Das Wichtigste in Kürze
- Eine Lösegeldzahlung ist in Österreich nicht generell verboten. Sie ist aber unzulässig, wenn die Mittel sanktionierten Personen oder Organisationen zugutekommen. Auch die strafrechtliche Zulässigkeit einer Lösegeldzahlung muss geprüft werden.
- Meldefristen laufen unabhängig von Verhandlung oder Zahlung. Das gilt für Art. 33 DSGVO (72 Stunden) und für NISG-2026-Einrichtungen (Frühwarnung binnen 24 Stunden).
- Eine professionelle Verhandlung verschafft Zeit. IT-Forensik und Wiederherstellung können parallel laufen. Unabhängig von einer allfälligen Lösegeldzahlung können durch die Verhandlungen wertvolle Informationen für die zu treffenden Entscheidungen erhalten werden. Die Höhe des Lösegelds lässt sich (fast) immer herunterverhandeln.
- Die Entscheidung über eine Zahlung ist eine Haftungsfrage für die Geschäftsführung. Sie sollte auf dokumentierter Informationsgrundlage getroffen werden.
Was ist eine Verhandlung mit Cyberkriminellen?
Eine Verhandlung mit Cyberkriminellen ist die strukturierte, strategisch geführte Kommunikation mit den Tätern eines Ransomware-Angriffs oder einer Datenerpressung. Ziele sind Zeitgewinn, die Überprüfung der Täterbehauptungen, eine Verbesserung der Ausgangslage des Unternehmens und eine fundierte Entscheidungsgrundlage für die Geschäftsführung.
Eine Verhandlung bedeutet nicht automatisch, dass auch gezahlt wird. In vielen Fällen dient sie vor allem dazu, Informationen zu gewinnen und Zeit für die Wiederherstellung aus Backups zu schaffen. Ob am Ende gezahlt wird, entscheidet das Unternehmen erst nach rechtlicher und wirtschaftlicher Prüfung. In den von uns geführten Verhandlungen ist es bereits mehrfach vorgekommen, dass wir feststellen konnten, dass die Täter – entgegen deren Behauptung im Erpresserschreiben – überhaupt keine Daten absaugen konnten.
Typische Erpressungsszenarien
Ransomware mit doppelter Erpressung
Ransomware ist Schadsoftware, die Daten oder ganze IT-Systeme verschlüsselt, um für die Entschlüsselung ein Lösegeld zu erpressen. Bei der doppelten Erpressung (Double Extortion) kopieren die Täter vor der Verschlüsselung zusätzlich Daten. Sie drohen dann mit deren Veröffentlichung auf einer Leak-Seite.
Die Forderung lautet in der Regel auf Kryptowährung, meist Bitcoin oder USDC/USDT. Security Coins wie Monero oder zCash werden in der Praxis selten verlangt. Die Täter setzen Fristen und erhöhen nach deren Ablauf häufig die Forderung.
Datenerpressung ohne Verschlüsselung
Manche Täter verschlüsseln nichts. Sie entwenden Daten und verlangen Geld dafür, dass sie diese nicht veröffentlichen oder verkaufen. Die Systeme laufen weiter. Der Druck entsteht allein durch die drohende Veröffentlichung. Rechtlich liegt eine Datenschutzverletzung vor, wenn personenbezogene Daten betroffen sind.
Erpressung durch Insider oder angebliche Insider
Eine besondere Konstellation ist die Erpressung durch Personen mit Innenwissen, etwa durch aktuelle oder ehemalige Mitarbeiter. Ebenso häufig geben sich externe Täter nur als Insider aus, um ihre Drohung glaubwürdiger zu machen. Vor jeder Antwort ist daher zu klären:
- ob die behaupteten Daten tatsächlich existieren,
- wer hinter der Forderung steht,
- welche straf-, zivil- und arbeitsrechtlichen Mittel verfügbar sind.
Eine unbedachte Reaktion kann die Identifizierung der Täter erschweren.
Wie läuft eine professionelle Ransomware-Verhandlung ab?
