Was eine Ransomware-Verhandlung leisten kann und was sie nicht versprechen darf.

Die Ausgangslage

Nach einem Ransomware-Angriff erscheint eine Nachricht im Erpressungsportal. Die Gegenseite nennt eine Forderung, setzt eine Frist und behauptet, Systeme verschlüsselt oder Daten gestohlen zu haben.

Im Unternehmen entsteht schnell die Erwartung, ein Verhandler müsse nun vor allem den Betrag reduzieren.

Damit beginnt die Aufgabe zu eng.

Bevor über Zahlen gesprochen wird, muss geklärt sein, ob ein Kontakt überhaupt sinnvoll und freigegeben ist, welche Informationen fehlen, wer auf der Gegenseite tatsächlich kommuniziert und welche Ziele das Unternehmen verfolgt.

Die Kernthese

Eine kontrollierte Ransomware-Verhandlung kann Zeit, Informationen, Nachweise und zusätzliche Optionen schaffen. Sie ersetzt weder Forensik noch Rechtsprüfung, Krisenführung oder die formelle Zahlungsentscheidung.

Verhandlung ist damit kein isolierter Chat und kein automatischer Schritt nach einer Lösegeldforderung. Sie ist, wenn sie nach fachlicher und rechtlicher Prüfung eingesetzt wird, ein Instrument innerhalb der Lageführung. Wie diese Lageführung in den ersten Stunden anläuft, beschreibt das Briefing Die ersten 60 Minuten eines Cybervorfalls.

Fünf mögliche Funktionen einer Verhandlung

Keine dieser Funktionen ist garantiert. Die Gegenseite verfolgt eigene Interessen, kann täuschen und steht unter keiner verlässlichen vertraglichen Bindung.

1. Einen kontrollierten Kommunikationskanal schaffen

Ein klar mandatierter Kanal kann verhindern, dass mehrere Personen unkoordiniert mit der Täterschaft kommunizieren. Er schafft Zuständigkeit, Dokumentation und eine definierte Verbindung zum Krisenstab.

Kontrolliert bedeutet:

• nur autorisierte Personen kommunizieren,
• Ziele und Grenzen sind vorab definiert,
• jede relevante Aussage wird dokumentiert,
• Entscheidungen werden ausserhalb des Chats getroffen,
• technische und rechtliche Fachpersonen bleiben eingebunden.

2. Forderungen und Behauptungen klären

Eine erste Nachricht enthält oft mehr Druck als überprüfbare Information. Verhandlung kann dazu dienen, Forderungen, Fristen und behauptete Fähigkeiten genauer zu verstehen.

Dabei müssen verschiedene Fragen getrennt bleiben:

• Wer behauptet, zu kommunizieren?
• Welchen Zugang behauptet die Person zu haben?
• Welche Daten sollen entwendet worden sein?
• Welche Systeme sollen kontrolliert oder verschlüsselt worden sein?
• Welche Versprechen werden an Bedingungen geknüpft?

Der Gruppenname ist kein Identitätsnachweis. Professioneller Ton ist kein Beweis technischer Kontrolle.

3. Nachweise anfordern

Je nach Lage kann ein kontrollierter Dialog genutzt werden, um überprüfbare Nachweise zu verlangen. Ein vorgelegter Dateiausschnitt oder ein technischer Test kann Hinweise liefern.

Er ersetzt aber keine forensische Validierung. Die Täterschaft wählt selbst aus, was sie zeigt, und verfolgt mit jedem Nachweis ein Verhandlungsziel. Forensik muss beurteilen, was daraus tatsächlich abgeleitet werden kann.

4. Zeit und Optionen schaffen

Verhandlung kann unter Umständen helfen, eine Frist zu hinterfragen, eine Eskalation zu verzögern oder zusätzliche Informationen zu gewinnen. Dieser Zeitgewinn ist kein Selbstzweck. Er ist nur wertvoll, wenn die Organisation ihn für technische Analyse, Recovery, Rechtsprüfung, Kommunikation und Entscheidungsfindung nutzt.

Zeitgewinn darf nie versprochen werden. Die Gegenseite kann den Druck jederzeit verändern oder parallel weitere Schritte ausführen.

5. Widersprüche sichtbar machen

Dokumentierte Aussagen können verglichen werden. Widersprüche bei Datenbesitz, technischer Kontrolle, Forderung oder Frist können für die Lagebeurteilung relevant sein.

Auch hier gilt: Täterkommunikation bleibt eine interessengeleitete Quelle. Sie ist ein Teil des Lagebilds, nicht dessen verifizierte Wahrheit.

Was eine Verhandlung nicht leisten kann

Keine Garantie für Entschlüsselung

Ein versprochener Decryptor kann fehlen, fehlerhaft oder unvollständig sein. Seine Nutzung benötigt technische Prüfung. Verhandlung ersetzt keine Bereinigung und keinen kontrollierten Wiederaufbau.

Keine beweisbare Datenlöschung

Digital kopierte Daten können vervielfältigt worden sein. Ein Löschvideo, eine schriftliche Zusage oder eine Erklärung im Chat schafft keine technisch überprüfbare Gewissheit, dass keine Kopie verbleibt.

Keine Rechtsfreigabe

Der Verhandler beurteilt nicht allein Sanktionen, Strafrecht, Datenschutz, Meldepflichten, Versicherungsbedingungen oder Behördenwege. Diese Fragen gehören zu qualifizierten Fachpersonen und den zuständigen Stellen.

Keine Zahlungsentscheidung

Der Verhandler kann Informationen und Optionen liefern. Er entscheidet nicht, ob gezahlt wird. Diese Entscheidung gehört in das vorab bestimmte Unternehmensgremium und benötigt eine getrennte Fakten- und Risikoprüfung.

