Durchgesickerte Verhandlungen deuten darauf hin, dass ein nicht genannter US-Landkreis einer Erpressergruppe 1 Million US-Dollar zahlte

Ein durchgesickertes Transkript und unterstützende Beweismittel legen nahe, dass ein nicht identifizierter US-Landkreis einer Erpressergruppe 1 Million US-Dollar zahlte, nachdem Kriminelle behauptet hatten, mehr als 2 TB Daten gestohlen zu haben. Der in einer Fallstudie zur Bedrohungsanalyse beschriebene Vorfall wirft erneut die bekannte Frage auf, ob Lösegeldzahlungen das Risiko tatsächlich verringern oder lediglich ein nicht überprüftes Versprechen erkaufen.

Dem Bericht zufolge forderte die Gruppe hinter der Operation, die sich Kairos nennt, zunächst 3 Millionen US-Dollar. Die Verhandlungen zogen sich anschließend über mehrere Wochen hin. Vertreter des Landkreises erklärten, dass sie die ursprüngliche Summe nicht aufbringen könnten, und machten Gegenangebote, die von 100.000 US-Dollar auf 255.000 US-Dollar und später auf 430.000 US-Dollar stiegen. Letztlich einigten sich die Parteien auf 1 Million US-Dollar in Bitcoin.

Was der Landkreis verlangte

Das Transkript legt nahe, dass die Behörde im Gegenzug für die Zahlung mehr als eine mündliche Zusicherung verlangte. Sie forderte:

• einen Nachweis, dass die gestohlenen Daten gelöscht worden waren
• eine vollständige Liste der entwendeten Dateien
• eine Erklärung, wie die Angreifer Zugriff erlangt hatten

Kairos erklärte, man werde eine Beispielliste der Dateien bereitstellen, und behauptete, durch Brute-Force-Angriffe in das Netzwerk eingedrungen zu sein. Die Gruppe teilte außerdem etwas, das sie als Beleg für die Löschung bezeichnete, und versprach, die Daten weder zu verkaufen noch das Opfer erneut anzugreifen.

Der Forscher hinter der Analyse wies jedoch darauf hin, dass es keine unabhängige Möglichkeit gab, die Löschung des gestohlenen Materials zu bestätigen. Diese Einschränkung ist einer der Gründe, warum Strafverfolgungsbehörden Opfer wiederholt davor warnen, dass Lösegeldzahlungen weder die Wiederherstellung von Daten garantieren noch spätere Veröffentlichungen verhindern.

Mögliches Opfer weiterhin unklar

Der Bericht nennt den Landkreis nicht direkt, doch ein Hinweis deutet auf Ohio hin: Eine Datei aus dem angeblich gestohlenen Material verwies auf Dublin, eine Stadt, die sich über mehrere Landkreise des Bundesstaats erstreckt. Die Erkenntnisse überschneiden sich zeitlich außerdem mit einer öffentlichen Mitteilung des Union County in Ohio, wonach der Landkreis im Mai 2025 Opfer eines Ransomware-bezogenen Eindringens geworden war, bei dem personenbezogene und sensible Daten betroffen waren.

Bislang haben die Behörden nicht bestätigt, ob Union County die in den durchgesickerten Verhandlungsunterlagen genannte Institution ist. Das FBI lehnte eine Stellungnahme ab. Der Bericht weist zudem darauf hin, dass es sich bei dem Vorfall möglicherweise überhaupt nicht um herkömmliche Ransomware handelte, da kein Entschlüsselungsprogramm und kein Verschlüsselungstool identifiziert wurde.

Der Fall verdeutlicht die schwierigen Entscheidungen, vor denen öffentliche Einrichtungen stehen, wenn sensible Daten offengelegt wurden und die Angreifer die Bedingungen diktieren.