Ransomware: Wenn Kriminelle Ihre Daten verschlüsseln und Lösegeld fordern

Ein Ransomware-Angriff legt innerhalb von Minuten Daten und Systeme lahm – die juristischen Konsequenzen eines falschen Umgangs damit können jedoch erheblich länger nachwirken.

Ransomware ist eine Form der Schadsoftware, die Daten auf befallenen Systemen verschlüsselt und den Zugang sperrt, bis ein Lösegeld - meist in Kryptowährung - gezahlt wird. Was früher vor allem Unternehmen und Behörden traf, betrifft heute auch Privatpersonen. Ein Klick auf einen manipulierten E-Mail-Anhang, eine kompromittierte Downloadquelle oder eine ungepatchte Sicherheitslücke genügen, um ein System vollständig blockieren.

Ransomware Lösegeld zu zahlen klingt verlockend - der schnelle Weg zurück zu den eigenen Daten. Tatsächlich empfehlen BSI, Europol und Strafverfolgungsbehörden fast einhellig: nicht zahlen. Denn die Zahlung garantiert keine Entschlüsselung, finanziert kriminelle Strukturen und kann unter Umständen selbst strafrechtliche oder sanktionsrechtliche Risikenerzeugen. Dieser Beitrag erklärt, wie Ransomware-Angriffe typischerweise ablaufen, welche rechtlichen Pflichten Privatpersonen und Unternehmen treffen, wie Cyber-Versicherungen greifen und welche Schritte nach einem Angriff rechtlich geboten sind.

Wie Ransomware funktioniert: Technik und Tatbestand

Ransomware verbreitet sich typischerweise über drei Wege: Phishing-E-Mails mit manipulierten Anhängen oder Links, kompromittierte Softwaredownloads sowie ungepatchte Schwachstellen in Betriebssystemen und Anwendungen. Sobald die Schadsoftware aktiv ist, verschlüsselt sie Daten auf dem lokalen System und – bei Netzwerkangriff – auch auf verbundenen Laufwerken, Backups und Cloud-Speichern.

Strafrechtlich ist ein Ransomware-Angriff eindeutig einzuordnen: insbesondere § 303a StGB (Datenveränderung), § 303b StGB (Computersabotage) und § 253 StGB (Erpressung) greifen ebenso; § 263a StGB (Computerbetrug) und § 263 StGB (Betrug) greifen, soweit ein Datenverarbeitungsvorgang manipuliert wird. Für Geschädigte bedeutet das: Die Täter machen sich strafbar. Die Frage ist, wie das für Sie als Opfer verwertbar ist.

Wichtig zu unterscheiden: Ransomware Lösegeld-Forderungen kommen manchmal von organisierten Gruppen, die nach tatsächlicher Verschlüsselung handeln – und manchmal von sogenannten Scareware-Tätern, die lediglich eine Warnung einblenden, ohne wirklich Daten gesperrt zu haben. Prüfen Sie mit einem IT-Fachmann, ob die Verschlüsselung real ist, bevor Sie irgendeinen Schritt unternehmen.

Lösegeld zahlen oder nicht? Die rechtliche und praktische Abwägung

Die Empfehlung von BSI und Europol ist klar: Ransomware Lösegeld nicht zahlen. Die Gründe sind praktisch und rechtlich. Praktisch: Studien zeigen, dass nur ein Teil der zahlenden Opfer ihre Daten tatsächlich zurückerhält. Kriminelle liefern nicht zuverlässig Entschlüsselungstools – insbesondere wenn sie ein Unternehmen bereits dauerhaft kompromittiert haben.

Rechtlich: Wer Lösegeld an eine Gruppe zahlt, die auf einer Sanktionsliste der EU oder der USA geführt wird – etwa durch das US-amerikanische OFAC – riskiert selbst Sanktionsverstöße. Das betrifft in erster Linie Unternehmen, aber auch Privatpersonen können in entsprechende Prüfungen geraten. Die rechtliche Bewertung einer Lösegeldzahlung im Einzelfall ist komplex und hängt von den konkreten Umständen ab.

