In Deutschland gibt es kein Gesetz, das die Zahlung von Lösegeldern grundsätzlich verbietet. Gerade bei Ransomware-Angriffen kann die Zahlung eines Lösegeldes jedoch strafbar sein, wenn sie kriminelle Aktivitäten unterstützt und finanziert. Je nach Situation könnte es sich dabei um die Unterstützung einer kriminellen Vereinigung (§§ 129, 129a StGB), Verstöße gegen Finanzsanktionsregelungen (§ 18 AWG in Verbindung mit den EU-Sanktionslistenverordnungen), Terrorismusfinanzierung (§ 89c StGB) oder Geldwäsche (§ 261 StGB) handeln.
Das größte Risiko für eine Strafverfolgung bei der Zahlung von Lösegeld besteht in der Unterstützung krimineller Vereinigungen. Ransomware-Angriffe werden meist nicht von einzelnen Hackern durchgeführt, sondern von ganzen Gruppen oder Organisationen. Diese Angreifer können als kriminelle Vereinigungen nach § 129 bzw. § 129a StGB eingestuft werden, deren Unterstützung in Deutschland strafbar ist.
Selbst wenn das Lösegeld nicht gezahlt wird, um die Ziele der Angreifer zu unterstützen oder weitere Straftaten zu ermöglichen, kann die Zahlung als strafbare Unterstützungshandlung angesehen werden. Es reicht aus, dass die Geschäftsleitung zumindest für möglich hält und in Kauf nimmt, dass die Zahlung die kriminelle Organisation unterstützt. Dies wird in der Regel der Fall sein, wodurch eine Lösegeldzahlung grundsätzlich den Straftatbestand erfüllen kann.
Dabei muss man bedenken, dass Unternehmen oft unter großem Druck stehen. Wenn das geforderte Lösegeld nicht gezahlt wird, können schwerwiegende Folgen für das Opfer und auch für Dritte drohen, zum Beispiel wenn personenbezogene Daten veröffentlicht werden. In solchen Fällen liegt eine sogenannte Notstandslage vor. Das Unternehmen hat praktisch keine Wahl und könnte sogar aufgrund von Management- oder Sorgfaltspflichten zur Lösegeldzahlung gezwungen sein, um weiteren Schaden abzuwenden.
Quellartikel: https://www.cio.de/a/die-rechtliche-zulaessigkeit-von-loesegeldzahlungen,3728833
Flo Laumer 