Glossar · einfach erklärt

Double Extortion (doppelte Erpressung)

Erst stehlen, dann verschlüsseln: Double Extortion erpresst doppelt — das Backup allein rettet nicht mehr.

Double Extortion ist das heutige Standardmodell der Ransomware-Kriminalität: Vor der Verschlüsselung stehlen die Täter große Datenmengen. Erpresst wird dann doppelt — Lösegeld für die Entschlüsselung und zusätzlich für den Verzicht auf die Veröffentlichung der gestohlenen Daten.

Die Konsequenz ist unbequem: Ein sauberes Backup neutralisiert nur die erste Erpressung. Gegen die Veröffentlichungsdrohung hilft keine Wiederherstellung — nur die Verhinderung des Datenabflusses selbst.

Wie die doppelte Erpressung abläuft

Nach dem Einbruch folgt zuerst stilles Sammeln: Die Täter bewegen sich durchs Netz, identifizieren wertvolle Datenbestände — Verträge, Personaldaten, Finanzen, Kundendaten — und exfiltrieren sie über Wochen. Erst danach zündet die Verschlüsselung als lauter Schlusspunkt. Auf Leak-Portalen wird anschließend mit Countdown veröffentlicht, teils ergänzt um Druck auf Kunden und Partner (Triple Extortion) oder DDoS-Angriffe obendrauf.

Verteidigung heißt deshalb: die stille Phase sichtbar machen und begrenzen. Segmentierung bremst die Ausbreitung, Egress-Kontrolle und Anomalie-Erkennung schlagen beim Abfluss an, DLP markiert sensible Bestände — und die Meldeprozesse (DSGVO, NIS-2) müssen vorbereitet sein, denn ein Datenabfluss ist meldepflichtig, Lösegeld hin oder her.

Was gegen Double Extortion zählt

Ausbreitung begrenzen: Mikrosegmentierung und Least Privilege verkleinern die Beute.
Abfluss erkennen: ungewöhnliche Datenbewegungen und Ziele alarmieren, bevor Terabytes weg sind.
Kronjuwelen kennen: Wer nicht weiß, wo sensible Daten liegen, merkt ihren Diebstahl zuletzt.
Meldefähigkeit üben: Fristen und Kommunikationswege stehen, bevor es ernst wird.

Häufige Fragen zu Double Extortion (doppelte Erpressung)

Reicht ein gutes Backup gegen Double Extortion?

Nein — es neutralisiert nur die Verschlüsselungs-Erpressung. Die Drohung, gestohlene Daten zu veröffentlichen, bleibt davon unberührt. Deshalb gehören Abfluss-Erkennung, Segmentierung und Datenklassifizierung gleichrangig neben die Backup-Strategie.

Sollte man bei Veröffentlichungsdrohung zahlen?

Behörden raten ab, und die Erfahrung stützt das: Es gibt keine Garantie für Löschung, Daten tauchen trotz Zahlung wieder auf, und Zahlungen finanzieren das Geschäftsmodell. Meldepflichten bestehen unabhängig davon — die Entscheidung gehört mit Rechtsbeistand und Behörden abgewogen.

Was ist Triple Extortion?

Die Erweiterung um eine dritte Druckstufe: Zusätzlich zu Verschlüsselung und Leak-Drohung werden Betroffene direkt kontaktiert — Kunden, Patienten, Partner — oder das Opfer wird parallel mit DDoS-Angriffen unter Druck gesetzt. Ziel ist maximale Eskalation der Zahlungsbereitschaft.

Wie erkennt man die Exfiltration rechtzeitig?

Über Verhalten: ungewöhnliche Volumina Richtung unbekannter Ziele, Zugriffe auf Datenbestände außerhalb normaler Muster, Kompressions- und Staging-Aktivität auf Servern. NDR, Egress-Monitoring und DLP liefern diese Signale — wenn jemand hinschaut, bevor der Countdown läuft.

Ist ein Datenabfluss auch ohne Zahlung meldepflichtig?

In aller Regel ja: Bei personenbezogenen Daten greifen DSGVO-Fristen gegenüber Aufsicht und gegebenenfalls Betroffenen; für wichtige und wesentliche Einrichtungen kommen NIS-2-Meldewege hinzu. Diese Pflichten bestehen unabhängig von Verhandlungen mit den Tätern.