Online-Erpressung ist eine Angriffsmethode, bei der Cyberkriminelle Unternehmen oder Privatpersonen digital bedrohen, um etwa mithilfe von Ransomware, gestohlenen Daten oder angedrohten DDoS-Angriffen Geldzahlungen oder andere Leistungen, teilweise unter Zeitdruck, zu erzwingen.
Auf einen Blick
Als Synonym für den Begriff wird auch digitale Erpressung verwendet.
Bei einer Double-Extortion-Kampagne kombinieren Angreifer die Verschlüsselung durch Ransomware mit dem Diebstahl von Daten und der Drohung, diese zu veröffentlichen.
Bereits die reine Ankündigung eines DDoS-Angriffs kann eine Zahlung erzwingen, ohne dass der Angriff tatsächlich stattfindet.
Was ist Online-Erpressung?
Online-Erpressung bezeichnet eine Angriffsmethode, bei der Cyberkriminelle Unternehmen oder Privatpersonen digital bedrohen, um Geldzahlungen oder andere Leistungen zu erzwingen. Zu den Mitteln zählen Ransomware, die Systeme oder Daten verschlüsselt, der Diebstahl sensibler Daten mit anschließender Veröffentlichungsdrohung sowie die Androhung oder Durchführung von DDoS-Angriffen. Für die Entschlüsselung wird laut Polizeilicher Kriminalprävention in vielen Fällen ein Lösegeld in Kryptowährungen wie Bitcoin gefordert. Teilweise werden mehrere Druckmittel innerhalb derselben Kampagne kombiniert; die Verbindung von Datenverschlüsselung durch Ransomware mit der Drohung, erbeutete Daten zu veröffentlichen, wird als Double Extortion bezeichnet. Der Hebel liegt bei Online-Erpressung in der tatsächlichen oder angedrohten Einwirkung auf Systeme oder Daten.
Für einen Versicherer kann auch die Erreichbarkeit von Kundenportal oder Antragsstrecke zum Druckmittel werden, wenn Angreifer mit einem DDoS-Angriff drohen, sollte keine Zahlung erfolgen. Ob ein solcher Angriff den Betrieb tatsächlich beeinträchtigt, hängt unter anderem von vorhandenen Schutzmaßnahmen wie DDoS-Mitigation und Lastverteilung ab; eine bloße Ankündigung ohne technische Umsetzung verursacht dagegen keinen Ausfall.
Wie funktioniert Online-Erpressung?
Online-Erpressung funktioniert, indem Angreifer über eines von mehreren Mitteln Druck auf das Opfer aufbauen und anschließend eine Zahlung fordern, um den angedrohten oder bereits eingetretenen Schaden abzuwenden. Bei Ransomware verschlüsseln die Täter Systeme oder Daten und bieten gegen Zahlung einen Entschlüsselungsschlüssel an. Beim Datendiebstahl drohen sie mit der Veröffentlichung erbeuteter Informationen, etwa auf einer Leak-Seite im Darknet, und können damit auf den drohenden Reputationsschaden als Hebel setzen. Bei DDoS-Erpressung überlasten die Angreifer Systeme mit Datenverkehr oder kündigen einen solchen Angriff lediglich an, um allein durch die Drohung eine Zahlung zu erzwingen.
Manche Kampagnen verbinden mehrere dieser Mittel, etwa Datendiebstahl und Ransomware-Verschlüsselung, um den Druck auf das Opfer zusätzlich zu erhöhen. Ob eine Zahlung den angedrohten Schaden tatsächlich abwendet, ist dabei nicht garantiert, da die Täter sich nicht an eigene Ankündigungen halten müssen.
Woran erkenne ich Online-Erpressung?
| Signal | Woran erkennbar |
|---|---|
| Erpresserschreiben mit Fristsetzung | Nachricht per E-Mail, Popup oder Brief fordert eine Zahlung innerhalb einer genannten Frist |
| Drohung mit Datenveröffentlichung | Angreifer nennen teilweise konkrete Dateinamen oder Datenkategorien als Beweis für den behaupteten Zugriff |
| Angekündigter oder laufender DDoS-Angriff | Website oder Kundenportal wird kurzzeitig unerreichbar, begleitet von einer Zahlungsforderung |
| Zahlungsaufforderung in Kryptowährung | Anweisung zur Zahlung in Bitcoin oder einer vergleichbaren Kryptowährung an eine genannte Wallet-Adresse |
Schutz im Ernstfall
Vorbeugen
- Getrennt gelagerte Backups einrichten, um verschlüsselte Daten nach einem Ransomware-Angriff auch ohne Lösegeldzahlung wiederherstellen zu können.
- Sensible Daten verschlüsseln und Zugriffsrechte konsequent nach dem Prinzip der minimalen Berechtigung vergeben.
- DDoS-Schutzmaßnahmen wie Lastverteilung und Mitigation-Dienste für kritische Systeme wie Kundenportale einplanen.
Was tun im Ernstfall
- Keine Zahlung leisten und den Vorfall dokumentieren.
- Anzeige bei der Polizei erstatten.
- Betroffene Systeme isolieren und mit IT-Sicherheitsdienstleistern oder CERT-Stellen den Umfang des Zugriffs klären.
Beispiele aus der Praxis
- Ein Krankenhausbetreiber wird nach einer Ransomware-Infektion aufgefordert, einen Betrag in Bitcoin zu zahlen, um wieder Zugriff auf verschlüsselte Patientendaten zu erhalten.
