Lösegeldzahlung nach Ransomware

Kurzdefinition: Die Lösegeldzahlung ist die Zahlung an Angreifer, um verschlüsselte Systeme freizubekommen oder die Veröffentlichung erbeuteter Daten abzuwenden. Sie ist keine rein wirtschaftliche Entscheidung: Sanktionsrecht, die Sorgfaltspflicht der Geschäftsleitung und die Versicherungsbedingungen setzen den Rahmen.

Ist die Zahlung als solche strafbar?

Das Opfer einer Erpressung macht sich durch die Zahlung nicht schon deshalb strafbar. Strafbar ist die Tat des Erpressers: § 253 StGB erfasst, wer einen anderen rechtswidrig mit Gewalt oder durch Drohung mit einem empfindlichen Übel zu einer Handlung nötigt und dadurch dessen Vermögen beschädigt, um sich zu bereichern. Die strafrechtliche Bewertung der Zahlung selbst hängt vom Einzelfall ab — insbesondere von Sanktions- und Geldwäscherecht.

Wo liegt das Sanktionsrisiko?

Bei der Person des Empfängers. Zahlungen an sanktionierte Personen oder Organisationen können gegen das EU-Sanktionsregime verstoßen — unabhängig davon, dass man selbst Opfer ist. Weil Ransomware-Gruppen anonym auftreten, ist die Prüfung faktisch schwierig, aber sie entfällt dadurch nicht. Das ist der Grund, warum die Sanktionslisten-Prüfung Teil jeder Zahlungsentscheidung sein muss.

Was rät das BSI?

Von der Zahlung ab. Das BSI empfiehlt in seinen Handreichungen zu Ransomware, nicht zu zahlen: Eine Zahlung garantiert weder die Entschlüsselung noch die Löschung erbeuteter Daten, finanziert das Geschäftsmodell und macht das Unternehmen zum erneut lohnenden Ziel.

Wie ist die Entscheidung haftungsrechtlich einzuordnen?

Als unternehmerische Entscheidung unter Unsicherheit. Sie ist an § 93 AktG beziehungsweise § 43 GmbHG zu messen. Der Schutz der Business Judgement Rule setzt voraus, dass die Geschäftsleitung auf Grundlage angemessener Information handelt und vernünftigerweise annehmen darf, zum Wohle der Gesellschaft zu handeln — was ohne dokumentierte Abwägung und Sanktionsprüfung kaum gelingt. Rechtsverstöße sind von der Business Judgement Rule ohnehin nicht gedeckt.

Zahlt die Cyber-Versicherung das Lösegeld?

Nur wenn die Bedingungen es vorsehen — und dann meist eng begrenzt. Ob Lösegeld überhaupt erstattungsfähig ist, ob Sublimits gelten und welche Obliegenheiten vorher zu erfüllen sind (Abstimmung mit dem Versicherer, Einschaltung von Dienstleistern), steht in der Police, nicht im Gesetz. Eine eigenmächtige Zahlung kann die Deckung gefährden.

Was ist zu tun, bevor überhaupt gerechnet wird?

Anzeigen, prüfen, dokumentieren. Der Vorfall gehört zur Strafanzeige und — bei Meldepflicht — an die zuständigen Behörden; parallel laufen Sanktionsprüfung, Abstimmung mit dem Versicherer und die forensische Klärung, ob eine Wiederherstellung aus Backups möglich ist. Erst danach ist die Zahlungsfrage überhaupt entscheidungsreif.

Häufige Fehlannahmen

• „Wer zahlt, bekommt seine Daten sicher zurück.“ Nein. Eine Zahlung garantiert weder eine funktionierende Entschlüsselung noch die Löschung abgeflossener Daten.
• „Als Opfer darf ich immer zahlen.“ Nicht ohne Weiteres. Zahlungen an sanktionierte Empfänger können gegen das Sanktionsrecht verstoßen — die Opferrolle schützt davor nicht.
• „Die Zahlung erledigt die Meldepflichten.“ Nein. Melde- und Benachrichtigungspflichten nach BSIG und DSGVO bestehen unabhängig davon fort.
• „Die Cyber-Police zahlt das Lösegeld schon.“ Nicht zwangsläufig. Ob und in welcher Höhe gezahlt wird, richtet sich allein nach den Bedingungen; Sublimits und Obliegenheiten sind zu beachten.
• „Das ist eine reine Kostenfrage.“ Nein. Es ist eine dokumentationspflichtige Leitungsentscheidung mit Sanktions-, Haftungs- und Deckungsdimension.

Was die Geschäftsleitung tun sollte

1. Vorab entscheiden, nicht im Ernstfall. Die Haltung zur Zahlung im Notfallplan festlegen, bevor der Druck da ist.
2. Sanktionsprüfung fest verankern. Keine Zahlungsentscheidung ohne dokumentierte Prüfung des Empfängers.
3. Versicherer und Behörden einbinden. Vor jeder Zahlung Abstimmung mit dem Versicherer und Anzeige des Vorfalls.
4. Abwägung dokumentieren. Informationsgrundlage, Alternativen und Gründe festhalten — das ist die Basis jeder Enthaftung.

Für die Geschäftsleitung

Die Lösegeldfrage kommt unter maximalem Zeitdruck und trifft die Leitung persönlich. Wer sie erst im Ernstfall stellt, entscheidet ohne Informationsgrundlage — und damit außerhalb des Schutzbereichs der Business Judgement Rule. Die eigentliche Arbeit liegt vorher: Backups, Notfallplan, Sanktionsprozess und eine geklärte Haltung.

Quellen

1. BSI, Handreichungen und Lagebilder zu Ransomware (Empfehlung, nicht zu zahlen). Amtlich: https://www.bsi.bund.de
2. § 253 StGB (Erpressung). Geltende Fassung, Stand 13. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/stgb/__253.html
3. § 93 AktG (Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder), § 43 GmbHG (Haftung der Geschäftsführer). Amtlich: https://www.gesetze-im-internet.de/aktg/__93.html · https://www.gesetze-im-internet.de/gmbhg/__43.html