Was Mitte August 2026 passiert ist
Mitte August wurde bekannt, dass die Regierung Liechtensteins eine Lösegeldzahlung ausschliesst, nachdem Angreifer Daten zu wirtschaftlich Berechtigten von rund 31'000 Rechtsträgern entwendet hatten. Regierungschefin Brigitte Haas äusserte sich am 14. August entsprechend. Für die Schweiz zählt das, weil das Register mit Strukturen hier verbunden ist.
In derselben Woche zahlte ein Kommunikationsanbieter ebenfalls nicht, worauf die Angreifer rund 280 Gigabyte mit Daten zu etwa 1,6 Millionen Konten veröffentlichten. Zwei Organisationen, dieselbe Antwort, unterschiedliche Folgen: Der Einzelfall taugt nicht als Vorlage, die Vorbereitung schon.
Was kauft eine Zahlung, und was nicht?
Weniger moralisch als praktisch. Der Entschlüsselungsschlüssel betrifft den Betrieb. Wer Sicherungen getrennt aufbewahrt und regelmässig testweise zurückspielt, braucht ihn im Normalfall nicht.
Das Versprechen, gestohlene Daten nicht zu veröffentlichen, betrifft nichts Überprüfbares. Die Daten sind bereits kopiert, gekauft wird eine Zusage von jemandem, dessen Geschäftsmodell auf gebrochenen Zusagen beruht.
Der erste Punkt ist ein technisches Problem mit einer Alternative, der zweite ist keiner. Deshalb verschiebt sich das Gewicht nach vorne, auf die Tage, bevor überhaupt eine Forderung kommt.
Wie merken Sie, dass es überhaupt so weit kommt?
Fast jeder Angriff dieser Art beginnt bei einem Menschen, mit einer E-Mail oder einem Anruf, der plausibel genug war. Ob jemand das bemerkt und weitersagt, lässt sich vorher prüfen: Korix simuliert solche Angriffe kontrolliert und zeigt, wie viele Mitarbeitende sie melden und wie schnell.
Warum muss die Entscheidung vorher fallen?
Weil die Bedingungen am Tag des Angriffs jede nüchterne Abwägung verhindern: Es läuft eine Frist, die Faktenlage ist unklar, Systeme stehen still. Festzulegen ist deshalb nicht das Ergebnis, sondern der Rahmen: wer entscheidet, und ab welcher Schwelle externe Hilfe geholt wird.
Wer entscheidet, und mit welchem Mandat?
In kleinen Organisationen ist die Antwort selten aufgeschrieben. Sie gehört auf eine Seite ausserhalb der betroffenen Systeme: entscheidungsbefugte Person und Vertretung, die Nummern von Versicherung, Rechtsvertretung und IT-Dienstleister, und die Frage, ob eine Zahlung rechtlich in Betracht kommt. Letztere gehört vorher mit der Rechtsberatung geklärt.
Dass die Seite fehlt, scheitert selten am Willen, sondern daran, dass niemand die Rolle nebenbei ausfüllen kann. Korix ist als das Sicherheitsteam gebaut, das Sie nicht selbst betreiben müssen.
Was hat die Meldepflicht damit zu tun?
Melde- und Zahlungsfrage laufen parallel, sind aber getrennt: Die eine hat eine Frist gegenüber einer Behörde, die andere keine gegenüber einem Angreifer. Mehr dazu im Beitrag "Meldepflicht erfüllt, Risiko unverändert".
Was lässt sich diese Woche tun?
Erstens, eine Wiederherstellung an einem echten System ausprobieren. Eine nie zurückgespielte Sicherung ist eine Annahme.
Zweitens, die eine Seite mit Namen und Nummern schreiben und ausserhalb der eigenen Systeme ablegen.
Drittens, in der Geschäftsleitung den Ausgangspunkt aussprechen, bevor die Forderung kommt.
Viertens, messen statt schätzen, und genau dafür gibt es Korix. Die Phishing Simulation plant und startet sich selbst, und das Dashboard zeigt, wie viele Mitarbeitende gemeldet haben. Betreiben muss sie bei Ihnen niemand. Aus einer Annahme wird eine Zahl.
Der Fall aus Liechtenstein wird in zwei Wochen alt sein. Die Frage bleibt: Ist bei Ihnen jemand benannt, der sie beantwortet?
Wenn nicht, ist das kein Versäumnis, sondern der Normalfall ohne eigenes Sicherheitsteam. Genau diese Lücke füllt Korix: Wir simulieren die Angriffe laufend und messen die Reaktion, damit Sie die Zahlen haben, bevor jemand eine Forderung stellt.
In 15 Minuten zeigen wir Ihnen, wie das bei Ihnen aussieht. Termin vereinbaren