Eine neue Art von Kriminalität

Ransomware können schwere Schäden verursachen. So kam es 2019 in Baltimore (USA) zu einem Angriff, bei dem das Computersystem der Stadt blockiert und ein Lösegeld von 76.000 gefordert wurde. Ein Lösegeld in US-Dollar für die Stadt, um wieder Zugang zu den Systemen zu erhalten. Die Stadtregierung, die sich weigerte, erlitt rund 18 Millionen. kosten Dollar, um verlorene Daten wiederherzustellen.

2021 erlitt das Agribusiness-Unternehmen JBS USA Holdings einen solchen Angriff und musste 11 Millionen zahlen. Dollar Lösegeld, um wieder Zugriff auf ihre Daten zu erhalten.

2021 musste auch die Firma „Colonial Pipeline“ 4,4 Millionen zahlen. Dollar Lösegeld.

In Litauen hat das Nationale Cyber-Sicherheitszentrum (NKSC) im Jahr 2021. in dem Bericht die 2020-2021 angegeben, nachdem es Berichte über die Ausrichtung auf die Infrastruktur von Autohäusern und die dortigen Ereignisse erhalten hatte Ransomware Angriff Alle Cyberangriffe beinhalten Lösegeldforderungen.

Laut NKSC nehmen diese Cyberangriffe zu und werden sicherlich auch in Zukunft nicht abnehmen. Ein Grund dafür ist, dass einige Organisationen bereit sind, ein Lösegeld in Kryptowährung zu zahlen, wodurch Kriminelle schnelle und schwer nachvollziehbare finanzielle Gewinne erzielen können.

Das Wichtigste ist die Prävention

Der wichtigste und grundlegendste Schutz gegen solche Handlungen ist die Prävention (allgemeine Stärkung der Cybersicherheit, Verwendung legaler und zuverlässiger Hard- und Software, Verwendung von Antivirenprogrammen, Datensicherung usw.).

Unternehmen, die mit vielen Daten arbeiten, sollten auch die wachsende Popularität von Cyber-Risikoversicherungen in Betracht ziehen, die Unternehmensdaten schützen. Auf diese Weise könnte zumindest teilweise der Grund reduziert werden Ransomware die durch den Angriff erlittenen Verluste.

Solche Angriffe gefährden auch Menschenleben. Es ist daher vorzuziehen, eine Haftpflichtversicherung abzuschließen. Das beweist das schmerzhafte Jahr 2020. Ein Beispiel in Deutschland, wo eine Frau starb, weil die Kriminellen, die Lösegeld forderten, den Zugang zu ihren medizinischen Daten einschränkten und sie nicht rechtzeitig operiert werden konnte.

Darüber hinaus ist es ratsam, vor dem Versichern die Bedingungen der Haftpflichtversicherung zu analysieren. Hier ist ein vor einem Bezirksgericht in Maryland (USA) verhandelter Fall, in dem sich eine Versicherungsgesellschaft weigerte, einen Versicherungsanspruch zu zahlen, weil die Computersysteme nicht physisch beschädigt waren. Zugegebenermaßen widersprach das Gericht dem Unternehmen und sagte, die Versicherung solle Schäden an Software abdecken, die durch den Angriff nicht mehr funktionierten.

Verantwortung des Managers

Es ist auch eine gute Idee, die interne Gesetzgebung in Bezug auf das Management von Cyberangriffen zu überprüfen, um klar zu wissen, wer was im Falle eines Angriffs tun muss. Öffentlich veröffentlichte Empfehlungen legen sogar nahe, die Möglichkeit und das Verfahren der Zahlung eines Lösegeldes nach Erfahrungswerten in internen Rechtsakten als eine der Optionen zuzulassen Ransomware beleidigend. Und es wird vorgeschlagen, so genau wie möglich zu definieren, wann und unter welchen Bedingungen die Entscheidung getroffen werden könnte, das Lösegeld zu zahlen oder nicht zu zahlen.

