Ransomware: Was dürfen Opfer rechtlich tun?
Kurz und klar
Nach einem Ransomware-Angriff steht das betroffene Unternehmen in einer rechtlich mehrfach überlagerten Krise: Die Zahlung des Lösegelds ist in Deutschland nicht per se strafbar, kann aber gegen Sanktionsrecht, Geldwäscherecht und aufsichtsrechtliche Pflichten verstoßen. Gleichzeitig laufen 24-, 72- und 48-Stunden-Meldepflichten (BSIG, DSGVO, NIS-2), und die Geschäftsleitung kann für unterlassene oder verspätete Reaktionen persönlich haften. Die zentralen Entscheidungen der ersten 24 Stunden entscheiden nicht nur über den technischen Wiederaufbau, sondern auch über die rechtliche Verteidigungslage der nächsten Jahre.
Inhaltsverzeichnis
1. Die rechtliche Ausgangslage
2. Ist die Zahlung von Lösegeld strafbar?
3. Sanktionsrecht: Das größte Risiko der Zahlung
4. Meldepflichten in den ersten 72 Stunden
5. Persönliche Haftung der Geschäftsleitung
6. Handlungsleitfaden – die ersten 24 Stunden
7. Die Rolle des Anwalts bei Verhandlungen
8. Praxis-Insight aus der Cybersecurity-Perspektive
1. Die rechtliche Ausgangslage
Ransomware trifft Unternehmen in dem Moment, in dem geschäftskritische Systeme verschlüsselt sind und ein Lösegeld – meist in Kryptowährung – gefordert wird. Rechtlich sind Sie zu diesem Zeitpunkt gleichzeitig Opfer einer Erpressung (§ 253 StGB) oder Computersabotage (§ 303b StGB), potenzieller Meldepflichtiger nach Art. 33 DSGVO, § 32 BSIG (NIS-2-Umsetzung) und ggf. weiteren Normen, und – wenn Sie zahlen wollen – selbst Adressat sanktions- und geldwäscherechtlicher Prüfungen.
Diese dreifache Rolle ist der Grund, warum eine reine IT-Response ohne rechtliche Begleitung fast immer neue Risiken schafft. Wer die Zahlung entscheidet, ohne Sanktionslisten geprüft zu haben, kann selbst zum Beschuldigten werden.
2. Ist die Zahlung von Lösegeld strafbar?
Die Antwort lautet: grundsätzlich nein, aber es gibt mehrere Fallgruppen, in denen sie strafbar sein kann.
2.1 Kein allgemeines Zahlungsverbot
Ein pauschales Verbot, Lösegeld an Ransomware-Angreifer zu zahlen, existiert in Deutschland nicht. Anders als in einigen US-Bundesstaaten (z. B. Florida, North Carolina für staatliche Stellen) hat der deutsche Gesetzgeber bisher keinen expliziten Zahlungsverbotstatbestand geschaffen. Auch die BaFin und das BSI haben keine bindenden Zahlungsverbote erlassen, sondern dringend abraten.
2.2 Wo die Zahlung strafbar werden kann
Geldwäsche (§ 261 StGB). Wenn die Angreifer als kriminelle Vereinigung im Sinne der Norm einzustufen sind – was bei etablierten Ransomware-Gruppen (LockBit, Conti-Nachfolger, BlackCat/ALPHV, Cl0p, etc.) regelmäßig angenommen wird –, kann bereits die Zahlung selbst Tatbestandsmerkmale erfüllen. Die Reform 2021 (All-Crime-Ansatz) hat die Norm deutlich erweitert. Die Rechtslage ist im Detail umstritten, aber das Risiko ist real.
Terrorismusfinanzierung (§ 89c StGB). Wenn die Angreifer terroristische Organisationen sind oder eine solche Verbindung nicht ausgeschlossen werden kann – bei bestimmten iranischen, nordkoreanischen und russischen Gruppen ein wiederkehrendes Thema –, kann die Zahlung § 89c StGB verwirklichen.
Verstoß gegen Sanktionsrecht (§ 18 AWG). Der wichtigste Punkt (siehe Kapitel 3). Zahlungen an sanktionierte Personen oder Organisationen sind strafbar, unabhängig vom Wissen um die konkrete Sanktionierung – vorsätzliche und leichtfertige Verstöße sind strafbar.
