Eine Lösegeldforderung ist eine Nachricht oder Datei, die Ransomware im Zuge des Verschlüsselns von Daten oder des Sperrens des Systems hinterlässt und je nach Ransomware-Familie Zahlungssumme und Zahlungsweg oder nur einen Kontaktweg der Angreifer nennt.
Auf einen Blick
LockBit 3.0 legt die Lösegeldforderung als Textdatei ab, deren Dateiname aus einer Ransomware-ID und dem Zusatz „README.txt“ besteht.
Enthält die Nachricht zusätzlich eine Veröffentlichungsdrohung für gestohlene Daten, handelt es sich um doppelte Erpressung.
Bei aktuellen Ransomware-Angriffen wird das Lösegeld laut BSI meist in virtueller Währung wie Bitcoin verlangt.
Was ist Lösegeldforderung?
Eine Lösegeldforderung ist die Nachricht oder Datei, die Ransomware im Zuge des Verschlüsselns der Daten oder des Sperrens des Systems hinterlässt. Sie enthält die Instruktionen der Angreifer; je nach Ransomware-Familie nennt sie die geforderte Summe und den Zahlungsweg oder lediglich eine Kontaktadresse oder einen Link. Als Artefakt macht die Lösegeldforderung die konkrete Erpressungsforderung für das Opfer sichtbar und nennt je nach Ransomware-Familie Zahlungs- oder Kontaktinformationen. Die Zahlung bietet laut BSI allerdings keinerlei Garantie für die Freigabe verschlüsselter Daten oder gesperrter Systeme.
Wurden Kundendaten gestohlen und droht die Forderung mit deren Veröffentlichung, ist für einen Versicherer neben der Verfügbarkeit der blockierten Systeme zusätzlich die Vertraulichkeit von Kundendaten betroffen. Diese Form der doppelten Erpressung erweitert den Schaden über den reinen Betriebsausfall hinaus, da personenbezogene Daten betroffen sein können. Für die Bewertung eines Schadenfalls ist deshalb nicht nur der technische Ausfall der Systeme relevant, sondern auch, welche Daten tatsächlich abgeflossen sind und welche Kunden davon betroffen sein können.
Wie funktioniert Lösegeldforderung?
Wann die Ransomware die Lösegeldforderung erzeugt, hängt von der Ransomware-Familie ab; LockBit 3.0 etwa legt sie ab, nachdem die Dateien verschlüsselt sind. Je nach Ransomware-Familie legt die Schadsoftware die Nachricht etwa als Textdatei ab oder zeigt sie über ein geändertes Hintergrundbild an, damit sie dem Nutzer unmittelbar auffällt. Je nach Ransomware-Familie enthält die Forderung einen Link zu einer Zahlungs- oder Leak-Seite oder andere Kontaktangaben.
Manche Ransomware-Familien benennen die Datei mit der Forderung nach einem festen Muster; LockBit 3.0 etwa stellt dem Zusatz „README.txt“ eine Ransomware-ID voran. Enthält die Forderung zusätzlich eine Drohung zur Veröffentlichung gestohlener Daten, handelt es sich um doppelte Erpressung, bei der die Nachricht sowohl den Verschlüsselungs- als auch den Diebstahlteil des Angriffs abdeckt und damit zwei getrennte Druckmittel in einem Dokument bündelt.
Woran erkenne ich Lösegeldforderung?
| Signal | Woran erkennbar |
|---|---|
| Textdatei oder geändertes Hintergrundbild | Wo und wie die Nachricht erscheint, hängt von der Ransomware-Familie ab – LockBit 3.0 etwa legt eine README-Textdatei ab und ändert das Hintergrundbild. |
| Charakteristischer Dateiname | Bei manchen Familien folgt der Dateiname der Nachricht einem festen Muster – LockBit 3.0 etwa stellt dem Zusatz „README.txt“ eine Ransomware-ID voran. |
| Link oder Kontaktangabe | Die Nachricht verweist je nach Familie auf eine Zahlungs- oder Leak-Seite – bei LockBit 3.0 etwa auf eine Leak-Seite im Tor-Netzwerk – oder nennt andere Kontaktangaben. |
| Fristangabe bei manchen Double-Extortion-Fällen | Bei manchen Double-Extortion-Angriffen nennt die Forderung eine konkrete Frist, bis zu der gestohlene Daten veröffentlicht werden sollen. |
Schutz im Ernstfall
Vorbeugen
- Einen Incident-Response-Plan mit klar benannten Ansprechpartnern für den Umgang mit Lösegeldforderungen vorbereiten.
- Rechtliche Beratung sowie Kontakt zu einem auf Ransomware-Vorfälle spezialisierten Incident-Response-Dienstleister im Vorfeld klären, statt diese erst im Ernstfall zu suchen.
- Interne Richtlinie festlegen, dass niemand ohne Rücksprache mit der Geschäftsleitung eigenständig Kontakt zu den Angreifern aufnimmt.
Was tun im Ernstfall
- Die Forderung als Beweismittel sichern (Screenshot, unveränderte Kopie der Datei) und nicht löschen.
- Vorfall bei der zuständigen Polizeidienststelle anzeigen und prüfen, ob eine Meldepflicht etwa gegenüber dem BSI besteht oder eine freiwillige Meldung sinnvoll ist.
- Kein Lösegeld zahlen, auch nicht unter dem Druck einer in der Forderung gesetzten Frist.
- Betroffene Systeme isolieren. Die Wiederherstellung erst nach Eindämmung und Bereinigung aus geprüften, integren Backups in einer sauberen Umgebung beginnen.
Beispiele aus der Praxis
- Nach einem Ransomware-Angriff auf eine Klinik finden Mitarbeiter auf den verschlüsselten Rechnern eine Textdatei mit Zahlungsanweisungen und einem Link zu einer Zahlungsseite.
- LockBit 3.0 hinterlässt nach der Verschlüsselung eine Lösegeldforderung als README-Textdatei mit einer Ransomware-ID im Dateinamen und ändert zusätzlich Hintergrundbild und Symbole des betroffenen Systems.
- Bei einem Double-Extortion-Angriff kann die Lösegeldforderung neben der Zahlungsaufforderung den Hinweis enthalten, dass gestohlene Kundendaten veröffentlicht werden, falls keine Zahlung erfolgt; für einen Versicherer bedeutet dies zusätzlich zu den blockierten Systemen das Risiko einer Offenlegung von Kundendaten.
Die Varianten im Detail (1)
Ransomware-Lösegeldforderung Ransomware-Lösegeldforderung ist die Zahlungsforderung, die Angreifer im Rahmen eines Ransomware-Angriffs stellen.
Sie kann an verschlüsselte Daten, an die Drohung mit der Veröffentlichung gestohlener Daten oder an beides geknüpft sein. Die Nachricht nennt meist eine Frist, einen Zahlungsweg in Kryptowährung und Kontaktmöglichkeiten.
Häufiger Irrtum
Mythos „Ein Irrtum ist die Annahme, eine schnelle Zahlung der Lösegeldforderung garantiere die Wiederherstellung aller Daten.“
Richtig Tatsächlich garantiert eine Zahlung laut FBI, CISA und MS-ISAC nicht, dass die Dateien wiederhergestellt werden; in dokumentierten Fällen wie LockBit 3.0 ist zusätzlich die Drohung Teil der Forderung, die Daten andernfalls auf einer Leak-Seite zu veröffentlichen.