Hat ein Angreifer darüber hinaus Daten gestohlen – sogenanntes Double Extortion – bevor er verschlüsselt, drohen auch bei Zahlung Datenpublizierungen. Die Zahlung kauft keine Sicherheit. Juristisch bleibt zudem die Frage: Wer haftet, wenn trotz Zahlung sensible Kundendaten veröffentlicht werden?

Meldepflichten nach einem Ransomware-Angriff

Für Unternehmen, die personenbezogene Daten verarbeiten, greift nach einem Ransomware-Angriff fast immer eine Meldepflicht nach der DSGVO. Art. 33 DSGVO verpflichtet Verantwortliche, eine Datenschutzverletzung innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden – sofern ein Risiko für die betroffenen Personen besteht.

Ransomware gilt fast immer als Datenschutzverletzung, da zumindest die Verfügbarkeit der Daten beeinträchtigt ist. Bei nachgewiesenem Datenabfluss – Double Extortion – müssen unter Umständen auch die Betroffenen (Kunden, Mitarbeiter) informiert werden. Die Nichtmeldung innerhalb der Frist kann zu Bußgeldern der Datenschutzbehörde führen, die bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen können.

Privatpersonen trifft keine DSGVO-Meldepflicht als Verantwortliche. Sie können jedoch nach Art. 82 DSGVO Schadensersatz geltend machen, wenn ein Dienstleister (Cloud-Anbieter, Hosting-Firma) den Angriff durch mangelnde Sicherheit ermöglicht hat. Der BGH hat in VI ZR 10/24 (18. November 2024) bestätigt: Kontrollverlust über persönliche Daten begründet einen immateriellen Schaden.

Strafanzeige und Akteneinsicht: Der strafrechtliche Weg

Nach einem Ransomware-Angriff sollten Betroffene immer Strafanzeige erstatten. Der strafrechtliche Verfolgungsweg dient nicht nur der Täterermittlung – er eröffnet auch den Zugang zu Ermittlungsakten über § 406e StPO (Akteneinsicht für Verletzte). Diese können für Versicherungs- und Schadensersatzverfahren entscheidend sein.

Ransomware-Angriffe werden in Deutschland von spezialisierten Zentralstellen verfolgt – etwa der Zentrale Stelle Cybercrime Bayern (ZCC) oder vergleichbaren Einrichtungen der Landeskriminalämter. Strafanzeige bei der lokalen Polizei ist dennoch der richtige erste Schritt: Das Verfahren wird bei Bedarf weitergeleitet.

Wurden Banküberweisungen infolge eines Ransomware-Angriffs ausgelöst – etwa weil Zugangsdaten gestohlen wurden – kommen zusätzlich Erstattungsansprüche nach § 675u BGB gegen die kontoführende Bank in Betracht. Wie ähnliche Fälle bei Banken verlaufen, erklärt der Beitrag zum Bankbetrug und BGH-Haftung.

Cyber-Versicherung: Wann sie leistet – und wann nicht

Viele Unternehmen und zunehmend auch Privatpersonen haben eine Cyber-Versicherung. Diese deckt im Idealfall: Wiederherstellungskosten nach einem Angriff, Betriebsunterbrechungsschäden, Drittschäden (Kundendaten wurden kompromittiert) und – je nach Police – auch Ransomware-Lösegeld-Zahlungen.

Doch Versicherungen leisten nicht automatisch. Häufige Ausschlussgründe sind: fehlende Grundsicherheitsmaßnahmen (kein regelmäßiges Backup, veraltete Software), Verletzung von Obliegenheiten (Angriff nicht unverzüglich gemeldet), oder der Angreifer steht auf einer Sanktionsliste. Lassen Sie die Police vor dem Angriff von einem Anwalt prüfen – und melden Sie einen Vorfall sofort dem Versicherer.

Verweigert die Cyber-Versicherung die Leistung zu Unrecht, können Ansprüche aus dem Versicherungsvertrag bestehen. Die Verjährungsfrist beträgt drei Jahre (§§ 195, 199 BGB), beginnend mit dem Schluss des Jahres, in dem der Anspruch entstand und Kenntnis erlangt wurde. Handeln Sie daher ohne langen Aufschub.

