Ransomware-Lösegeld richtig verhandeln: Strategie, Rechtslage, Risiken

Warum dieser Ratgeber – und was er bewusst nicht ist

Dieser Artikel beantwortet eine sehr enge Frage: Wie wird eine Lösegeldverhandlung mit einer Ransomware-Gruppe geführt, welche Rechtsnormen gelten dabei in Deutschland und welche Verhandlungsstrategien haben sich in der Praxis bewährt? Wir gehen hier bewusst nicht auf die technischen Aspekte des Angriffs, die Sofortmaßnahmen in den ersten Minuten oder die Übersicht der Ransomware-Gruppen ein – dafür haben wir eigene, ausführliche Beiträge:

• Was tun bei einem Ransomware-Angriff – die Erste-Hilfe-Checkliste
• Ransomware-Gruppen 2024/2025: LockBit, BlackCat, Cl0p & Co.
• Datenleck und Hack – was tun?
• Ransomware-Hilfe: Entschlüsselung und Datenrettung

Wann sich die Frage der Verhandlung überhaupt stellt

Eine Lösegeldverhandlung wird in der Praxis nur in einer ganz bestimmten Situation überhaupt seriös erwogen: wenn nach Forensik, Backup-Prüfung und Entschlüsselungs-Recherche alle anderen Wege erschöpft sind. In einem erheblichen Teil der Fälle, die wir bei Cybernotfall24 begleiten, ist eine Zahlung am Ende nicht notwendig – Daten lassen sich aus Backups, Schattenkopien, forensischer Rekonstruktion oder über öffentlich verfügbare Entschlüsselungstools wiederherstellen. Wie das in der Praxis aussieht, zeigt unsere Fallstudie zum Maschinenbauer (94 % Datenwiederherstellung in 3,5 Tagen, ohne Lösegeldzahlung).

Die Verhandlung wird damit zur Ultima Ratio – nicht zum Standardweg. Sie hat im Wesentlichen drei Funktionen:

1. Zeit gewinnen – jede Stunde, die die Täter im Chat verbringen, ist Zeit für parallele Wiederherstellung und Forensik.
2. Druck reduzieren – die geforderten Summen sinken in professionell geführten Verhandlungen häufig auf einen Bruchteil der Initialforderung.
3. Informationen gewinnen – jede Nachricht der Gegenseite enthält Hinweise auf Ransomware-Familie, gestohlene Datenmenge und interne Strukturen der kriminellen Gruppe.

Mehr zum methodischen Vorgehen finden Sie in unserer Ransomware-Hilfe und in der IT-Forensik-Übersicht.

Rechtslage in Deutschland: Was Gesetz und Gesetzgeber sagen

Hinweis – keine Rechtsberatung: Dieser Abschnitt fasst die Rechtslage in Deutschland zusammen, um Geschäftsleitungen und IT-Verantwortlichen die Einordnung zu erleichtern. Er ersetzt keine individuelle Rechtsberatung durch eine zugelassene Rechtsanwältin oder einen zugelassenen Rechtsanwalt. Für konkrete Fälle wenden Sie sich an Ihre Hausanwaltskanzlei oder an spezialisierte IT-/Strafrechtskanzleien.

Eine pauschale Aussage „Lösegeldzahlung ist verboten" gibt es im deutschen Gesetzbuch nicht. Das Gesetz kennt kein explizites Verbot, an Erpresser zu zahlen – das Opfer einer Erpressung (§ 253 StGB) ist nach grundsätzlich geltender Rechtsnorm Geschädigter, nicht Täter. Dennoch ist die Lösegeldzahlung in Deutschland kein rechtsfreier Raum, und mehrere Rechtsverordnungen, Gesetze und sanktionsrechtliche Regeln schaffen ein engmaschiges Risikoumfeld.

