Ransomware-Lösegeld zahlen? Die 7-Punkte-Entscheidungsmatrix für GF

Inhalt in Kürze

• Es gibt keine Pauschalantwort auf „zahlen oder nicht zahlen”. Es gibt aber sieben Kriterien, die Sie in den ersten 48 Stunden in dieser Reihenfolge prüfen müssen — eines davon ist ein hartes K.-o.-Kriterium.
• Der OFAC-/EU-Sanktionslisten-Check dauert 5 Minuten. Ein Treffer macht jede Zahlung rechtswidrig — unabhängig davon, was die Versicherung sagt.
• Die DSGVO-Meldepflicht (72 Stunden) und die NIS2-Meldepflicht (24/72 Stunden) ticken auch dann, wenn Sie zahlen. Schweigen verschärft den Schaden.
• Laut BSI-Lagebericht 2025 sinkt die Zahlungsbereitschaft, gleichzeitig erreichen die durchschnittlichen Lösegelder neue Höchstwerte. KMU sind in 80 % der Fälle das Ziel.

Freitag, 17:42 Uhr. Der ERP-Server antwortet nicht mehr. Auf jedem Bildschirm derselbe Text in schlechtem Englisch: 180.000 € in Bitcoin, 72 Stunden, sonst werden Kundendaten verkauft. Die Versicherung sagt am Telefon „bitte nichts entscheiden”. Ihr IT-Dienstleister sagt „Recovery dauert mindestens drei Wochen”. Montag ist der Liefertermin beim Großkunden — Vertragsstrafe, falls verpasst. Sie sind allein mit der Frage, die kein Berater Ihnen abnehmen wird: zahlen oder nicht?

Ransomware-Zahlung als Entscheidung, nicht als Reflex

Die ehrliche Antwort der Branche lautet: Es kommt darauf an. Das hilft Ihnen Freitagabend nicht. Was hilft, ist eine Entscheidungsmatrix, die Sie in der richtigen Reihenfolge abarbeiten — bevor Sie irgendetwas tun.

Was Sie nicht tun: panisch zahlen, panisch ignorieren, panisch den Server neu starten. Jede dieser Reaktionen vernichtet entweder Geld, Beweise oder beides. Die Matrix unten geht davon aus, dass Sie einen Krisenstab haben (Sie, IT-Verantwortlicher, Anwalt, Versicherer) — falls nicht, ist der erste Anruf Ihr Cyberversicherer. Mehr zum Sofort-Vorgehen finden Sie im Notfall-Guide Cyberangriff und im Incident-Response-Leitfaden.

Die Zahlen stammen aus dem BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025. Die Zahlungsbereitschaft sinkt, weil mehr Unternehmen Backups und Übung haben. Die Forderungen steigen, weil die Erpresser sich auf weniger, dafür größere Hebel konzentrieren — vor allem auf Datenleaks zusätzlich zur Verschlüsselung.

Die 7 Kriterien der Entscheidungsmatrix

Arbeiten Sie die Liste in dieser Reihenfolge ab. Nicht parallel, nicht nach Bauchgefühl. Kriterium 1 ist ein hartes K.-o.: Wenn dort ein Treffer kommt, ist die Diskussion vorbei.

Kriterium 1 — Sanktionsliste prüfen (5 Minuten, hartes K.-o.)

Das US-Finanzministerium hat 2020 ausdrücklich klargestellt: Wer Lösegeld an eine sanktionierte Person oder Gruppe zahlt, verstößt gegen US-Sanktionen — auch als deutsches Unternehmen, sobald die Zahlung den US-Finanzraum berührt (was bei Bitcoin-Exchange-Konten praktisch immer der Fall ist). Die aktualisierte OFAC Ransomware Advisory und die EU-FSF-Listen sind hier eindeutig.

