Sollten Sie nach einem Ransomware-Angriff das Lösegeld zahlen?

Sollten Sie das Lösegeld zahlen?

Nein, grundsätzlich nicht. Alle großen Strafverfolgungs- und Cybersicherheitsbehörden raten von einer Zahlung ab, und die Gründe sind praktisch, nicht nur moralisch. Eine Zahlung sollte nie einen Disaster-Recovery-Plan ersetzen.

Es ist Dienstag, 7:30 Uhr. Auf jedem Bildschirm steht eine Lösegeldforderung, und die Angreifer verlangen innerhalb von 72 Stunden Bitcoin. Der Druck zu zahlen ist real. Das sagen die Behörden:

• FBI: „Das FBI unterstützt es nicht, als Reaktion auf einen Ransomware-Angriff ein Lösegeld zu zahlen“, weil eine Zahlung die Wiederherstellung nicht garantiert und Angriffe auf andere Opfer fördert (IC3).
• NCSC Niederlande: Es gebe „keine Garantie, dass eine Zahlung dazu führt, dass Sie Ihre Daten zurückbekommen“. Die Zahlung finanziere Kriminelle, und manche Opfer hätten höhere Forderungen oder neue Angriffe erlebt (NCSC: Wat te doen bij een ransomware-aanval?).
• No More Ransom, betrieben mit Europol und der niederländischen Polizei: „Der allgemeine Rat lautet, das Lösegeld nicht zu zahlen“, weil eine Zahlung bestätigt, dass Ransomware funktioniert (nomoreransom.org).
• NCSC UK hat gemeinsam mit den britischen Versicherungsverbänden ABI, BIBA und IUA 2024 eine Leitlinie für Organisationen veröffentlicht, die eine Zahlung erwägen. Sie betont Meldung, Auswirkungsanalyse und die Dokumentation jeder Entscheidung.

Immer mehr Opfer verweigern die Zahlung. Der Verizon 2026 DBIR, zusammengefasst von Help Net Security, meldet, dass 69 % der Ransomware-Opfer nicht gezahlt haben.

Was passiert tatsächlich, wenn Sie zahlen?

Sie kaufen von einem Kriminellen einen Entschlüsselungsschlüssel und ein Versprechen. Ob beides funktioniert, ist nicht garantiert, und die Angreifer sind Ihnen oft einen Schritt voraus.

• Daten sind nicht immer nutzbar. In der Cybereason-Studie 2024 unter mehr als 1.000 Sicherheitsexperten bekamen weniger als die Hälfte (47 %) derer, die gezahlt hatten, ihre Daten und Dienste unbeschädigt zurück.
• Sie werden zum wiederholten Ziel. Dieselbe Studie fand, dass 78 % der Organisationen, die gezahlt hatten, einen zweiten Ransomware-Angriff erlebten.
• Die Entschlüsselung dauert. Server für Server zu entschlüsseln kostet Zeit, und Sie müssen weiterhin neu aufbauen, auf Hintertüren prüfen und Daten validieren, bevor Sie den Systemen wieder trauen können.
• Gestohlene Daten bleiben gestohlen. Viele Gruppen kopieren Daten, bevor sie sie verschlüsseln, und ein Versprechen, sie zu löschen, ist wenig wert.

Laut Sophos State of Ransomware 2026 lag die mediane Lösegeldzahlung bei 769.000 US-Dollar und die durchschnittlichen Wiederherstellungskosten ohne das Lösegeld bei 1,7 Millionen US-Dollar. Eine Zahlung erhöht die Wiederherstellungsrechnung.

Ist das Zahlen eines Lösegelds in der EU legal?

Es gibt kein allgemeines EU-weites Verbot, Lösegeld zu zahlen. Eine Zahlung kann trotzdem gegen das Gesetz verstoßen, und sie hebt Ihre Meldepflichten nie auf. Holen Sie vor jeder Zahlung Rechtsrat ein.

