Ransomware ist seit weit über einem Jahrzehnt eine bedeutende Cybersicherheitsbedrohung, und Blockchain Intelligence ist im selben Zeitraum dramatisch ausgereifter geworden, bis zu dem Punkt, an dem ein großer Teil bedeutender Ransomware-Zahlungen schließlich zu einem gewissen Grad nachverfolgt wird. Angesichts dessen stellt sich die berechtigte Frage, warum Ransomware-Betreiber überhaupt weiterhin auf Kryptowährungszahlungen bestehen. Die Antwort ist eine Mischung aus praktischer Notwendigkeit und einem echten, anhaltenden Wettrüsten zwischen Angreifern und Ermittlern.
Der Kerngrund: Geschwindigkeit und Reichweite, nicht echte Anonymität
Es ist ein verbreiteter Irrtum, dass Ransomware-Gruppen Kryptowährung verlangen, weil sie unauffindbar sei. Wie in unserem Leitfaden zu wie man gestohlene Bitcoin nachverfolgt beschrieben, werden Transaktionen auf einer öffentlichen Blockchain wie Bitcoin dauerhaft aufgezeichnet und können oft mit echter Präzision nachverfolgt werden. Was Kryptowährung Ransomware-Betreibern tatsächlich bietet, ist etwas Praktischeres: eine Zahlungsmethode, die sofort grenzüberschreitend funktioniert, keine Bankbeziehung oder Genehmigung eines Intermediärs erfordert, nach Bestätigung nicht rückgängig gemacht werden kann und von einer anonymen oder pseudonymen Wallet empfangen werden kann, ohne die Identitätsprüfung, die ein Bankkonto erfordern würde. Für einen international operierenden Angreifer, dessen Opfer schnell zahlen müssen, um den Betrieb wiederherzustellen, ist diese Kombination mit keiner traditionellen Zahlungsschiene leicht zu ersetzen.
Was aktuelle Daten über Ransomware-Zahlungen zeigen
Blockchain-Analyseforschung zeigt eine bemerkenswerte Verschiebung in der Dynamik der Ransomware-Zahlungen in den letzten Jahren. Laut Chainalysis-Forschung sind die gesamten Kryptowährungszahlungen an Ransomware-Betreiber vom Höchststand von rund 1,1 Milliarden Dollar im Jahr 2023 erheblich gesunken und gingen bis 2025 weiter zurück, selbst während die Zahl öffentlich beanspruchter Ransomware-Angriffe weiter anstieg. Der Anteil angegriffener Organisationen, die tatsächlich zahlen, ist ebenfalls auf ein Rekordtief gesunken – ein Trend, der weithin auf verbesserte Backup-Praktiken, eine stärkere Störung großer Ransomware-Gruppen durch Strafverfolgungsbehörden und eine wachsende organisatorische Zurückhaltung beim Zahlen zurückgeführt wird, nach Jahren von Richtlinien von Behörden wie CISA, die davon abraten.
Gleichzeitig sind einzelne Lösegeldforderungen stark gestiegen, wobei die mittlere Forderung von Jahr zu Jahr erheblich zunahm, selbst während weniger Opfer einer Zahlung zustimmten, und tatsächliche Zahlungen sich nur auf einen Bruchteil des ursprünglich geforderten Betrags belaufen. Das deutet auf einen Markt hin, in dem Ransomware-Gruppen pro Angriff mehr verlangen, dabei aber seltener erfolgreich sind – eine Dynamik, die zu einem kriminellen Ökosystem unter zunehmendem Druck passt, das aber noch lange nicht verschwindet.
Warum sich die Ransomware-Landschaft ständig verändert
Statt einer einzelnen dominanten Gruppe hat sich die Ransomware-Landschaft in eine weitaus größere Zahl kleinerer, unabhängiger Betreiber fragmentiert, teilweise eine direkte Folge von Zerschlagungen und Sanktionen der Strafverfolgungsbehörden gegen zuvor dominante Ransomware-as-a-Service-Betriebe. Diese Fragmentierung macht die Gesamtbedrohung als Ganzes schwerer nachzuverfolgen, selbst während einzelne Gruppen innerhalb dieser Landschaft identifizierbarer werden, da kleinere Betreiber zahlreicher sind, aber jeweils über weniger operative Raffinesse und weniger Ressourcen verfügen, um in die Umgehung der Entdeckung zu investieren, als die größeren Betriebe zuvor.
