Verbieten oder nicht verbieten – das ist die schwierige Frage, über die derzeit Gesetzgeber weltweit diskutieren, als Reaktion auf die rasant steigende Zahl von Ransomware-Angriffen auf Unternehmen, Behörden und andere Organisationen.
Befürworter eines Verbots von Lösegeldzahlungen bei der Ransomware „ “ sind der Ansicht, dass es sich hierbei um eine einfache Frage von Angebot und Nachfrage handelt: Wenn Hacker wissen, dass es Organisationen in einem Bundesstaat oder Land untersagt ist, Lösegeld zu zahlen, werden sie ihre Angriffe auf andere Ziele verlagern. Das FBI lehnt die Zahlung von Lösegeld ab, da es der Ansicht ist, dass dies den Kriminellen einen Anreiz bietet, ihr Handwerk weiter auszuüben. Neben den anhaltenden Debatten im Kongress haben in diesem Jahr mindestens drei Bundesstaaten –New York, Pennsylvania und North Carolina – ein Verbot von Lösegeldzahlungen in Erwägung gezogen, und sowohl Republikaner als auch Demokraten haben auf Bundes- und Landesebene entsprechende Gesetzesvorlagen eingebracht.
Skeptiker befürchten, dass solche Gesetze mehr Schaden als Nutzen anrichten könnten, indem sie den Opfern von Hackerangriffen eine Vielzahl zusätzlicher Probleme bereiten und sie möglicherweise noch anfälliger für weitere Bedrohungen machen. Sollte sich eine Organisation dazu entschließen, das Gesetz zu umgehen und ein Lösegeld zu zahlen, können Hacker das Zielunternehmen erpressen , um solche Informationen weiterhin geheim zu halten.
Megan Brown, eine ehemalige Rechtsberaterin des US-Justizministers, gehört zu den Skeptikern. Brown, der mittlerweile als Anwalt für Cybersicherheit bei Wiley Rein LLP tätig ist, hat Verständnis für Unternehmer und Führungskräfte von Organisationen, die sich zunehmend Angriffen ausgesetzt sehen.
In einem offenen Gespräch mit dem „ “ äußert sich die Endpoint- Brown zu den derzeit im Kongress diskutierten Gesetzesentwürfen, die Opfer dazu verpflichten würden, Ransomware-Angriffe und Lösegeldzahlungen zu melden, und erläutert, warum sie nicht davon überzeugt ist, dass diese Maßnahmen Abhilfe schaffen werden.
Das Gespräch wurde aus Platzgründen gekürzt und leicht überarbeitet.
Wie beraten Sie ein Unternehmen, das Opfer einer Ransomware-Attacke geworden ist, hinsichtlich der Frage, ob es das Lösegeld zahlen soll?
Unternehmen neigen dazu, die Entscheidung, ob sie eine Vergütung zahlen oder nicht, relativ schnell selbst zu treffen. Die Aufgabe der Juristen besteht dann darin, die mit dieser Entscheidung verbundenen Risiken zu steuern.
Welche Risiken bestehen nach geltendem Recht bei der Zahlung eines Lösegelds?
Es besteht die Gefahr, dass Sie Terroristen Geld zukommen lassen. Und das ist rechtswidrig. Verschiedene Regulierungssysteme auf Bundesebene – sei es das Office of Foreign Assets Control [OFAC] oder andere – stellen ein großes, deutliches rotes Stoppschild auf, bevor Sie Geld an Terroristen oder an Personen auf der Liste der benannten Organisationen überweisen.
“Diejenigen, die eine absolutistische Haltung vertreten – „Es ist unmoralisch, das Lösegeld zu zahlen“ –, sollten dies einmal einer Arztpraxis sagen, die keine Operationstermine mehr vergeben kann.“
Es handelt sich um eine verschuldensunabhängige Haftung, was bedeutet, dass Sie, selbst wenn Sie nicht wussten, dass Sie Geld an eine Tarnorganisation einer terroristischen Vereinigung überwiesen haben, in Schwierigkeiten geraten, sollte dies bekannt werden.
