Ransomware: Strafbarkeit, Lösegeldzahlung und Ermittlungsverfahren

Ein Ransomware-Angriff erfüllt regelmäßig mehrere Straftatbestände zugleich: Ausspähen von Daten für den Erstzugang (§ 202a StGB), Datenveränderung durch die Verschlüsselung (§ 303a StGB), Computersabotage durch den Betriebsausfall (§ 303b StGB) und Erpressung durch die Lösegeldforderung (§ 253 StGB), bei Drohung mit Veröffentlichung gestohlener Daten zusätzlich Datenhehlerei (§ 202d StGB). Für Betroffene ist die Zahlung eines Lösegelds in Deutschland nicht generell strafbar, aber mit rechtlichen Risiken verbunden; unabhängig davon bestehen Melde- und Anzeigefragen, die in den ersten 72 Stunden entschieden werden müssen.

Die Strafbarkeit der Täter

Die Erpressung (§ 253 StGB) ist der Kern: Wer einen anderen rechtswidrig mit einem empfindlichen Übel nötigt, um sich zu bereichern, und ihm dadurch einen Vermögensnachteil zufügt, wird mit Freiheitsstrafe bis zu fünf Jahren bestraft; in besonders schweren Fällen, etwa gewerbsmäßig oder als Bande, mit Freiheitsstrafe nicht unter einem Jahr. Das angedrohte Übel ist der dauerhafte Verlust der Daten oder ihre Veröffentlichung („Double Extortion”). Da Ransomware-Gruppen arbeitsteilig vorgehen, kommen für Beteiligte am Rand — Entwickler, Betreiber von Infrastruktur, Geldwäscher, „Initial Access Broker” — Beihilfe (§ 27 StGB), Mitgliedschaft in einer kriminellen Vereinigung (§ 129 StGB) und Geldwäsche (§ 261 StGB) in Betracht.

Hinzu treten die Delikte des Computerstrafrechts: § 303a StGB für die Verschlüsselung (Unterdrücken von Daten), § 303b StGB für die Störung der Datenverarbeitung — gegen Unternehmen mit Strafrahmen bis fünf Jahren, bei Angriffen auf kritische Infrastrukturen bis zehn —, § 202a StGB für das Eindringen und § 202d StGB für den Umgang mit den ausgeleiteten Daten. Wer an einem Angriff auf ein Krankenhaus oder einen Energieversorger mitwirkt, muss mit dem oberen Strafrahmen rechnen.

Darf ein betroffenes Unternehmen zahlen?

Die Zahlung an Erpresser ist für das Opfer nicht als solche strafbar; es gibt in Deutschland kein Zahlungsverbot. Drei Risiken bleiben:

Sanktionsrecht. Zahlungen an Personen oder Gruppen, die auf Sanktionslisten der EU oder der USA stehen, sind verboten und können nach dem Außenwirtschaftsgesetz strafbar sein (§ 18 AWG). Da Ransomware-Gruppen häufig gelistet oder gelisteten Akteuren zugeordnet werden, ist eine Prüfung vor jeder Zahlung erforderlich; die Identität des Empfängers lässt sich aber selten sicher feststellen.
Geldwäsche. Die Zahlung selbst ist keine Geldwäsche des Zahlenden. Wer aber Dienstleister für die Abwicklung einschaltet, sollte deren Rolle vertraglich klar fassen; Verhandlungsdienstleister bewegen sich in einem Bereich, den die Aufsicht beobachtet.
Haftung der Geschäftsleitung. Die Entscheidung über eine Zahlung ist eine Geschäftsführungsentscheidung mit Sorgfaltsmaßstab (§ 43 GmbHG, § 93 AktG). Sie muss dokumentiert, abgewogen und mit Versicherer und gegebenenfalls Aufsichtsrat abgestimmt sein. Viele Cyberversicherungen erstatten Lösegeld nur nach Freigabe.