Die Verschiebung hin zu Privacy Coins
Bitcoin bleibt die am häufigsten gemeldete Ransomware-Zahlungswährung, doch Ransomware-Betreiber zeigen zunehmendes Interesse an datenschutzorientierten Kryptowährungen wie Monero, die Transaktionsdetails nicht auf dieselbe Weise wie Bitcoin auf einem vollständig öffentlichen Hauptbuch offenlegen. Diese Verschiebung ist eine direkte Reaktion auf die Wirksamkeit der Blockchain-Nachverfolgung speziell gegen Bitcoin und stellt eine der bedeutenderen aufkommenden Komplikationen für Ermittler dar, die an Ransomware-Fällen arbeiten, da die in unseren Nachverfolgungsleitfäden beschriebenen Standard-Clustering- und Engpass-Techniken gegen das Design eines Privacy Coins weitaus weniger wirksam sind.
Warum Behörden weiterhin vom Zahlen abraten
CISA, das FBI und entsprechende internationale Behörden vertreten durchgängig die Position, dass Organisationen Ransomware-Forderungen nicht zahlen sollten, aus mehreren konkreten Gründen und nicht aus reinem Prinzip.
- Eine Zahlung garantiert nicht, dass Dateien tatsächlich entschlüsselt, funktionsfähig oder vollständig sind, und ein bedeutender Anteil der zahlenden Opfer berichtet von unvollständiger oder beschädigter Datenwiederherstellung
- Zahlungen finanzieren direkt weitere kriminelle Operationen, einschließlich Tools, Infrastruktur und Auszahlungen an Affiliate-Betreiber in einem Ransomware-as-a-Service-Modell
- Organisationen, von denen bekannt ist, dass sie einmal gezahlt haben, werden häufig erneut ins Visier genommen, entweder von derselben Gruppe oder von anderen, die über durchgesickerte Opferdaten von deren Zahlungsbereitschaft erfahren
- Zahlungen können in manchen Rechtsordnungen eine separate rechtliche Haftung begründen, insbesondere wenn eine Forderung von einer sanktionierten Einzelperson oder Organisation stammt oder mit ihr in Verbindung steht
Unabhängig davon, ob sich eine Organisation letztlich zur Zahlung entscheidet, empfehlen Behörden durchgängig, den Vorfall einem lokalen FBI-Büro oder über IC3 zu melden, da gemeldete Vorfälle sowohl die unmittelbare Ermittlungsreaktion als auch das breitere Lagebild speisen, das zur Störung der Ransomware-Infrastruktur genutzt wird.
Die Rolle von anwaltlichem Beistand und Incident-Response-Firmen
In der Praxis treffen nur wenige Organisationen eine Ransomware-Zahlungsentscheidung ohne die Einbindung externer Rechtsberatung und einer spezialisierten Incident-Response-Firma, aus gutem Grund über die rein technische Reaktion hinaus. Anwaltlicher Beistand leitet typischerweise einen Sanktionsprüfungsprozess, bevor überhaupt eine Zahlung in Betracht gezogen wird, da das Office of Foreign Assets Control eine Liste sanktionierter Einzelpersonen und Organisationen führt und mehrere große Ransomware-Gruppen oder ihre bekannten Affiliates formell sanktioniert wurden. Die Zahlung eines Lösegelds an eine sanktionierte Einheit kann die zahlende Organisation unabhängig von den Umständen des Angriffs einer separaten zivilrechtlichen Haftung aussetzen, weshalb anwaltlicher Beistand in der Regel darauf besteht, bekannte Wallet-Adressen einer Ransomware-Gruppe zumindest gegen Sanktionslisten zu prüfen, bevor eine Zahlung genehmigt wird, selbst unter erheblichem Zeitdruck.
Incident-Response-Firmen kümmern sich um den parallelen technischen Strang: das Eindämmen des Eindringens, die Bewertung dessen, was tatsächlich verschlüsselt oder exfiltriert wurde, und in vielen Fällen die direkte Verhandlung mit dem Ransomware-Betreiber im Namen des Opfers, da direkter Kontakt durch unerfahrenes Personal unbeabsichtigt Informationen preisgeben kann, die die Lösegeldforderung erhöhen. Cyber-Versicherung, wo eine Police existiert, spielt hier häufig eine koordinierende Rolle, da viele Policen die Nutzung eines im Voraus genehmigten Pools von Incident-Response- und Rechtsfirmen als Deckungsvoraussetzung verlangen.