Darüber hinaus würde es dem Unternehmer ermöglichen, sich im Falle eines Streits zwischen ihm und den Gesellschaftern über die Entscheidung zur Zahlung des Lösegelds zu verteidigen. Die Rechtmäßigkeit des Handelns des Managers in einem solchen Fall könnte nicht nur auf der Erfüllung allgemeiner treuhänderischer Pflichten (ehrliches und vernünftiges Verhalten, Loyalität gegenüber dem Unternehmen und Wahrung der Vertraulichkeit, Vermeidung von Interessenkonflikten und keine Verwendung von Unternehmensvermögen zum persönlichen Vorteil) beruhen. , sondern auch, dass die Maßnahmen in einer Weise ergriffen wurden, die in den internen Gesetzen des Unternehmens festgelegt ist.

Lohnt es sich, das Lösegeld zu zahlen?

Diese Frage erfordert meist eine sehr schnelle Beantwortung und ist in jedem Fall kostspielig. Die vorherrschende allgemeine Empfehlung lautet, das Lösegeld nicht zu zahlen. Die Situationen sind jedoch sehr unterschiedlich.

Erstens ist die Zahlung des Lösegelds ein klares Signal für Kriminelle, dass das Unternehmen Geld hat und es verschenkt und dass die kriminellen Aktivitäten der Hacker funktionieren und sich auszahlen.

Zweitens garantiert die Zahlung des Lösegelds keine Datenwiederherstellung. Nach Erhalt des Lösegelds können Kriminelle verschwinden oder nur einen Teil der Daten zurückgeben und für den Rest zusätzliche Zahlungen verlangen.

Drittens ermutigt die Zahlung des Lösegelds Kriminelle, an diesem Geschäftsmodell festzuhalten und weiterhin Unternehmen zu erpressen.

Die Schlussfolgerung ist einfach: Das Zahlen des Lösegelds schadet normalerweise mehr als es nützt. Leider gibt es Beispiele, wo eine prinzipielle Haltung schmerzhafte Konsequenzen nach sich zieht.

Neben den bereits genannten Beispielen gibt es recht häufig Fälle, in denen Ransomware Von den Angriffen sind nicht nur die direkten „Ziele“, sondern auch Dritte betroffen.

In Litauen ist das vielleicht auffälligste und stärkste Beispiel dafür der Diebstahl personenbezogener Patientendaten „Grožios chirurgijas“ und die Forderung, rund 300.000 bis 350.000 Menschen zu bezahlen. Lösegeld in EUR (umgerechnet aus Bitcoins). In diesem Fall handelte das Unternehmen gemäß den Empfehlungen – entschied sich, nicht zu zahlen, und wandte sich an die Strafverfolgungsbehörden. Dennoch wurden einige der Daten der Personen veröffentlicht. Das Unternehmen erhielt einen ziemlich schmerzhaften Schlag. Nach all den Problemen schloss „Grožios chirurgija“ seinen Betrieb in Kaunas und beschloss, ihn in Vilnius mit einer anderen Marke fortzusetzen.

Auch das finnische Netzwerk psychiatrischer Kliniken „Vastaamo“ weigerte sich, das Lösegeld zu zahlen, zu dem die Kriminellen 40 Bitcoins (damals rund 450.000 Euro) forderten. Die Patientendaten des Unternehmens wurden veröffentlicht, 2021 meldete das Unternehmen zunächst Insolvenz an.

Wenn es um ein Lösegeld-Dilemma geht, ist es wichtig, alle möglichen Konsequenzen sehr sorgfältig abzuwägen. Bewerten Sie, was für das Unternehmen am vorteilhaftesten ist, und berücksichtigen Sie finanzielle und Reputationsverluste, Probleme beim Schutz personenbezogener Daten, potenzielle Opferklagen und andere Risiken. Verfügt die Gesellschaft über kollegiale Leitungsorgane, ist die Entscheidung im Einzelnen zu prüfen und kollektiv und nicht einzeln zu treffen.