Eine professionelle Ransomware-Verhandlung folgt einer abgestimmten Strategie und ist eng mit IT-Forensik, Versicherer und Geschäftsführung verzahnt. Jede Nachricht an die Täter wird vorab geplant und dokumentiert.
| Phase | Inhalt | Zweck |
|---|---|---|
| Lagebeurteilung | Identifikation der Tätergruppe, bekanntes Vorgehen, Verlässlichkeit in früheren Fällen | Realistische Einschätzung der Optionen |
| Zeitgewinn | Strukturierte, kontrollierte Kommunikation | IT-Forensik und Wiederherstellung laufen parallel |
| Verifikation | „Proof of Life“: Nachweis, dass die Täter Daten oder einen funktionierenden Schlüssel besitzen, etwa durch Testentschlüsselung einzelner Dateien | Keine Zahlung für leere Drohungen |
| Verhandlung | Sachliche Verhandlung über Höhe, Bedingungen und Ablauf | Verbesserung der Ausgangslage |
| Dokumentation | Lückenlose Aufzeichnung aller Kommunikation | Nachweis gegenüber Versicherer, Behörden und Gesellschaftsorganen |
Mag. Roman Taudes, LL.M., hat spezialisierte Fortbildungen in Ransomware Negotiation Tactics absolviert. ATB.LAW führt seit mehreren Jahren Verhandlungen mit Tätergruppen. „In unserer Praxis konnte die ursprüngliche Forderung in einer Vielzahl von Fällen um mehr als 50 % reduziert werden.“ Jeder Fall ist anders. Ein bestimmtes Verhandlungsergebnis kann daher nicht zugesagt werden.
Ist eine Lösegeldzahlung in Österreich erlaubt?
Eine Lösegeldzahlung an Ransomware-Täter ist in Österreich nicht generell verboten. Sie ist jedoch unzulässig, wenn der Empfänger einer Person oder Organisation zuzurechnen ist, die EU-Sanktionen unterliegt. In diesem Fall kann die Zahlung nach dem Sanktionengesetz 2010 strafbar sein.
Das erpresste Unternehmen ist strafrechtlich Opfer einer Erpressung. Die Zahlung selbst ist keine Straftat. Rechtliche Risiken entstehen vor allem aus drei Bereichen:
- Sanktionsrecht: Die Verordnung (EU) 2019/796 ermöglicht das Einfrieren von Vermögenswerten von Personen und Organisationen, die für Cyberangriffe verantwortlich sind. Es gilt ein Bereitstellungsverbot. Die Liste wurde zuletzt im Juli 2026 erweitert. Daneben sind weitere Sanktionsregime zu prüfen, insbesondere die Russland-Sanktionen.
- Terrorismusfinanzierung: Ist ein Bezug zu einer terroristischen Vereinigung erkennbar, kommt § 278d StGB in Betracht.
- Organhaftung: Eine Zahlung ohne ausreichende Prüfung kann zur persönlichen Haftung der Geschäftsführung führen.
Eine österreichische höchstgerichtliche Entscheidung zur Zulässigkeit von Lösegeldzahlungen bei Ransomware ist nicht bekannt. Umso wichtiger ist eine sorgfältige Prüfung vor jeder Zahlung.
Welche Meldepflichten gelten bei einem Ransomware-Angriff?
Ein Ransomware-Angriff kann mehrere voneinander unabhängige Meldepflichten auslösen. Die wichtigsten sind die Meldung an die Datenschutzbehörde nach Art. 33 DSGVO und, für erfasste Einrichtungen, die Meldung nach dem NISG 2026. Diese Fristen laufen unabhängig davon, ob verhandelt oder gezahlt wird.