Die wichtigsten Rechtsnormen im Überblick

Eine fahrlässig oder ohne dokumentierte Prüfung geleistete Zahlung kann für die Geschäftsleitung haftungsrechtliche Konsequenzen haben (§ 43 GmbHG, § 93 AktG – Sorgfaltspflicht). Das ist einer der Gründe, warum sowohl D&O-Versicherer als auch Cyber-Versicherer eine professionelle, dokumentierte Verhandlungsführung verlangen, bevor sie einen Schaden regulieren. Zur Einordnung der Meldepflichten siehe auch unseren Beitrag zu Meldepflichten nach Cyberangriff und die Übersicht zur NIS2-Richtlinie für Unternehmen.

Diskussion im Bundestag: Zahlungsverbot in Sicht?

In den vergangenen Jahren gab es im Bundestag und in Fachausschüssen wiederholt Debatten zur Frage eines gesetzlichen Zahlungsverbots. International gibt es Vorbilder: Australien hat mit dem Cyber Security Act 2024 zum 30. Mai 2025 eine Meldepflicht für Lösegeldzahlungen eingeführt (für Unternehmen ab AU$ 3 Mio. Jahresumsatz und alle SOCI-regulierten Entitäten), in einzelnen US-Bundesstaaten gibt es Zahlungsverbote für öffentliche Einrichtungen, und das Vereinigte Königreich konsultierte 2025 öffentlich zu einem Verbot im öffentlichen Sektor und für kritische Infrastruktur.

In Deutschland existiert Stand 2026 kein konkreter Gesetzentwurf für ein generelles Zahlungsverbot. Die Bundesregierung hat in Antworten auf parlamentarische Anfragen mehrfach klargestellt, dass eine Strafbarkeit der Zahlung selbst derzeit nicht beabsichtigt ist – die klare Empfehlung gegen Zahlung bleibt aber bestehen. Der Gesetzgeber hat sich dem Thema indirekt genähert: über Meldepflichten (NIS2-Umsetzungsgesetz), erweiterte Aufsichtsrechte und schärfere Sanktionen bei KRITIS-Verstößen.

Für Unternehmen heißt das praktisch: Heute zahlen ist nicht verboten – kann morgen aber meldepflichtig, prüfungsrelevant oder bußgeldbewehrt sein. Ohne saubere Dokumentation und ohne Sanktionsprüfung sollte kein Euro überwiesen werden. Die regulatorische Einordnung gehört in die Beratung mit einem Compliance-Spezialisten.

Sanktionscheck ist Pflicht – nicht Kür: Vor jeder potenziellen Zahlung muss geprüft werden, ob die Ransomware-Gruppe oder die hinter ihr stehenden Personen auf einer Sanktionsliste (EU, OFAC, UK HMT) stehen. Beispiele: Evil Corp (OFAC-Listung seit Dezember 2019, erneute trilaterale Sanktion Oktober 2024), LockBit (Listung des mutmaßlichen Kopfes „LockBitSupp" im Mai 2024), TrickBot/Conti-Mitglieder (US-/UK-Sanktionen Februar und September 2023) sowie EU-gelistete Akteure aus dem Wizard-Spider-Umfeld (Juni 2024). Eine Zahlung an gelistete Akteure ist strafbar – unabhängig davon, ob das Geld via Bitcoin oder Treuhänder fließt.

Warum Lösegeld trotzdem manchmal diskutiert wird

Trotz der klaren Empfehlungen von BSI, BKA und ENISA wird die Zahlung in der Praxis erwogen, wenn mindestens eine dieser Bedingungen vorliegt:

• Es existieren keine funktionierenden Backups mehr (gezielt durch die Täter zerstört).
• Geschäftskritische Daten ohne Wiederherstellungsmöglichkeit (Konstruktionsdaten, Patientenakten, laufende Vertragsverhandlungen).
• Double Extortion: Die Täter drohen mit Veröffentlichung sensibler Daten, deren Leak existenzbedrohend wäre (Personalakten, F&E, Kundendaten). Vergleichbar mit dem Szenario in unserer Fallstudie zur Datenexfiltration.
• Vertragsstrafen / SLA würden bei längerem Ausfall den Schaden eines Lösegelds um ein Vielfaches übersteigen.
• Patientensicherheit / KRITIS: Krankenhäuser oder Versorgungsbetriebe haben eine zeitkritische Verpflichtung gegenüber Dritten.