Dies ist in Situationen relevant, in denen Ransomware Während des Angriffs werden die sensiblen Daten der Kunden oder Benutzer des Unternehmens gestohlen. Ihr Verlust kann nicht nur zu Strafen wegen unsachgemäßer Datenverarbeitung führen, sondern auch zu Schadensersatzansprüchen der Betroffenen für den entstandenen Schaden.

Jedenfalls erlebt Ransomware der Angriff wird empfohlen, sofort zu handeln. Wenden Sie sich im ersten Schritt an die Strafverfolgungsbehörden. Erstellen Sie zweitens ein Team innerhalb des Unternehmens, um mit der Situation fertig zu werden. Drittens sollten Sie einen Rechtsbeistand beauftragen, der Sie dabei unterstützt, mögliche rechtliche Folgen, die Art und das Ausmaß potenzieller Risiken und Schäden einzuschätzen und verschiedene Szenarien vorzubereiten und zu bewältigen.

Ist es illegal, ein Lösegeld zu zahlen?

In Litauen ist die Zahlung eines Lösegelds an sich keine illegale Handlung. Die Gesetzgebung erlegt dem Unternehmen in dieser Hinsicht keine Verantwortung auf. In anderen Ländern ist die Situation ähnlich.

Das United States Federal Bureau of Investigation (FBI) spricht lediglich eine Empfehlung aus, das Lösegeld nicht zu zahlen. Sie sagen jedoch, dass eine Versicherung dazu nicht erforderlich ist. Denn das würde die Unternehmen noch schlechter stellen. In einem solchen Fall würden sie allein gelassen, um mit den Angreifern fertig zu werden, und es vermeiden, die Strafverfolgungsbehörden um Hilfe zu bitten.

Angesichts des Dilemmas „Zahlen oder nicht zahlen“ haben einige US-Bundesstaaten jedoch Gesetze erlassen, die die Zahlung von Lösegeldern an Regierungsbehörden verbieten. Das erste am 5. April 2022 in North Carolina. Pennsylvania verabschiedete schnell ähnliche Gesetze. Es ist wahrscheinlich, dass andere diesem Beispiel folgen werden und eine feste Haltung zeigen, nicht mit Kriminellen zu verhandeln.

Im Fall eines Unternehmens kann die Rechtswidrigkeit der Zahlung eines Lösegelds in den internen Rechtsakten des Unternehmens festgestellt werden. Obwohl dies nicht zu einer gesetzlichen Haftung im allgemeinen Sinne führen würde, könnte das Unternehmen so interne Verfahren und eine vorherige Position festlegen Ransomware bei Angriffen.

Kann ein Unternehmen für die Zahlung eines Lösegelds mit einer Geldstrafe belegt werden?

Direkt – nein. Die Lösegeldforderung ist jedoch eine illegale Handlung. Daher sollte ein Unternehmen, das damit konfrontiert wird, unverzüglich die Strafverfolgungsbehörden kontaktieren. Auf den ersten Blick mag eine solche Aktion unnötig erscheinen, denn Ransomware die Organisatoren der Anschläge sind schwer nachzuvollziehen. Die bloße Bitte um Hilfe zeigt jedoch die Absicht des betroffenen Unternehmens, das Problem mit rechtlichen Mitteln zu lösen. Eine solche Aktion kann auch nützlich sein, um die Verantwortung des Managers zu bestimmen.

Darüber hinaus müssen weitere Risiken bewertet werden. Beispielsweise können Kriminelle, die Ransomware verwenden, mit terroristischen Organisationen oder sanktionierten Personen in Verbindung gebracht werden. In einem solchen Fall kann die Zahlung des Lösegelds bei den Aufsichtsbehörden Verdacht erregen und den Zahler nach dem Gesetz zur Verhinderung von Geldwäsche und Terrorismusfinanzierung zur Verantwortung ziehen.