Es ist ein Montagmorgen. Die Dateien lassen sich nicht mehr öffnen, eine Nachricht zeigt einen Betrag und einen Countdown an. Jemand stellt dann die Frage, die niemand hören wollte: Zahlen wir?
Dieser Artikel wird Ihnen keine fertige Antwort liefern, denn es gibt keine. Er gibt Ihnen, was Sie brauchen, um nicht falsch zu entscheiden: was eine Zahlung tatsächlich kauft, was sie nicht kauft, und warum diese Frage weit vor dem Erscheinen eines Erpresserbildschirms entschieden wird.
Was empfehlen die Schweizer Behörden, und warum?
Das Nationale Zentrum für Cybersicherheit (NCSC) rät von der Zahlung ab. Die meisten europäischen Behörden vertreten dieselbe Position. Diese Empfehlung stützt sich auf drei konkrete Gründe, die es sich lohnt zu verstehen, statt sie nur als Grundsatz hinzunehmen.
Die Zahlung finanziert die kriminelle Tätigkeit. Ransomware-Gruppen sind Organisationen mit Gehältern, gekauften Werkzeugen und Subunternehmern. Jedes bezahlte Lösegeld finanziert direkt die nächsten Angriffe, auch gegen Unternehmen, die dem Ihren vergleichbar sind. Das ist ein kollektives Argument, das wenig zählt, wenn das eigene Unternehmen stillsteht, aber es ist real.
Die Zahlung macht Sie als Zahler bekannt. Die Gruppen tauschen Informationen aus, verkaufen sie weiter und dokumentieren ihre Ziele. Ein Unternehmen, das bezahlt hat, ist ein Unternehmen, von dem man weiss, dass es zahlt, dass es über die Mittel verfügt und dass es eine geringe Toleranz gegenüber Unterbrechungen hat. Dieser Status verbreitet sich, und er zieht an.
Die Zahlung kauft keine Garantie. Das ist der wichtigste Punkt, und er wird im folgenden Abschnitt ausführlich behandelt.
Was garantiert eine Zahlung tatsächlich?
Bei einem Lösegeld ist nichts vertraglich geregelt. Sie überweisen einer kriminellen Organisation Geld im Austausch für ein Versprechen, ohne jede Möglichkeit, dagegen vorzugehen, falls es nicht eingehalten wird.
Selbst wenn der Entschlüsselungsschlüssel funktioniert, erhalten Sie Dateien zurück, kein gesundes Informationssystem. Die Zugänge des Angreifers, die erstellten Konten und die installierten Hintertüren bleiben bestehen, solange sie nicht gesucht und entfernt wurden. Zahlen befreit Sie von keinem der Wiederaufbauschritte.
Drei Diskrepanzen treten immer wieder zwischen dem auf, was man zu kaufen glaubt, und dem, was man tatsächlich erhält.
Der Schlüssel kann fehlerhaft oder sehr langsam sein. Die von den Angreifern bereitgestellten Entschlüsselungswerkzeuge sind oft von mittelmässiger Qualität. Es kommt vor, dass sie bei bestimmten Dateitypen versagen, Datenbanken beschädigen oder derart langsam arbeiten, dass die vollständige Entschlüsselung eines Servers mehrere Tage dauert. Ein Unternehmen, das hoffte, am nächsten Tag wieder zu starten, steht dann genauso lange still wie bei einer Wiederherstellung.
Die Löschung der gestohlenen Daten ist nicht überprüfbar. Kein technischer Nachweis kann belegen, dass anderswo keine Kopie mehr existiert.
Nichts verhindert einen zweiten Angriff. Wird die ursprüngliche Schwachstelle nicht behoben, bleibt sie offen, für dieselbe Gruppe oder für eine andere. Ein Unternehmen, das zahlt, ohne sein System richtig wieder aufzubauen, bleibt genauso verwundbar wie zuvor, nur ohne das ausgegebene Geld.