Konkret prüfen Sie:

• Erpressergruppe identifizieren. Der Name steht meist in der Erpresser-Notiz oder im Header der verschlüsselten Dateien. Beispiele: LockBit, BlackCat/ALPHV, Conti, Evil Corp. Die Gruppe googeln plus „OFAC sanctioned".
• OFAC SDN List. Auf sanctionssearch.ofac.treas.gov den Gruppennamen, Aliase und ggf. die Bitcoin-Wallet-Adresse aus der Notiz suchen.
• EU-FSF. Auf der EU Sanctions Map bzw. dem EU-Konsolidierten Listen-Tool den Gruppennamen prüfen. Mehrere russische Gruppen stehen dort.
• BaFin-Hinweis. Die BaFin hat in ihren Aufsichtsmitteilungen klargestellt: Auch der Versicherer darf nicht an sanktionierte Empfänger zahlen.
• Treffer = Stop. Bei einem Match ist die Zahlung rechtswidrig, der Versicherungsschutz entfällt automatisch, und Sie machen sich angreifbar nach AWG (Außenwirtschaftsgesetz). Anwalt + BSI-Meldung sofort.

Kriterium 2 — § 129 StGB: kriminelle Vereinigung

Eine Zahlung an eine erkennbar kriminelle Vereinigung kann den Tatbestand der Unterstützung nach § 129 StGB erfüllen. Strafrechtlich betritt man hier dünnes Eis. In der Praxis wird die Zahlung an Ransomware-Gruppen selten verfolgt — aber sie ist eben nicht risikofrei. Spätestens wenn Strukturen wie Conti oder LockBit erkennbar sind, gehört der Anwalt vor die Überweisung.

Kriterium 3 — Backup ehrlich bewerten

Die meisten Geschäftsführer überschätzen das eigene Backup. Die Frage lautet nicht: „Haben wir Backups?” — die lautet: „Wann haben wir das letzte Mal eine vollständige Wiederherstellung getestet, und wie lange hat das gedauert?” Wenn die Antwort „weiß ich nicht” ist, ist es kein Backup, sondern eine Hoffnung.

Wer ein 3-2-1-Backup mit Offsite-Kopie hat, getestet, mit dokumentierter Restore-Zeit, braucht in 90 % der Fälle nicht zahlen. Wer das nicht hat, holt es jetzt nach — und nicht erst nach dem Vorfall. Vertiefung: Ransomware-Schutz in KMU.

Kriterium 4 — Time-to-Recovery rechnen

Diese Rechnung machen Sie auf einer Serviette:

1. Recovery-Zeit aus Backup ehrlich schätzen. Realistisch 3 bis 14 Tage, je nach Datenvolumen und Test-Status. Inkl. Re-Image der Server, Patches, Konfiguration.
2. Decrypt-Zeit nach Zahlung schätzen. Auch mit gelieferten Tools 7 bis 21 Tage. Die Erpresser-Tools sind oft instabil und arbeiten seriell. Tool ausgeliefert heißt nicht: System läuft.
3. Stillstands-Kosten pro Tag rechnen. Personal, Vertragsstrafen, Umsatzausfall. Diese Zahl mal Tage = Schaden.
4. Zahlung mit Schaden vergleichen. Wenn Decrypt + Stillstand teurer ist als Recovery + Stillstand, ist die Zahlung wirtschaftlich sinnlos — und Kriterien 1, 2, 5 ohnehin gewichtiger.

Kriterium 5 — Cyberversicherung einbeziehen, bevor Sie etwas tun

Der erste Anruf nach Krisenstab-Konstitution: der Versicherer. Nicht „informativ”, sondern formal: Schadensmeldung. Jede Handlung vor dieser Meldung — auch die Zahlung — kann den Deckungsschutz kosten.

Kriterium 6 — Datenabfluss verändert das Spiel

Wenn die Erpresser nicht nur verschlüsselt, sondern Daten gestohlen haben (Double Extortion), gilt: Die Zahlung verhindert keine Meldepflicht. Art. 33 DSGVO tickt 72 Stunden, sobald Sie Kenntnis vom Datenabfluss haben. Die Zahlung garantiert auch nicht, dass die Daten wirklich gelöscht werden — wir haben Fälle gesehen, in denen Daten Monate später trotz Zahlung im Darknet auftauchten. Details: Datenpanne in 72 Stunden melden.

