Ransomware hat die Produktion verschlüsselt und die Angreifer fordern Zahlung. Wie geht der CISO an die Entscheidung zu zahlen heran?
Kurzantwort
Weder in Panik noch allein entscheiden. Rechtsberatung und Strafverfolgungsbehörden einbinden und vor jeder Zahlung das Sanktionsrisiko prüfen: OFAC wertet die Ermöglichung von Zahlungen an sanktionierte Parteien als potenziellen Verstoß nach dem Prinzip der verschuldensunabhängigen Haftung und berücksichtigt eine zeitnahe, selbst initiierte Meldung an Strafverfolgungsbehörden, volle Kooperation und solide Sicherheitspraktiken mildernd. Danach auf Basis dokumentierter Geschäftsauswirkungen entscheiden, die Geschäftsleitung informiert.
Interviewer nutzen dieses Szenario, um zu sehen, ob ein CISO die Lösegeldzahlung als Governance-Entscheidung mit rechtlichen Folgen behandelt und nicht als rein operative.
Warum Rechtsberatung, Strafverfolgung und Sanktionsprüfung zuerst kommen
Der aktualisierte OFAC-Hinweis zu Ransomware-Zahlungen erläutert, dass das Leisten oder Ermöglichen einer Zahlung ein Sanktionsrisiko begründen kann und dass OFAC zivilrechtliche Strafen nach dem Prinzip der verschuldensunabhängigen Haftung (strict liability) verhängen kann — auch eine Organisation, die nicht wusste, dass der Empfänger sanktioniert war, kann betroffen sein. Als wesentliche mildernde Faktoren nennt der Hinweis eine vollständige, zeitnahe, selbst initiierte Meldung an Strafverfolgungsbehörden, Kooperation mit den Behörden und wirksame Sicherheitspraktiken vor dem Angriff. Er empfiehlt, Vorfälle zeitnah zu melden und Sicherheitsinvestitionen sowie die Incident Response zu dokumentieren.
Ein solider Ansatz
- Eindämmen und bewerten: Was ist verschlüsselt, was exfiltriert, was lässt sich aus Backups wiederherstellen?
- Rechtsberatung und Incident-Response-Team einbinden und die Strafverfolgung informieren.
- Sanktionsrisiko prüfen, bevor gezahlt wird, und klären, ob eine Lizenz angebracht ist.
- Auf Basis dokumentierter Geschäftsauswirkungen entscheiden, Geschäftsleitung und Aufsichtsgremium informiert; Begründung, geprüfte Optionen und Freigeber festhalten.
Warum die Distraktoren scheitern
- „Still zahlen“ ignoriert die verschuldensunabhängige Haftung: Das Risiko hängt nicht von späterer Zuordnung ab.
- „Ablehnen und schweigen“ kann regulatorische, vertragliche und Strafverfolgungsmeldungen auslassen, und eine Pauschalregel ist keine Entscheidung.
- „An die IT delegieren“ nimmt Rechts-, Finanz- und Reputationsverantwortliche aus einer Entscheidung heraus, die ihnen gehört.
Was Interviewer hören wollen
Eine ruhige, prozessgetriebene Antwort: Recht und Strafverfolgung früh eingebunden, Sanktionen geprüft, Entscheidung dokumentiert und auf Führungsebene verantwortet.
Wahrscheinliche Anschlussfragen
- Was bedeutet verschuldensunabhängige Haftung im Kontext der OFAC-Sanktionen, und warum zählt sie auch bei Einsatz eines Verhandlers?
- Was würden Sie vor und nach der Entscheidung dokumentiert sehen wollen, und wer muss informiert werden?
- Wie verändern getestete Backups und Wiederherstellungspläne die Abwägung zwischen Zahlen und Nichtzahlen?