Selbst in diesen Konstellationen ist die Zahlung keine Garantie. Aktuelle Branchendaten sind ernüchternd:

Eine Einigung mit der Gegenseite ist also nie eine reine Wirtschaftsentscheidung – sie ist immer auch eine Risikoabwägung mit hoher Restunsicherheit.

Verhandlung um was? Daten zurück oder Daten weg

In der öffentlichen Wahrnehmung ist eine Lösegeldverhandlung fast immer mit dem Bild verbunden, dass verschlüsselte Dateien zurückgekauft werden. In der Realität läuft ein wachsender Anteil der Verhandlungen heute aber unter komplett anderen Vorzeichen: Verschlüsselung spielt gar keine Rolle mehr – es geht ausschließlich um die Drohung, gestohlene Daten zu veröffentlichen.

Diese Szenarien unterscheiden sich in Strategie, Verifizierbarkeit und Risiko grundlegend:

Bei den Varianten zwei bis vier geht es nicht mehr um den Betrieb – sondern um Geschäftsgeheimnisse, Patente, Rezepturen, F&E-Daten, Personalakten, Anwaltskorrespondenz, Strategiepapiere und Kundendaten. Der Schaden eines Leaks kann den eines Betriebsausfalls um Faktoren übersteigen: verlorene Marktposition, regulatorische Strafen, Reputationsschäden, Klagen, Vertragsstrafen. Ein Beispiel für so ein Szenario zeigt unsere Fallstudie zur Datenexfiltration im Technologiesektor.

Warum die Einschätzung der Gegenseite hier entscheidend ist

Ransomware-Gruppen agieren strukturiert wie Unternehmen – mit Marketing, Affiliate-Programmen, internen Hierarchien, festen Verhandlungsführern und einer Form von Reputationsmanagement. Diese Reputation ist für die Gruppen wertvoll: Wer als „liefernd" gilt, bekommt eher Zahlungen; wer betrogen hat, schreckt zukünftige Opfer ab und verliert sein Geschäftsmodell. Aus dieser Logik – und nur aus dieser Logik, nicht aus moralischer Verlässlichkeit – haben sich in der Praxis sehr unterschiedliche Verhaltensmuster entwickelt:

• Gruppen mit „Geschäftsprofil": Liefern in den meisten dokumentierten Fällen einen funktionierenden Decryptor und halten zumindest vordergründig still – weil ein Bruch ihr Geschäftsmodell schädigen würde.
• Gruppen mit fragwürdiger Bilanz: Veröffentlichen Daten auch nach Zahlung, fordern Folgezahlungen oder verschwinden mit dem Geld.
• Exit-Scam-Risiko: BlackCat/ALPHV verschwand im März 2024 nach Erhalt einer achtstelligen US-Dollar-Zahlung von Change Healthcare – die eigenen Affiliates wurden nicht ausgezahlt, Teile der Daten dennoch veröffentlicht.
• Fragmentierte Nachfolger: Nach Strafverfolgungsschlägen (LockBit, 8Base, Conti) operieren Splitter-Gruppen unter alten Namen oder geleakten Buildern – ohne das ursprüngliche Reputationsmodell und entsprechend unberechenbar. Eine Übersicht der aktuellen Akteure liefert unser Beitrag Ransomware-Gruppen 2024/2025.

