Kurz erklärt: Ransomware-Tracing ist die forensische Verfolgung von Lösegeldzahlungen, die nach einem Verschlüsselungsangriff in Kryptowerten geleistet wurden. Ziel ist es, die Empfängerstruktur offenzulegen, die beteiligten Gruppen zu identifizieren und Ansatzpunkte für Sicherungsmaßnahmen zu finden. Weil solche Zahlungen fast immer arbeitsteilig aufgeteilt werden, liefert die Verfolgung häufig Erkenntnisse über die gesamte Tätergruppe — nicht nur über den Einzelfall.
Der Zahlungsweg
Nach einem Verschlüsselungsangriff nennen die Täter eine Zahlungsadresse, häufig fallbezogen erzeugt, um Zahlungen einzelnen Opfern zuordnen zu können. Genau diese Individualisierung ist forensisch nützlich: Sie schafft einen eindeutigen Ausgangspunkt.
Nach Eingang setzt die Verschleierung ein. Typisch sind eine Aufteilung über mehrere Adressen, eine Peel Chain, der Umweg über einen Mixer und der Tausch in andere Netzwerke oder in Privacy-Coins.
Ein Teil der Mittel bewegt sich allerdings nicht zufällig, sondern nach einem festen Muster — und das ist der entscheidende Ansatzpunkt.
Ransomware-as-a-Service und Erlösaufteilung
Verschlüsselungsangriffe werden überwiegend arbeitsteilig durchgeführt. Eine Gruppe entwickelt und betreibt die Schadsoftware samt Verhandlungsinfrastruktur; andere führen die Angriffe aus. Europol beschreibt diese Dienstleistungsmodelle in seinen Lagebildern zur Cyberkriminalität als prägend für das Deliktsfeld.
Abgerechnet wird über eine Beteiligung am Lösegeld. Der Anteil des Betreibers wird nach Zahlungseingang abgeführt — und zwar regelmäßig, in ähnlicher Höhe und an wiederkehrende Adressen.
Für die Verfolgung ist das ein Geschenk. Während die Verschleierung des Ausführenden individuell variiert, erzeugt die Erlösaufteilung ein stabiles, wiedererkennbares Muster. Über diese Sammeladressen lassen sich Fälle verknüpfen, die auf den ersten Blick nichts miteinander zu tun haben.
Damit verschiebt sich das Erkenntnisziel: Nicht die Rückholung der einzelnen Zahlung ist der realistische Ertrag, sondern die Zuordnung des Falls zu einer bekannten Gruppe und die Verknüpfung mit anderen Verfahren.
Sanktionsrisiko bei Zahlung
Ein Punkt, der bei der Entscheidung über eine Zahlung häufig zu spät bedacht wird.
Mehrere an Verschlüsselungsangriffen beteiligte Gruppen und die von ihnen genutzten Dienste stehen auf Sanktionslisten, etwa der OFAC-SDN-Liste. Eine Zahlung an eine gelistete Adresse kann einen eigenständigen Verstoß gegen Sanktionsrecht darstellen — unabhängig davon, dass der Zahlende Opfer einer Straftat ist.
Hinzu kommt die geldwäscherechtliche Dimension für beteiligte Dienstleister. Ein Zahlungsdienstleister oder eine Handelsplattform, die eine solche Zahlung abwickelt, kann eigene Pflichten verletzen.
Praktisch bedeutet das: Vor einer Zahlung sollte die Empfängeradresse gegen Sanktionslisten geprüft und die Zuordnung der Tätergruppe geklärt werden. Das ist eine Aufgabe, die innerhalb von Stunden zu leisten ist und die Entscheidungsgrundlage erheblich verändert.
Eine Bewertung, ob gezahlt werden soll, gehört nicht in einen Glossareintrag — sie hängt von Betroffenheit, Datenlage und Wiederherstellungsmöglichkeiten ab und ist gemeinsam mit rechtlicher Beratung zu treffen. Festhalten lässt sich nur: Eine Zahlung ohne vorherige Sanktionsprüfung ist ein vermeidbares zusätzliches Risiko.
