Ransom Approved: 5 börsennotierte Unternehmen, die Cyberkriminelle bezahlt haben

Eine steigende Zahl von Organisationen erlebt einen Ransomware-Angriff. Laut Sophos, 59% der Organisationen haben im Jahr 2024 einen erlebt und die Mehrheit von ihnen (70 %) führte zu einer Datenverschlüsselung.

Nicht nur die Anzahl der Ransomware-Angriffe, sondern auch die Höhe der Zahlungen steigt. Die mittlere Ransomware-Zahlung lag 2023 bei weniger als $200k, was um 650 % auf $1.5 million in etwa einem Jahr anstieg, laut IBM-Daten.

Diese Angriffe werden voraussichtlich bis 2031 jährlich Schäden in Höhe von $275 billion weltweit verursachen. Also, was sind Ransomware-Angriffe?

Ransomware ist eine Art von Malware, bösartige Software, die den Zugriff einer Organisation auf ihr System blockiert oder ihre Daten verschlüsselt. 

Dazu infizieren Angreifer ein System mit einem Virus, den sie nutzen, um Phishing-E-Mails zu versenden, die einen bösartigen Link enthalten können oder die Anmeldedaten eines Mitarbeiters stehlen, um unautorisierten Zugriff auf das Unternehmensnetzwerk zu erhalten. 

Im Austausch für Entschlüsselungsschlüssel oder die Wiederherstellung des Systemzugangs fordern Cyberkriminelle Lösegeld von den Opfern. Unternehmen befinden sich in einer schwierigen Lage, in der das Zahlen des Lösegelds als einfachste und kostengünstigste Möglichkeit erscheint, den Zugriff zurückzugewinnen. 

Einige Ransomware-Varianten haben zusätzliche Funktionen wie Datendiebstahl hinzugefügt, was einen weiteren Anreiz zum Zahlen des Lösegelds schafft. In einigen hochkarätigen Fällen könnte das Zahlen des Lösegelds jedoch trotz der Risiken die am wenigsten schädliche Option sein.

Unternehmen, die Lösegeld zahlten, um ihre Kunden zu schützen

Während das Nachgeben gegenüber den Forderungen der Angreifer und das Zahlen von Lösegeld nicht der ideale Weg ist, um mit Cyberkriminalität umzugehen, da es nicht nur die sichere Rückgabe gestohlener Daten oder die Wiederherstellung der Unternehmensabläufe garantiert, sondern auch weitere Cyberangriffe fördert, gibt es manchmal keine andere Wahl, das Unternehmen und die Kunden zu schützen.

Damit wollen wir uns nun einige der prominentesten Cybercrime-Fälle ansehen, bei denen die Unternehmen das Lösegeld zahlten und was danach geschah.

1. CNA Financial Corp

Eines der größten Versicherungsunternehmen in den USA, CNA Financial Corp., wurde im März 2021 Opfer eines Ransomware-Angriffs. Es zahlte ein Lösegeld von $40 million in Bitcoin (BTC), die bislang größte öffentlich bekannte Ransomware-Auszahlung, um die Kontrolle zurückzugewinnen, nachdem es zwei Wochen lang von seinen Systemen ausgesperrt war.

Der Angriff kam von einer Cyberkriminellen Gruppe namens Phoenix, die zunächst ein Lösegeld von 999 BTC (etwa $55 million zum damaligen Zeitpunkt) forderte, bevor sie es auf 1099 BTC erhöhte und erklärte:

“Zeitverschwendung. Die Kosten sind gestiegen.”

Die Angreifer behaupteten, dass die von ihnen besessenen Daten wichtig seien und dass „Es würde stark treffen, wenn es geleakt wird.“ Das Lösegeld wurde gefordert im Austausch dafür, den Diebstahl nicht öffentlich zu machen, die Daten zurückzugeben, die Kopien der gestohlenen Daten zu löschen und alles wiederherzustellen.

Aber wie genau kam es zum Verstoß? Nun, es war ein kleiner Sicherheitsfehler, der zu diesem schweren Vorfall führte. Die Angreifer überzeugten tatsächlich einen einzigen CNA-Mitarbeiter, ein gefälschtes Browser-Update zu akzeptieren. Sie handelten dann schnell, um das System zu deaktivieren, und der Angriff konnte nicht sofort erkannt werden.

Es dauerte tatsächlich ein paar Wochen, bis CNA bemerkte, dass es gehackt worden war. In dieser Zeit stahlen die Angreifer Kundendaten und sperrten CNA aus ihrem Netzwerk aus.

