Ransomware-Attacken legen ganze Produktionen lahm und treffen zunehmend den deutschen Mittelstand. 2025 wurden laut Bundesinnenministerium 1041 Ransomware-Angriffe angezeigt – ein Plus von zehn Prozent zum Vorjahr. Die Erpressersoftware verschlüsselt komplette IT-Systeme, die Täter fordern Lösegeld, meist in Bitcoin, und drohen mit der Veröffentlichung gestohlener Daten.
Die Krisenverhandler Michael Sjøberg, früher beim dänischen Militär auf Geiselnahmen spezialisiert, und Peter Skovbo, Leiter des Beratungsunternehmens Delta Crisis in der Schweiz, erklären im Interview, wie Unternehmen mit Erpressern verhandeln sollten und welche Fehler in den ersten Stunden besonders teuer sind.
Erste Schritte bei einem Cyberangriff
„Wenn ein Unternehmen uns während eines Cyberangriffs anruft, ist meist schon viel schiefgelaufen“, sagt Sjøberg. Oft fehle ein Notfallplan, die Kommunikation sei chaotisch und die IT-Abteilung überfordert. Statt sofort zu handeln, verlören viele Firmen wertvolle Zeit mit Schuldzuweisungen.
Das Dilemma: Zahlen oder nicht?
Die Frage nach der Lösegeldzahlung sei ein ethisches und praktisches Dilemma. „Zahlen ist keine Garantie, dass die Daten wiederhergestellt werden“, warnt Skovbo. „Manche Erpresser liefern die Schlüssel nicht oder greifen später erneut an.“ Dennoch müsse jedes Unternehmen individuell abwägen: Wie hoch ist der Produktionsausfall? Welche Daten sind betroffen? Gibt es eine Cyber-Versicherung?
Laut einer Studie des Branchenverbands Bitkom zahlen rund 40 Prozent der betroffenen Unternehmen Lösegeld, aber nur zwei Drittel erhalten danach ihre Daten vollständig zurück. Die durchschnittliche Schadenssumme liegt bei 1,2 Millionen Euro pro Angriff.
Verhandlungsstrategien gegen Erpresser
Sjøberg empfiehlt, nicht sofort auf die Forderung einzugehen. „Wir versuchen, Zeit zu gewinnen – etwa durch technische Wiederherstellungsversuche oder das Prüfen von Backups.“ Die Verhandler von Delta Crisis treten als Vermittler auf, oft anonym, um die Beziehung zwischen Unternehmen und Erpressern zu professionalisieren. „Wichtig ist, die Kriminellen in Gespräche zu verwickeln und ihre Glaubwürdigkeit zu testen“, ergänzt Skovbo.
Prävention und Schutzmaßnahmen
Der beste Schutz sei ein mehrstufiges Sicherheitskonzept: regelmäßige Backups, getrennte Netzwerke für Produktion und Verwaltung, Schulungen der Mitarbeiter. „Viele Angriffe beginnen mit einer Phishing-Mail“, so Sjøberg. „Wer seine Belegschaft sensibilisiert, kann die größte Einfallspforte schließen.“ Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät zu Notfallplänen und regelmäßigen Tests der IT-Infrastruktur.