Die Frage „Können wir der Gruppe glauben, dass sie unsere Daten löscht?" lässt sich nur beantworten, wenn man die letzten Monate der Gruppe kennt: Wer hat zuletzt gezahlt? Wurden Daten trotz Zahlung veröffentlicht? Wer steht hinter der Forderung – die Originalgruppe oder ein Nachfolger mit dem gleichen Branding? Aus welcher Wallet-Cluster-Familie kommen die Zahlungsadressen? Welche Taktiken und Sprachmuster sind aus früheren Verhandlungen bekannt?

Diese Einschätzung ist kein Bauchgefühl, sondern Ergebnis kontinuierlicher Threat-Intelligence-Arbeit: Beobachtung der Leak-Sites, Affiliate-Aktivität, Chat-Sprachmuster, Wallet-Cluster-Analyse, Auswertung geleakter Chat-Protokolle (Conti 2022, Black Basta 2025). Sie ist die wichtigste Entscheidungsgrundlage, ob eine Zahlung überhaupt einen Sinn ergibt – und falls ja, in welcher Größenordnung.

Was das für die Praxis heißt

• Eine „saubere" Wiederherstellung aus Backups schließt die Datenleak-Drohung nicht ab.
• Die Entscheidung „zahlen?" ist bei reiner Datenerpressung härter als bei Verschlüsselung, weil das Risiko der Veröffentlichung trotz Zahlung real bleibt.
• Bei besonders sensiblen Datentypen (Geschäftsgeheimnisse, Patente, Rezepturen, Patientendaten, Personalakten) sollte parallel zu jeder Verhandlung eine vorbereitete Krisenkommunikation, Aufsichts- und Datenschutzbehörden-Information laufen – siehe Compliance & Meldepflichten und unseren Beitrag zu Meldepflichten nach Cyberangriff.
• Selbst wenn gezahlt wird: Nicht annehmen, dass die Daten wirklich gelöscht sind. Monitoring der Leak-Sites und Vorbereitung der Krisenkommunikation müssen über mindestens 12 Monate weiterlaufen.

Threat-Intelligence vor jeder Zahlungsentscheidung: Wir gleichen die identifizierte Gruppe gegen aktuelle Threat-Intelligence ab – Track-Record bei vergleichbaren Fällen, dokumentierte Wortbrüche, aktive Splitter unter altem Namen. Diese Einschätzung gehört vor jede Zahlungsentscheidung, nicht danach. Hotline 0800 - 292 37 24 oder Kontaktformular.

Wer verhandelt? Niemals Sie selbst.

Die wichtigste Regel zuerst: Verhandeln Sie niemals selbst. Jede Antwort, die Sie aus dem Affekt schreiben, ist Teil der späteren forensischen Akte und der Verhandlungshistorie. Erfahrene Ransomware-Verhandler arbeiten mit klar definierten Rollen:

• Verhandlungsführung (Lead Negotiator): Schreibt jede einzelne Nachricht, oft mit forensisch-linguistischem Hintergrund.
• Krypto-/Blockchain-Analyst: Prüft Wallet-Adressen, Sanktionslisten, Geldfluss-Indikatoren.
• Spezialisierte Rechtsanwaltskanzlei: Sichert Sanktionscheck, Meldepflichten und Versicherungsanforderungen ab (nicht durch den IT-Dienstleister abgedeckt).
• Geschäftsleitung des Opfers: Trifft die Entscheidung – nach Vorbereitung der Optionen, nicht im Chat mit den Tätern.
• Cyber-Versicherer / Broker: Wird informiert, weil Deckungsfragen sonst nachträglich verweigert werden.

Eigenständige Kommunikation mit den Tätern führt regelmäßig zu drei Effekten: unfreiwillige Preisgabe der Zahlungsfähigkeit, emotionale Eskalation, und Verlust jeglicher späteren Verhandlungsmasse. Aus den geleakten Conti-Chat-Protokollen (Februar 2022) und den Black-Basta-Chat-Logs (11. Februar 2025, „ExploitWhispers"-Leak) ist gut dokumentiert, wie systematisch die Gruppen Opfer ohne Berater profilieren – und wie deutlich Forderungen bei unprofessioneller Antwort steigen.

