Doppelte Erpressung bei Ransomware: Wenn Datenveröffentlichung zur Waffe wird

Eine Ransomware-Gruppe fordert von einer Stadtverwaltung mehrere Millionen Euro Lösegeld – nicht weil Systeme verschlüsselt sind, sondern weil gestohlene Akten sonst veröffentlicht werden. Genau dieses Muster, bekannt als doppelte Erpressung, trifft längst nicht mehr nur Großstädte und Konzerne. Auch kleine und mittlere Unternehmen geraten ins Visier, weil ihre Daten für Kriminelle ebenso verwertbar sind wie ihre Systeme.

Was ist doppelte Erpressung?

Bei der klassischen Ransomware-Erpressung verschlüsseln Angreifer Firmendaten und verlangen Lösegeld für den Entschlüsselungsschlüssel. Bei der doppelten Erpressung (Double Extortion) kommt ein zweiter Hebel hinzu: Bevor überhaupt verschlüsselt wird, kopieren die Angreifer sensible Daten auf eigene Server. Zahlt das Opfer nicht, drohen sie mit der Veröffentlichung auf sogenannten Leak-Sites im Darknet.

Manche Gruppen gehen inzwischen noch weiter und verzichten ganz auf die Verschlüsselung. Der reine Diebstahl mit Veröffentlichungsdrohung reicht ihnen als Druckmittel – das spart Aufwand und macht die Erkennung schwerer, weil keine verschlüsselten Dateien und keine auffälligen Systemausfälle den Angriff verraten.

Warum diese Taktik so wirksam ist

Ein funktionierendes Backup schützt zuverlässig gegen Verschlüsselung – aber nicht gegen Datendiebstahl. Selbst Unternehmen, die ihre Systeme nach einem Angriff binnen Stunden wiederherstellen könnten, stehen vor der Frage: Was passiert, wenn Kundendaten, Verträge oder Mitarbeiterunterlagen öffentlich einsehbar werden? Genau diese Unsicherheit nutzen Kriminelle gezielt aus.

Hinzu kommt: Wer zahlt, hat keine Garantie, dass die Daten wirklich gelöscht werden. Mehrere dokumentierte Fälle zeigen, dass Kopien trotz Zahlung weiterverkauft oder später erneut zur Erpressung genutzt wurden.

Welche Daten besonders gefährdet sind

Nicht jede Datei ist für Angreifer gleich interessant. Besonders häufig ins Visier geraten:

• Kundendaten – Namen, Adressen, Vertragsdetails, Zahlungsinformationen
• Personalunterlagen – Gehaltsdaten, Verträge, Gesundheitsdaten aus der Personalakte
• Geschäftsgeheimnisse – Kalkulationen, Konstruktionspläne, interne Strategiepapiere
• E-Mail-Postfächer – oft die ergiebigste Quelle, weil sie Jahre an Kommunikation enthalten

Gerade KMU unterschätzen häufig, wie viele sensible Informationen über Jahre unstrukturiert in Dateiservern, E-Mail-Archiven oder Cloud-Speichern liegen – ohne Zugriffsbeschränkung, ohne Löschkonzept.

Rechtliche Folgen für Unternehmen in Deutschland

Wird ein Datenleck bekannt, greift die DSGVO unabhängig davon, ob Lösegeld gezahlt wurde oder nicht. Betroffene Unternehmen müssen den Vorfall in der Regel innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde melden, wenn personenbezogene Daten betroffen sind. Wer das versäumt, riskiert zusätzliche Bußgelder – unabhängig vom eigentlichen Schaden durch die Veröffentlichung.

Für ostdeutsche KMU bedeutet das: Ein Ransomware-Vorfall ist nicht nur ein IT-Problem, sondern schnell auch ein rechtliches und ein Reputationsproblem gegenüber Kunden und Geschäftspartnern.

Praxisteil: Wie sich Unternehmen konkret schützen

Gegen doppelte Erpressung hilft kein einzelner Baustein – nur ein Zusammenspiel mehrerer Maßnahmen reduziert das Risiko spürbar.