• Sanktionen. Eine Zahlung an eine sanktionierte Person oder Gruppe kann rechtswidrig sein. Die NCSC-UK-Leitlinie warnt davor mit Blick auf britische Sanktionen. EU-Sanktionsregime folgen demselben Prinzip, und oft können Sie nicht wissen, wer hinter einer Wallet steht.
• NIS2-Meldung. Nach Art. 23 der Richtlinie (EU) 2022/2555 müssen besonders wichtige und wichtige Einrichtungen innerhalb von 24 Stunden nach Kenntnis eines erheblichen Sicherheitsvorfalls eine frühe Warnung abgeben, innerhalb von 72 Stunden eine Meldung und innerhalb eines Monats einen Abschlussbericht. Eine Zahlung ändert daran nichts. In Deutschland gehen die Meldungen an das BSI (Fristen: 24 Stunden, 72 Stunden, 30 Tage).
• DSGVO. Wurden personenbezogene Daten verschlüsselt oder gestohlen, verlangt Art. 33 der Verordnung (EU) 2016/679 die Meldung an die Datenschutzaufsichtsbehörde innerhalb von 72 Stunden, wo möglich. In Deutschland ist das die zuständige Datenschutzaufsichtsbehörde, je nach Bundesland die Landesbehörde oder der BfDI.
• Die Politik wird strenger. Im Juli 2025 bestätigte Großbritannien Pläne, die noch ein Gesetz erfordern, Lösegeldzahlungen durch öffentliche Stellen und kritische Infrastruktur zu verbieten (The Register).

In Deutschland gilt NIS2 seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz (NIS2UmsuCG). In den Niederlanden gilt sie seit dem 15. August 2026 über die Cyberbeveiligingswet. Ob Ihre Organisation in den Anwendungsbereich fällt, sehen Sie in unserem NIS2-Compliance-Ratgeber.

Was sollten Sie in den ersten Stunden nach einem Ransomware-Angriff tun?

Eindämmen, sichern, melden und Backups prüfen, in dieser Reihenfolge, bevor jemand über eine Zahlung spricht. Diese Schritte folgen den Empfehlungen des niederländischen NCSC und Microsofts eigenem Ransomware-Playbook.

1. Betroffene Systeme isolieren. Trennen Sie sie vom Netzwerk. Der Incidentresponsplan Ransomware des niederländischen NCSC rät, Systeme nicht auszuschalten, sondern in den Energiesparmodus (Sleep Mode) zu versetzen, damit Beweise im Arbeitsspeicher erhalten bleiben.
2. Kompromittierte Konten deaktivieren und Zugangsdaten zurücksetzen, beginnend mit Administratorkonten. Auch Microsofts Playbook für die Reaktion rät, Online-Backups zu trennen, bis der Angriff eingedämmt ist.
3. Rufen Sie Ihren IT-Partner an und beginnen Sie ein Vorfallprotokoll mit Zeitstempeln. Geschäftsleitung, Versicherer und Aufsichtsbehörden werden es später prüfen.
4. Erstatten Sie Anzeige bei der Polizei. In Deutschland ist für Unternehmen die Zentrale Ansprechstelle Cybercrime (ZAC) der Polizei in Ihrem Bundesland die richtige Adresse. Das niederländische NCSC weist darauf hin, dass die Polizei aus früheren Fällen womöglich schon Entschlüsselungsschlüssel besitzt.
5. Prüfen Sie No More Ransom auf einen kostenlosen Decryptor für Ihre Ransomware-Variante, mit dem Tool Crypto Sheriff.
6. Prüfen Sie Ihre Backups auf Unversehrtheit und Sauberkeit, bevor Sie irgendetwas wiederherstellen.
7. Starten Sie die Meldefristen: NIS2-Frühwarnung innerhalb von 24 Stunden, wenn Sie in den Anwendungsbereich fallen, und DSGVO-Meldung innerhalb von 72 Stunden, wenn personenbezogene Daten betroffen sind.

