Ransomware, Lösegeld und Versicherungsschutz: Was die Cyberversicherung übernimmt

Bei Ransomware übernimmt die Cyberversicherung vor allem die Kosten rund um den Angriff, also Soforthilfe, Forensik, Wiederherstellung, Rechtsberatung und Betriebsunterbrechung. Ob Lösegeld selbst erstattet wird, regeln die Bedingungen sehr unterschiedlich: manche zahlen unter Voraussetzungen, andere schließen es aus oder begrenzen es durch ein niedriges Sublimit. Wichtig ist, dass Sie nie ohne Abstimmung mit dem Versicherer und Fachleuten zahlen oder verhandeln.

Wie Ransomware-Angriffe ablaufen

Bei einem Ransomware-Angriff verschlüsseln Täter Daten und Systeme und verlangen Geld für die Entschlüsselung. Häufig kommt eine zweite Erpressung hinzu: Die Täter haben vorab Daten kopiert und drohen mit Veröffentlichung. Die Eintrittswege sind meist wenig spektakulär: Phishing-Mails mit präparierten Anhängen, gestohlene Zugangsdaten, ungeschützte Fernzugänge oder nicht aktualisierte Systeme. Entsprechend wirken die Basismaßnahmen, die Versicherer verlangen, auch tatsächlich.

Was die Police typischerweise zahlt

Auch wenn kein Lösegeld gezahlt wird, entstehen Kosten, die versichert sein können:

• Notfall-Hotline und Krisenmanagement in den ersten Stunden
• IT-Forensik: Ursache, Umfang, Dauer und Zugriff der Täter
• Wiederherstellung der Systeme aus Backups oder durch Neuaufbau
• Betriebsunterbrechung, siehe Guide Betriebsunterbrechung durch Cyberangriff
• Rechtsberatung zu Meldepflichten und Verhandlung
• Benachrichtigung Betroffener nach Datenabfluss
• Verhandlungsspezialisten und, falls erlaubt, Krypto-Abwicklung

Die tatsächliche Kostenspanne hängt von Betrieb und Verlauf ab. Der Ausfallkosten-Rechner hilft, ein eigenes Szenario durchzurechnen.

Lösegeld: Versicherbar, aber begrenzt

Ob Lösegeld erstattet wird, ist die am meisten diskutierte Frage. Die Konstruktionen am Markt reichen von vollem Ausschluss über Erstattung mit Sublimit bis zu Erstattung nur nach vorheriger Zustimmung des Versicherers. Üblich sind Klauseln wie: Lösegeld wird nur ersetzt, soweit die Zahlung rechtlich zulässig ist, und nur nach Abstimmung mit dem Versicherer. Das ist nicht nur Vertragsrecht, sondern eine Folge der rechtlichen Lage.

Die Zahlung von Lösegeld ist in Deutschland nicht allgemein verboten. Rechtlich heikel kann sie aber sein, wenn Empfänger auf Sanktionslisten stehen oder die Zahlung die Finanzierung von Terrorismus oder die Umgehung von Finanzsanktionen bedeuten würde. Auch Strafverfolgungsbehörden raten grundsätzlich von Zahlungen ab, weil sie das Geschäftsmodell der Täter stärken und keine Garantie für die Entschlüsselung bieten. Eine Entscheidung gehört in die Hand der Geschäftsleitung mit rechtlicher und forensischer Beratung, nicht in die Hände einzelner Beschäftigter.

Worked Example: Szenario ohne Lösegeld

Illustratives Beispiel: Ein Betrieb wird verschlüsselt, Backups sind intakt. Forensik 15.000 €, Wiederherstellung 10.000 €, Rechtsberatung 5.000 €, 6 Ausfalltage à 2.000 € Tagesverlust (12.000 €), davon 1 Tag Wartezeit (2.000 €). Versichert: 15.000 + 10.000 + 5.000 + 10.000 = 40.000 €, abzüglich Selbstbeteiligung, zum Beispiel 5.000 €, ergibt 35.000 €. Ohne intakte Backups würden Wiederherstellung und Ausfall deutlich länger dauern. Dieses Beispiel zeigt, dass Backups den Schaden stärker senken als jede Lösegeldzahlung. Alle Zahlen sind erfunden.