Wir koordinieren für Sie – 24/7: Das Cybernotfall24-Team übernimmt die vollständige technische und kommunikative Koordination mit der Gegenseite – inklusive Sanktionscheck, Beweissicherung und Abstimmung mit Versicherung und Strafverfolgungsbehörden. Die rechtliche Bewertung erfolgt in Abstimmung mit Ihrer Rechtsanwaltskanzlei. Hotline 0800 - 292 37 24 oder über das Kontaktformular.

Verhandlungsstrategien: Was in der Praxis funktioniert

Professionelle Verhandlungsstrategien in Ransomware-Fällen unterscheiden sich deutlich von klassischen Wirtschaftsverhandlungen, weil die Parteien asymmetrisch sind: Die Gegenseite hat Zeit, Routine und ein professionalisiertes Geschäftsmodell. Das Ziel ist nie nur Preisreduktion, sondern eine kontrollierte Steuerung des Gesamtrisikos.

Bewährte Taktiken in der Verhandlungsführung

1. Verzögerung als Werkzeug: Bewusste Antwortverzögerungen (24–72 h) erhöhen den Anreiz der Gegenseite zur Einigung. Parallel laufen Wiederherstellung und Forensik weiter.
2. Proof of Decryption einfordern: Vor jeder Zahlung müssen 2–3 zufällig ausgewählte Dateien funktionierend entschlüsselt werden. Ohne Proof of Life: kein Verhandlungsergebnis.
3. Zahlungsfähigkeit nicht offenlegen: Branchen-Recherche, Umsatzangaben und Versicherungssumme werden bei den Tätern als Verhandlungsbasis genutzt. Schweigen ist hier Strategie.
4. Discount-Anker setzen: Erfahrene Verhandler beginnen typischerweise im unteren einstelligen Prozentbereich der ursprünglichen Forderungen. Realistisches Verhandlungsergebnis liegt nach Coveware-Daten für 2024 im Median deutlich unter 10 % der Initialforderung – konkrete Spannen sind aber stark fallabhängig.
5. Persönliche Eskalation vermeiden: Drohungen, Beleidigungen oder Berufung auf Strafverfolgung erhöhen die Forderung – sie verhindern Kompromisse nicht.
6. Klare Sprache, knappe Sätze: Lange Texte verraten Stress und Verhandlungspartner-Profil. Profis kommunizieren in 2–3 Zeilen pro Nachricht.
7. Doppelte Drohkulisse adressieren: Bei Double Extortion muss separat verhandelt werden – einmal für den Decryptor, einmal für die Löschung gestohlener Daten. Letzteres ist faktisch nie verifizierbar.

Was Verhandlungen zerstört

• Sofortige Annahme der ersten Forderung („Wir zahlen sofort"). Signalisiert hohe Zahlungsbereitschaft → Anschlussforderungen.
• Drohung mit Polizei. Hat keinen Effekt auf international agierende Cyberkriminelle, eskaliert aber den Ton.
• Zahlungsangebote in Euro oder USD. Die Gegenseite akzeptiert ausschließlich Krypto, primär BTC oder XMR.
• Mehrere Verhandlungskanäle gleichzeitig (IT-Leiter, Geschäftsführer, Anwalt schreiben unabhängig). Die Täter spielen die Kanäle gegeneinander aus.
• Öffentliche Kommunikation während der Verhandlung. Pressemitteilungen erhöhen den Druck auf die Opferseite, nicht auf die Täter.

Jede Stunde verschiebt das Kräfteverhältnis: Je früher ein erfahrenes Team in die Kommunikation einsteigt, desto stärker die spätere Verhandlungsposition. Wenn Ihr Unternehmen aktuell mit einer Forderung konfrontiert ist: 0800 - 292 37 24 – 24/7, kostenfreie Ersteinschätzung. Wir steuern den Chat, Sie behalten die Kontrolle über die Entscheidung.

