Ransomware: Warum die Lösegeldfrage Unternehmen in die Irre führt

Ransomware: Warum Zahlen keine Strategie ist

Mehr als jedes zweite Opfer zahlt nach einem Ransomware-Angriff, obwohl Behörden seit Jahren davon abraten, wie t3n berichtet. Für Händler ist das keine abstrakte IT-Nachricht, sondern ein Stresstest fürs Geschäftsmodell. Im Onlinehandel hängt Umsatz nicht an einem einzelnen System, sondern an einer eng getakteten Kette aus Shop, ERP, Warenwirtschaft, Lager, Payment, Versand und Kundenservice.

Genau deshalb wird Verschlüsselung im Handel so schnell zum operativen Problem: Ein Shop kann erreichbar bleiben, während Bestände nicht mehr stimmen; ein Lager kann Ware haben, aber keine pickbaren Aufträge; der Kundenservice kann Tickets sehen, aber keine Bestellhistorie. Für Kunden zählt am Ende nur, ob Bestellung, Lieferung oder Rückerstattung funktionieren. Ransomware trifft damit nicht nur den Serverraum, sondern den Montagmorgen im Fulfillment – und macht Cyber-Resilienz zu einem Teil der Logistik und Lieferfähigkeit. Auch die Hinweise zu Cyberschäden im Handel zeigen, wie stark digitale Risiken längst in die kaufmännische Sphäre gewandert sind.

Der Erpresser verkauft keine Sicherheit

Eine Lösegeldstrategie wirkt auf den ersten Blick nüchtern, ist aber meist nur die Hoffnung, im Ernstfall Zeit kaufen zu können. Eine Zahlung garantiert weder vollständige Daten noch saubere Systeme. Sie sagt nichts darüber aus, ob Hintertüren geblieben sind, Kopien abgezogen wurden oder derselbe Zugang erneut missbraucht werden kann. Lösegeld ist kein Wiederherstellungsplan, sondern eine Wette mit einem Gegner, dessen Geschäftsmodell auf Druck, Intransparenz und Wiederholbarkeit beruht.

Die entscheidende Frage für Geschäftsführungen lautet deshalb nicht, welches Konto im Notfall zahlen könnte. Sie lautet: Wie lange kann das Unternehmen verkaufen, liefern und kommunizieren, wenn zentrale Systeme ausfallen? Backups beruhigen nur dann, wenn sie getrennt vom Produktivsystem liegen, vor Manipulation geschützt sind und ihr Rückspielen geübt wurde. Ein belastbarer Notfallplan priorisiert zuerst die Prozesse, die Umsatz sichern und Vertrauen halten: Bestellannahme, Zahlungsabgleich, Versandfähigkeit und Kundenkommunikation. Geprobte Wiederherstellung schlägt Hoffnung.

Partner, Plattformen und der geübte Neustart

Viele Handelsprozesse laufen über SaaS-Anbieter, Agenturen, Payment-Partner, Fulfillment-Dienstleister oder Marktplatztools. Das senkt Komplexität, verschiebt aber Risiken. Wenn ein Partner ausfällt oder kompromittiert wird, kann der eigene Betrieb trotzdem stillstehen. Deshalb endet die Risikoanalyse nicht am Firmen-VPN. Die Debatte über Infrastrukturstandorte und Abhängigkeiten, wie sie unserer Analyse zu Serverpräferenzen beschreibt, dreht sich auch um Kontrollierbarkeit, Vertragsklarheit und Eskalationswege. Ein Serverstandort verhindert keinen Angriff, aber klare Zuständigkeiten und überprüfbare Wiederanlaufzusagen können im Ernstfall Tage entscheiden.

Dass die Angreifer beweglich bleiben, ist bekannt: Schon 2024 haben wir gezeigt, dass sich die Ransomware-Szene neu formiert. Der wichtigere Befund liegt in der hohen Zahlungsquote: Viele Unternehmen sind operativ schlechter vorbereitet, als ihre Digitalisierungsrhetorik vermuten lässt. Händler sollten Ransomware daher wie einen Bruch der Lieferkette im eigenen Maschinenraum behandeln. Einmal im Quartal gehört nicht nur ein Backup-Report auf den Tisch, sondern eine Übung: Shop offline, ERP nicht erreichbar, Dienstleister gestört, Kunden fragen nach Lieferterminen. Wer Systeme trennt, Backups testet, Partner prüft und Kommunikation vorbereitet, nimmt Erpressern das wichtigste Druckmittel: die Angst vor Stillstand.