Den vollständigen Ablauf von der Erkennung bis zum Normalbetrieb finden Sie in unserer Zeitleiste der Wiederherstellung nach Ransomware.

Warum zahlen Organisationen trotzdem?

Meist, weil sie keine funktionierende Alternative haben. Sind die Backups weg, wirkt Zahlen wie der einzige Weg zurück.

Die Daten zeigen das deutlich. In Sophos' Analyse kompromittierter Backups versuchten Angreifer bei 94 % der Ransomware-Angriffe, die Backups zu kompromittieren. Organisationen mit kompromittierten Backups zahlten fast doppelt so häufig (67 % gegenüber 36 %), und ihre mediane Lösegeldforderung war mehr als doppelt so hoch: 2,3 Millionen US-Dollar gegenüber 1 Million. Im Sophos State of Ransomware 2025 zahlten 49 % der Opfer.

Falls eine Zahlung je infrage kommt, nennt die Leitlinie des NCSC UK die Fragen, die Sie zuerst beantworten sollten: die tatsächlichen Auswirkungen auf das Geschäft, ob es Umgehungslösungen gibt, die Kosten jeder Wiederherstellungsoption und ob die Ursache behoben ist. Halten Sie jede Entscheidung fest und wer sie getroffen hat.

Um die Auswirkungen zu beziffern, nutzen Sie unser Kostenmodell für Ausfallzeiten.

Wie stellen Sie sicher, dass Sie nie entscheiden müssen?

Machen Sie Ihre Backups zu etwas, das Angreifer nicht erreichen, verändern oder löschen können, und weisen Sie nach, dass Sie daraus wiederherstellen können. Dann ist eine Lösegeldforderung eine Wiederherstellungsaufgabe, keine Verhandlung.

• Befolgen Sie die 3-2-1-1-0-Regel: drei Kopien auf zwei Medientypen, eine außer Haus, eine unveränderlich oder per Air Gap getrennt und null Fehler nach der Überprüfung.
• Trennen Sie den Admin-Zugang für Backups von Ihrer normalen Domäne und verlangen Sie MFA (Multi-Faktor-Authentifizierung) für jede administrative Aktion.
• Sichern Sie auch Ihre SaaS-Daten. Microsoft 365 ist kein Backup, siehe Sichert Microsoft 365 meine Daten?
• Testen Sie Wiederherstellungen regelmäßig, auch ganzer Systeme, und notieren Sie, wie lange sie dauern.
• Planen Sie, wo Sie wiederherstellen. Wer auf infizierter Infrastruktur wiederherstellt, lädt eine zweite Verschlüsselung ein.

Ihre nächsten Schritte

Zahlen Sie nicht aus Reflex, und treffen Sie die Entscheidung nicht allein. Dämmen Sie den Angriff ein, melden Sie ihn, prüfen Sie No More Ransom und verifizieren Sie Ihre Backups. Zahlen müssen meist Organisationen, deren Backups versagt haben. Die eigentliche Entscheidung fällt also Monate vor dem Angriff.

Mindtime bewahrt unveränderliche Backups (Object Lock) plus eine Air-Gap-Kopie auf, scannt Backups auf Malware und prüft jeden Backup-Job automatisch. Administrative Aktionen erfordern MFA. Nach einem Angriff stellen Sie in einer isolierten Umgebung in einem getrennten, sauberen Netzwerk wieder her. Unser Disaster-Recovery-Service ergänzt eine Standby-Infrastruktur und vierteljährliche automatische DR-Tests mit Nachweisen für Prüfer.

Wissen Sie nicht, ob Ihre Backups einen Angriff überstehen würden? Fordern Sie eine kostenlose Analyse an, wir sehen es gemeinsam mit Ihnen an, auf Deutsch, Niederländisch oder Englisch.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.