- Ein Online-Händler erhält eine Nachricht, in der ein DDoS-Angriff auf seinen Shop angedroht wird, sofern er nicht innerhalb von 24 Stunden eine Schutzgebühr überweist.
- Nach einem Einbruch in die Unternehmensinfrastruktur drohen Angreifer, gestohlene Mitarbeiterdaten zu veröffentlichen, und kombinieren so Datendiebstahl mit Erpressung.
- Droht eine Angreifergruppe einem Versicherer mit einem DDoS-Angriff auf Kundenportal und Antragsstrecke, kann bereits die Ankündigung ausreichen, um eine Zahlung zu erzwingen, ohne dass ein Angriff tatsächlich stattfindet.
Die Varianten im Detail (10)
Cyber-Erpresserbande Cyber-Erpresserbande bezeichnet eine kriminelle Gruppe, die Unternehmen oder Personen mit digitalen Mitteln erpresst.
Solche Gruppen arbeiten oft arbeitsteilig, etwa mit Entwicklern, Verhandlern und Geldwäschern, und betreiben Erpressung wie ein Geschäft. Gemeint sind die Täter, nicht die Tat.
Cyber-Erpressung Cyber-Erpressung ist eine andere Bezeichnung für Online-Erpressung, also Erpressung mit digitalen Mitteln.
Der Begriff betont die digitale Tatbegehung und wird für Ransomware, Datendiebstahl mit Veröffentlichungsdrohung oder DDoS-Drohungen gleichermaßen verwendet. Er ist inhaltlich deckungsgleich und im allgemeinen Sprachgebrauch üblich.
Cyber-Sextortion Cyber-Sextortion ist eine Erpressung, bei der mit der Veröffentlichung intimer Bilder oder Videos gedroht wird.
Die Täter verlangen Geld oder weitere Aufnahmen, andernfalls drohen sie, das Material an Kontakte zu senden oder zu veröffentlichen. Der Druck entsteht durch Scham und Angst vor Bloßstellung.
DDoS-Erpressung DDoS-Erpressung ist eine Erpressung, bei der mit einem Überlastungsangriff auf Dienste oder Webseiten gedroht wird.
Die Täter fordern Zahlung, damit der Angriff ausbleibt oder endet. Betroffen sind vor allem Organisationen, deren Erreichbarkeit geschäftskritisch ist, weil schon die Drohung Druck erzeugt.
Erpresser-E-Mail Erpresser-E-Mail ist eine Nachricht, die Empfänger mit Drohungen zu einer Zahlung oder Handlung drängen will.
Typisch sind angebliche Kenntnisse über Geheimnisse, Zugangsdaten oder Aufnahmen des Empfängers. Häufig wird die Mail massenhaft verschickt, ohne dass die behaupteten Informationen tatsächlich vorliegen.
Erpressungskampagne Erpressungskampagne bezeichnet eine koordinierte Serie von Erpressungsversuchen gegen viele Ziele nach gleichem Muster.
Täter versenden etwa Drohmails oder Forderungen in großem Umfang oder greifen mehrere Organisationen nacheinander an. Der Begriff beschreibt den organisierten, wiederholten Charakter, nicht eine bestimmte Technik.
Fake-Sextortion Fake-Sextortion ist eine Betrugsmasche, die intimes Belastungsmaterial lediglich behauptet, um Zahlungen zu erpressen.
Die Mails behaupten, der Empfänger sei beim Betrachten bestimmter Inhalte aufgezeichnet worden, ohne dass solche Aufnahmen existieren. Der Bluff setzt auf Verunsicherung und Scham.
Geldwäsche-Netzwerk Geldwäsche-Netzwerk ist ein Geflecht aus Personen und Konten, das erpresste Zahlungen verschleiert und weiterleitet.
Erlöse aus Lösegeldern gelangen über Zwischenkonten, Dienste und Kryptowährungen zurück in den regulären Kreislauf. Das Netzwerk gehört zum Umfeld der Täter, ist aber kein Erpressungsverfahren selbst.
Krypto-Erpressung Krypto-Erpressung ist eine Erpressung, bei der die Zahlung in Kryptowährung verlangt wird.
Kryptowährungen erleichtern den Tätern anonyme, grenzüberschreitende Zahlungen, weshalb sie bei Ransomware und anderen Erpressungsformen als Zahlungsmittel gefordert werden. Der Begriff nennt das Zahlungsmittel, nicht die Methode.
Lösegeldfreie Erpressung Lösegeldfreie Erpressung ist eine Erpressungsform ohne Verschlüsselung, bei der nur mit Veröffentlichung gedroht wird.
Die Täter entwenden Daten und drohen mit deren Veröffentlichung, ohne Systeme zu sperren. Der Druck beruht auf dem Reputations- und Datenschutzrisiko statt auf einem Ausfall der Systeme.
Häufiger Irrtum
Mythos „Eine Zahlung an die Erpresser wird als sichere Möglichkeit angesehen, den angedrohten Schaden abzuwenden.“
Richtig Weder die Rückgabe oder Löschung gestohlener Daten noch das Ausbleiben eines DDoS-Angriffs sind nach einer Zahlung garantiert, da Angreifer sich nicht an eigene Zusagen halten müssen.
