Ransomware-Lösegeld-Report 2026

Dieser Report bündelt die wesentlichen Daten und Rechtsgrundlagen, die Geschäftsleitungen und Krisenstäbe vor einer Zahlungsentscheidung kennen müssen. Er greift auf öffentlich verfügbare Branchenauswertungen (Coveware, Chainalysis, BSI Lagebericht) zurück, ergänzt um die juristische Bewertung aus der Beratungspraxis. Bandbreiten und Schätzungen sind als solche gekennzeichnet; harte Quoten sind nur dort angegeben, wo eine belastbare Auswertung vorliegt.

1. Die Forderungslage 2024/2025

Die durchschnittliche Lösegeldforderung professionalisierter Ransomware-Gruppen ist in den vergangenen Jahren stark gestiegen. Coveware berichtet für das zweite Quartal 2024 eine durchschnittliche Zahlung von 391.015 US-Dollar bei einem Median von 170.000 US-Dollar; Chainalysis ordnet 2024 die gesamte über Krypto-Wallets verfolgte Lösegeldsumme bei etwa 813 Mio. US-Dollar ein, deutlich unter dem Rekordwert von 2023 (rund 1,25 Mrd. US-Dollar). Der Rückgang ist nach Brancheneinschätzung kein Erfolg der Strafverfolgung allein, sondern auch Folge besserer Verhandlung, strengerer Versicherer-Auflagen und höherer Skepsis gegenüber Zahlungen.

2. Die Zahlungsquote sinkt

Coveware berichtet, dass im zweiten Quartal 2024 nur noch rund 36 Prozent der betroffenen Unternehmen Lösegeld zahlten — ein historischer Tiefstand und ein deutlicher Rückgang gegenüber Werten um 70 bis 80 Prozent in den Jahren 2019/2020. Die juristische Lesart dieses Trends ist klar: Sorgfältig vorbereitete Unternehmen mit funktionierenden Backups, geübtem Krisenmanagement und einer rechtlich fundierten Verhandlungslinie können in der überwiegenden Mehrheit der Fälle ohne Zahlung wiederherstellen.

3. Was eine Zahlung tatsächlich bringt — und was nicht

Eine Zahlung beendet einen Ransomware-Vorfall nicht. Sie löst im besten Fall die Verschlüsselung — und das auch nur in einem Teil der Fälle vollständig. Sicherheitsforscher berichten regelmäßig, dass ein nicht unerheblicher Anteil zahlender Opfer entweder keinen funktionsfähigen Entschlüsseler erhält, dass die Entschlüsselung Tage dauert oder dass Daten teilweise unbrauchbar zurückkommen. Daneben verbleiben die zuvor abgeflossenen Daten in der Hand der Täter und werden in einem Teil der Fälle trotz Zahlung veröffentlicht oder ein zweites Mal als Druckmittel eingesetzt (Double Extortion).

4. Strafrechtliche Bewertung einer Zahlung

Eine pauschale Strafbarkeit der Zahlung gibt es nicht. Im Einzelfall können aber folgende Tatbestände greifen: § 129 StGB (Unterstützung einer kriminellen Vereinigung), § 261 StGB (Geldwäsche) und § 266 StGB (Untreue, soweit die Zahlung ohne Berechtigung aus dem Gesellschaftsvermögen erfolgt). Vertiefend siehe den Beitrag Lösegeld bei Ransomware zahlen: Ist das strafbar?.

5. Sanktionsrecht: der zentrale Stolperstein

Der wichtigste sanktionsrechtliche Rahmen ist die EU-Verordnung 269/2014 und die EU-Verordnung 833/2014, ergänzt durch nationale und transatlantische Sanktionslisten (u. a. OFAC SDN-Liste der USA). Eine Zahlung an einen in einer dieser Listen geführten Akteur ist verboten und kann mit Freiheits- und Geldstrafe bedroht sein. Mehrere Ransomware-Gruppen — darunter Conti, LockBit-Akteure und Evil Corp — wurden in den vergangenen Jahren auf Sanktionslisten gesetzt. Vor jeder Zahlung gehört eine sanktionsrechtliche Prüfung in den Krisenstab; sie kann nicht im Nachhinein nachgeholt werden.

6. Versicherungsdeckung: keine Selbstverständlichkeit mehr

Cyberpolicen haben sich in den vergangenen Jahren deutlich verschärft. Eine Lösegelddeckung ist heute regelmäßig an Vorbedingungen geknüpft: vorherige Zustimmung des Versicherers, sanktionsrechtliche Prüfung, Einbindung eines vorgegebenen Verhandlers und Zahlung über einen zugelassenen Krypto-Zahlungsdienstleister. Eigenmächtige Zahlungen sind nicht gedeckt. Daneben schließen viele Policen Cyberkriegsrisiken und staatlich gelenkte Angriffe über eine sog. War-Exclusion aus — eine Entwicklung, die nach dem Lloyd's-Bulletin LMA 5564/5565 (2022/2023) den europäischen Markt erfasst hat. Vertiefend siehe Cyberversicherung und Ransomware.

7. Geschäftsführerhaftung: die unterschätzte Dimension

Die Entscheidung über eine Lösegeldzahlung ist eine unternehmerische Entscheidung im Sinne der Business Judgement Rule (§ 93 Abs. 1 Satz 2 AktG, § 43 GmbHG analog). Sie ist nur dann haftungsfrei, wenn sie auf angemessener Informationsgrundlage, frei von Interessenkonflikten und im Unternehmenswohl getroffen wurde. Eine Zahlung ohne sanktionsrechtliche Prüfung, ohne forensische Lagebewertung und ohne Versicherungsabstimmung erfüllt diese Voraussetzungen regelmäßig nicht. Die Folge ist eine persönliche Innenhaftung der Geschäftsleitung gegenüber der Gesellschaft. NIS2 verstärkt diese Dimension durch die persönliche Verantwortung nach § 38 BSIG.

8. Empfehlung: Zahlungsentscheidung als Prozess, nicht als Reflex

Aus der Beratungspraxis lässt sich ein klares Muster ableiten: Unternehmen, die vor dem Vorfall einen strukturierten Zahlungsentscheidungs-Prozess definiert haben — wer entscheidet, auf welcher Datengrundlage, nach welcher Prüfung — kommen in der Krise besser durch und stehen rechtlich besser da, unabhängig davon, ob die Zahlungsentscheidung am Ende mit Ja oder Nein endet. Wer den Prozess erst im Krisenstab improvisiert, läuft Gefahr, in sanktionsrechtliche, strafrechtliche und haftungsrechtliche Fallen zu geraten, die im Nachhinein nicht mehr zu korrigieren sind.

Zitierhinweis

Empfohlene Zitation: Kolb Blickhan Partner Rechtsanwälte, Ransomware-Lösegeld-Report 2026, Stand Juni 2026, abrufbar unterhttps://cyberangriff-soforthilfe.de/ratgeber/ransomware-loesegeld-report-2026. Bei Übernahme einzelner Zahlen bitte die jeweils angegebene Originalquelle (Coveware, Chainalysis, Sophos, EU/OFAC) mitzitieren.

Akut betroffen? Unsere 24/7-Notfallnummer für Unternehmen: +49 171 5160827. Ergänzend können Sie über die Kontaktseite eine strukturierte Anfrage stellen.

Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.