Kriterium 7 — Reputation und Verträge

Erst jetzt, ganz am Ende, denken Sie an Reputation, Vertragsstrafen und Kundenkommunikation. Nicht weil das unwichtig wäre — sondern weil 1 bis 6 die rechtlichen Leitplanken sind. Wer aus Reputationssorge zahlt, obwohl Kriterium 1 ein Stop signalisiert, hat das doppelte Problem: schlechte Presse plus Strafverfahren.

Aus der Praxis

Die schlimmsten Fälle, die wir sehen, sind nicht die, in denen jemand falsch entscheidet. Es sind die, in denen niemand entscheidet. Der Geschäftsführer hofft, dass die IT das löst, die IT hofft, dass die Versicherung das löst, die Versicherung wartet auf eine formale Meldung, die nie kommt. Drei Tage später ist die 72-Stunden-DSGVO-Frist verstrichen, das Backup-Window ist verbrannt, und das Lösegeld ist auf 240.000 Euro gestiegen. Die Matrix abzuarbeiten ist anstrengend — sie nicht abzuarbeiten ist teurer.

Jens HagelIT-Sicherheitsexperte bei frag.hugo

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Der 5-Minuten-Sanktionscheck — die Anleitung

Diesen Check macht der Krisenstab in den ersten 30 Minuten — bevor irgendjemand über die Bitcoin-Wallet redet.

• Erpresser-Notiz öffnen. Gruppenname, Wallet-Adresse, Aliase notieren. Screenshot anfertigen, nicht kopieren — die Datei kann mit Zeitbomben versehen sein.
• Gruppenname googeln. Suche: „[Gruppenname] OFAC sanctioned 2025". Erstes seriöses Treffer-Set: Bleeping Computer, The Record, Treasury.gov-Pressemitteilungen.
• OFAC SDN-Suche. sanctionssearch.ofac.treas.gov öffnen, Gruppenname und Aliase eingeben. Treffer prüfen, Screenshot mit Zeitstempel speichern.
• EU-Sanctions-Map. sanctionsmap.eu öffnen, Gruppe als Stichwort prüfen. Russische Cyber-Gruppen stehen häufig dort.
• Wallet-Adresse prüfen. Adresse aus der Notiz in OFAC-Suche eintragen. Die Datenbank enthält auch konkrete Krypto-Adressen.
• Ergebnis dokumentieren. Wer hat wann was gefunden. Diese Doku ist später Ihr Beweis gegenüber Versicherer und Aufsichtsbehörden.

Was Sie an Behörden zwingend melden — selbst wenn Sie zahlen

Egal wie Sie sich entscheiden, der Anruf bei Behörden ist nicht optional. Die folgende Reihenfolge bewährt sich:

Mehr zur 72-Stunden-Mechanik finden Sie unter Datenpanne melden — die 72-Stunden-Frist. Für KRITIS-/NIS2-Pflichtige ergänzend NIS2-Lieferketten-Compliance.

Die drei Reflexe, die Sie sich verbieten

Fazit: Bewertungsrahmen statt Bauchgefühl

Niemand außerhalb Ihres Unternehmens kann Ihnen die Zahlungsentscheidung abnehmen. Wir können Ihnen aber die Matrix geben, mit der Sie sie tragen können — vor sich selbst, vor dem Beirat, vor der Aufsichtsbehörde. Und vor allem: bevor der Erpresser-Countdown unter 24 Stunden fällt.

Wenn Sie die Matrix einmal vorab durchspielen wollen, bevor sie ernsthaft gebraucht wird, oder einen Notfallplan für den Krisenstab brauchen: Lassen Sie uns 15 Minuten reden. Mehr zum Thema finden Sie unter Hugo Shield — NIS2-Lieferketten-Compliance und im Notfall-Guide Cyberangriff.