Grenzen der Verfolgung
Ransomware-Gruppen gehören zu den professionellsten Akteuren im Feld, und ihre Verschleierung ist entsprechend belastbar.
Privacy-Coins. Ein Teil der Gruppen verlangt die Zahlung von vornherein in einem Netzwerk, das Absender, Empfänger und Betrag auf Protokollebene verbirgt. Dort ist eine Verfolgung mit den Mitteln, die bei Bitcoin funktionieren, nicht möglich. Manche Gruppen gewähren auf solche Zahlungen sogar einen Nachlass — ein Hinweis darauf, wie hoch sie den Verschleierungsvorteil bewerten.
Ausstieg über schwach regulierte Anbieter. Der Tausch in Fiat erfolgt bevorzugt über Plattformen in Jurisdiktionen ohne wirksame Aufsicht oder über Nested Exchanges. Die Spur endet dann formal bei einer großen Börse, während der eigentliche Akteur ein Untermieter ist.
Zeit. Zwischen Zahlung und Beginn der Verfolgung liegen häufig Tage, weil zunächst die Systemwiederherstellung Vorrang hat. In dieser Zeit sind die Mittel bereits mehrfach bewegt.
Daraus folgt eine realistische Zielsetzung: Ransomware-Tracing dient der Aufklärung und der Verknüpfung von Fällen, nicht der Rückholung. Wer es mit dem Versprechen einer Rückführung anbietet, überschätzt die Methode — oder betreibt einen Recovery-Scam.
Was die Verfolgung leisten kann
Zuordnung zur Gruppe. Über die Empfängerstruktur und das Aufteilungsmuster lässt sich der Fall häufig einer bekannten Tätergruppe zuordnen. Das ist für die Strafverfolgung und für die Einschätzung der weiteren Bedrohungslage relevant.
Verknüpfung mit anderen Fällen. Gemeinsame Sammeladressen belegen Zusammenhänge zwischen Verfahren. Aus vielen Einzelfällen entsteht dadurch ein Komplex, der mit anderen Mitteln bearbeitet werden kann.
Ansatzpunkte für Sicherung. Erreichen Teile der Mittel eine regulierte Plattform, besteht die Möglichkeit einer Sicherung. Das gelingt selten für die eigene Zahlung, gelegentlich aber im Rahmen größerer koordinierter Maßnahmen.
Dokumentation. Für Versicherung, Meldepflichten und interne Aufarbeitung ist eine belastbare Darstellung des Zahlungswegs erforderlich.
Was die Verfolgung nicht leistet: die Rückholung der Zahlung im Regelfall. Verschlüsselungsangriffe werden von Gruppen betrieben, die ihre Verschleierung professionell organisieren. Fließen die Mittel unmittelbar in ein Privacy-Netzwerk, endet die On-Chain-Spur dort.
Vorgehen für betroffene Unternehmen
Vor einer Entscheidung. Empfängeradresse gegen Sanktionslisten prüfen, Zuordnung der Gruppe klären, rechtliche Beratung einbeziehen. Diese Prüfung ist kurzfristig leistbar.
Bei Zahlung. Adresse, Betrag, Zeitpunkt und Transaktions-ID dokumentieren, ebenso die gesamte Kommunikation mit den Tätern. Diese Daten sind die Grundlage jeder späteren Verfolgung.
Unabhängig von der Entscheidung. Anzeige erstatten, den Vorfall den zuständigen Stellen melden und Meldepflichten prüfen — je nach Betroffenheit können datenschutzrechtliche, aufsichtsrechtliche und vertragliche Pflichten bestehen. Verpflichtete nach dem GwG haben zudem die Meldepflicht nach § 43 GwG im Blick zu behalten.
Versicherung. Bestehende Cyberversicherungen enthalten regelmäßig Obliegenheiten mit engen Fristen. Die Anzeige gegenüber dem Versicherer gehört an den Anfang, nicht ans Ende.
Technische Aufarbeitung. Die Sicherung der Systemspuren erfolgt parallel zur Verfolgung des Zahlungswegs — beide beantworten unterschiedliche Fragen und ersetzen einander nicht.
Häufige Fragen
Kann eine gezahlte Lösegeldsumme zurückgeholt werden?