Vorbereitung: Was vor der ersten Nachricht passieren muss

Eine erfolgreiche Verhandlung beginnt nicht mit der ersten Antwort, sondern mit einer strukturierten Vorbereitung. Folgende Schritte sind in den ersten 6–12 Stunden nach Erkennen des Angriffs zwingend abzuarbeiten – idealerweise parallel von verschiedenen Teams:

• Ransomware-Familie identifiziert (über Ransom-Note, Dateierweiterung; Abgleich mit unserer Ransomware-Gruppen-Übersicht)
• Backups physisch und logisch isoliert geprüft – sind sie intakt und sauber?
• Vorhandene Decryption-Tools recherchiert (No More Ransom, Forschungs-Repos)
• Umfang der Datenexfiltration geschätzt (Netzwerk-Logs, ungewöhnliche Outbound-Trafficvolumina)
• Sanktionsliste-Check für die identifizierte Gruppe durchgeführt
• Cyber-Versicherung informiert, Anforderungen geklärt
• Meldepflichten geprüft – Übersicht unter Meldepflichten nach Cyberangriff und NIS2-Richtlinie für Unternehmen
• Beweissicherung gestartet (siehe IT-Forensik)
• Krisenkommunikation intern abgestimmt – kein unkoordiniertes Mitarbeiter-Briefing
• Rolle des Verhandlungsführers festgelegt – eine Stimme nach außen

Diese Vorbereitung verhindert die typischen Fehlentscheidungen, die wir in den ersten Tagen nach einem Angriff regelmäßig sehen: voreilige Kommunikation, übereilte Zahlung, unkoordinierte interne Statements oder unbedachte Löschung von Beweismitteln. Eine Übersicht der allgemeinen Sofortmaßnahmen finden Sie in unserer Erste-Hilfe-Checkliste.

Vorbereitung übernehmen lassen: Die obige Checkliste lässt sich in den ersten Stunden eines Vorfalls realistisch nicht allein durch die interne IT abarbeiten – dafür laufen zu viele Stränge parallel. Das Cybernotfall24-Team übernimmt die strukturierte Vorbereitung: Identifikation, Sanktionscheck, Backup-Validierung, Beweissicherung. Hotline 0800 - 292 37 24 oder Kontaktformular – Rückmeldung innerhalb von 20 Minuten.

Vergleich: Mit Verhandlungsführung vs. ohne

Die zweite Spalte ist kein Marketing-Versprechen, sondern entspricht den dokumentierten Erfahrungswerten spezialisierter DFIR-Anbieter wie Coveware, Mandiant/Google Cloud, GroupIB und Arete – sowie unseren eigenen Fällen bei Cybernotfall24. Wie das in einem konkreten deutschen Fall aussieht, zeigt unsere Fallstudie Maschinenbau.

Nach der Einigung – wenn gezahlt wurde, was dann?

Eine vermeintliche Einigung ist nicht das Ende der Verhandlung, sondern ein neuer Risikoabschnitt. Grundsätzlich gilt: Auch nach Zahlung übernimmt niemand Garantien.

• Der Decryptor funktioniert in der Praxis nur teilweise – Erfahrungswerte: 60–90 % der Daten lassen sich tatsächlich entschlüsseln, der Rest ist beschädigt. Lücken werden über klassische Datenrettung geschlossen.
• Die Zusage, exfiltrierte Daten zu „löschen", ist technisch nicht verifizierbar. Die Aufnahme einer Gruppe in eine Leak-Site kann auch nach Zahlung erfolgen.
• Forensische Aufarbeitung muss in jedem Fall passieren – die Täter haben oft persistente Zugänge hinterlassen (Backdoors, neue Admin-Accounts, OAuth-Token). Die anschließende Härtung des Active Directory deckt unser Bereich AD-Protection ab.
• Meldepflichten entfallen durch die Zahlung nicht. DSGVO-Meldung (Art. 33 DSGVO – 72-Stunden-Frist), NIS2-Meldung und ggf. Anzeige beim BKA bleiben bestehen – Details unter Compliance & Meldepflichten.
• Eine Strafanzeige ist auch bei erfolgter Zahlung dringend empfohlen – die Erkenntnisse fließen in BKA-, Europol- und FBI-Verfahren ein und können langfristig anderen Unternehmen helfen.

