Debatte um Ransomware-Zahlungen wird intensiver
Die Debatte darüber, ob Unternehmen Lösegeldforderungen nachgeben sollten, um wieder Zugang zu verschlüsselten Daten zu erhalten, wird immer heftiger, da immer mehr Staaten versuchen, diese Praxis zu verbieten. North Carolina, Pennsylvania, Texas, Arizona und New York haben Lösegeldzahlungen entweder verboten oder versuchen gerade, sie zu verbieten.
Die meisten dieser Vorschriften gelten nur für staatliche Behörden, aber der New Yorker Vorschlag würde auch ein Verbot für Unternehmen vorsehen, die im Bundesstaat tätig sind. Es gibt auch Gesetzesvorlagen im US-Kongress, die in ähnlicher Weise Ransomware-Zahlungen in allen 50 Bundesstaaten verbieten würden.
Der Grund für diese Gesetzgebung ist, dass, wenn alle zustimmen, keine Lösegeldzahlungen zu leisten, kein Geld verdient werden kann, was dann zu einem erheblichen Rückgang der Anzahl der unternommenen Angriffe führen würde. Das Problem mit dieser Argumentationslinie besteht laut dem Federal Bureau of Investigations (FBI) in den USA darin, dass Ransomware-Banden diese Gesetze nur als Gelegenheit ansehen würden, mehr Geld von jeder Organisation zu erpressen, die sich unabhängig von einem Gesetz dazu entschließt, Lösegeld für ihre Daten zu erpressen Mandate.
Die Faktoren, die ein Unternehmen dazu veranlassen könnten, dieses Gesetz absichtlich nicht einzuhalten, sind vielfältig. In vielen Fällen werden die Kosten für das Unternehmen viel höher sein als die Strafe, die erhoben werden könnte, falls jemand feststellt, dass Lösegeld gezahlt wurde. In anderen Fällen sind die Daten möglicherweise entscheidend für die Bereitstellung lebensrettender Gesundheitsleistungen.
Natürlich bedeutet ein Bußgeld im Grunde, dass die Opfer von Ransomware-Angriffen bestraft werden. Opfer erleiden nicht nur die Auswirkungen gestohlener Daten auf das Unternehmen, sondern werden auch mit zusätzlichen Strafen konfrontiert, wenn sie illegal versuchen, ihre Daten wiederherzustellen. Sicher ist, dass angesichts dieser Strafen nur sehr wenige Unternehmen bereit sind zuzugeben, dass sie Opfer eines Angriffs geworden sind. Das bedeutet, niemand würde jemals das wahre Ausmaß krimineller Ransomware-Aktivitäten erfahren.
Das Hauptproblem bei diesem Ansatz ist, dass er zur Bekämpfung von Ransomware zu sehr auf Peitschen statt auf Zuckerbrot setzt. Der Grund, warum Ransomware so weit verbreitet ist, ist, dass die meisten Unternehmen beim Schutz ihrer Daten keine gute Arbeit leisten. Anreize, die Unternehmen dazu ermutigen, den Zugriff auf eine makellose Kopie ihrer Daten sicherzustellen, dürften sich viel positiver auswirken. Eine nationale Sensibilisierungskampagne, die Unternehmen darin bestärkt, dass sie dieses Ziel erreichen können, würde den Gesamtpool potenzieller Ransomware-Opfer erheblich reduzieren. Da es dann immer weniger rentabel wird, Ransomware-Angriffe zu starten, sollte es im Laufe der Zeit zu einem entsprechenden Volumenrückgang kommen.
Zuckerbrot umgeht natürlich nicht die Notwendigkeit von Peitschen. Eine nationale Kampagne zur Bekämpfung von Ransomware dient jedoch auch dem doppelten Zweck, die Öffentlichkeit für deren Notwendigkeit zu sensibilisieren. Fakt ist, dass Ransomware der Wirtschaft schadet. Unternehmen, die Opfer davon geworden sind, mussten schließen. Geld, das an Cyberkriminelle ging, stand nicht zur Verfügung, um in die Unternehmen zu investieren, die Arbeitsplätze schaffen. In Wahrheit ist jeder, ob er es merkt oder nicht, ein Opfer von Ransomware. Das Problem ist, dass man das Ausmaß einfach noch nicht wirklich erkennt.