| Rechtsgrundlage | Adressat | Frist | Voraussetzung |
|---|---|---|---|
| Art. 33 DSGVO | Österreichische Datenschutzbehörde | Unverzüglich, möglichst binnen 72 Stunden ab Kenntnis | Verletzung des Schutzes personenbezogener Daten, außer es besteht voraussichtlich kein Risiko für die Betroffenen |
| Art. 34 DSGVO | Betroffene Personen | Unverzüglich | Voraussichtlich hohes Risiko für die Betroffenen |
| NISG 2026 – Frühwarnung | Zuständiges CSIRT | Binnen 24 Stunden ab Kenntnis | Erheblicher Cybersicherheitsvorfall bei einer wesentlichen oder wichtigen Einrichtung |
| NISG 2026 – Vorfallsmeldung | Zuständiges CSIRT | Binnen 72 Stunden ab Kenntnis | wie oben |
| NISG 2026 – Abschlussbericht | Zuständiges CSIRT | Grundsätzlich binnen eines Monats nach der Vorfallsmeldung | wie oben |
| Branchenrecht (z. B. DORA) | Zuständige Aufsichtsbehörde (z. B. FMA) | Gesonderte, teils kürzere Fristen | Finanzunternehmen |
Das NISG 2026 (BGBl. I Nr. 94/2025) ist seit 1. Oktober 2026 in Kraft. Es hat das NISG 2018 abgelöst und erfasst deutlich mehr Unternehmen als bisher. § 31 NISG 2026 nimmt die Leitungsorgane ausdrücklich in die Verantwortung für das Cybersicherheits-Risikomanagement. Mehr dazu in unserem NIG 2 Beitrag.
Eine Strafanzeige ist keine gesetzliche Pflicht. Sie ist aber in der Regel zweckmäßig, etwa für Versicherungsfälle, mögliche Ansprüche gegen Dritte und internationale Ermittlungen.
Welche Straftaten liegen bei Ransomware und Datenerpressung vor?
Ransomware-Angriffe verwirklichen nach österreichischem Recht regelmäßig mehrere Straftatbestände des StGB. Im Vordergrund stehen die Erpressung und die Delikte gegen Computersysteme und Daten.
| Tatbestand | Inhalt |
|---|---|
| § 118a StGB – Widerrechtlicher Zugriff auf ein Computersystem | Eindringen in das IT-System |
| § 126a StGB – Datenbeschädigung | Verschlüsseln, Verändern oder Unbrauchbarmachen von Daten |
| § 126b StGB – Störung der Funktionsfähigkeit eines Computersystems | Lahmlegen des Betriebs |
| §§ 144, 145 StGB – Erpressung, schwere Erpressung | Lösegeldforderung unter Drohung |
| §§ 122, 123 StGB, §§ 26a ff UWG | Verletzung bzw. Auskundschaften von Geschäfts- und Betriebsgeheimnissen, insbesondere bei Insider-Fällen |
Das geschädigte Unternehmen kann sich dem Strafverfahren als Privatbeteiligter anschließen. Das ist besonders relevant, wenn Täter ermittelt werden oder Vermögenswerte sichergestellt werden können.
Laut Cybercrimereport 2025 des Bundeskriminalamts stiegen die Anzeigen wegen Cybercrime im engeren Sinn von 20.246 im Jahr 2024 auf 21.988 im Jahr 2025 (+8,6 %). Gemeint sind Angriffe, die sich gegen IT-Systeme selbst richten.
Haftet die Geschäftsführung für die Entscheidung über eine Zahlung?
Die Entscheidung, ob ein Lösegeld gezahlt wird, ist eine unternehmerische Ermessensentscheidung. Nach § 25 Abs. 1a GmbHG und § 84 Abs. 1a AktG handelt ein Geschäftsleiter sorgfaltsgemäß, wenn er sich frei von sachfremden Interessen und auf Grundlage angemessener Information zum Wohl der Gesellschaft entscheidet. Diese Regel heißt Business Judgment Rule.
Für die Praxis heißt das: Die Entscheidung sollte dokumentiert werden. Dazu gehören insbesondere:
- die technische Lage (Backups, Wiederherstellungsdauer, Datenumfang),
- die wirtschaftlichen Folgen eines längeren Stillstands,
- das Ergebnis der Sanktionsprüfung,
- die Position des Cyberversicherers,
- die rechtlichen Risiken beider Optionen.
Eine Entscheidung „aus dem Bauch heraus“ unter Zeitdruck ist das größte Haftungsrisiko.
Was ist bei der Cyberversicherung zu beachten?
Ob eine Cyberversicherung Lösegeld, Verhandlungskosten oder Betriebsunterbrechung deckt, hängt von den konkreten Versicherungsbedingungen ab. Viele Polizzen sehen Zustimmungsvorbehalte, Anzeigeobliegenheiten und Vorgaben zur Auswahl von Dienstleistern vor.
Die Verletzung einer Obliegenheit kann nach § 6 VersVG zur Leistungsfreiheit des Versicherers führen. Der Versicherer sollte daher vor wesentlichen Schritten informiert und eingebunden werden. Das gilt vor allem vor einer Zahlung.