Untreue (§ 266 StGB). Wenn Geschäftsleiter Lösegeld zahlen, ohne die gesellschaftsrechtlich gebotenen Prüfungen anzustellen – etwa ohne Sanktionslisten-Check, ohne strafrechtliche Risikoprüfung, ohne dokumentierte Abwägung –, kann die Zahlung eine Pflichtverletzung im Sinne der Norm sein. Bei GmbH-Geschäftsführern und AG-Vorständen liegt hier ein häufig übersehenes Risiko.
2.3 Der Regelfall
In der Praxis ist die Zahlung an nicht-sanktionierte, nicht-terroristische Ransomware-Gruppen nach sorgfältiger Prüfung und Dokumentation regelmäßig nicht strafbar. Der Punkt ist aber: Diese Prüfung muss vor der Zahlung stattfinden, dokumentiert und durch Personen mit rechtlicher Qualifikation verantwortet werden. Wer erst später prüfen lässt, hat kein Verteidigungsargument mehr.
3. Sanktionsrecht: Das größte Risiko der Zahlung
Das praktisch bedeutsamste Risiko ist das Sanktionsrecht. Die EU führt umfangreiche Sanktionslisten, die auch Ransomware-Gruppen erfassen. Zahlungen an sanktionierte Personen oder Entitäten sind nach Art. 2 EU-Verordnung 269/2014 und Umsetzungsverordnungen verboten – Verstöße sind nach § 18 AWG strafbar mit Freiheitsstrafe bis zu fünf Jahren, in besonders schweren Fällen bis zu zehn Jahren.
Ergänzend gilt das US-amerikanische Sanktionsregime des OFAC (Office of Foreign Assets Control). US-OFAC hat konkrete Guidance zu Ransomware-Zahlungen veröffentlicht und listet regelmäßig Wallet-Adressen sanktionierter Angreifer. Auch deutsche Unternehmen sind mittelbar betroffen, wenn:
Zahlungswege über US-Finanzintermediäre laufen (bei Krypto-Exchanges praktisch immer)
US-Tochtergesellschaften involviert sind
US-Bürger in der Entscheidungskette stehen
3.1 Sanktionsprüfung vor der Zahlung – konkrete Schritte
Wer eine Zahlung erwägt, muss vor der Ausführung folgende Prüfungen dokumentieren:
Prüfung der bekannten Attribution der Ransomware-Gruppe gegen EU- und US-Sanktionslisten
Prüfung der konkreten Wallet-Adresse gegen OFAC-Listen und offene Chainalysis-/TRM-Labs-Daten
Prüfung der Zahlungsroute (Exchange, Intermediär, Wallet-Struktur)
Dokumentierte Abwägung der Risiken, unterschrieben durch Geschäftsleitung und Rechtsberater
Diese Prüfung ist keine formalistische Übung. Sie ist Ihre Verteidigungslinie gegen einen späteren Vorwurf leichtfertigen Sanktionsverstoßes.
3.2 Was tun, wenn die Attribution unklar ist?
Ransomware-Gruppen operieren häufig unter wechselnden Namen, mit Affiliate-Programmen, unter falschen Flaggen. Die Attribution ist selten hundertprozentig sicher. In dieser Grauzone gilt:
Zahlung nur nach umfassender Due Diligence
Einbindung eines auf Sanktionsrecht spezialisierten Anwalts
Ggf. proaktive Kontaktaufnahme mit dem BSI und der zuständigen Staatsanwaltschaft, um die eigene Position transparent zu machen
Diese Transparenz kann später entscheidend sein: Sie zeigt, dass Sie nicht in Kenntnis oder leichtfertiger Unkenntnis gehandelt haben.
4. Meldepflichten in den ersten 72 Stunden
Neben der Zahlungsentscheidung stehen mehrere Meldepflichten, die parallel laufen und die sich zeitlich überschneiden.
4.1 Art. 33 DSGVO – 72 Stunden
Wurden personenbezogene Daten verletzt (in Ransomware-Fällen fast immer, da Verschlüsselung selbst eine Verletzung der Verfügbarkeit ist, und häufig auch Exfiltration erfolgt), muss binnen 72 Stunden nach Kenntnis eine Meldung an die zuständige Aufsichtsbehörde erfolgen. Die Frist beginnt mit Kenntnis, nicht mit vollständiger Aufklärung.
Die Meldung erfordert nicht die vollständige Aufklärung – sie kann und muss unter Verwendung des vorhandenen Kenntnisstands erfolgen und später ergänzt werden. Wer wartet, bis alle Fakten geklärt sind, verstößt regelmäßig gegen die Frist.