1. Datenexfiltration erschweren

• Ausgehenden Datenverkehr auf ungewöhnliche Muster überwachen (große Uploads zu unbekannten Zielen)
• Zugriffsrechte konsequent nach dem Least-Privilege-Prinzip vergeben, statt allen Mitarbeitenden Zugriff auf alle Freigaben zu geben
• Sensible Datenbestände in separaten, besonders geschützten Bereichen ablegen statt sie über das gesamte Netzwerk zu verteilen

2. Frühzeitige Erkennung statt Vertrauen auf Zufall

Angreifer verbringen oft Wochen unbemerkt im Netzwerk, bevor sie zuschlagen. Ein Monitoring, das ungewöhnliche Anmeldungen, große Datenbewegungen oder neue Admin-Konten erkennt, verschafft Unternehmen wertvolle Zeit, um einzugreifen, bevor Daten das Netzwerk verlassen.

3. Datenminimierung als Schutzmaßnahme

Was nicht gespeichert ist, kann auch nicht gestohlen werden. Regelmäßige Löschkonzepte für alte Kundendaten, ausgeschiedene Mitarbeiterakten oder veraltete Projektunterlagen reduzieren die Angriffsfläche direkt.

4. Notfallplan mit Kommunikationsstrategie

Ein Incident-Response-Plan sollte nicht nur die technische Wiederherstellung regeln, sondern auch: Wer informiert wann die Aufsichtsbehörde? Wer kommuniziert mit betroffenen Kunden? Wer entscheidet über Lösegeldzahlungen – und auf welcher Grundlage?

5. Externe Absicherung prüfen

Eine Cyberversicherung kann bei den finanziellen Folgen helfen, ersetzt aber keine Prävention. Wichtiger ist eine Kombination aus gehärteten Systemen, funktionierenden Backups und einer Firewall-Lösung wie OPNsense, die verdächtigen ausgehenden Traffic blockieren kann, bevor Daten das Firmennetz verlassen.

Fazit

Doppelte Erpressung verändert die Verteidigungsstrategie: Backups allein reichen nicht mehr aus, wenn Kriminelle nicht auf Verschlüsselung, sondern auf Datendiebstahl setzen. Unternehmen in Dresden und ganz Sachsen sollten ihre IT-Sicherheit deshalb um Themen wie Datenklassifizierung, Netzwerküberwachung und ein durchdachtes Löschkonzept erweitern, statt sich allein auf Wiederherstellung zu verlassen.

Sie möchten wissen, wie gut Ihr Unternehmen gegen Datendiebstahl und Ransomware-Erpressung geschützt ist? Rexoma unterstützt KMU in Dresden und Sachsen bei der Absicherung ihrer Netzwerke, der Einrichtung von Monitoring-Lösungen und der Entwicklung eines belastbaren Notfallplans gegen doppelte Erpressung.

Häufige Fragen (FAQ)

Was ist der Unterschied zwischen einfacher und doppelter Erpressung bei Ransomware? Bei einfacher Erpressung verschlüsseln Angreifer Daten und fordern Lösegeld für die Entschlüsselung. Bei doppelter Erpressung stehlen sie zusätzlich Daten und drohen mit deren Veröffentlichung, unabhängig davon, ob eine Wiederherstellung möglich ist.

Schützt ein gutes Backup vor doppelter Erpressung? Ein Backup schützt zuverlässig vor Datenverlust durch Verschlüsselung, aber nicht davor, dass bereits gestohlene Daten veröffentlicht werden. Es braucht zusätzlich Maßnahmen gegen Datenabfluss.

Sollten Unternehmen bei Androhung einer Datenveröffentlichung zahlen? Sicherheitsbehörden raten generell von Zahlungen ab, da keine Garantie besteht, dass Daten wirklich gelöscht werden. Die Entscheidung sollte immer im Rahmen eines vorbereiteten Notfallplans und in Abstimmung mit Rechtsberatung getroffen werden.

Muss ein Datenleck durch Ransomware immer gemeldet werden? Sind personenbezogene Daten betroffen, besteht in der Regel eine Meldepflicht gegenüber der Datenschutzaufsichtsbehörde innerhalb von 72 Stunden, unabhängig davon, ob Lösegeld gezahlt wurde.

Wie erkennen Unternehmen frühzeitig, dass Daten abfließen? Netzwerk-Monitoring, das ungewöhnliche ausgehende Datenmengen und Verbindungen zu unbekannten Zielen erkennt, ist der wirksamste Weg, Datenexfiltration zu bemerken, bevor sie abgeschlossen ist.