Warum zahlen Unternehmen letztendlich doch an Cyberkriminelle?
Meiner Meinung nach gibt es ein enormes Risiko, dessen sich die Menschen nicht bewusst sind. Wenn Sie in der Geschäftsleitung tätig sind oder dem Vorstand eines Unternehmens angehören, haben Sie eine Treuepflicht gegenüber diesem Unternehmen sowie dessen Aktionären, Eigentümern und Investoren – von Hedgefonds bis hin zu Oma und Opa, die ihre Altersvorsorge in Aktien angelegt haben.
Nehmen wir also einmal an, Ihr Unternehmen wird Opfer eines schwerwiegenden Ransomware-Angriffs durch „ “. Sie können Ihre Sicherungen nicht zum Laufen bringen, und alle Ihre Daten sind verschlüsselt. Erfüllen Sie Ihre Treuhandpflicht, wenn Sie das Lösegeld nicht zahlen? Wenn Sie dem Unternehmen Hunderttausende in Bitcoin einsparen können, wie sollte sich dieser Treuhänder dann vernünftigerweise verhalten? In vielen Fällen geht es darum, zu bezahlen.
Viele sind der Ansicht, dass die Zahlung von Lösegeld falsch ist. Punkt. Sollten Unternehmen nicht von vornherein mehr Verantwortung für ihren eigenen Schutz übernehmen?
Diejenigen, die eine absolutistische Haltung vertreten – „Es ist unmoralisch, das Lösegeld zu zahlen“ –, sollten dies einmal einer Arztpraxis in der „ “ mitteilen, die keine Operationstermine vereinbaren kann. Oder ein Unternehmen, das keinen Zugriff auf seine wichtigen Dateien hat, keine Dienstleistungen erbringen kann und dem damit der Untergang droht.
“„Ich bin einfach nicht davon überzeugt, dass die Lösung darin besteht, die Opfer zu bestrafen.“
Ich weise die Annahme zurück, dass diese Unternehmen sich dies selbst zuzuschreiben haben. Und selbst wenn dies der Fall wäre – ist es aus gesellschaftlicher Sicht die richtige Lösung, dass ein Unternehmen in die Insolvenz geht? Dass eine Schule nicht mehr funktionieren kann oder dass eine Menge sensibler Daten im Dark Web landen?
Gibt es dennoch nicht gesellschaftspolitische Gründe dafür, die Zahlung von Lösegeld an Ransomware-Erpresser zu unterbinden?
Oh, ganz sicher. Sie schaffen einen Markt, der Anreize
für anhaltendes Fehlverhalten bietet, nicht wahr? Es gibt Kriminelle, die anderen Kriminellen Ransomware als Dienstleistung anbieten, weil sich damit Geld verdienen lässt. Ich bin einfach nicht davon überzeugt, dass die Lösung darin besteht, die Opfer zu bestrafen.
Wie wäre es mit einer Verschärfung der Maßnahmen gegen die Nutzung von Kryptowährungen zur Erleichterung der Zahlung von Lösegeld?
Befürworter der Blockchain-Technologie würden argumentieren, dass die Verwendung von Bitcoin und diesen digitalen Währungen tatsächlich hilfreich ist, da es Möglichkeiten gibt, Zahlungen nachzuverfolgen. Das haben Sie daran gesehen, dass das DOJ [Justizministerium] einen Teil des Lösegeldes im Fall „Colonial Pipeline“ zurückgefordert hat.
Wie beurteilen Sie die Gesetze gegen Ransomware, die die Biden-Regierung vorantreibt und die derzeit im Kongress beraten werden?