4.2 § 32 BSIG (NIS-2-Umsetzung) – 24 und 72 Stunden
Für Betreiber Kritischer Infrastrukturen und für „wichtige" bzw. „besonders wichtige" Einrichtungen nach der NIS-2-Umsetzung gilt seit 2024/2025:
24 Stunden: Frühwarnung mit ersten verfügbaren Informationen
72 Stunden: Vorfallsmeldung mit vertiefter Bewertung
1 Monat: Abschlussbericht
Der Adressatenkreis ist deutlich ausgeweitet worden. Viele Unternehmen, die sich bisher nicht als KRITIS-relevant sahen, sind unter NIS-2 meldepflichtig – insbesondere in den Sektoren digitale Dienste, Fertigung, Chemie, Post- und Kurierdienste, Forschung und öffentliche Verwaltung.
4.3 § 42 BDSG und andere sektorspezifische Pflichten
Bei bestimmten Datenkategorien greifen zusätzliche Melde- oder Anzeigepflichten – etwa nach Berufsordnungen, im Gesundheitssektor nach § 75c SGB V, im Finanzsektor nach § 44 KWG und BaFin-Rundschreiben. Diese Pflichten sind sektorspezifisch und müssen einzeln geprüft werden.
4.4 Zusammenspiel mit der Zahlungsentscheidung
Meldepflichten laufen unabhängig davon, ob Sie zahlen oder nicht. Wer zahlt und nicht meldet, verletzt zwei Pflichten. Wer zahlt und meldet, riskiert nichts an dieser Stelle – aber die Meldung sollte sorgfältig formuliert sein und nicht mehr enthalten als rechtlich geschuldet.
5. Persönliche Haftung der Geschäftsleitung
Die NIS-2-Umsetzung hat die Haftung der Geschäftsleitung dramatisch geschärft. Nach § 38 BSIG neuer Fassung haften Geschäftsleiter besonders wichtiger Einrichtungen persönlich für Schäden, die aus der Verletzung ihrer Aufsichtspflichten entstehen. Bereits davor galt § 93 AktG bzw. § 43 GmbHG – aber NIS-2 hat den Haftungstatbestand konkretisiert und den Handlungsauftrag verschärft.
Konkret bedeutet das: Geschäftsleiter müssen die Umsetzung der Cybersecurity-Maßnahmen überwachen, dokumentieren und schulen. Wer im Krisenfall nachweisen kann, dass er dies systematisch getan hat, minimiert das persönliche Risiko. Wer keine Nachweise hat, ist im Ernstfall angreifbar – von Aufsichtsräten, Aktionären, Insolvenzverwaltern, Aufsichtsbehörden und Staatsanwaltschaften gleichermaßen.
Praxisrelevant: Auch die Verhandlungsentscheidung – zahlen oder nicht, verhandeln oder nicht, wie viel und über welchen Kanal – ist eine unternehmerische Entscheidung, die der Business Judgment Rule unterliegt. Damit diese greift, muss die Entscheidung auf angemessener Informationsgrundlage, zum Wohl der Gesellschaft, ohne Sonderinteressen und in gutem Glauben getroffen worden sein. Und sie muss dokumentiert sein.
6. Handlungsleitfaden – die ersten 24 Stunden
Stunde 0–2: Sofortmaßnahmen
Isolation betroffener Systeme (keine Ausschaltung, sondern Netzwerktrennung – Speicherinhalt für Forensik erhalten)
Aktivierung des Incident-Response-Plans, wenn vorhanden
Sofortige Kontaktaufnahme mit spezialisiertem Anwalt und externem Incident-Response-Team
Sicherung aller Kommunikation der Angreifer (E-Mails, Chat-Portale, Ransom-Notes)
Keine öffentliche Kommunikation, keine internen Massenmails – nur kontrollierte Information des engsten Führungskreises
Stunde 2–8: Klärung der Lage
Umfang der Verschlüsselung
Umfang der möglichen Datenexfiltration (Prüfung Netzwerktraffic-Logs)
Attribution der Angreifergruppe – wenn möglich mit externer Expertise
Erste rechtliche Einordnung: Meldepflichten, Sanktionsrisiko, Handlungsoptionen
Sicherung von Backups (offline und immutable prüfen)
Stunde 8–24: Weichenstellungen
24-Stunden-Frühwarnung an BSI/BSI-Meldestelle, wenn NIS-2-relevant
Vorbereitung der 72-Stunden-DSGVO-Meldung
Strategieentscheidung: Verhandlung ja/nein, Zahlung ja/nein
Dokumentation aller Entscheidungen mit Begründung und Beteiligten
Vorbereitung interner und externer Kommunikation
Prüfung Cyberversicherung – Meldefristen an Versicherer sind häufig kürzer als gesetzliche Meldefristen
Was in keinem Fall passieren darf
Keine „schnelle Zahlung, um Ruhe zu haben" ohne Sanktionsprüfung
Keine Zahlung ohne dokumentierte Abwägung durch die Geschäftsleitung
Keine Löschung von Log-Dateien, Ransom-Notes oder Angreifer-Kommunikation
Keine unabgestimmten Pressemitteilungen
Keine Aussagen an Ermittlungsbehörden ohne Anwalt
7. Die Rolle des Anwalts bei Verhandlungen
Ransomware-Verhandlungen werden in der Praxis selten vom Unternehmen direkt geführt. Üblich ist die Einbindung spezialisierter Verhandlungs-Dienstleister („Ransomware Negotiator"), die die technische Kommunikation übernehmen. Rechtlich bleibt die Verantwortung beim Unternehmen und der Geschäftsleitung.
