{"id":33689,"date":"2026-10-22T17:11:23","date_gmt":"2026-10-22T15:11:23","guid":{"rendered":"https:\/\/msg-life.sk\/glossary\/loesegeldforderung\/"},"modified":"2026-10-26T14:37:50","modified_gmt":"2026-10-26T13:37:50","slug":"loesegeldforderung","status":"publish","type":"glossary_intl","link":"https:\/\/msg-life.sk\/de\/glossar\/cybersecurity\/angriffe-bedrohungen\/loesegeldforderung\/","title":{"rendered":"L\u00f6segeldforderung"},"content":{"rendered":"

Was ist L\u00f6segeldforderung?<\/h2>\n

Eine L\u00f6segeldforderung ist die Nachricht oder Datei, die Ransomware im Zuge des Verschl\u00fcsselns der Daten oder des Sperrens des Systems hinterl\u00e4sst. Sie enth\u00e4lt die Instruktionen der Angreifer; je nach Ransomware-Familie nennt sie die geforderte Summe und den Zahlungsweg oder lediglich eine Kontaktadresse oder einen Link<\/strong>. Als Artefakt macht die L\u00f6segeldforderung die konkrete Erpressungsforderung f\u00fcr das Opfer sichtbar und nennt je nach Ransomware-Familie Zahlungs- oder Kontaktinformationen. Die Zahlung bietet laut BSI allerdings keinerlei Garantie f\u00fcr die Freigabe verschl\u00fcsselter Daten oder gesperrter Systeme.<\/p>\n

Wurden Kundendaten gestohlen und droht die Forderung mit deren Ver\u00f6ffentlichung, ist f\u00fcr einen Versicherer neben der Verf\u00fcgbarkeit der blockierten Systeme zus\u00e4tzlich die Vertraulichkeit von Kundendaten betroffen<\/strong>. Diese Form der doppelten Erpressung erweitert den Schaden \u00fcber den reinen Betriebsausfall hinaus, da personenbezogene Daten betroffen sein k\u00f6nnen. F\u00fcr die Bewertung eines Schadenfalls ist deshalb nicht nur der technische Ausfall der Systeme relevant, sondern auch, welche Daten tats\u00e4chlich abgeflossen sind und welche Kunden davon betroffen sein k\u00f6nnen.<\/p>\n

Wie funktioniert L\u00f6segeldforderung?<\/h2>\n

Wann die Ransomware die L\u00f6segeldforderung erzeugt, h\u00e4ngt von der Ransomware-Familie ab; LockBit 3.0 etwa legt sie ab, nachdem die Dateien verschl\u00fcsselt sind. Je nach Ransomware-Familie legt die Schadsoftware die Nachricht etwa als Textdatei ab oder zeigt sie \u00fcber ein ge\u00e4ndertes Hintergrundbild an, damit sie dem Nutzer unmittelbar auff\u00e4llt. Je nach Ransomware-Familie enth\u00e4lt die Forderung einen Link zu einer Zahlungs- oder Leak-Seite<\/strong> oder andere Kontaktangaben.<\/p>\n

Manche Ransomware-Familien benennen die Datei mit der Forderung nach einem festen Muster; LockBit 3.0 etwa stellt dem Zusatz \u201eREADME.txt\u201c eine Ransomware-ID voran. Enth\u00e4lt die Forderung zus\u00e4tzlich eine Drohung zur Ver\u00f6ffentlichung gestohlener Daten<\/strong>, handelt es sich um doppelte Erpressung, bei der die Nachricht sowohl den Verschl\u00fcsselungs- als auch den Diebstahlteil des Angriffs abdeckt und damit zwei getrennte Druckmittel in einem Dokument b\u00fcndelt.<\/p>\n

Woran erkenne ich L\u00f6segeldforderung?<\/h2>\n\n\n\n\n\n\n\n\n
Signal<\/th>\nWoran erkennbar<\/th>\n<\/tr>\n<\/thead>\n
Textdatei oder ge\u00e4ndertes Hintergrundbild<\/td>\nWo und wie die Nachricht erscheint, h\u00e4ngt von der Ransomware-Familie ab \u2013 LockBit 3.0 etwa legt eine README-Textdatei ab und \u00e4ndert das Hintergrundbild.<\/td>\n<\/tr>\n
Charakteristischer Dateiname<\/td>\nBei manchen Familien folgt der Dateiname der Nachricht einem festen Muster \u2013 LockBit 3.0 etwa stellt dem Zusatz \u201eREADME.txt\u201c eine Ransomware-ID voran.<\/td>\n<\/tr>\n
Link oder Kontaktangabe<\/td>\nDie Nachricht verweist je nach Familie auf eine Zahlungs- oder Leak-Seite \u2013 bei LockBit 3.0 etwa auf eine Leak-Seite im Tor-Netzwerk \u2013 oder nennt andere Kontaktangaben.<\/td>\n<\/tr>\n
Fristangabe bei manchen Double-Extortion-F\u00e4llen<\/td>\nBei manchen Double-Extortion-Angriffen nennt die Forderung eine konkrete Frist, bis zu der gestohlene Daten ver\u00f6ffentlicht werden sollen.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Schutz im Ernstfall<\/h2>\n

Vorbeugen<\/h3>\n
    \n
  • Einen Incident-Response-Plan mit klar benannten Ansprechpartnern f\u00fcr den Umgang mit L\u00f6segeldforderungen vorbereiten.<\/li>\n
  • Rechtliche Beratung sowie Kontakt zu einem auf Ransomware-Vorf\u00e4lle spezialisierten Incident-Response-Dienstleister im Vorfeld kl\u00e4ren, statt diese erst im Ernstfall zu suchen.<\/li>\n
  • Interne Richtlinie festlegen, dass niemand ohne R\u00fccksprache mit der Gesch\u00e4ftsleitung eigenst\u00e4ndig Kontakt zu den Angreifern aufnimmt.<\/li>\n<\/ul>\n