Diese drei Diskrepanzen haben eines gemeinsam. Sie hängen nicht von Ihrem Verhandlungsgeschick oder der bezahlten Summe ab. Sie liegen in der Natur des Austauschs selbst: Sie unterschreiben keinen Vertrag, Sie hoffen, dass eine kriminelle Organisation ihr Wort hält.
Die doppelte Erpressung verändert die Rechnung
Moderne Ransomware verschlüsselt nicht mehr nur. Sie kopiert zunächst die Daten nach aussen und verschlüsselt anschliessend. Der Angreifer verfügt damit über zwei Druckmittel: Sie an der Arbeit zu hindern und mit der Veröffentlichung dessen zu drohen, was er erbeutet hat.
Diese Entwicklung hat eine direkte Folge für Geschäftsleitungen. Ein gut gesichertes Unternehmen kann wiederherstellen und die Zahlung für die Entschlüsselung verweigern, und trotzdem eine zweite Forderung erhalten, dieses Mal für das Schweigen.
Die Zahlung für einen Schlüssel bringt mindestens ein beobachtbares Ergebnis: Die Dateien öffnen sich, oder sie öffnen sich nicht. Die Zahlung für eine Löschung bringt nichts Beobachtbares. Sie zahlen eine Summe und hoffen weiter, ohne es je überprüfen zu können, und Sie haben dabei signalisiert, dass die Drohung bei Ihnen wirkt.
Deshalb muss die Frage des Datendiebstahls unabhängig von der Wiederherstellung behandelt werden. Das Thema wird in unserem Artikel zum Datendiebstahl ausführlich behandelt.
Warum zahlen manche Geschäftsleitungen trotzdem?
Ein Artikel, der diese Realität ignorieren würde, wäre nicht ehrlich. Unternehmen zahlen, auch gut beratene, und ihre Gründe sind weder irrational noch verachtenswert.
Der Betrieb kommt vollständig zum Stillstand. Die Mitarbeitenden kommen morgens zur Arbeit, ohne arbeiten zu können, werden aber weiterhin bezahlt. Bestellungen gehen nicht raus, Rechnungen werden nicht erstellt, die Produktion steht still. Die Kundschaft wartet ihrerseits nicht endlos: Nach einigen Tagen wandern manche ab und kommen nicht zurück.
Hinzu kommt der Zeitdruck. Die Geschäftsleitung muss innerhalb weniger Stunden entscheiden, mit unvollständigen Informationen, oft ohne zu wissen, welche Daten entnommen wurden oder wie lange eine Wiederherstellung dauern würde.
Diesen Druck anzuerkennen bedeutet nicht, zur Zahlung zu ermutigen. Es bedeutet zu verstehen, warum der einzig wirksame Schutz darin besteht, nie in diese Lage zu geraten.
Die Fragen, die vor der Entscheidung zu klären sind
Stellt sich die Frage trotzdem, lässt sie sich nicht mit Ja oder Nein beantworten. Sie wird beantwortet, indem zunächst die Fakten geklärt werden.
| Frage | Warum sie entscheidend ist |
|---|---|
| Sind unsere Backups intakt und nutzbar? | Ein mit dem Netzwerk verbundenes Backup wurde wahrscheinlich mitverschlüsselt |
| Wie lange würde eine Wiederherstellung dauern? | Drei Tage Ausfall und drei Wochen führen nicht zur gleichen Entscheidung |
| Welche Daten wurden gestohlen? | Bestimmt das tatsächliche Veröffentlichungsrisiko und die Meldepflichten |
| Was sagt unser Versicherungsvertrag? | Manche Verträge schliessen die Zahlung aus, andere verlangen ihre vorherige Zustimmung |
| Welche gesetzlichen Pflichten gelten? | Die Meldung von Verletzungen und die Information der betroffenen Personen sind unabhängig von der Zahlung |
Bleiben Sie in rechtlicher Hinsicht vorsichtig. Eine Zahlung kann je nach Identität und Standort der Empfängerin oder des Empfängers der Gelder Fragen aufwerfen, insbesondere im Hinblick auf internationale Sanktionen. Diese Fragen werden nicht spontan entschieden: Sie werden mit einer Rechtsberatung geprüft, und diese Prüfung wird dokumentiert. Ihre Meldepflichten sind ihrerseits in unserem Artikel zur Meldung einer Datenschutzverletzung im Detail erläutert.
