BSI dokumentiert Forderungen, denen keine Entschlüsselung folgen konnte, weil die Schadsoftware die Daten mit Nullen überschrieben hatte.

Nichts über Reihenfolge und Dauer des Wiederanlaufs. Der Maßnahmenkatalog Ransomware des BSI, Version 1.0 vom 23.02.2022, rechnet für Wiederherstellungsmaßnahmen häufig mit mehreren Wochen bis Monaten und verlangt deshalb einen geübten Schwarzstart, also den Wiederanlauf aller Server aus der getrennten Sicherung. Erst diese Übung zeigt, in welcher Reihenfolge Systeme hochkommen müssen, wie lange das braucht und wie viele Ersatzgeräte zu beschaffen wären. Ein Plan ohne Übung nennt nur Zuständigkeiten.

Der Beleg für den Angriffsweg. Zentral gesammelte Protokolldaten lassen laut BSI Ausmaß und Infektionsquelle eines Vorfalls bestimmen; wer neu installiert, bevor Abbilder und Protokolle gesichert sind, kennt die ausgenutzte Lücke hinterher nicht. Dazu tritt eine Pflicht: Artikel 33 Absatz 5 DSGVO verlangt, jede Verletzung mit Fakten, Auswirkungen und Abhilfemaßnahmen zu dokumentieren, und zwar so, dass die Aufsichtsbehörde die Einhaltung überprüfen kann. Ohne gesicherte Spuren fehlt dieser Dokumentation die Grundlage.

Ob die vereinbarten Sicherheitsmaßnahmen tatsächlich liefen. Nach Darstellung des BSI geben Cyberversicherungen in ihren Bedingungen konkrete Vorgaben – etwa ein geeignetes Backup-Konzept –, prüfen im Schadensfall genau auf Versäumnisse des Versicherungsnehmers und schließen die Haftung häufig aus, wenn die Absicherung nicht dem Stand der Technik entspricht. Das BSI ordnet Ransomware ausdrücklich nicht als höhere Gewalt ein; liegen Patches für erreichbare Systeme seit Wochen bereit, kann das in den Bereich der Fahrlässigkeit führen.