Häufig gestellte Fragen (FAQ)

Ist es in Deutschland verboten, Lösegeld zu zahlen?

Nein – ein generelles Verbot existiert nicht. Eine Zahlung kann jedoch strafbar werden, wenn der Empfänger auf einer Sanktionsliste steht (EU, OFAC, UK), wenn sie als Unterstützung einer kriminellen oder terroristischen Vereinigung in Betracht kommt (§§ 129 ff. StGB) oder gegen geldwäscherechtliche Vorschriften verstößt. BSI und BKA raten klar von Zahlungen ab.

Wer entscheidet im Unternehmen über die Zahlung?

Rechtlich die Geschäftsleitung – mit Sorgfaltspflicht nach § 43 GmbHG / § 93 AktG. Praktisch muss die Entscheidung dokumentiert auf Grundlage einer professionellen Risikoanalyse erfolgen, sonst drohen Haftungsrisiken und Versicherungs-Verweigerung.

Wie hoch sind durchschnittliche Lösegeldforderungen?

Die Forderungen variieren extrem nach Branche und Unternehmensgröße. Im deutschen Mittelstand liegen erste Forderungen typischerweise zwischen 100.000 € und mehreren Millionen Euro. Laut Coveware lag die tatsächlich gezahlte Median-Summe in Q4 2024 bei rund 110.000 US-Dollar – also deutlich unter der ursprünglichen Forderung.

Wie lange dauert eine Verhandlung?

Zwischen drei und 21 Tagen. Zu schnelle Einigungen sind verdächtig – sie signalisieren entweder hohe Zahlungsbereitschaft oder mangelnde Verhandlungserfahrung. Erfahrene Verhandler nutzen Zeit gezielt als Hebel.

Was ist Double Extortion – und warum verändert es die Verhandlung?

Bei Double Extortion verschlüsseln die Täter nicht nur, sondern stehlen vorher Daten. Selbst wenn Sie über Backups verfügen, bleibt die Drohung der Veröffentlichung. Die Verhandlung muss dann zwei Punkte adressieren – Decryptor und Datenlöschung – wobei letztere praktisch nie überprüfbar ist. Vertiefend: Datenleck und Hack – was tun?.

Greift unsere Cyber-Versicherung die Lösegeldzahlung ab?

Das hängt vom Vertrag ab. Viele Policen decken Verhandlung, Krisenkommunikation und Forensik – die eigentliche Zahlung aber zunehmend nur unter strengen Bedingungen (Sanktionscheck, externe Verhandlungsführung, Anzeige). Sprechen Sie vor dem Angriff mit Ihrem Versicherungsmakler.

Was sagen Behörden und Strafverfolger?

BSI, BKA, ENISA und Europol raten einheitlich von Lösegeldzahlungen ab. Das BSI begründet das mit drei Argumenten: keine Erfolgsgarantie, Finanzierung weiterer Angriffe, hohes Risiko von Wiederholungsangriffen. Eine Strafanzeige sollte in jedem Fall erfolgen – unabhängig davon, ob gezahlt wurde.

Wir haben Backups – brauchen wir trotzdem eine Verhandlung?

Bei reiner Verschlüsselung: oft nein. Bei Double Extortion mit gestohlenen sensiblen Daten kann eine begleitete Kommunikation mit der Gegenseite sinnvoll sein – nicht zwingend mit Zahlungsabsicht, sondern um Zeit zu gewinnen, das Schadensbild zu klären und die Veröffentlichung hinauszuzögern, bis interne Krisenmaßnahmen greifen.