Eine gemeinsame, dokumentierte Entscheidung, nie improvisiert
Drei Grundsätze gelten unabhängig von der endgültigen Wahl.
Die Entscheidung liegt bei der Geschäftsleitung. Nie allein bei der IT-Verantwortlichen oder dem IT-Verantwortlichen, nie bei der Person, die den Bildschirm entdeckt. Wer die technische Krise bewältigt, ist nicht dieselbe Person, die das Unternehmen verpflichtet.
Die Versicherung und eine Rechtsberatung werden vorher konsultiert, nicht nachher. Eine ohne Information der Versicherung getätigte Zahlung kann den Versicherungsschutz zum Erlöschen bringen. Die massgebenden Klauseln sowie die häufigsten Ausschlüsse sind in unserem Artikel dazu, was eine Cyberversicherung wirklich abdeckt, im Detail erläutert.
Alles wird dokumentiert. Wer hat entschieden, wann, auf welcher Informationsgrundlage, mit welchen Empfehlungen. Diese Unterlage wird Ihnen gegenüber Ihrer Versicherung, gegenüber den Behörden und gegebenenfalls gegenüber Ihren eigenen Partnerinnen und Partnern von Nutzen sein.
Ein Unternehmen, das seine Daten innerhalb weniger Tage wiederherstellen kann, steht nicht vor diesem Dilemma: Es lehnt ab, startet wieder und behandelt danach die Frage des Diebstahls. Diese Fähigkeit wird heute aufgebaut, nicht am Morgen des Angriffs, und sie wird überprüft, indem mindestens einmal jährlich eine vollständige Wiederherstellung getestet wird. Alles wird in unserem Artikel zu den Backups und der 3-2-1-Regel erklärt.
Sich vorbereiten, statt wählen zu müssen
Ransomware bleibt in der Schweiz eine ständige Bedrohung: Im zweiten Halbjahr 2025 wurden dem NCSC 57 ransomwarebezogene Vorfälle gemeldet, und diese Zahlen erfassen nur die gemeldeten Fälle.
Das praktische Fazit ist kurz. Die Frage «Sollen wir zahlen?» ist das Symptom einer unzureichenden Vorbereitung, nie ein Problem, das man im Moment löst. Die Unternehmen, die sich diese Frage nie stellen mussten, sind jene mit getrennten, getesteten Backups und einem schriftlichen Plan, der festlegt, wer was tut. Für die unmittelbaren Schritte siehe die ersten Stunden nach einem Angriff, und um die Funktionsweise dieser Angriffe zu verstehen, unseren Artikel über Ransomware.
Diese Anhaltspunkte bilden eine Grundlage, sie ersetzen keine Analyse Ihrer eigenen Situation. Zu wissen, wie schnell Ihr Unternehmen tatsächlich wieder anlaufen würde und welche Daten ein Angreifer mitnehmen könnte, erfordert einen Blick auf Ihre konkrete Infrastruktur. Das ist ein bescheidener Aufwand im Vergleich zum Risiko: Die Summe, um die es am Tag eines Angriffs geht, zusammen mit den Ausfalltagen, übersteigt bei weitem die Kosten einer in Ruhe vorbereiteten Begleitung. Der Cyber-Check-up bietet eine erste Einschätzung, und der Rechner für die Kosten eines Angriffs ermöglicht es, zu beziffern, was ein Ausfall in Ihrem Fall bedeuten würde. Die weiteren Notfallmassnahmen sind im Themenbereich Auf einen Angriff reagieren zusammengefasst.