Sofortmaßnahmen: Was nach einem Ransomware-Angriff zu tun ist

Die ersten Stunden nach der Entdeckung eines Ransomware-Angriffs sind entscheidend. Folgende Schritte sind rechtlich und technisch geboten:

• System isolieren: Netzwerkverbindung trennen – LAN-Kabel ziehen, WLAN deaktivieren – um weitere Ausbreitung zu stoppen.
• Nicht zahlen – erst beraten: Bevor Ransomware Lösegeld überwiesen wird, IT-Forensiker und Anwalt konsultieren.
• Beweise sichern: Lösegeldforderung fotografieren oder screenshotten, Logdateien sichern, System nicht neu aufsetzen vor IT-forensischer Analyse.
• Strafanzeige erstatten: Bei der Polizei oder über das BSI-Meldeportal. Für Unternehmen zusätzlich DSGVO-Meldung vorbereiten.
• Versicherer informieren: Sofort die Cyber-Versicherung kontaktieren – verspätete Meldung kann Leistungsausschluss bewirken.
• Backup-Status prüfen: Sind Offline-Backups vorhanden und unverschlüsselt? Wiederherstellung ohne Lösegeld möglich?

Auf der Website des BSI (Bundesamt für Sicherheit in der Informationstechnik) sowie bei Europol finden sich Entschlüsselungstools für bekannte Ransomware-Varianten. Das Projekt 'No More Ransom' bietet kostenlose Hilfe an – bevor Sie zahlen, prüfen Sie diese Ressourcen. Weitere Hilfe für Cybercrime-Opfer finden Sie in einem gesonderten Beitrag.

Schadenersatz: Wer haftet nach einem Ransomware-Angriff?

Neben den Tätern selbst kommen mehrere weitere Haftungssubjekte in Betracht. Dienstleister – Cloud-Anbieter, IT-Systemhäuser, Hosting-Firmen – haften, wenn mangelnde Sicherheitsvorkehrungen den Angriff ermöglicht oder begünstigt haben. Anspruchsgrundlage: § 280 Abs. 1 i.V.m. § 241 Abs. 2 BGB (Verletzung vertraglicher Schutzpflichten) bzw. § 823 Abs. 1 BGB (deliktische Haftung) sowie § 826 BGB bei vorsätzlich sittenwidriger Schädigung.

Für die Verjährung gilt: zivilrechtliche Ansprüche verjähren in drei Jahren (§§ 195, 199 BGB), beginnend mit dem Schluss des Jahres der Kenntnis. Die Verjährung richtet sich nach §§ 195, 199 BGB und den Umständen des jeweiligen Einzelfalls. Handeln Sie dennoch früh – Beweise verfallen, Täter werden schwerer greifbar.

Unternehmen, die nach einem Datenleck Schadenersatzansprüche betroffener Kunden fürchten, sollten neben Art. 82 DSGVO auch die produkthaftungsrechtliche Dimension prüfen. Bei Betroffenheit durch Phishing als Einfallstor hilft der Beitrag zu Phishing Geld zurück weiter.

Identitätsmissbrauch nach Ransomware: Wenn Daten gestohlen wurden

Ransomware-Gruppen, die Double Extortion betreiben, stehlen Daten vor der Verschlüsselung. Das umfasst Passwörter, Zugangsdaten für Bankkonten, Personalausweiskopien oder Kundendaten. Die Folge: Identitätsmissbrauch – Fremde eröffnen Konten, beantragen Kredite oder handeln im Namen des Opfers.

In diesem Fall helfen strafrechtliche Maßnahmen (Anzeige) und zivilrechtliche Schritte gegen Unternehmen, die ohne ausreichende Prüfung auf Basis gestohlener Daten Verträge schließen. Schufaeinträge aus solchen Transaktionen können widerrufen werden. Mehr dazu erklärt der Beitrag zu Bankdaten gestohlen und Identitätsdiebstahl.