Ob gezahlt wird, ist zuerst eine unternehmerische Frage: Zahlende erhalten nicht immer funktionierende Schlüssel, gestohlene Daten werden trotz Zahlung veröffentlicht, und Zahlungen markieren das Unternehmen als zahlungsbereit. Die rechtliche Prüfung sorgt dafür, dass die Entscheidung, wie immer sie ausfällt, tragfähig dokumentiert ist.

Pflichten in den ersten 72 Stunden

Datenschutz. Sind personenbezogene Daten betroffen — bei Verschlüsselung regelmäßig, weil die Verfügbarkeit verletzt ist —, ist die Verletzung binnen 72 Stunden der Aufsichtsbehörde zu melden (Artikel 33 DSGVO), bei hohem Risiko auch den Betroffenen (Artikel 34 DSGVO). Die Meldung kann in Schritten erfolgen.
BSI und Sektorpflichten. Betreiber kritischer Anlagen und Einrichtungen, die unter das BSI-Gesetz oder sektorale Regelungen fallen, haben eigene Meldewege und Fristen; nach der Umsetzung der NIS-2-Richtlinie gilt das für deutlich mehr Unternehmen als zuvor.
Vertragspartner und Versicherer. Lieferverträge, Auftragsverarbeitungsverträge und Cyberpolicen enthalten Anzeigefristen, deren Versäumnis Ansprüche kostet.
Beweissicherung. Forensische Abbilder vor der Wiederherstellung, Protokolle der Erstmaßnahmen, Kommunikation mit den Tätern. Diese Sicherung ist zugleich Grundlage für Anzeige, Versicherung und die spätere Abwehr von Ansprüchen Dritter.

Strafanzeige: ja, mit Blick auf die eigene Position

Eine Anzeige bei der Zentralen Ansprechstelle Cybercrime des zuständigen Landeskriminalamts ist in der Regel sinnvoll und gegenüber Versicherern oft Bedingung. Zu bedenken ist, dass das Ermittlungsverfahren Einblick in die eigene IT gibt: Die Ermittler fragen nach Patchständen, Zugriffsrechten, Protokollierung. Ergibt sich daraus, dass Beschäftigte Pflichten verletzt haben oder Schutzmaßnahmen fehlten, kann das Folgen haben — arbeitsrechtlich, gegenüber der Datenschutzaufsicht, für die Haftung der Geschäftsleitung. Anzeige, Forensik, Meldungen und die Kommunikation nach innen und außen gehören deshalb koordiniert, nicht nacheinander von verschiedenen Stellen bearbeitet.

Wenn der Verdacht auf Beteiligung fällt

Ermittlungen gegen Ransomware-Gruppen treffen nicht nur Täter. Beschuldigt werden auch Inhaber von Kryptowallets, über die Lösegeld floss, Betreiber von Servern, die als Infrastruktur dienten, Beschäftigte mit auffälligem Zugriff vor dem Angriff, oder Personen, deren Zugangsdaten für den Erstzugang benutzt wurden. In diesen Fällen geht es um Zurechnung: Wer hat die Wallet kontrolliert, wer hatte Zugriff auf den Server, wusste der Beschuldigte, wofür seine Infrastruktur genutzt wurde? Dazu kommen Einziehung (§§ 73 ff. StGB) und Vermögensarrest, die oft vor der Klärung der Schuldfrage zugreifen. Für Beschuldigte gilt das Übliche: keine Angaben zur Sache vor Akteneinsicht (§ 147 StPO), keine Veränderung von Daten, frühe Verteidigung, weil die technischen Zuordnungen von Anfang an bestritten werden müssen.

Kurzfassung

Ransomware ist Erpressung plus Computerstrafrecht; für Beteiligte am Rand drohen Beihilfe, § 129 StGB und Geldwäsche. Die Zahlung ist für Opfer nicht verboten, aber sanktionsrechtlich zu prüfen und als Geschäftsführungsentscheidung zu dokumentieren. In den ersten 72 Stunden zählen Meldepflichten, Beweissicherung und die koordinierte Anzeige. Wer selbst in Verdacht gerät, verteidigt sich über die Zurechnung.

Dieser Beitrag unterrichtet allgemein über die Rechtslage und ersetzt keine Beratung im Einzelfall.