Wie wird eine Lösegeldzahlung abgewickelt?
Eine Lösegeldzahlung in Kryptowährung sollte erst nach rechtlicher Prüfung, Sanktionsscreening und Abstimmung mit dem Versicherer erfolgen. Die Abwicklung erfolgt kontrolliert und vollständig dokumentiert.
- Sanktions- und Geldwäscheprüfung der Tätergruppe und der Empfängeradresse.
- Blockchain-Analyse der Empfängeradresse auf Verbindungen zu sanktionierten Akteuren oder bekannten Tätergruppen.
- Beschaffung der Kryptowährung über einen regulierten Anbieter.
- Kontrollierte Zahlung, wenn sinnvoll zunächst als Teilbetrag.
- Dokumentation für Versicherung, Buchhaltung, Behörden und Gesellschaftsorgane.
Wichtig: Eine Zahlung garantiert nicht, dass die Täter die Daten tatsächlich löschen oder nicht erneut angreifen.
Was Unternehmen im Ernstfall nicht tun sollten
- Nicht eigenmächtig mit den Tätern kommunizieren. Jede unbedachte Nachricht kann die Verhandlungsposition schwächen.
- Keine Zahlung ohne Sanktionsprüfung und Abstimmung mit dem Versicherer.
- Systeme nicht vorschnell neu aufsetzen. Dabei gehen Beweise verloren, die für Strafverfahren und Versicherung benötigt werden.
- Meldefristen nicht aus den Augen verlieren. Sie laufen ab Kenntnis, nicht ab Abschluss der Analyse.
- Keine öffentlichen Stellungnahmen ohne abgestimmte Krisenkommunikation.
So unterstützt ATB.LAW bei Ransomware und Datenerpressung
ATB.LAW verbindet Verhandlungsführung, rechtliche Steuerung, Blockchainanalyse und Zahlungsabwicklung. Die Kanzlei arbeitet dabei mit spezialisierten IT-Forensikern, Incident-Response-Dienstleistern und Blockchain-Analysten zusammen. Die IT-Experten übernehmen Eindämmung, Analyse und Wiederherstellung. ATB.LAW übernimmt Verhandlung, Rechtsberatung, Sanktionslistenprüfung und Zahlungsabwicklung.
- Erstkontakt: Klärung der dringendsten Schritte.
- Sofortmaßnahmen: Abstimmung mit IT-Forensik und Versicherer, Prüfung der Meldefristen nach DSGVO und NISG 2026.
- Lagebild: Bewertung der Tätergruppe, der betroffenen Daten und der Handlungsoptionen.
- Verhandlung: Kommunikation mit den Tätern nach abgestimmter Strategie.
- Entscheidungsvorlage: Rechtliche und faktische Aufbereitung für die Geschäftsführung.
- Abwicklung: Gegebenenfalls Sanktionsprüfung, Organisation und Begleitung der Zahlung.
- Nachbereitung: Meldungen, Strafanzeige, Privatbeteiligtenanschluss, Versicherungsabwicklung und Ansprüche gegen Dritte.
Als Rechtsanwälte unterliegen wir der anwaltlichen Verschwiegenheitspflicht. Einen Überblick über das gesamte Themenfeld bietet unser Beitrag „Cybercrime in Österreich“.
Wie schnell kann ATB.LAW tätig werden?
ATB.LAW IST 24/7 VERFÜGBAR -> Notfallnummer 0043 650 8601778
Fazit
Bei Ransomware und Datenerpressung entscheidet sich in den ersten Stunden, ob ein Unternehmen handlungsfähig bleibt. Verhandlung, Meldepflichten, Sanktionsprüfung, Versicherung und Organhaftung greifen dabei ineinander. Sie lassen sich nicht nacheinander abarbeiten. Seit Inkrafttreten des NISG 2026 hat sich der Zeitdruck für viele Unternehmen weiter erhöht. Wer Verhandlung und rechtliche Steuerung von Anfang an koordiniert, schafft die Grundlage für eine wirtschaftlich vernünftige und haftungsrechtlich vertretbare Entscheidung.