Das Unternehmen gab ebenfalls erst eine Woche nach dem Angriff ein Update heraus. Es veröffentlichte dann ein Update, in dem erklärt wurde, dass der Angriff eingedämmt sei und man daran arbeite, den normalen Geschäftsbetrieb wieder aufzunehmen. Zwei Wochen später wurde bekannt, dass Endpunkt-Erkennungs- und Überwachungstools im Rahmen des Wiederherstellungsprozesses eingesetzt wurden.

Zwei Monate nach dem Angriff veröffentlichte CNA seinen Vorfallsbericht, in dem es feststellte, dass es kein gezielter Angriff war. Und sobald die Ransomware entdeckt wurde, trennte das Unternehmen seine Systeme vom Netzwerk, um die Bedrohung zu stoppen.

Einige Monate danach kündigte der Versicherer an, dass seine Untersuchung abgeschlossen sei, wobei sich ergab, dass der Angreifer Informationen kopierte, bevor er die Ransomware einsetzte, diese jedoch schnell wiederhergestellt wurden und es „keinen Grund gibt zu vermuten, dass die Informationen missbraucht wurden oder werden.“

Das in Chicago ansässige Versicherungs-Holding-Unternehmen konsultierte ebenfalls die Regierung, darunter das FBI und das Office of Foreign Assets Control (OFAC), bezüglich des Angriffs. In einer Erklärung sagte es, „CNA hat alle Gesetze, Vorschriften und veröffentlichten Leitlinien, einschließlich der OFAC‑Ransomware‑Leitlinie von 2020, bei der Bearbeitung dieses Falls befolgt“, kommentierte jedoch das Lösegeld nicht.

Laut dieser Leitlinie könnte die Behörde zivilrechtliche Strafen gegen US-Personen verhängen, die Zahlungen an verbotene Einrichtungen leisten.

Die Untersuchung des Unternehmens ergab, dass eine Bedrohungsgruppe namens Phoenix den Phoenix Cryptolocker Ransomware einsetzte, um das Netzwerk anzugreifen. Zu diesem Zeitpunkt unterlag die Gruppe keinen US‑Sanktionen.

CNA ist ein Unternehmen mit einer Marktkapitalisierung von $13 billion, dessen Aktien zum Zeitpunkt der Erstellung bei $48.16 gehandelt werden, ein Rückgang von 0.43 % im Jahresverlauf (YTD), aber ein Anstieg von 32.27 % in den letzten zwei Jahren. Damit beträgt das Ergebnis je Aktie (EPS) der letzten zwölf Monate (TTM) 3.28, das Kurs‑Gewinn‑Verhältnis (P/E) (TTM) 14.67 und die Eigenkapitalrendite (ROE) (TTM) 8.98 %. CNA‑Aktionäre genießen zudem eine anständige Dividendenrendite von 3.82 %.

Die jüngsten Quartalszahlen zeigen einen Nettogewinn von $274 million und ein Kernergebnis von $281 million.

2. Caesars Entertainment

Das Casino‑Unterhaltungsunternehmen zahlte $15 million an ein Lösegeld an eine Cyberkriminelle Gruppe namens Scattered Spider, denselben Bedrohungsakteur, der das Computersystem von MGM nur wenige Tage nach Erhalt der Lösegeldzahlung von Caesars Entertainment (CZR ) lahmlegte. Die Angreifer forderten ebenfalls Lösegeld von MGM, zahlten jedoch nicht.

Im Fall von Caesars, wie in einer Meldung bei der US‑Börsenaufsicht SEC berichtet, forderten die Angreifer ein Lösegeld von $30 million, aber das Unternehmen stimmte zu, nur die Hälfte zu zahlen, die teilweise durch die Cyber‑Versicherungspolicen des Unternehmens gedeckt war. Das Unternehmen erwartete nicht, dass die Zahlung oder die Folgen eine wesentliche Auswirkung auf das Ergebnis haben würden.

Der Angriff erfolgte Mitte August 2023 und wurde von Scattered Spider, auch bekannt als UNC3944 oder Roasted 0ktapus, durchgeführt. Die Gruppe, bestehend aus jungen Hackern aus den USA und dem Vereinigten Königreich, die im Social Engineering versiert sind, wurde mit Angriffen auf andere Unternehmen, darunter Cloudflare, Twilio und Okta, in Verbindung gebracht.

Um Caesars anzugreifen, drangen die Hacker zunächst in einen externen IT‑Dienstleister ein. Dafür gaben sie sich als Caesars‑Mitarbeiter aus und überzeugten den Anbieter, Anmeldedaten für Okta, Caesars’ Anbieter für Zugriffsmanagement, bereitzustellen.