    Was tun im Ernstfall<\/h3>\n
      \n
    • Die Forderung als Beweismittel sichern (Screenshot, unver\u00e4nderte Kopie der Datei) und nicht l\u00f6schen.<\/li>\n
    • Vorfall bei der zust\u00e4ndigen Polizeidienststelle anzeigen und pr\u00fcfen, ob eine Meldepflicht etwa gegen\u00fcber dem BSI besteht oder eine freiwillige Meldung sinnvoll ist.<\/li>\n
    • Kein L\u00f6segeld zahlen, auch nicht unter dem Druck einer in der Forderung gesetzten Frist.<\/li>\n
    • Betroffene Systeme isolieren. Die Wiederherstellung erst nach Eind\u00e4mmung und Bereinigung aus gepr\u00fcften, integren Backups in einer sauberen Umgebung beginnen.<\/li>\n<\/ul>\n

      KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,399],"class_list":["post-33689","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-ransomware"],"acf":{"card_description":"L\u00f6segeldforderung bezeichnet die Erpressernachricht, die nach einem Ransomware-Angriff auf dem betroffenen System erscheint.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Ransomware","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Eine L\u00f6segeldforderung ist eine Nachricht oder Datei, die Ransomware im Zuge des Verschl\u00fcsselns von Daten oder des Sperrens des Systems hinterl\u00e4sst und je nach Ransomware-Familie Zahlungssumme und Zahlungsweg oder nur einen Kontaktweg der Angreifer nennt.","at_a_glance":[{"bullet":"LockBit 3.0 legt die L\u00f6segeldforderung als Textdatei ab, deren Dateiname aus einer Ransomware-ID und dem Zusatz \u201eREADME.txt\u201c besteht."},{"bullet":"Enth\u00e4lt die Nachricht zus\u00e4tzlich eine Ver\u00f6ffentlichungsdrohung f\u00fcr gestohlene Daten, handelt es sich um doppelte Erpressung."},{"bullet":"Bei aktuellen Ransomware-Angriffen wird das L\u00f6segeld laut BSI meist in virtueller W\u00e4hrung wie Bitcoin verlangt."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Nach einem Ransomware-Angriff auf eine Klinik finden Mitarbeiter auf den verschl\u00fcsselten Rechnern eine Textdatei mit Zahlungsanweisungen und einem Link zu einer Zahlungsseite."},{"example":"LockBit 3.0 hinterl\u00e4sst nach der Verschl\u00fcsselung eine L\u00f6segeldforderung als README-Textdatei mit einer Ransomware-ID im Dateinamen und \u00e4ndert zus\u00e4tzlich Hintergrundbild und Symbole des betroffenen Systems."},{"example":"Bei einem Double-Extortion-Angriff kann die L\u00f6segeldforderung neben der Zahlungsaufforderung den Hinweis enthalten, dass gestohlene Kundendaten ver\u00f6ffentlicht werden, falls keine Zahlung erfolgt; f\u00fcr einen Versicherer bedeutet dies zus\u00e4tzlich zu den blockierten Systemen das Risiko einer Offenlegung von Kundendaten."}],"misconception":[{"myth":"Ein Irrtum ist die Annahme, eine schnelle Zahlung der L\u00f6segeldforderung garantiere die Wiederherstellung aller Daten.","reality":"Tats\u00e4chlich garantiert eine Zahlung laut FBI, CISA und MS-ISAC nicht, dass die Dateien wiederhergestellt werden; in dokumentierten F\u00e4llen wie LockBit 3.0 ist zus\u00e4tzlich die Drohung Teil der Forderung, die Daten andernfalls auf einer Leak-Seite zu ver\u00f6ffentlichen."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Ransomware-L\u00f6segeldforderung","inline_description":"Ransomware-L\u00f6segeldforderung ist die Zahlungsforderung, die Angreifer im Rahmen eines Ransomware-Angriffs stellen.","description":"Sie kann an verschl\u00fcsselte Daten, an die Drohung mit der Ver\u00f6ffentlichung gestohlener Daten oder an beides gekn\u00fcpft sein. Die Nachricht nennt meist eine Frist, einen Zahlungsweg in Kryptow\u00e4hrung und Kontaktm\u00f6glichkeiten.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33690,33700,33697,33687,33675,33665,33710,33669],"pillar_link":null,"sources":[{"publisher":"","name":"#StopRansomware: LockBit 3.0","url":"https:\/\/www.ic3.gov\/CSA\/2023\/230316.pdf","doc_type":"2023","group":"used"},{"publisher":"","name":"Ich muss oder m\u00f6chte einen IT-Sicherheitsvorfall melden.","url":"https:\/\/www.bsi.bund.de\/DE\/IT-Sicherheitsvorfall\/Kritische-Infrastrukturen-und-meldepflichtige-Unternehmen\/Ich-muss-oder-moechte-einen-IT-Sicherheitsvorfall-melden\/ich-muss-oder-moechte-einen-it-sicherheitsvorfall-melden_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Ransomware \u2013 Vorsicht vor Erpressersoftware","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Cyber-Sicherheitslage\/Methoden-der-Cyber-Kriminalitaet\/Schadprogramme\/Ransomware\/ransomware.html","doc_type":"","group":"used"},{"publisher":"","name":"LockBit 3.0, Software S1202","url":"https:\/\/attack.mitre.org\/software\/S1202\/","doc_type":"2025","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t