Sicherheitsmaßnahmen, die Versicherer erwarten

Ransomware-Schäden hängen eng an wenigen Maßnahmen. Versicherer fragen deshalb danach, und sie wirken auch ohne Versicherung:

1. Offline- oder unveränderbare Backups und ein getesteter Wiederherstellungsplan
2. Mehrfaktor-Authentisierung für Fernzugänge, E-Mail und Administratorkonten
3. Zeitnahes Einspielen von Sicherheitsupdates, vor allem für Systeme mit Internetzugang
4. Erkennung und Reaktion auf Endgeräten (EDR) oder ein externer Überwachungsdienst
5. Netzwerksegmentierung, damit sich Schadsoftware nicht frei ausbreitet
6. Schulung zu Phishing und Meldewegen für Verdachtsfälle
7. Notfallplan mit Rollen, Telefonnummern und Entscheidungswegen

Das BSI veröffentlicht Empfehlungen zu Ransomware und Basisschutz; die Allianz für Cyber-Sicherheit bietet Material für Unternehmen. Prüfen Sie Abschluss-Checkliste und Mindestanforderungen.

Wenn es passiert: Was jetzt zählt

1. Systeme vom Netz trennen, nicht ausschalten oder neu aufsetzen, ohne Rücksprache.
2. Hotline des Versicherers anrufen, bevor Sie eigene Dienstleister beauftragen.
3. Beweise sichern: Erpresserschreiben, Dateinamen, Zeiten.
4. Meldepflichten klären, siehe Schadenmeldung.
5. Keinen Kontakt zu Tätern aufnehmen ohne Abstimmung mit Beratern.
6. Entscheidung über Zahlung nur mit Rechtsberatung, forensischer Einschätzung und Zustimmung des Versicherers.
7. Backups auf Unversehrtheit prüfen, bevor sie eingespielt werden, damit die Täter nicht erneut zugreifen.

Backups richtig aufbauen und testen

Weil Backups den Schaden bei Ransomware stärker beeinflussen als fast jede andere Maßnahme, lohnt ein genauer Blick. Eine Sicherung ist nur dann hilfreich, wenn Angreifer sie nicht mitverschlüsseln können. Das gelingt über Kopien, die physisch getrennt aufbewahrt werden, über Dienste mit unveränderbaren Versionen oder über getrennte Zugangsdaten, die nicht im normalen Netzwerk verwendet werden. Ebenso wichtig ist die Wiederherstellungszeit: Wer vierhundert Gigabyte über eine langsame Leitung zurückspielen muss, ist unter Umständen mehrere Tage beschäftigt. Testen Sie deshalb mindestens einmal im Jahr eine vollständige Wiederherstellung kritischer Systeme, messen Sie die Dauer und halten Sie die Reihenfolge fest, in der Systeme wieder anlaufen sollen. Dieses Ergebnis ist zugleich eine verlässliche Grundlage für die Wahl der Wartezeit in der Betriebsunterbrechungsdeckung und ein starkes Argument im Gespräch mit dem Versicherer.

Zusammenspiel mit Strafverfolgung

Strafverfolgungsbehörden sammeln Informationen zu Tätergruppen und können in manchen Fällen Hinweise zu Entschlüsselungswerkzeugen geben. Eine frühe Anzeige hilft deshalb nicht nur der Versicherung, sondern auch der Aufklärung. Sichern Sie dazu Erpresserschreiben, Kontaktadressen der Täter und Zahlungsinformationen unverändert und übergeben Sie sie nach Absprache mit Ihren Beratern. Die Zentralen Ansprechstellen Cybercrime der Landeskriminalämter sind dafür der übliche Weg.

Häufige Fragen

Raten Behörden zur Zahlung von Lösegeld?

Behörden raten in der Regel davon ab, weil es keine Garantie gibt und Täter ermutigt werden. Die Entscheidung liegt bei der Geschäftsleitung.

Kann die Versicherung eine Zahlung untersagen?

Wenn die Bedingungen Zustimmung verlangen, riskieren Sie ohne sie den Ersatz. Rechtlich unzulässige Zahlungen werden nicht erstattet.

Muss ich die Erpressung der Datenschutzaufsicht melden?

Wenn personenbezogene Daten betroffen sind und ein Risiko für Betroffene besteht, gilt die Meldepflicht nach DSGVO unabhängig von der Erpressung.

Hilft eine Cyberversicherung bei Datenveröffentlichung durch Täter?

Kosten für Benachrichtigung, Beratung und Haftpflichtansprüche können gedeckt sein, wenn der Baustein vereinbart ist.

Quellen

• BSI — Informationen und Empfehlungen zu Ransomware
• Allianz für Cyber-Sicherheit — Material für Unternehmen
• Bundeskriminalamt — Informationen zu Cybercrime
• GDV — Informationen zur Cyberversicherung