Kann das Bitcoin-Lösegeld zurückverfolgt werden?

Ja, in vielen Fällen. Blockchain-Analyse (Chainalysis, TRM Labs, Elliptic) hat sich erheblich weiterentwickelt. FBI, Europol und BKA haben in den vergangenen Jahren mehrfach Lösegelder beschlagnahmt. Monero (XMR) ist deutlich schwerer nachverfolgbar – aber für die Täter aufwendiger zu verarbeiten.

Sind manche Ransomware-Gruppen "verlässlicher" als andere?

In einem rein operativen Sinn: ja – einige Gruppen agieren mit konsistentem Reputationsmanagement, weil ihr Geschäftsmodell davon abhängt. Andere haben Daten trotz Zahlung veröffentlicht, Folgeforderungen gestellt oder ihre eigenen Affiliates betrogen (Exit Scam). „Verlässlich" bedeutet hier ausschließlich statistischen Track Record, keine moralische Aussage. Die Einschätzung ändert sich monatlich – nach Strafverfolgungsaktionen, internen Leaks (Conti 2022, Black Basta 2025) oder Rebranding. Nur eine aktuelle Threat-Intelligence-Einschätzung beantwortet die Frage für den konkreten Fall.

Welche Strafnormen sind bei einem Ransomware-Angriff einschlägig?

Für die Angreifer: insbesondere § 253 StGB (Erpressung), § 303a StGB (Datenveränderung) und § 303b StGB (Computersabotage); je nach Tatbild zusätzlich § 202a StGB (Ausspähen von Daten). § 255 StGB (räuberische Erpressung) ist bei reiner Datenverschlüsselung typischerweise nicht einschlägig, weil keine Gewalt gegen eine Person oder Drohung gegen Leib und Leben vorliegt.

Weiterführende Informationen

• Was tun bei einem Ransomware-Angriff – Erste-Hilfe-Checkliste
• Ransomware-Gruppen im Überblick
• Fallstudie Maschinenbau: 3,5 Tage zur Wiederherstellung
• Fallstudie Datenexfiltration im Technologiesektor
• Datenleck und Hack – was tun?
• Meldepflichten nach einem Cyberangriff
• NIS2-Richtlinie für Unternehmen
• Ransomware-Hilfe – Entschlüsselung & Datenrettung
• IT-Forensik nach Cyberangriff
• Datenrettung
• AD-Protection – Active Directory Härtung
• Compliance & Meldepflichten
• Cyberangriff-Soforthilfe
• Notfall-Hotline

Fazit: Verhandeln ist eine Disziplin – keine Spontanentscheidung

Eine Lösegeldverhandlung mit einer professionellen Ransomware-Gruppe ist kein Kompromiss zwischen zwei gleichstarken Parteien. Sie ist eine asymmetrische Auseinandersetzung mit organisierten Kriminellen, in der jede Nachricht, jede Geste und jede Verzögerung Konsequenzen hat – juristisch, finanziell, reputativ. Die zentrale Erkenntnis aus hunderten Fällen: Unternehmen, die strukturiert vorbereitet sind und die Verhandlungsführung vom ersten Moment an in erfahrene Hände geben, kommen in der Regel mit deutlich geringerem Schaden aus dem Vorfall – und in den meisten Fällen ganz ohne Zahlung.

Wenn Sie aktuell betroffen sind oder die Möglichkeit eines Vorfalls für Ihr Unternehmen realistisch einschätzen wollen: 0800 - 292 37 24 ist 24/7 erreichbar. Erstgespräch und Ersteinschätzung sind kostenfrei und vertraulich. Alternativ erreichen Sie uns über das Kontaktformular – wir melden uns innerhalb von 20 Minuten zurück.