Der Anwalt hat in dieser Phase drei Kernfunktionen:
1. Rechtliche Weichenstellung. Klärung, ob eine Zahlung rechtlich zulässig ist und unter welchen Bedingungen. Prüfung Sanktionsrecht, Geldwäscherecht, Verwertbarkeit von Kommunikation.
2. Dokumentation. Aufbau einer belastbaren Dokumentation, die im Ernstfall gegenüber Ermittlungsbehörden, Aufsichtsbehörden und Aufsichtsräten Bestand hat. Die Dokumentation ist die Verteidigungslinie für Jahre.
3. Kommunikationsschutz. Bei laufenden Ermittlungen ist die Kommunikation zwischen Unternehmen und Anwalt durch das Beschlagnahmeverbot des § 97 StPO geschützt. Diese Schutzsphäre muss bewusst aufgebaut werden – lose interne Mails, in denen die Zahlungsentscheidung diskutiert wird, sind später Beweismittel.
8. Praxis-Insight aus der Cybersecurity-Perspektive
Als Gründer und CEO von SECJUR habe ich mit dem Compliance-Prozess für Cybersicherheit tagtäglich zu tun. Aus dieser Doppelperspektive drei Beobachtungen, die in reiner juristischer Beratung häufig fehlen:
Erstens: Der Zeitpunkt der Entscheidung ist der Zeitpunkt vor dem Angriff. Unternehmen, die im Krisenfall zwischen den Optionen frei entscheiden können, haben vorher gearbeitet: immutable Backups, klare Incident-Response-Playbooks, dokumentierte Rollen, geübte Kommunikation. Wer im Ernstfall zum ersten Mal über diese Fragen nachdenkt, entscheidet unter maximaler Druckbelastung – und das erhöht das Fehlerrisiko dramatisch.
Zweitens: Die technische Realität schränkt die rechtlichen Optionen ein. Wer keine funktionierenden Backups hat, entscheidet nicht wirklich frei über eine Zahlung. Der rechtliche Berater kann sanktionsrechtliche Grenzen setzen, aber wenn das Geschäft ohne Entschlüsselung nicht überlebt, wird die Zahlung faktisch alternativlos. Deshalb: Backup-Strategie und Incident-Response-Reife sind rechtliche Voraussetzungen – nicht nur IT-Themen.
Drittens: Ransomware-Versicherungen sind kein Freifahrtschein. Cyberversicherer prüfen die Sicherheits-Reife des Versicherten häufig erst im Schadensfall. Wer angibt, Multi-Faktor-Authentifizierung und regelmäßige Backups zu haben, und im Ernstfall zeigt, dass wesentliche Systeme davon ausgenommen waren, riskiert die Deckungsablehnung. Die Versicherungs-Compliance sollte vor dem Vorfall geprüft werden – nicht danach.
9. Häufige Fragen
Ist es strafbar, Lösegeld an Ransomware-Angreifer zu zahlen?
Nicht per se. Strafbarkeit kann sich aus Sanktionsrecht (§ 18 AWG), Geldwäsche (§ 261 StGB), Terrorismusfinanzierung (§ 89c StGB) oder Untreue (§ 266 StGB, bei fehlender Sorgfaltsprüfung) ergeben. Wer zahlt, muss vorher dokumentiert prüfen, dass keine dieser Tatbestände erfüllt ist.