Häufige Fragen (FAQ)

Ist es in Deutschland strafbar, Lösegeld an Ransomware-Erpresser zu zahlen?

Die Zahlung selbst ist nicht per se strafbar. Strafbar werden kann sie nach § 129 StGB (Unterstützung einer kriminellen Vereinigung) oder § 89c StGB (Terrorismusfinanzierung), wenn der Empfänger einer entsprechenden Gruppierung zuzuordnen ist. Hinzu kommen Sanktionsverstöße: Wer an eine Person auf der EU-FSF- oder OFAC-SDN-Liste zahlt, riskiert Bußgelder und Strafverfahren.

Wie prüfe ich in 5 Minuten, ob die Erpresser auf einer Sanktionsliste stehen?

Erstens: Die Erpressergruppe (z. B. LockBit, BlackCat, Conti) auf sanctionslist.ofac.treas.gov und in der EU-FSF (Financial Sanctions Files via euscreening.eu oder dem EU-Konsolidierten-Sanktionsnamen-Tool) suchen. Zweitens: Die Wallet-Adresse aus der Erpresser-Notiz ebenfalls in der OFAC-Datenbank prüfen. Treffer = sofortiger Stopp, zahlen wäre ein Rechtsverstoß.

Übernimmt meine Cyberversicherung die Lösegeldzahlung?

Manche Policen ja, viele inzwischen nicht mehr oder nur mit Vorab-Genehmigung. Die Versicherung muss vor jeder Zahlung in den Prozess eingebunden werden — sonst entfällt der Deckungsschutz. Selbstbehalte liegen typischerweise bei 10 bis 25 Prozent. Die Police prüft auch, ob alle Mindestmaßnahmen (MFA, Backups, Patch-Stand) vor dem Vorfall eingehalten waren.

Müssen wir die Datenpanne auch melden, wenn wir das Lösegeld zahlen?

Ja. Die Meldepflicht nach Art. 33 DSGVO (72 Stunden an die Aufsichtsbehörde) ist unabhängig davon, ob Sie zahlen oder nicht. Wenn personenbezogene Daten betroffen sind oder ein Datenabfluss (Exfiltration) erfolgte, ist die Meldung Pflicht. Die Zahlung garantiert weder, dass die Daten gelöscht werden, noch heilt sie die DSGVO-Verstöße.

Wie lange dauert die Entschlüsselung nach einer Zahlung im Vergleich zur Backup-Wiederherstellung?

Realistisch: Auch nach Zahlung dauert die Entschlüsselung 7 bis 21 Tage, weil die Tools der Erpresser oft instabil sind und nur seriell arbeiten. Eine saubere Backup-Wiederherstellung mit getesteter Strategie liegt erfahrungsgemäß bei 3 bis 14 Tagen. Wer kein getestetes Backup hat, verliert auch nach Zahlung Wochen — und Daten.

An wen muss ich nach einem Ransomware-Vorfall zwingend melden?

Die Datenschutzbehörde (HmbBfDI in Hamburg) innerhalb von 72 Stunden, wenn personenbezogene Daten betroffen sind. Das BSI über die Meldestelle, wenn Sie KRITIS- oder NIS2-pflichtig sind. Das LKA bzw. die ZAC (Zentrale Ansprechstelle Cybercrime) der Polizei für die Strafanzeige. Den Cyberversicherer vor jeder Handlung. Bei Berufsgeheimnisträgern zusätzlich die Kammer.

Was sind die drei häufigsten Fehler von Geschäftsführern in den ersten Stunden?

Erstens: Schweigend zahlen, ohne Versicherung und Behörden einzubinden — das kostet Versicherungsschutz und kann strafbar sein. Zweitens: Sofort den verschlüsselten Server neu starten und damit Forensik-Spuren vernichten. Drittens: Den Vorfall intern verbergen — nach NIS2 und DSGVO entstehen daraus zusätzliche Bußgeldtatbestände, oft höher als der ursprüngliche Schaden.