Zahlen oder nicht zahlen? Die Frage, die kein Vorstand improvisieren sollte
Ein Schweizer Rüstungskonzern hat gezahlt — und damit eine Debatte ausgelöst, die in fast jedem Unternehmen früher oder später geführt wird. Die ehrliche Antwort lautet: Wer diese Frage erst im Ernstfall stellt, hat schon verloren.
Der Fall sorgte für Aufregung: Ein Rüstungskonzern zahlt Lösegeld nach einem Ransomware-Angriff. Eigentümerstruktur, Branche und offenbar fehlende interne Abstimmung machen ihn zu einem Sonderfall — die zugrunde liegende Frage ist es nicht. Sie stellt sich irgendwann fast überall.
Und sie wird fast überall zum falschen Zeitpunkt gestellt: nachts, unter Schock, ohne belastbare Faktenlage, mit einem Countdown auf dem Bildschirm.
Warum die pauschale Antwort nicht funktioniert
„Wir zahlen grundsätzlich nicht“ klingt gut und ist als Haltung richtig. Als Handlungsanweisung im Ernstfall ist es zu wenig. Denn die Entscheidung hängt an Fragen, die man vorher beantworten kann — und im Ernstfall nicht mehr:
- Haben Sie geprüfte Backups? Nicht „gibt es Backups“, sondern: Wurde die Wiederherstellung realistisch getestet, inklusive Zeitbedarf?
- Wie lange überlebt Ihr Geschäft den Stillstand? Drei Tage sind etwas anderes als drei Wochen. Diese Zahl kennt kaum jemand.
- Sind Daten abgeflossen? Zahlen verhindert keine Veröffentlichung — es kauft ein Versprechen von Kriminellen.
- Was sagt das Recht? Sanktionslisten, Meldepflichten, Vorstandshaftung. Eine Zahlung kann selbst zum Rechtsverstoß werden.
- Wer darf überhaupt entscheiden? In vielen Häusern ist das ungeklärt — und genau daran scheitert es dann.
Was Zahlen wirklich bedeutet
Wer zahlt, bekommt in der Regel einen Entschlüsselungs-Schlüssel. Was er nicht bekommt: Gewissheit über den Verbleib der Daten, Sicherheit vor einem zweiten Angriff durch dieselbe Gruppe, oder eine schnelle Wiederherstellung — das Entschlüsseln großer Umgebungen dauert oft länger als das Zurückspielen sauberer Backups.
Wer nicht zahlt, braucht Substanz: funktionierende Wiederanlaufpläne, eine Kommunikationsstrategie für Kunden und Aufsicht, und die Bereitschaft, den Stillstand auszuhalten.
Der Vorbereitungsauftrag
Legen Sie vorher fest, wer entscheidet, welche Kriterien gelten, wer verhandelt und wer kommuniziert. Üben Sie es einmal durch — nicht als PowerPoint, sondern als Planspiel mit den Menschen, die es im Ernstfall betrifft. Der Erkenntnisgewinn ist regelmäßig größer als der Aufwand.
Für Vorstände heißt das: Die Frage „zahlen oder nicht“ ist die falsche erste Frage. Die richtige lautet: Wie lange halten wir durch, wenn wir nicht zahlen? Wer darauf keine Zahl nennen kann, hat seine eigentliche Aufgabe noch vor sich.