Kurz erklärt: LockBit war über Jahre eine der aktivsten Gruppen im Bereich der Verschlüsselungserpressung und arbeitete als Dienstleistungsmodell: Die Gruppe stellte Schadsoftware und Infrastruktur bereit, Partner führten die Angriffe aus und teilten die Erlöse. Behörden mehrerer Staaten gingen 2024 gegen die Infrastruktur vor. Lösegelder werden nahezu ausschliesslich in Kryptowerten gefordert.
Das Dienstleistungsmodell
Die Arbeitsteilung erklärt die Verbreitung. Eine Kerngruppe entwickelt die Schadsoftware, betreibt die Verhandlungsplattform und die Veröffentlichungsseite für erbeutete Daten. Partner beschaffen Zugänge und führen die Verschlüsselung durch. Der Erlös wird nach Quote geteilt.
Für die Zuordnung bedeutet das eine Erschwernis: Hinter Angriffen derselben Bezeichnung stehen unterschiedliche Ausführende mit unterschiedlichen Adressen. Eine Zuordnung zur Gruppe sagt daher wenig über die konkret handelnde Person.
Verbreitet ist die doppelte Erpressung: Neben der Verschlüsselung werden Daten abgezogen und deren Veröffentlichung angedroht. Das entwertet Sicherungskopien als alleinige Gegenmassnahme — die Daten sind bereits abgeflossen.
Die Zahlungsfrage
Für betroffene Unternehmen ist die Zahlung eine rechtliche, nicht nur eine wirtschaftliche Frage.
Zu prüfen ist insbesondere, ob der Empfänger einer Sanktionsliste unterfällt. Eine Zahlung an einen gelisteten Empfänger kann eigenständige Verstösse begründen — unabhängig von der Zwangslage. Diese Prüfung ist vor einer Zahlung durchzuführen, nicht danach.
Hinzu kommen weitere Aspekte: mögliche Meldepflichten je nach Branche und betroffenen Daten, die Abstimmung mit einer Versicherung, deren Leistungspflicht regelmässig an Mitwirkungsobliegenheiten geknüpft ist, sowie die Dokumentation der Entscheidungsgrundlagen für die Organhaftung.
Nüchtern ist festzuhalten: Eine Zahlung garantiert weder die vollständige Wiederherstellung noch die Löschung abgeflossener Daten. Sie finanziert zudem den Fortbestand der Struktur.
Forensische Ansatzpunkte
Zahlungen erfolgen typischerweise in Bitcoin, teils in Werten mit stärkerer Verschleierung. Die Adresse ist regelmässig für jedes Opfer eigens erzeugt — ein Umstand, der die Zuordnung erschwert, zugleich aber die Zahlung eindeutig einem Vorgang zuordnet.
Für Ermittlungen bedeutsam ist die Weiterleitung. Nach Eingang werden Mittel meist zügig aufgeteilt und an Ausstiegspunkte geführt; die Verteilung nach Quote zwischen Kerngruppe und Partnern ist in der Kette teilweise erkennbar und erlaubt Rückschlüsse auf die Struktur.
Für Unternehmen gilt: Die Zahlungsadresse, der genaue Betrag und der Zeitpunkt gehören unverzüglich gesichert und der Strafverfolgung übergeben — auch dann, wenn gezahlt wurde. Sie sind der wertvollste Anknüpfungspunkt und fliessen in laufende Verfahren gegen die Struktur ein.
Häufige Fragen
Darf ein Unternehmen Lösegeld zahlen?
Das ist eine Einzelfallfrage. Zwingend vorab zu prüfen ist, ob der Empfänger einer Sanktionsliste unterfällt — eine Zahlung an einen gelisteten Empfänger kann eigenständige Verstösse begründen. Hinzu kommen Meldepflichten, Abstimmung mit der Versicherung und die Dokumentation für die Organhaftung.
Schützen Sicherungskopien vor doppelter Erpressung?
Nur gegen die Verschlüsselung. Werden Daten zusätzlich abgezogen und deren Veröffentlichung angedroht, helfen Sicherungskopien nicht — die Daten sind bereits abgeflossen.
Lohnt die Meldung, wenn bereits gezahlt wurde?
Ja. Zahlungsadresse, Betrag und Zeitpunkt sind der wertvollste Anknüpfungspunkt und fliessen in laufende Verfahren gegen die Struktur ein. Sie gehören unverzüglich gesichert und übergeben.
Zusammenfassung
LockBit arbeitete als Dienstleistungsmodell: Kerngruppe stellt Werkzeuge, Partner führen aus, Erlöse werden geteilt — weshalb eine Zuordnung zur Gruppe wenig über die handelnde Person sagt. Doppelte Erpressung entwertet Sicherungskopien als alleinige Gegenmassnahme. Vor jeder Zahlung ist die Sanktionslage zu prüfen; Zahlungsadresse, Betrag und Zeitpunkt gehören in jedem Fall gesichert und der Strafverfolgung übergeben.
Weiterführende Quellen
- Europol — Internet Organised Crime Threat Assessment (IOCTA): www.europol.europa.eu
- OFAC — Specially Designated Nationals and Blocked Persons List: ofac.treasury.gov
- BKA — Bundeslagebild Cybercrime: www.bka.de
- FBI Internet Crime Complaint Center — Internet Crime Report 2024 (PDF): www.ic3.gov