Kurzdefinition: Sanktionslisten benennen Personen, Organisationen und Staaten, mit denen keine Geschäfte gemacht oder an die keine Gelder geleistet werden dürfen. Im Cyber-Kontext werden sie besonders bei Lösegeldzahlungen relevant: Eine Zahlung an eine sanktionierte Gruppierung kann verboten und strafbar sein.
Was ist eine Sanktionsliste?
Ein von der EU, den USA oder anderen erlassenes Verzeichnis sanktionierter Personen und Organisationen. Transaktionen mit ihnen sind untersagt — unabhängig davon, ob man sie kennt.
Warum ist das bei Ransomware relevant?
Weil eine Lösegeldzahlung an eine sanktionierte Angreifergruppe gegen das Sanktionsrecht verstoßen kann. Wer zahlt, ohne zu prüfen, riskiert eigene Rechtsverstöße.
Kann man den Empfänger überhaupt prüfen?
Nur eingeschränkt, aber vor einer etwaigen Zahlung regelmäßig rechtlich zu prüfen. Sanktionslisten, Zahlungsweg und zurechenbare Gruppierung sind mit spezialisierter Unterstützung zu klären.
Was folgt daraus für die Zahlungsentscheidung?
Sie ist nicht nur eine wirtschaftliche, sondern eine rechtliche Entscheidung. Neben der Frage, ob man zahlen will, steht die Frage, ob man überhaupt zahlen darf.
Wen betrifft die Sanktionslistenprüfung sonst noch?
Auch das normale Geschäft: Lieferanten, Kunden und Dienstleister sind gegen Sanktionslisten zu prüfen, um Verstöße im Außenwirtschaftsrecht zu vermeiden.
Häufige Fehlannahmen
- „Lösegeld zahlen ist rein wirtschaftlich zu entscheiden.“ Nein. Es kann sanktionsrechtlich verboten sein.
- „Wer den Angreifer nicht kennt, ist safe.“ Nicht unbedingt. Sorgfaltspflichten bestehen.
- „Sanktionslisten betreffen nur Banken.“ Nein. Auch Unternehmen im Schadenfall.
- „Eine schnelle Zahlung ist immer erlaubt.“ Nein. Erst die Prüfung, dann die Entscheidung.
- „Sanktionsprüfung ist nur ein Außenhandelsthema.“ Auch im Cyber-Erpressungsfall relevant.
Was die Geschäftsleitung tun sollte
- Vor Zahlung prüfen. Sanktionslisten und Zurechnung klären.
- Rechtsrat holen. Zahlungsentscheidung rechtlich absichern.
- Prozesse haben. Sanktionsprüfung auch im Regelgeschäft verankern.
- Dokumentieren. Prüfung und Entscheidung festhalten.
Für die Geschäftsleitung
Sanktionslisten machen die Lösegeldfrage zur Rechtsfrage: Eine Zahlung an sanktionierte Angreifer kann verboten sein. Wer vor jeder Zahlung Sanktionslisten prüft und Rechtsrat einholt, vermeidet, aus einem Opfer einen Rechtsverletzer zu machen.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
