Es naht ein Ende der Pandemie, doch nicht nur ihre gesellschaftlichen Auswirkungen sind nach wie vor spürbar, auch die kriminellen. Im Vorjahr ging Zahl der angezeigten Straftaten zwar insgesamt zurück, Internetverbrechen florieren aber. In der aktuellen Kriminalitätsstatistik dominieren Betrugsdelikte, der Trend geht zudem in Richtung Cybererpressung.

Das Geschäft mit Ransomware-Attacken läuft vor allem deshalb, weil die Erpresser ein erfolgreiches Businessmodell entwickelt haben. Kriminelle sperren den Zugang zu Geräten und Daten. Um wieder auf das eigene System zugreifen zu können, bleibt Opfern oft nichts anderes übrig, als das geforderte Lösegeld zu bezahlen.

"Die Kriminellen sind mittlerweile hochspezialisiert", sagt Ulrich Kallausch, der Unternehmen in Fragen der Cybersecurity berät. "Früher waren die Angreifer Studenten, heute sind es professionelle Organisationen." Mittlerweile habe sich in der "Branche" eine Art Arbeitsteilung etabliert. Am Beginn der Kette stehen Kriminelle, die mithilfe von Großcomputern Passwörter abfragen und Schwächen in IT-Systemen aufspüren. Diese Passwörter verkaufen sie dann als Pakete im Darknet an Cybererpresser weiter.

Bilanz analysieren

Bevor die Kriminellen einen Angriff starten, analysieren sie die Bilanz des Zielunternehmens, um herauszufinden, ob sich die Attacke lohnt, sagt Kallausch. "Das Lösegeld wird daran bemessen, wie viel das jeweilige Opfer bezahlen kann." Liegt das IT-System am Boden, drohen Betriebsausfälle und schlechte Presse. Für Unternehmen ist es oft am billigsten, zu bezahlen.

Im Vorjahr gab es in Österreich 46.000 Cybercrime-Anzeigen, um fast ein Drittel mehr als 2020. Laut Kriminalstatistik entfällt der Großteil davon auf Betrugsdelikte, bei Erpressungen ist der Überblick schwierig, weil die Dunkelziffer sehr hoch sein dürfte.

Bericht von Europol

Der IOCTA-Bericht von Europol zu Internetkriminalität spricht eine ähnliche Sprache. Erpressungsfälle nehmen deutlich zu. Onlineshopping hat Betrug regelrecht beflügelt, zudem entwickelt sich mobile Schadsoftware stetig weiter, wodurch Kriminelle leichter eine Zwei-Faktor-Authentifizierung umgehen können.

"Natürlich überlegt man, was die bessere Alternative ist, ob man zahlen soll oder nicht", erzählte Florian Schwap, Prokurist bei Salzburg Milch, dem STANDARD. Das Unternehmen wurde im Juni Opfer einer Ransomware-Attacke, konnte die Computersysteme jedoch aus eigener Kraft wieder aufsetzen.

Nach dem Vorfall hätten sich mehrere Firmen gemeldet und erzählt, dass ihnen dasselbe passiert sei, sie aber gezahlt hätten. "Zum Beispiel ein kleiner Handwerksbetrieb, der mit einer Lösegeldforderung von 10.000 Euro konfrontiert war. Ein IT-Experte hätte wohl mehr gekostet", sagt Schwap.

Millionen fließen in Kryptowährungen

Beim heimischen Bundeskriminalamt gibt es zwar keine konkreten Zahlen, doch ein Blick in die USA lässt klare Rückschlüsse zu. Lösegeld wird oft in Form von Kryptowährungen gefordert. Einem Bericht der US-Analysefirma Chainalysis zufolge flossen im Vorjahr mindestens 602 Millionen Dollar in Verbindung mit Ransomangriffen an Kriminelle. 2020 waren es zwar fast 700 Millionen Dollar, die aktuelle Zahl ist aber noch nicht endgültig, heißt es bei Chainalysis. Das erste Halbjahr ließe klar vermuten, dass das Vorjahr einen neuen Negativrekord bringen werde. Die durchschnittliche Zahlungshöhe lag bei 118.000 Dollar.

Ob Lösegeld bezahlt wird, sei immer eine Einzelfallentscheidung, betont Securityexperte Kallausch. "Man kann sich theoretisch nie sicher sein, dass das System wiederhergestellt wird." In der Praxis sei das aber meist der Fall, weil sich die Kriminellen sonst ihr Geschäftsmodell zerstören würden. "Es gibt in der Branche eine Art Ehrenkodex."

Hohe Dunkelziffer

Dass Unternehmen das Lösegeld häufig bezahlen, bestätigen auch mehrere Anwälte, die DER STANDARD kontaktiert hat. Die Dunkelziffer an Erpressungsfällen dürfte hoch sein. Ein Angriff werde nur dann öffentlich, "wenn es wirklich notwendig ist", sagt Kallausch. Laut einer Studie der US-Firma Malwarebytes bezahlen in Deutschland rund 40 Prozent aller Unternehmen, die angegriffen werden.

Wenn Unternehmen das Lösegeld begleichen, wird sich der so immer weiterdrehende Teufelskreis kaum brechen lassen. Die Bezahlung zu untersagen ist juristisch aber heikel. Denn Opfer sind bei einem Angriff bedroht. Ihnen zu verbieten, sich aus dieser Situation zu befreien, wäre nur schwer denkbar.

Versicherung verbieten

In Deutschland wird nun diskutiert, zumindest die mittlerweile üblichen Versicherungen für Lösegeldzahlungen zu verbieten, damit die Zahlungsbereitschaft der Opfer sinkt. Ähnliche Debatten gibt es in Österreich noch kaum. Versicherungen gegen Lösegeldforderungen unterliegen allerdings strengen Anforderungen, heißt es seitens der Finanzmarktaufsicht (FMA). So müssen Unternehmen ihren Versicherungsschutz geheim halten und externe Sicherheitsberater einsetzen. Im Fall eines Angriffs besteht für versicherte Unternehmen zudem eine Anzeigepflicht an die Polizei. (Jakob Pflügl, Andreas Danzer, 21.2.2022)