Wurden Kryptowährungen infolge eines Ransomware-Angriffs abgeflossen – etwa weil Wallet-Zugangsdaten kompromittiert wurden – empfiehlt sich eine Blockchain-Analyse. Professionelles Crypto-Tracing kann Transaktionspfade nachverfolgen. Mehr dazu in unserem Beitrag Cybercrime-Opfer Hilfe.

Wann anwaltliche Beratung beim Ransomware-Angriff unverzichtbar ist

Manche Ransomware-Angriffe lassen sich ohne Anwalt bewältigen – wenn der Schaden gering ist, Backups existieren und keine personenbezogenen Daten betroffen sind. Ist jedoch erheblicher Schaden entstanden, drohen DSGVO-Bußgelder, die Cyber-Versicherung verweigert Leistung oder es wurde eine erhebliche Lösegeldsumme gefordert: Dann ist ein Anwalt für Bankrecht und Cybercrime keine Option, sondern Notwendigkeit.

Anwälte mit Erfahrung im Bereich Finanzbetrug und Cybercrime kennen die Ermittlungsstrategien, können Versicherungsansprüche durchsetzen und wissen, wie DSGVO-Meldungen richtig formuliert werden, um Bußgelder zu minimieren. Frühzeitige Einschaltung spart langfristig erhebliche Kosten.

Nehmen Sie niemals Kontakt mit angeblichen Entschlüsselungsdiensten auf, die Ihnen per E-Mail oder über die Erpressungsnote angeboten werden. Diese sind häufig Teil des Angriffs selbst oder ein nachgelagerter Betrug, der auf verzweifelte Opfer spezialisiert ist – vergleichbar dem CEO-Fraud-Schema.

Fazit: Ransomware Lösegeld ist kein Ausweg – Recht schon

Ransomware Lösegeld zu zahlen löst das Problem in den seltensten Fällen und schafft neue rechtliche Risiken. Der richtige Weg: System isolieren, Strafanzeige erstatten, Versicherung kontaktieren, Anwalt hinzuziehen – und erst dann über technische Wiederherstellung nachdenken.

Das Recht bietet Betroffenen eine Reihe von Instrumenten: Erstattungsansprüche nach § 675u BGB bei Banktransaktionen, Schadensersatz nach Art. 82 DSGVO und § 823 BGB, strafrechtliche Ermittlungen über § 406e StPO. Die regelmäßige dreijährige Verjährung läuft nach §§ 195, 199 BGB – wer zu lange wartet, verliert seine Ansprüche. Informieren Sie sich auch über Identitätsdiebstahl bei der Bank als mögliche Folge.

AK LAW Rechtsanwaltsgesellschaft mbH – Ihr Partner im Bank- und Kapitalmarktrecht

Die AK LAW Rechtsanwaltsgesellschaft mbH berät und vertritt Mandanten bundesweit im Bank- und Kapitalmarktrecht. Rechtsanwalt Dr. Michel de Araujo Kurth M.A. verfügt über langjährige Erfahrung im Bankwesen und in der anwaltlichen Praxis und hat sich auf die Vertretung von Mandanten in bank- und kapitalmarktrechtlichen Streitigkeiten spezialisiert.

Die Kanzlei begleitet Mandanten sowohl außergerichtlich als auch vor Gericht – von der ersten rechtlichen Einordnung über die Kommunikation mit Banken, Zahlungsdienstleistern und Finanzinstituten bis zur Durchsetzung von Schadensersatz- und Rückforderungsansprüchen. Beratungen finden in den Büros in Frankfurt am Main, Darmstadt und Offenbach am Main sowie bundesweit per Videokonferenz statt.

Wenn Sie rechtliche Unterstützung benötigen, stehen wir Ihnen jederzeit zur Verfügung. Kontaktieren Sie uns über unser Kontaktformular für ein unverbindliches Erstgespräch – telefonisch, per E-Mail oder online.

FAQs – Häufig gestellte Fragen zu Ransomware Lösegeld