IT-Recht: Sicherheitsanforderungen und Rechtsfragen zu Ransomware-Attacken
Ransomware-Angriffe werfen Fragen aus vielen Rechtsgebieten auf. Zahlreiche juristische Spielregeln gilt es vor, während und nach solchen Attacken zu beachten.
![](https://heise.cloudimg.io/width/610/q85.png-lossy-85.webp-lossy-85.foil1/_www-heise-de_/imgs/18/3/3/0/5/9/9/3/ransomware_4-3e1f3b30162d21d9.png)
- Tobias Haar
Die Frage, welche juristischen Erwägungen ein erpresstes Unternehmen im Fall einer Ransomware-Attacke anstellen muss, ist ungleich schwieriger zu beantworten als die nach der juristischen Verantwortung der Täter. Hinzu kommt, dass die Auswirkungen solcher Angriffe oft so erheblich sind, dass schnelles Reagieren zwingend scheint. Manche Täter "belohnen" ihre Opfer auch für schnelles Handeln, indem sie ihre Lösegeldforderungen über die Zeit erhöhen. Das geforderte Lösegeld zu bezahlen, fällt leicht, wenn etwa eine Versicherung dafür einsteht.
So haben die Betreiber der Benzinpipeline Colonial in den USA im Mai 2021 etwa 4,4 Millionen Dollar Lösegeld bezahlt, nachdem ihre zentrale Infrastruktureinrichtung Opfer eines Ransomware-Angriffs geworden war. Weder das FBI noch die US-Cybersicherheitsbehörde CISA hatten eine andere Lösung anzubieten. Allerdings war das Opfer gegen Cyberangriffe versichert. Wenn Täter von einer solchen Versicherung ihrer Opfer wissen, motiviert sie das unter Umständen erst recht, gegen Unternehmen vorzugehen. Denn mutmaßlich sind die Erpressten eher zu Lösegeldzahlungen bereit, wenn sie wissen, dass ihre Versicherungen diese voraussichtlich erstatten.
Versicherungen von Lösegeldzahlungen bei Cyberpolicen sind hierzulande seit 2017 nicht mehr verboten. Allerdings darf dafür aus den beschriebenen Gründen nicht geworben werden. In Deutschland werden solche Versicherungen (noch) von Ergo oder Axa angeboten.
Das war die Leseprobe unseres heise-Plus-Artikels "IT-Recht: Sicherheitsanforderungen und Rechtsfragen zu Ransomware-Attacken". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.