Startseite > Security > Sollten Unternehmen bei Cyber-Erpressung zahlen?

»Wir verhandeln nicht mit Erpressern«

Sollten Unternehmen bei Cyber-Erpressung zahlen?

26. November 2015, 14:59 Uhr | Stefan Adelmann

Fortsetzung des Artikels von Teil 1

Sollten Unternehmen bei Cyber-Erpressung zahlen? (Fortsetzung)

Der Worst Case tritt ein. Schadsoftware ist auf das System gelangt und Kriminelle haben den Zugriff gesperrt. Gerade für Unternehmen lauert hier ein enormes Gefahrenpotenzial, kann der virtuelle Riegel doch ganze Geschäftsprozesse zum Stillstand bringen. So geschehen im Fall des Schweizer E-Mail-Providers Protonmail, der zum Ziel einer DDoS-Attacke wurde. Nach Angaben des Unternehmens soll es der größte Angriff seiner Art in der Region gewesen sein, der Nutzern nicht nur über Tage den Zugriff zu ihren Konten verwehrte. Hunderte von anderen Unternehmen sollen »Kollateralschaden« erlitten haben – sogar das Rechenzentrum mit den Protonmail-Servern wurde aus dem Verkehr gezogen und teils beschädigt.

Im Falle des E-Mail-Providers stand viel Geld auf dem Spiel. Hier liegt die Versuchung nahe, einfach den Betrag zu überweisen, besonders wenn sich dieser im erschwinglichen Bereich bewegt. »Typischerweise liegt die Geldsumme, die gefordert wird, relativ niedrig und klar unter dem ökonomischen Limit für die Abwehr des Angriffs. Anders gesagt: Für das betroffene Unternehmen zahlt sich ein Kampf nicht aus«, erklärt Wieland Alge, CEO und General Manager EMEA bei Barracuda Networks. »Einfach zahlen« – der Aufforderung der Erpresser schloss sich im vergangenen Oktober auch FBI-Ermittlungsleiter Joseph Bonavolonta auf dem Cyber Security Summit in Boston an. Laut verschiedenen Medien betonte er, dass die Schadsoftware oft einfach zu gut sei, um sie zu überlisten. Und je mehr Opfer zahlen würden, umso weniger Grund hätten die Täter, die geforderten Summen zu erhöhen. Auch Protonmail zahlte an die Angreifer – 15 Bitcoins oder umgerechnet 5.300 Euro. Im Nach- hinein bereut es das Unternehmen: »Wir hofften, dass wir durch die Zahlung anderen Unternehmen, die von der Attacke auf uns betroffen waren, Scho- nung verschaffen könnten, aber die Attacken gingen weiter«, schreibt das Team des Unternehmens in einem Blog-Eintrag. »Dies war eine eindeutig falsche Entscheidung, lassen Sie uns daher klar an alle zukünftigen Angreifer sagen: Protonmail wird nie wieder eine Lösegeldzahlung leisten.«

Dem Aufruf, nicht zu zahlen, schließen sich fast alle Sicherheitsanbieter an. Denn letztendlich gibt es keinerlei Versicherung, dass die Angriffe anschließend ausbleiben. Ganz im Gegenteil. Barracuda weist darauf hin, dass sich die Zahlbereitschaft des Opfers herumsprechen kann – Trittbrettfahrer attackieren das gleiche Unternehmen daraufhin nochmals. »Protonmail hat aufgehört zu bezahlen, den Vorfall öffentlich gemacht und technische Gegenmaßnahmen eingeleitet. Damit haben die Erpresser letztlich verloren«, sagt Alge.