Im Januar 2024 wurde ein mittelständisches Unternehmen in Bayern Ziel eines Ransomware-Angriffs – doch das eigentliche Problem war nicht die Verschlüsselung. Die Täter hatten die Unternehmensdaten bereits vorher gestohlen. Dieser Fall steht für eine Entwicklung, die klassische Schutzkonzepte aushebelt: die doppelte Erpressung.
Wenn das Backup nicht mehr reicht
Lange galt die Regel: Wer gute, getestete Backups hat, ist gegen Ransomware weitgehend gewappnet – im Zweifel werden die verschlüsselten Systeme einfach aus der Sicherung wiederhergestellt. Cyberkriminelle haben darauf reagiert. Bei der doppelten Erpressung kopieren sie sensible Daten heraus, bevor sie verschlüsseln. Selbst ein Unternehmen mit perfekten Backups steht dann unter Druck: Zahlt es nicht, drohen die Täter mit der Veröffentlichung der Daten im Darknet.
Genau so lief es in Bayern. Die Wiederherstellung der Systeme war dank Backups möglich – die gestohlenen Kunden- und Vertragsdaten ließen sich aber nicht zurückholen.
Die rechtliche Dimension wird oft unterschätzt
Sobald personenbezogene Daten abfließen, wird aus dem IT-Vorfall ein Datenschutzfall. Nach DSGVO Art. 33 muss eine solche Datenpanne in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden – unabhängig davon, ob Lösegeld gezahlt wird oder nicht. Wer das versäumt, riskiert zusätzlich zum Erpressungsschaden ein Bußgeld.
Betroffene Personen müssen informiert werden, wenn ein hohes Risiko für sie besteht. Transparente, schnelle Kommunikation ist hier nicht nur Pflicht, sondern schützt auch das Vertrauen von Kunden und Partnern.
Schutz: den Datenabfluss von vornherein begrenzen
Gegen die doppelte Erpressung hilft kein Backup, sondern eine andere Logik – Daten gar nicht erst leicht abfließen zu lassen:
- Least-Privilege-Prinzip: Jedes Konto erhält nur die Rechte, die es wirklich braucht. So kann ein einzelnes kompromittiertes Konto nicht das gesamte Datenarchiv erreichen.
- Verschlüsselung sensibler Daten: Was bereits verschlüsselt gespeichert ist, ist für die Täter wertlos.
- Anomalie-Erkennung: Moderne EDR-Lösungen schlagen Alarm, wenn ungewöhnlich große Datenmengen das Netzwerk verlassen.
Fazit
Die Verschlüsselung ist heute oft nur der sichtbare Teil eines Ransomware-Angriffs. Der größere, langfristige Schaden entsteht durch gestohlene Daten und die rechtlichen Folgen. Wer Zugriffsrechte konsequent begrenzt und Datenabflüsse überwacht, nimmt der doppelten Erpressung ihre Wirkung.
Quelle: BSI Lagebericht 2024