Es scheint sich ein Konsens hinsichtlich einer umfassenden Meldepflicht für Vorfälle abzuzeichnen. Einige Gesetzesentwürfe sehen vor, dass Opfer der Regierung unverzüglich mitteilen müssen, ob sie Opfer eines Ransomware-Angriffs oder einer entsprechenden Drohung geworden sind, ob sie Lösegeld gezahlt haben und an wen. Die Privatwirtschaft muss sich darüber im Klaren sein, dass im Falle eines Cyberangriffs von Ihnen erwartet wird, diesen zu melden.
Ist es wahrscheinlich, dass es Gesetze geben wird, die die Zahlung des Lösegeldes gänzlich verbieten?
Es würde mich nicht überraschen, wenn sich dies in einem der weniger aussichtsreichen Gesetzentwürfe befände.
Liegt die Dynamik nicht woanders?
Nach dem mir vorliegenden Wortlaut ist vorgesehen, einen Abgleich mit den Listen der Kriminellen vorzunehmen und anschließend nach Alternativen zur Zahlung zu suchen, beispielsweise durch die Frage: Können Sie mithilfe Ihrer Sicherungskopien den Betrieb wieder aufnehmen? Können Sie vor der Zahlung noch etwas anderes tun?
“„Wenn Sie gesetzliche Regelungen erlassen wollen, sollten Sie versuchen, freiwilliges Engagement eher mit Anreizen als mit Zwangsmaßnahmen zu fördern.“
Damit soll sichergestellt werden, dass Sie vor der Zahlung Ihre Sorgfaltspflicht erfüllt haben. Ehrlich gesagt glaube ich, dass ein Großteil dieser Sorgfaltsprüfung bereits stattfindet. Kein Unternehmen möchte mit den Vorschriften des OFAC in Konflikt geraten.
Sind die vorgeschlagenen zusätzlichen Berichtspflichten angemessen?
Meine Sorge ist, dass eine Meldepflicht die freiwillige Zusammenarbeit wahrscheinlich beeinträchtigen wird. Viele Unternehmen wenden sich bereits an das DHS [Department of Homeland Security]. Sie rufen das FBI an.
Wenn es ein Gesetz gibt, das vorschreibt, dass Sie innerhalb von 72 Stunden Meldung erstatten müssen, und wenn Sie einen Fehler machen, wird die Regierung Sie zur Rechenschaft ziehen, dann ändert das die Lage. Heute können Sie vielleicht eher sagen: „Das haben wir gesehen, aber wir wissen nicht genau, was wir da vor uns haben.“
[Lesen Sie auch: Wie Unternehmen mit Ransomware umgehen]
Möglicherweise teilen Sie Informationen etwas freizügiger mit, als wenn es sich um einen schriftlichen Bericht handeln würde, der die folgenden 25 Punkte enthalten muss – und wenn Ihnen dabei ein Fehler unterläuft, kann die Behörde nachhaken und Ihnen eine Geldstrafe auferlegen.
Wenn Sie für die Ausarbeitung von Gesetzen zuständig wären, wie würden diese aussehen?
Ich weiß nicht, ob wir ein weiteres Gesetz benötigen. Oder, falls Sie gesetzliche Regelungen erlassen wollen, sollten Sie versuchen, freiwilliges Engagement eher mit Anreizen als mit Zwangsmaßnahmen zu fördern.
Wenn Sie möchten, dass jemand etwas tut, sollten Sie es für diese Person kostengünstig und risikofrei gestalten, nicht wahr? Gewähren Sie ihnen Haftungsschutz und machen Sie es ihnen leicht. Es gibt bereits das CISA, das Gesetz zum Informationsaustausch im Bereich der Cybersicherheit von 2015, das einen großzügigen Regelungsrahmen vorsieht. Es fördert das freiwillige Teilen und bietet eine ganze Reihe guter Schutzmaßnahmen für diese Aktivität. Ich weiß nicht, warum man nicht daran denkt, dies zu stärken, aber so ist es nun einmal.