Verbreiteter Irrtum: Cyber-Versicherung macht Zahlung risikofrei
Eine verbreitete Annahme unter Organisationen mit einer Cyber-Versicherungspolice, die Ransomware abdeckt, ist, dass das Vorhandensein einer Deckung den größten Teil des Risikos aus der Zahlungsentscheidung entfernt. Das trifft nicht zu. Eine Versicherung kann die Lösegeldzahlung selbst und damit verbundene Incident-Response-Kosten bis zu den Policengrenzen erstatten, hebt aber die oben beschriebene Sanktionsgefährdung nicht auf, garantiert nicht, dass eine Zahlung tatsächlich zu nutzbaren Entschlüsselungscodes führt oder dass exfiltrierte Daten nicht dennoch durchsickern, und macht die Reputations- und regulatorischen Folgen des zugrunde liegenden Vorfalls nicht rückgängig, der in vielen Branchen unabhängig davon, ob letztlich ein Lösegeld gezahlt wurde, separate Meldepflichten mit sich bringt. Versicherer sind zudem selektiver geworden und verlangen in manchen Fällen den Nachweis, dass bestimmte Sicherheitskontrollen vorhanden waren, bevor sie sich überhaupt bereit erklären, einen Ransomware-bezogenen Verlust zu decken.
Ein Beispiel: Was nach der Zahlung eines Lösegelds geschieht
Betrachten wir ein mittelgroßes Unternehmen, das nach einem Ransomware-Angriff, der seine Produktionssysteme verschlüsselt, ein sechsstelliges Lösegeld in Bitcoin zahlt, nachdem es rechtlicher Beratung und Incident-Response-Empfehlungen gefolgt ist und eine Sanktionsprüfung durchgeführt hat, die die bekannte Wallet-Adresse als unbedenklich einstuft. Die Zahlung selbst beendet die Gefährdung des Unternehmens nicht. Die Transaktion ist nun eine dauerhafte, öffentliche Aufzeichnung, und Blockchain-Intelligence-Firmen sowie Strafverfolgungsbehörden überwachen bekannte Ransomware-Wallet-Cluster routinemäßig fortlaufend, nicht nur als Reaktion auf die Meldung eines einzelnen Opfers.
Monate später konsolidiert die Wallet, die die Zahlung erhalten hat, Gelder mit Erlösen mehrerer anderer Opfer und bewegt sie über eine Kette von Zwischenadressen, bevor sie bei einer Einzahlung an einer Börse mit schwachen Compliance-Kontrollen in einer Rechtsordnung mit begrenzter Kooperationsbereitschaft landet. In manchen dokumentierten Fällen endet hier die Spur für praktische Wiederbeschaffungszwecke, auch wenn sie On-Chain vollständig sichtbar bleibt. In anderen Fällen, besonders wenn eine Ransomware-Gruppe erhebliche Aufmerksamkeit der Strafverfolgungsbehörden auf sich gezogen hat, hat genau diese Börseneinzahlung, kombiniert mit Einzahlungen, die von anderen Opfern derselben Gruppe nachverfolgt wurden, zu einer umfassenderen Maßnahme der Strafverfolgungsbehörden beigetragen, die zu Wallet-Beschlagnahmungen und in einer kleineren Zahl von Fällen zu teilweiser Entschädigung von Opfern führte, die im Rahmen derselben Untersuchung identifiziert wurden.
Der Nachverfolgungsaspekt: Was mit Lösegeldzahlungen nach der Zahlung geschieht
Selbst wenn ein Lösegeld gezahlt wird, wird die Zahlung selbst zu einem neuen Ermittlungsansatz. Ransomware-Zahlungen bewegen sich über dieselbe Blockchain-Infrastruktur wie jede andere Kryptowährungstransaktion und unterliegen derselben Clustering- und Engpassanalyse, die in unserem Leitfaden zu wie Blockchain-Ermittler gestohlene Gelder tatsächlich nachverfolgen beschrieben wird. Eine bedeutende Zahl von Ransomware-Betreibern und ihrer Geldwäsche-Infrastruktur wurde identifiziert, sanktioniert oder hatte in manchen Fällen Gelder beschlagnahmt, speziell weil ein gezahltes Lösegeld schließlich eine identifizierbare Börse oder einen Geldwäschedienst berührte. Das ist mit ein Grund, warum manche gezahlten Lösegelder in seltenen, aber dokumentierten Fällen im Nachhinein teilweise von Strafverfolgungsbehörden wiederbeschafft wurden, wobei dies weiterhin die Ausnahme bleibt und nichts, worauf eine betroffene Organisation planen oder budgetieren sollte.
Der Nutzen von Kryptowährung für Ransomware-Betreiber ergibt sich aus Geschwindigkeit, Reichweite und Unumkehrbarkeit, nicht aus echter Unauffindbarkeit. Die Blockchain-Analyse ist inzwischen so ausgereift, dass ein bedeutender Anteil der Ransomware-Zahlungen schließlich mit identifizierbarer Infrastruktur in Verbindung gebracht wird, auch wenn diese Nachverfolgung selten schnell genug erfolgt, um die ursprüngliche Zahlung zu verhindern oder ihre Rückgabe zu garantieren.