Keine technische Incident Response

Kommunikation mit der Täterschaft zeigt nicht zuverlässig, wie der Zugang erfolgte, ob er fortbesteht oder welche Systeme kompromittiert sind. Incident Response und Forensik bleiben eigenständige, unverzichtbare Arbeitsstränge.

Das Mandat kommt vor der Nachricht

Ein Verhandler braucht mehr als die Erlaubnis, „einmal zu schreiben“.

Vor einem möglichen Kontakt müssen mindestens geklärt sein:

• Zweck des Kontakts,
• gewünschte Informationen und Nachweise,
• erlaubte und nicht erlaubte Aussagen,
• zeitliche und inhaltliche Grenzen,
• Eskalations- und Freigabeprozess,
• sichere technische Durchführung,
• Dokumentation und Übergabe an den Krisenstab,
• Zusammenspiel mit Legal, Forensik, Polizei und Versicherung.

Wer ein solches Mandat überhaupt erteilen dürfte und wo die Entscheidungsrechte dafür liegen, behandelt das Briefing Wer darf im Cybervorfall was entscheiden?.

Das BACS hält in seiner aktuellen FAQ fest, dass es selbst keine Verhandlungen mit Erpressern führt. Es leistet technische Ersthilfe und verweist für rechtliche Schritte oder Verhandlungen auf Polizei und Strafverfolgungsbehörden. Wie private Spezialisten in einem konkreten Schweizer Fall eingebunden werden, muss deshalb mit Legal und den zuständigen Behörden geklärt werden.

Die häufigste Fehlannahme: Gute Verhandlung erkennt man am niedrigeren Betrag

Eine reine Betragsbetrachtung greift zu kurz.

Eine Verhandlung kann auch dann strategischen Wert schaffen, wenn keine Zahlung erfolgt: durch geklärte Forderungen, dokumentierte Aussagen, zusätzliche Nachweise, sichtbare Widersprüche oder mehr Zeit für andere Arbeitsstränge.

Umgekehrt ist eine reduzierte Forderung kein Beweis für einen guten Ausgang. Wenn Entscheidungsrechte, rechtliche Prüfung, technische Realität oder Recovery fehlen, kann ein tieferer Betrag die grundlegenden Risiken verdecken.

Die richtige Erfolgsfrage lautet deshalb nicht nur: Wie stark wurde die Forderung reduziert?

Sie lautet:

Welche belastbaren Informationen und zusätzlichen Handlungsoptionen hat der Dialog für das zuständige Entscheidungsgremium geschaffen?

Verhandlung und Krisenführung müssen verbunden bleiben

Der Verhandlungskanal darf kein paralleles Machtzentrum bilden. Er benötigt einen klaren Takt mit dem Krisenstab:

1. aktuelles Mandat,
2. neue Aussagen und Nachweise,
3. fachliche Bewertung,
4. offene Fragen und Risiken,
5. notwendige Freigaben,
6. nächster Kommunikationsschritt.

Der Bericht des Bundesrates zu Massnahmen gegen Ransomware-Angriffe zeigt, wie eng Verhandlungen, Zahlungen, Behördeneinbindung und das kriminelle Geschäftsmodell im Schweizer Kontext miteinander verbunden sind.

Drei Prüffragen für Verantwortliche

1. Wer dürfte einen Täterkontakt mandatieren, welche Ziele setzen und welche Grenzen festlegen?
2. Wie werden Täterbehauptungen technisch geprüft und im Lagebild von bestätigten Fakten getrennt?
3. Wer entscheidet ausserhalb des Chats über die nächste Verhandlungsposition und eine mögliche Zahlung?

Wenn der Verhandler diese Fragen selbst beantworten soll, fehlt eine belastbare Governance.

Nächster sinnvoller Schritt

In einem bereits eskalierten Cyber-Erpressungsfall braucht ein Täterkontakt ein klares Mandat und die enge Zusammenarbeit mit Incident Response, Forensik, Legal, Kommunikation, Versicherung und den zuständigen Behörden.

RESPOND – Akuter Vorfall: DEADLOCK führt die strategische Verhandlungs-, Entscheidungs- und Kommunikationsseite. Technische, forensische und rechtliche Aufgaben gehören in die Verantwortung separat mandatierter, entsprechend qualifizierter Fachpersonen.

• BACS: FAQ zur Meldepflicht und Unterstützung bei Ransomware
• Bundesrat: Massnahmen gegen Ransomware-Angriffe, Bericht vom 13. November 2024
• BACS: Halbjahresbericht 2025/2
• BACS: Ransomware – Was nun?
• NIST: Ransomware Risk Management – CSF 2.0 Community Profile, Revision 1
• CISA: #StopRansomware Guide

Faktenstand: 22. September 2026

Fachliche Abgrenzung: Dieser Beitrag beschreibt Zweck, Mandat und Grenzen der Verhandlung aus der DEADLOCK-Perspektive. Er enthält keine konkrete Rechts- oder Technikanweisung und kein operatives Verhandlungsplaybook.

Redaktionelle Arbeitsweise: Dieses Briefing verbindet ausgewiesene Primärquellen mit der eigenen DEADLOCK-Perspektive auf Mandat, Gesprächsführung, Eskalation und Entscheidungsarchitektur und wurde von Pascal Wasinger inhaltlich geprüft und freigegeben. Eine externe Fachprüfung wird nur ausgewiesen, wenn sie tatsächlich durchgeführt und ihr Prüfbereich benannt wurde.

Dieses DEADLOCK Briefing dient der allgemeinen Einordnung. Es ersetzt keine technische Incident Response, forensische Untersuchung, Behördenabstimmung oder Rechtsberatung und ist keine Empfehlung zur Kontaktaufnahme oder Zahlung im Einzelfall.