Gesetze zu Ransomware-Zahlungen: Was ist sinnvoll und was nicht?
In den letzten Jahren haben sich Ransomware-Angriffe zum lukrativsten Zweig der Cyberkriminalität entwickelt. Die größten, gefährlichsten und erfolgreichsten Bedrohungsakteure und Ransomware-Stämme haben im Jahr 2021 bisher Dutzende von Millionen Dollar erwirtschaftet und zeigen keine Anzeichen einer Verlangsamung ihrer Aktivität.
Angesichts dieses turbulenten Ransomware-Klimas gab es viele Ideen für einen gesetzlichen Rahmen, der alle Ransomware-Zahlungen verbieten könnte. Oberflächlich betrachtet wäre die Begründung für ein solches Verbot natürlich, dass auf diese Weise keine großen Geldsummen mehr in die Kassen von Hackern und Bedrohungsakteuren fließen würden. Auf dem Papier dient die Zahlung von Lösegeld im Wesentlichen der Finanzierung von Cyberkriminellen.
Natürlich ist das Thema nie so einfach und die Dinge sind nie schwarz und weiß. Wie die jüngsten, sehr hochkarätigen Ransomware-Angriffe in den USA gezeigt haben, gibt es Fälle, in denen kritische Infrastrukturen lahmgelegt werden und das ganze Land stark darunter leidet.
Colonial Pipeline, die über 4 Millionen US-Dollar Lösegeld zahlte, um ein Entschlüsselungstool zu erhalten, war der wichtigste Lieferant von Flüssigtreibstoff für die gesamte Ostküste. Der Ransomware-Job, den die DarkSide-Gruppe Colonial durchführte, war im Wesentlichen so schädlich, dass die betroffenen Staaten beginnen mussten, Kraftstoff mit Tanklastern in abgelegene Regionen zu transportieren.
Das Verbot von Ransomware-Zahlungen wird natürlich auch Angriffe nicht vollständig stoppen. Wenn ein großes Netzwerk, das lebenswichtige Infrastrukturen versorgt, beschädigt wird und die Formatierung und Neuinstallation zu lange dauern würde, könnte ein ähnliches Zahlungsverbot möglicherweise ganze Staaten in die Knie zwingen und in einen Ausnahmezustand versetzen.
Graeme Newman, internationaler Cyber-Underwriter bei einer großen britischen Versicherungsgesellschaft, die sich auch mit Cyber-Versicherungen befasst, wies auf eine Mittelweglösung hin. Wenn der Gesetzgeber verhindern will, dass Hacker Millionen von so gut wie jedem größeren Unternehmen abbekommen, aber auch Anbietern kritischer Infrastrukturen ein Sicherheitsnetz geben will, bedarf es eines spezialisierten Gremiums oder Gremiums. Diese Stellen würden jeden Angriff von Fall zu Fall prüfen und eine endgültige Entscheidung treffen, ob die Zahlung wirklich notwendig ist und ob eine Ablehnung lebenswichtige Infrastruktur beeinträchtigen würde.
Derzeit steht einem mit Ransomware angegriffenen Unternehmen keine rechtliche Hürde zur Begleichung der Zahlung, sei es über einen Versicherer oder direkt, entgegen. Wie wahrscheinlich sich diese Situation in absehbarer Zeit ändern wird, bleibt abzuwarten.