Was das für die Zukunft bedeutet
Ransomware verschwindet nicht, und die Verschiebung hin zu höheren Forderungen, kleineren, zahlreicheren Betreibern und verstärkter Nutzung von Privacy Coins deutet darauf hin, dass sich die Gruppen hinter diesen Angriffen an den durch Nachverfolgung und Störung durch Strafverfolgungsbehörden entstehenden Druck anpassen, statt sich davon vollständig abschrecken zu lassen. Für Organisationen, die mit einem aktiven Ransomware-Vorfall konfrontiert sind, bleibt die praktische Empfehlung von CISA und dem FBI konsistent: nach Möglichkeit nicht zahlen, den Vorfall umgehend melden und so früh wie möglich in der Reaktion erfahrene Incident-Response- und, sofern bereits Kryptowährung gezahlt wurde, Blockchain-Nachverfolgungsexpertise einbinden.
- Binden Sie anwaltlichen Beistand und eine Incident-Response-Firma ein, bevor Sie eine Zahlungsentscheidung treffen, nicht danach
- Prüfen Sie jede bekannte Ransomware-Wallet-Adresse oder Gruppenidentität gegen aktuelle Sanktionslisten, bevor Sie eine Zahlung genehmigen
- Bewahren Sie forensische Beweise des Eindringens selbst auf, getrennt von der Lösegeldforderung und Zahlungsforderung, da dies sowohl Versicherungsansprüche als auch eine spätere Meldung an Strafverfolgungsbehörden unterstützt
- Melden Sie den Vorfall unabhängig von der Zahlungsentscheidung einem lokalen FBI-Büro oder über IC3
- Dokumentieren Sie jeden Transaktions-Hash und jede beteiligte Wallet-Adresse, falls eine Zahlung geleistet wird, da dies zum Ausgangspunkt jeder Nachverfolgungsbemühung wird
Häufig gestellte Fragen
Banküberweisungen erfordern ein Konto bei einer regulierten Institution, sind unter bestimmten Umständen rückgängig machbar und unterliegen Identitätsprüfungen und Geldwäschebekämpfungskontrollen, die den Empfänger schnell offenlegen würden. Kryptowährung ermöglicht sofortige, unumkehrbare, grenzüberschreitende Zahlungen ohne diese Barrieren, weshalb sie trotz wachsender Nachverfolgbarkeit nahezu universell verlangt wird.
CISA und das FBI raten durchgängig vom Zahlen ab, da es keine Datenwiederherstellung garantiert, weitere kriminelle Aktivitäten finanziert und wiederholtes Ins-Visier-Nehmen begünstigen kann. Organisationen, die mit einem aktiven Vorfall konfrontiert sind, sollten diese Empfehlung gegen ihre konkrete operative Situation abwägen, idealerweise mit erfahrener Incident Response und anwaltlichem Beistand, statt unter Druck standardmäßig zu zahlen.
Oft zu einem gewissen Grad, ja. Ransomware-Zahlungen bewegen sich über dieselbe öffentliche Blockchain-Infrastruktur wie jede Kryptowährungstransaktion und können mittels Clustering-Techniken analysiert werden, um Wallets zu identifizieren und in manchen Fällen mit Börsenkonten oder bekannter krimineller Infrastruktur zu verbinden, wobei Privacy Coins und ausgefeilte Geldwäsche das Nachverfolgbare erheblich einschränken können.
Ransomware-Gruppen scheinen den sinkenden Zahlungsanteil auszugleichen, indem sie pro erfolgreichem Angriff größere Summen fordern und Organisationen ins Visier nehmen, die sie als wahrscheinlicher zahlungsbereit oder in der Lage einschätzen, eine größere Summe zu zahlen, statt sich auf ein hohes Volumen kleinerer, verlässlicherer Zahlungen zu verlassen.
Das kann sie, vor allem wenn die Empfänger-Wallet oder die dahinterstehende Ransomware-Gruppe auf einer vom Office of Foreign Assets Control geführten Sanktionsliste steht. Deshalb besteht anwaltlicher Beistand typischerweise darauf, bekannte Wallet-Adressen gegen Sanktionslisten zu prüfen, bevor eine Zahlung genehmigt wird, unabhängig davon, wie dringend der operative Druck zu zahlen erscheinen mag.
Quellen und weiterführende Informationen
- Crypto Ransomware: 2026 Crypto Crime Report · Chainalysis
- #StopRansomware: Play Ransomware · Cybersecurity and Infrastructure Security Agency
- #StopRansomware · Cybersecurity and Infrastructure Security Agency