Ransomware

Ver­si­on 2.0 · Stand: 18.07.2026

Ran­som­wa­re ist Mal­wa­re, die Datei­en – teils gan­ze Syste­me – als «Gei­seln» ver­schlüs­selt und für die Frei­ga­be Löse­geld (eng­lisch ran­som) for­dert: eine moder­ne Form der Erpres­sung. Bei der «dop­pel­ten Erpres­sung» dro­hen die Täter zusätz­lich mit der Ver­öf­fent­li­chung oder dem Ver­kauf der erbeu­te­ten Daten.

Einordnung

Ran­som­wa­re ist das lukra­tiv­ste Geschäfts­mo­dell der Cyber­kri­mi­na­li­tät: Allein im ersten Halb­jahr 2023 erpress­ten Ban­den rund 450 Mil­lio­nen Dol­lar; die Grup­pe Clop erziel­te durch­schnitt­lich 1,7 Mil­lio­nen pro Angriff (inside-it.ch, 14. Juli 2023). Auch Schwei­zer Unter­neh­men sind belieb­te Zie­le – bekannt wur­den die Fäl­le Com­pa­ris (2021, sie­he Fall­stu­die) und NZZ (2023). Das Bun­des­amt für Cyber­si­cher­heit rät von Löse­geld­zah­lun­gen ab; Com­pa­ris bezahl­te letzt­lich den­noch – die Exper­ten­mei­nun­gen sind hier nicht ein­heit­lich, denn die Zah­lung finan­ziert das Geschäfts­mo­dell, garan­tiert aber kei­ne Datenfreigabe.

Bedeutung für die Krisenkommunikation (KMK-Bezug)

Die Ran­som­wa­re-Kri­se stellt die här­te­sten kom­mu­ni­ka­ti­ven Dilem­ma­ta der IT-Kri­se: Über lau­fen­de Erpres­sun­gen kann nicht offen infor­miert wer­den (Täter­kon­takt, Ermitt­lun­gen), zugleich ver­lan­gen Betrof­fe­ne und Medi­en Ant­wor­ten – die Kom­mu­ni­ka­ti­on muss Trans­pa­ren­zwil­len zei­gen, ohne die Ver­hand­lungs­po­si­ti­on zu schwä­chen. Ob gezahlt wur­de, wird fast immer publik; die Wenn-Dann-Logik ver­langt, die­se Fra­ge vor­ab stra­te­gisch zu ent­schei­den statt sie im Sturm zu impro­vi­sie­ren. Zur Basis­re­ak­ti­on gehö­ren Ins­truc­ting Infor­ma­ti­on (Was müs­sen Kun­den jetzt tun?) und die daten­schutz­recht­li­che Meldekaskade.

Weiterführend

G DATA: Was ist eigent­lich Ransomware?

Mehr Info­gra­fi­ken bei Sta­ti­sta