Lösegeld zahlen oder nicht? Warum die Frage nicht im Erpressungschat entschieden werden darf.

Die Ausgangslage

Die Systeme stehen. Erste Hinweise sprechen für einen Datenabfluss. Die Täterschaft nennt eine Frist und verbindet sie mit der Drohung, Daten zu veröffentlichen oder einen angebotenen Entschlüsselungsweg zurückzuziehen.

Im Krisenstab verdichtet sich die Diskussion auf eine scheinbar einfache Frage:

Zahlen wir – oder zahlen wir nicht?

Die Frage ist verständlich. In dieser Form kommt sie jedoch zu früh. Solange wesentliche Fakten, Zuständigkeiten und Alternativen fehlen, ist sie nicht entscheidungsreif.

Die Kernthese

Eine mögliche Lösegeldzahlung ist weder technische Wiederherstellung noch Verhandlungsziel. Sie ist eine fallabhängige Unternehmensentscheidung mit operativen, rechtlichen, ethischen, versicherungsbezogenen und reputativen Folgen.

Das Bundesamt für Cybersicherheit BACS rät von der Zahlung eines Lösegelds ab. Es weist unter anderem darauf hin, dass es keine Garantie für die Einhaltung der Täterversprechen gibt. Sollte eine Zahlung dennoch erwogen werden, empfiehlt das BACS dringend die Abstimmung mit der Kantonspolizei.

Diese behördliche Haltung gehört in die Entscheidungsgrundlage. Sie ersetzt trotzdem nicht die fallbezogene Prüfung durch die zuständigen Fachpersonen und Unternehmensorgane.

Warum Zahlung nicht mit Wiederherstellung verwechselt werden darf

Eine Zahlung kann mit verschiedenen Erwartungen verbunden werden: einen Entschlüsselungsschlüssel zu erhalten, die Veröffentlichung gestohlener Daten zu verhindern oder Zeit zu gewinnen.

Keine dieser Erwartungen darf als gesichertes Ergebnis behandelt werden.

• Ein Decryptor kann fehlen, langsam, unvollständig oder technisch riskant sein.
• Gestohlene Daten können kopiert worden sein; eine zugesagte Löschung lässt sich nur begrenzt überprüfen.
• Der ursprüngliche Zugang der Täterschaft kann fortbestehen.
• Technische Bereinigung, Wiederaufbau und Validierung bleiben erforderlich.
• Rechtliche, regulatorische oder vertragliche Folgen verschwinden durch eine Zahlung nicht.

Die Zahlung ist deshalb keine Recovery-Strategie. Sie wäre höchstens eine einzelne Option innerhalb einer wesentlich breiteren Krisenbewältigung.

Sechs Prüfbereiche vor einer Entscheidung

Ein belastbarer Entscheidungsprozess beginnt nicht mit einer Meinung zur Zahlung. Er beginnt mit den Fragen, die für eine verantwortbare Abwägung beantwortet werden müssen.

1. Menschen und kritische Leistungen

Welche Auswirkungen hat der Vorfall auf Menschen, Versorgung, Sicherheit und geschäftskritische Leistungen? Welche manuellen oder technischen Alternativen bestehen? Welche Folgen entstehen bei einem längeren Unterbruch?

Besondere Dringlichkeit darf nicht automatisch mit Zahlungsbereitschaft gleichgesetzt werden. Sie erhöht zunächst den Bedarf an einem belastbaren Lagebild und klarer Priorisierung.

2. Technische Realität

Was ist tatsächlich verschlüsselt? Welche Daten wurden nachweislich entwendet? Welche Backups und Wiederherstellungsoptionen bestehen? Welche Aussagen der Täterschaft lassen sich technisch überprüfen?

Forensische Einschätzung und Recovery-Planung müssen unabhängig von der Zahlungsdiskussion weiterlaufen.

3. Recht und Behörden

Eine konkrete Zahlung kann je nach Fall sanktions-, straf-, aufsichts-, datenschutz-, melde- und vertragsrechtliche Fragen auslösen. Zuständiger Rechtsraum, Empfänger, Zahlungsweg und beteiligte Akteure können relevant sein.

Diese Prüfung gehört zu qualifizierten Juristen und den zuständigen Behörden. Ein allgemeiner Artikel kann weder eine Freigabe noch eine fallbezogene Rechtsbeurteilung liefern.

4. Versicherung und Verträge

Versicherungsbedingungen können Meldewege, Zustimmungsvorbehalte, Dienstleister oder Kostenpositionen regeln. Ob und unter welchen Voraussetzungen eine Leistung besteht, ergibt sich aus dem konkreten Vertrag und der Schadenbearbeitung.

Eine mögliche Deckung ist kein Argument, das die unternehmerische Abwägung ersetzt.

5. Ethik und Folgewirkung

Eine Zahlung kann kriminelle Strukturen finanzieren und das Geschäftsmodell der Erpressung stärken. Diese Wirkung ist Teil der Entscheidung. Ebenso relevant sind mögliche Folgen für Mitarbeitende, Kunden, Öffentlichkeit und weitere Betroffene.

Der Bericht des Bundesrates zu Massnahmen gegen Ransomware-Angriffe ordnet Zahlungen, Behördeneinbindung und die Bekämpfung des kriminellen Geschäftsmodells im Schweizer Kontext ein.

6. Mandat und Entscheidungsrecht

Wer darf eine Zahlung überhaupt prüfen? Wer entscheidet? Welche Fachpersonen müssen vorher konsultiert werden? Welche Stelle dokumentiert Grundlage, Alternativen und abweichende Einschätzungen? Die Entscheidungsarchitektur dahinter behandelt das Briefing Wer darf im Cybervorfall was entscheiden?.