Ihr nächster Schritt
Ihr Unternehmen ist von einem Ransomware-Angriff oder einer Datenerpressung betroffen? Wir übernehmen die Verhandlung mit den Tätern und prüfen Ihre Meldepflichten nach DSGVO und NISG 2026. Auf Wunsch begleiten wir die Sanktionsprüfung, Organisieren das Lösegeld und die allfällige Zahlung. Wir arbeiten vertraulich und in Abstimmung mit Ihrer IT-Forensik und Ihrem Versicherer.
Schreiben Sie uns an:
- Mag. Roman Taudes, LL.M. – Ransomware-Verhandlung, Strafrecht, Kryptowährungen: taudes@atb.law
- Dr. Stefan Knotzer LL.M. – Datenschutz, NISG 2026, Cyberresilienz: knotzer@atb.law
- Mag. Anela Blöch LL.M. – Sanktions- und Geldwäscheprüfung: bloech@atb.law
FAQ Lösegeldverhandlung und Lösegeldzahlung:
Eine Lösegeldzahlung ist in Österreich nicht generell verboten. Sie ist aber unzulässig, wenn die Mittel sanktionierten Personen oder Organisationen zugutekommen. Die EU hat dafür mit der Verordnung (EU) 2019/796 ein eigenes Sanktionsregime für Cyberangriffe geschaffen. Dessen Liste wird regelmäßig erweitert. Ein Verstoß kann nach dem Sanktionengesetz 2010 strafbar sein. Vor jeder Zahlung sollten daher Tätergruppe und Empfängeradresse geprüft und das Ergebnis dokumentiert werden.
Lohnt sich eine Verhandlung mit Ransomware-Tätern?
Eine professionelle Verhandlung verschafft vor allem Zeit für IT-Forensik und Wiederherstellung. Außerdem lässt sich prüfen, ob die Täter tatsächlich über Daten oder einen funktionierenden Schlüssel verfügen. In vielen Fällen kann auch die Forderung gesenkt werden. Eine Verhandlung verpflichtet nicht zur Zahlung. Ein bestimmtes Ergebnis kann nicht garantiert werden.
Muss ein Ransomware-Angriff der Datenschutzbehörde gemeldet werden?
Sind personenbezogene Daten betroffen, ist die Verletzung nach Art. 33 DSGVO grundsätzlich unverzüglich und möglichst binnen 72 Stunden ab Kenntnis an die österreichische Datenschutzbehörde zu melden. Das gilt auch, wenn ein Lösegeld gezahlt wird. Eine Ausnahme besteht nur, wenn voraussichtlich kein Risiko für die Betroffenen besteht. Bei hohem Risiko sind nach Art. 34 DSGVO auch die betroffenen Personen zu informieren.
Welche Meldepflichten gelten nach dem NISG 2026?
Wesentliche und wichtige Einrichtungen im Sinne des NISG 2026 müssen erhebliche Cybersicherheitsvorfälle an das zuständige CSIRT melden. Die Frühwarnung ist binnen 24 Stunden abzugeben, die Vorfallsmeldung binnen 72 Stunden ab Kenntnis. Danach folgt ein Abschlussbericht. Das NISG 2026 ist seit 1. Oktober 2026 in Kraft. Diese Pflichten bestehen zusätzlich zur Meldung nach der DSGVO.
Was tun, wenn ein Mitarbeiter mit der Veröffentlichung von Daten droht?
Zunächst ist zu klären, ob die Drohung glaubhaft ist und wer tatsächlich dahintersteht. Nicht selten geben sich externe Täter nur als Insider aus. Danach kommen Strafanzeige, zivilrechtliche Ansprüche nach §§ 26a ff UWG und arbeitsrechtliche Maßnahmen in Betracht. Die Kommunikation mit der erpressenden Person sollte von professionellen Verhandlern und abgestimmt erfolgen, um Beweise nicht zu gefährden.
Übernimmt die Cyberversicherung das Lösegeld?
Das hängt von den konkreten Versicherungsbedingungen ab. Viele Polizzen enthalten Zustimmungsvorbehalte, Anzeigeobliegenheiten und Vorgaben zu Dienstleistern. Werden Obliegenheiten verletzt, kann der Versicherer nach § 6 VersVG leistungsfrei werden. Der Versicherer sollte daher früh und vor einer Zahlung eingebunden werden.