Muss ich einen Ransomware-Angriff melden?
Ja, in der Regel mehrfach. Nach Art. 33 DSGVO binnen 72 Stunden an die Datenschutzaufsichtsbehörde, nach § 32 BSIG binnen 24 Stunden Frühwarnung an das BSI (bei besonders wichtigen und wichtigen Einrichtungen), ggf. sektorspezifische Meldepflichten (BaFin, § 75c SGB V, § 44 KWG). Die Meldefristen laufen parallel.
Kann die Geschäftsleitung persönlich haften?
Ja. Nach § 43 GmbHG bzw. § 93 AktG und den durch NIS-2 verschärften Anforderungen können Geschäftsleiter persönlich für Schäden haften, die aus verletzten Cybersecurity-Aufsichtspflichten entstehen. Auch die Entscheidung zur Zahlung selbst kann pflichtwidrig sein, wenn sie ohne angemessene Prüfung erfolgt.
Muss ich Anzeige gegen die Angreifer erstatten?
Eine Anzeigepflicht besteht in Deutschland grundsätzlich nicht (§ 138 StGB nur bei bestimmten schweren Straftaten). Aber: Für die Sanktions-Compliance und die spätere Dokumentation ist die Anzeige häufig hilfreich. Sie kann auch versicherungsrechtlich relevant sein. In vielen Cyberversicherungsverträgen ist die Anzeigenerstattung Voraussetzung für die Deckung.
Was passiert, wenn ich zahle und die Angreifer trotzdem Daten veröffentlichen?
Sie haben dann alle Nachteile: Zahlung geflossen, Datenleak eingetreten, sanktions- und geldwäscherechtliches Risiko realisiert, Meldepflichten weiter offen. Deshalb ist eine reine „Zahlungsstrategie zur Vermeidung der Veröffentlichung" fragil. Die Verhandlung muss auch strukturelle Sicherheiten einbauen – soweit das mit kriminellen Gegenparteien überhaupt möglich ist.
Wie funktioniert eine Ransomware-Verhandlung technisch?
Meist über Portale im Darknet oder Onion-Netzwerke, mit spezifischen Chat-Interfaces. Zahlungen erfolgen in Kryptowährungen, überwiegend Bitcoin oder Monero. Für Unternehmen ist die eigenständige Verhandlung praktisch unmöglich – spezialisierte Dienstleister übernehmen die operative Kommunikation, während Anwalt und Vorstand die rechtliche und strategische Ebene verantworten.
Deckt meine Cyberversicherung die Zahlung ab?
Häufig ja, aber mit Bedingungen. Voraussetzungen sind typischerweise: Einhaltung der vereinbarten Sicherheitsmaßnahmen, unverzügliche Meldung an den Versicherer, Zustimmung des Versicherers zur Verhandlung, Sanktionsprüfung. Verstöße gegen diese Obliegenheiten führen häufig zur Deckungsablehnung – oft im Nachhinein.
Kann ich auch nachträglich Anzeige erstatten und dennoch zahlen?
Ja, die Reihenfolge ist rechtlich frei wählbar. Praktisch ist es aber häufig sinnvoll, die Anzeige vor oder parallel zur Zahlung zu erstatten, weil sie Ihre Position dokumentiert. Anzeige zuerst, dann Zahlung, dann Nachmeldung an den Ermittlungsbehörden – diese Reihenfolge lässt sich später gut verteidigen.
Fazit
Ein Ransomware-Angriff ist rechtlich mindestens genauso komplex wie technisch. Die zentralen Entscheidungen – zahlen, verhandeln, melden, kommunizieren – überschneiden sich mit Sanktions-, Geldwäsche-, Datenschutz- und Aufsichtsrecht. Wer diese Entscheidungen ohne dokumentierte rechtliche Begleitung trifft, riskiert nicht nur ein einzelnes Delikt, sondern eine ganze Kaskade an Folgeverfahren – und persönliche Haftung der Geschäftsleitung.
Die Weichen werden vor dem Angriff gestellt: mit einem dokumentierten Incident-Response-Plan, einem definierten Krisen-Kommunikationspfad, einer geprüften Cyberversicherung und einem Anwalt auf Kurzwahl, der bei Bedarf innerhalb einer Stunde ansprechbar ist. Diese Vorbereitung ist der Unterschied zwischen einem beherrschbaren Vorfall und einer existenziellen Krise.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit Schwerpunkt auf IT- und Cyber-Strafrecht sowie Compliance in Cyber-Krisensituationen. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.