Der Verhandler entscheidet nicht über die Zahlung. Seine Aufgabe kann darin bestehen, innerhalb eines klaren Mandats Informationen und Optionen zu beschaffen. Der formelle Entscheid bleibt ausserhalb des Täterkontakts.

Die Täterfrist ist keine interne Governance

Erpresser setzen Fristen, um Druck und Kontrollverlust zu verstärken. Die Organisation muss diese Frist kennen und in die Lagebeurteilung einordnen. Sie darf ihr aber nicht automatisch die interne Entscheidungsarchitektur überlassen.

Ein belastbarer Prozess trennt:

1. Was behauptet die Täterschaft?
2. Was ist technisch bestätigt?
3. Welche Entscheidung ist wann tatsächlich nötig?
4. Welche Prüfungen dürfen nicht übersprungen werden?
5. Wer ist entscheidungsbefugt?

Verhandlung kann unter Umständen helfen, Forderungen zu klären, Nachweise anzufordern oder Zeit zu gewinnen. Sie garantiert keinen dieser Effekte und ersetzt keine der Prüfungen. Was eine Verhandlung leisten kann und was sie nicht versprechen darf, behandelt das Briefing Was eine Ransomware-Verhandlung leisten kann.

Die häufigste Fehlannahme: Nicht zahlen bedeutet, nichts zu entscheiden

Auch der Entscheid gegen eine Zahlung beendet die Krise nicht. Die Organisation muss weiterhin:

• Systeme bereinigen und kontrolliert wiederherstellen,
• den Datenabfluss und seine Folgen beurteilen,
• rechtliche und vertragliche Pflichten erfüllen,
• Mitarbeitende, Kunden und weitere Anspruchsgruppen informieren,
• Betrieb und Liquidität steuern,
• Beweise und Entscheidungen dokumentieren,
• Ursachen und Verbesserungsmassnahmen aufarbeiten.

Zahlung oder Nichtzahlung ist deshalb nie der Abschluss des Incident Response.

Was vor dem Vorfall festgelegt werden sollte

Unternehmen können den konkreten Entscheid nicht vollständig vorwegnehmen. Sie können jedoch den Prozess vorbereiten:

• zuständiges Entscheidungsgremium und Stellvertretungen,
• zwingend einzubeziehende Fachdisziplinen,
• Polizei-, BACS-, Legal-, Forensik- und Versicherungswege,
• notwendige Fakten und Prüfkriterien,
• Dokumentations- und Freigabeprozess,
• Regeln für einen möglichen Täterkontakt,
• Wiederherstellungsalternativen und geschäftliche Prioritäten.

Das aktuelle NIST-Ransomware-Profil betrachtet Ransomware-Risikomanagement entsprechend über Governance, Schutz, Erkennung, Reaktion und Wiederherstellung hinweg. Eine einzelne Zahlungsentscheidung kann diese Architektur nicht ersetzen.

Drei Prüffragen für Verantwortliche

1. Welches Gremium dürfte eine Zahlung überhaupt prüfen und auf welcher Mindestfaktenbasis?
2. Sind Polizei, Legal, Incident Response und Versicherung so vorbereitet, dass ihre Einschätzungen nicht erst unter Täterfrist organisiert werden müssen?
3. Welche belastbaren Wiederherstellungs- und Betriebsalternativen bestehen, wenn nicht gezahlt wird oder ein Täterversprechen scheitert?

Wenn die Antwort auf die erste Frage nur „die Geschäftsleitung“ lautet, fehlen wahrscheinlich Entscheidungsprozess, Kriterien und Fachprüfung.

Nächster sinnvoller Schritt

Eine Organisation sollte keine allgemeine Zahlungsposition simulieren, sondern den Weg zu einer verantwortbaren Entscheidung testen: Faktenbedarf, Zuständigkeit, Rechtsprüfung, Alternativen, Kommunikation und Dokumentation.

PREPARE – Executive Cyber Crisis Simulation macht diese Zielkonflikte unter realistischem Zeitdruck sichtbar. Sie ersetzt keine technische, rechtliche oder versicherungsbezogene Beurteilung; organisationsspezifische Fachfragen bleiben bei den dafür qualifizierten Stellen.

• BACS: Ransomware – Was nun?
• Bundesrat: Massnahmen gegen Ransomware-Angriffe, Bericht vom 13. November 2024
• BACS: Halbjahresbericht 2025/2
• CISA: #StopRansomware Guide
• NIST: Ransomware Risk Management – CSF 2.0 Community Profile, Revision 1

Faktenstand: 22. September 2026

Fachliche Abgrenzung: Dieser Beitrag beschreibt einen allgemeinen Entscheidungsrahmen. Er enthält weder eine Empfehlung im Einzelfall noch eine eigenständige Rechts-, Deckungs- oder technische Beurteilung.

Redaktionelle Arbeitsweise: Dieses Briefing wurde auf Grundlage der ausgewiesenen Primärquellen redaktionell erarbeitet und von Pascal Wasinger inhaltlich geprüft und freigegeben. Eine externe Fachprüfung wird nur ausgewiesen, wenn sie tatsächlich durchgeführt und ihr Prüfbereich benannt wurde.

Dieses DEADLOCK Briefing dient der allgemeinen Einordnung und Vorbereitung. Es ist keine Empfehlung für oder gegen eine Zahlung und ersetzt keine technische Incident Response, forensische Untersuchung, Versicherungsprüfung oder Rechtsberatung. Konkrete Entscheidungen richten sich nach Organisation, Vorfall und anwendbarem Rechtsraum.