Im Regelfall nicht. Die Gruppen organisieren ihre Verschleierung professionell; fließen die Mittel unmittelbar in ein Privacy-Netzwerk, endet die On-Chain-Spur dort. Erfolge gibt es vereinzelt im Rahmen größerer koordinierter Maßnahmen, nicht im Einzelfall.
Warum lohnt sich die Verfolgung dann überhaupt?
Weil sie den Fall einer bekannten Tätergruppe zuordnen, ihn mit anderen Verfahren verknüpfen und Ansatzpunkte für Sicherungsmaßnahmen liefern kann. Zudem wird eine belastbare Dokumentation für Versicherung, Meldepflichten und interne Aufarbeitung erzeugt.
Ist eine Lösegeldzahlung rechtlich riskant?
Sie kann es sein. Mehrere beteiligte Gruppen und genutzte Dienste stehen auf Sanktionslisten; eine Zahlung an eine gelistete Adresse kann einen eigenständigen Sanktionsverstoß darstellen — unabhängig davon, dass der Zahlende Opfer ist. Eine Prüfung vor der Zahlung ist innerhalb von Stunden leistbar.
Was ist Ransomware-as-a-Service?
Ein arbeitsteiliges Modell: Eine Gruppe entwickelt und betreibt Schadsoftware samt Infrastruktur, andere führen die Angriffe aus. Abgerechnet wird über eine Beteiligung am Lösegeld, die nach Zahlungseingang an wiederkehrende Adressen abgeführt wird.
Warum ist die Erlösaufteilung forensisch nützlich?
Weil sie ein stabiles Muster erzeugt. Während die Verschleierung individuell variiert, wird der Betreiberanteil regelmäßig, in ähnlicher Höhe und an wiederkehrende Adressen abgeführt. Darüber lassen sich Fälle verknüpfen, die scheinbar unabhängig sind.
Was sollte ein betroffenes Unternehmen zuerst tun?
Vor jeder Zahlungsentscheidung die Empfängeradresse gegen Sanktionslisten prüfen und rechtliche Beratung einbeziehen. Parallel Anzeige erstatten, Meldepflichten prüfen und den Versicherer unterrichten — Cyberversicherungen enthalten Obliegenheiten mit engen Fristen.
Warum verlangen manche Gruppen Zahlung in Privacy-Coins?
Weil diese Netzwerke Absender, Empfänger und Betrag auf Protokollebene verbergen und eine Verfolgung mit den bei Bitcoin üblichen Mitteln ausschließen. Manche Gruppen gewähren darauf sogar einen Nachlass — ein Hinweis darauf, wie hoch sie diesen Vorteil bewerten.
Zusammenfassung
Ransomware-Tracing verfolgt Lösegeldzahlungen in Kryptowerten. Fallbezogen erzeugte Zahlungsadressen liefern einen eindeutigen Ausgangspunkt; die anschließende Verschleierung folgt den bekannten Mustern. Der entscheidende Ansatzpunkt ist die Erlösaufteilung im Ransomware-as-a-Service-Modell: Der Betreiberanteil wird regelmäßig an wiederkehrende Adressen abgeführt und erlaubt die Verknüpfung scheinbar unabhängiger Fälle. Die Rückholung der eigenen Zahlung gelingt im Regelfall nicht. Vor jeder Zahlungsentscheidung sollte die Empfängeradresse gegen Sanktionslisten geprüft werden — ein Verstoß wäre unabhängig von der Opferstellung.
Weiterführende Quellen
- Europol — IOCTA 2026: The evolving threat landscape: www.europol.europa.eu
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- BKA — Bundeslagebild Cybercrime: www.bka.de
- OFAC — Specially Designated Nationals and Blocked Persons List: ofac.treasury.gov
- US-Finanzministerium — Sanktionierung von Tornado Cash, Pressemitteilung: home.treasury.gov
- BSI — Blockchain sicher gestalten: www.bsi.bund.de
- § 43 GwG — Meldepflicht bei Verdacht, Gesetze im Internet: www.gesetze-im-internet.de
- NIST — National Vulnerability Database: nvd.nist.gov