Ransomware-Zahlungen in Kryptowährung

Ransomware-Gruppen verschlüsseln oder stehlen Daten von Unternehmen und Behörden und verlangen Lösegeld – fast immer in Kryptowährung. Laut Chainalysis flossen 2025 mindestens rund 820 Millionen US-Dollar an solche Gruppen; der Wert dürfte nach weiteren Auswertungen auf etwa 900 Millionen steigen. Das Bemerkenswerte: Die Zahl der Angriffe stieg deutlich, doch immer weniger Opfer zahlen.

Die Entwicklung in Zahlen#

Die Zahlen zeigen einen Wandel: Viele Opfer zahlen nicht mehr, weil sie bessere Backups haben, weil Behörden abraten und weil Zahlungen keine Sicherheit bieten. Diejenigen, die zahlen, zahlen aber im Mittel deutlich mehr.

Wie Ransomware-Zahlungen ablaufen#

1. Angriff: Täter dringen ein, oft über gestohlene Zugangsdaten oder gekaufte Netzwerkzugänge.
2. Verschlüsselung und Datendiebstahl: Viele Gruppen kopieren Daten, bevor sie verschlüsseln („doppelte Erpressung“).
3. Forderung: Auf einer Verhandlungsseite im Tor-Netzwerk wird ein Betrag in Kryptowährung genannt.
4. Leak-Seite: Wer nicht zahlt, wird auf einer Onion-Seite der Gruppe öffentlich genannt.
5. Geldwäsche: Eingegangene Zahlungen werden über Tauschdienste, Mixer und Börsen verschoben.

Wie Ransomware-Gruppen organisiert sind, erklärt Ransomware-Gruppen erklärt.

Ermittler holen Geld zurück#

Weil Bitcoin-Zahlungen öffentlich sind, können Ermittler den Weg des Lösegelds verfolgen:

• Colonial Pipeline (2021): Nach dem Angriff auf den US-Pipelinebetreiber zahlte das Unternehmen Lösegeld in Bitcoin. Das US-Justizministerium stellte wenige Wochen später einen Großteil davon sicher, rund 63,7 Bitcoin.
• Abschaltung von Geldwäschediensten: Dienste wie ChipMixer und eXch, über die auch Erlöse aus Ransomware liefen, wurden von deutschen Behörden abgeschaltet. Siehe Coin-Mixer und die Rechtslage.
• Operationen gegen Gruppen: Internationale Aktionen wie gegen LockBit legten Infrastruktur, Schlüssel und Zahlungsdaten offen. Mehr dazu: LockBit und Operation Cronos.

Der Angriff auf Colonial Pipeline hatte auch Folgen in der Szene: Kurz danach verbannten große russischsprachige Cybercrime-Foren Werbung für Ransomware – nach Einschätzung von Analysten vor allem, um Aufmerksamkeit von Ermittlern zu vermeiden.

Zahlen oder nicht?#

BKA und BSI raten von Zahlungen ab. Gründe:

• Zahlungen finanzieren weitere Angriffe.
• Es gibt keine Garantie, dass die Entschlüsselung funktioniert oder gestohlene Daten gelöscht werden.
• Wer einmal zahlt, gilt als lohnendes Ziel für erneute Angriffe.
• Zahlungen an sanktionierte Gruppen sind verboten.

Betroffene Unternehmen sollten sofort die Polizei einschalten – die Zentralen Ansprechstellen Cybercrime der Länder sind dafür zuständig – und Fachleute für die Aufarbeitung hinzuziehen. Wie sich Unternehmen vorbereiten, beschreibt Darknet-Monitoring für Unternehmen.