Damit erhielten die Cyberkriminellen unautorisierten Zugriff auf das Netzwerk des Hotel‑ und Casino‑Konzerns. Sie stahlen anschließend die Daten der Caesars‑Treueprogramm‑Mitglieder, darunter Führerscheine und Sozialversicherungsnummern, bevor sie die BlackCat/ALPHV‑Ransomware einsetzten. Das Unternehmen erklärte, es gebe keine Hinweise darauf, dass die Angreifer PINs, Passwörter, Bankkonten oder Zahlungsdaten erlangt hätten.

Reuters berichtete inzwischen, dass die Scattered Spider‑Hackergruppe sagte, dass sie sechs Terabyte Daten von den Systemen von Caesars und MGM entwendet hat.

„Wir haben Maßnahmen ergriffen, um sicherzustellen, dass die gestohlenen Daten vom unautorisierten Akteur gelöscht werden, obwohl wir dieses Ergebnis nicht garantieren können.“

– Caesars sagte in der Meldung

Obwohl das Unternehmen nicht preisgab, wie viele Kunden betroffen waren, listete die Meldung knapp unter 42.000 betroffene Personen auf. Zu diesem Zeitpunkt berichtete Bloomberg, dass Caesars das Lösegeld zahlte, nachdem die Bedrohungsgruppe es gehackt und damit gedroht hatte, Unternehmensdaten zu veröffentlichen.

Bis Ende September hatte das Unternehmen den Normalbetrieb wiederhergestellt. In der Folge sah sich Caesars jedoch finanziellen und reputationsbezogenen Schäden sowie mehreren Sammelklagen ausgesetzt, die das Unternehmen wegen Fahrlässigkeit und unrechtmäßiger Bereicherung beschuldigen, weil es die persönlichen Daten seiner Gäste nicht gesichert habe.

Mit einer Marktkapitalisierung von etwas über $6 billion, handeln die CZR‑Aktien derzeit bei $29.41, ein Rückgang von 12 % in diesem Jahr. Der Kurs liegt zudem weit entfernt vom Höchststand von etwa $119 im Jahr 2021. Das EPS (TTM) beträgt -1.10, und das P/E (TTM) ist -26.80.

Was die Finanzkennzahlen betrifft, beliefen sich die GAAP‑Nettoumsätze für Q1 2025 auf $2.8 billion und das bereinigte EBITDA wuchs um 4 % YoY auf $43 million „driven by significant gains“ im Digital‑Segment.

3. Blackbaud Inc.

Im Jahr 2020 infiltrierten Cyberkriminelle die Server von Blackbaud, einem Unternehmen, das Software für gemeinnützige Organisationen und Bildungseinrichtungen bereitstellt, und kompromittierten die Daten von mehr als 13,000 organizations. Das in South Carolina ansässige Unternehmen zahlte ein Lösegeld von $235,000 in BTC an die Hacker mit dem Versprechen, persönliche Kundendaten zu löschen.

Der Cyberangriff ereignete sich im Februar desselben Jahres, wurde jedoch erst einige Monate später im Mai entdeckt. Zu diesem Zeitpunkt hatten die betroffenen Organisationen bereits mit den durch die COVID‑19‑Pandemie verursachten Störungen zu kämpfen.

Die Cyberkriminellen zielten auf die Server von Blackbaud ab, um Zugriff auf das System des Unternehmens zu erhalten. Da Blackbaud den Verstoß nicht bemerkte, konnten die Angreifer monatelang unentdeckt agieren, wobei sie Datensätze verschlüsselten und einen Teil davon exfiltrierten.

Als der Anbieter von Customer Relationship Management (CRM)-Diensten schließlich entdeckte, dass er gehackt worden war – was geschah, während Blackbaud routinemäßige Sicherheitsprüfungen durchführte – setzte er Maßnahmen zur Verhinderung weiterer Schäden um.

Im Juli gab das Unternehmen öffentlich bekannt, dass es Opfer eines Ransomware-Angriffs geworden sei. Blackbaud kündigte an, dass Bildungs- und Drittsektor‑Organisationen möglicherweise ihre Daten kompromittiert haben, was natürlich Schockwellen durch die betroffenen Gemeinschaften schickte und Bedenken hinsichtlich der Sicherheit sensibler Spenderinformationen aufwarf.

Das Unternehmen verhinderte, dass die Kriminellen die Dateien vollständig verschlüsselten und den Systemzugriff blockierten, jedoch hatten sie bereits eine Sicherungsdatei mit persönlichen Informationen entfernt.

Blackbaud versicherte, dass Bankkonto- oder Kreditkartendaten nicht betroffen seien, jedoch seien viele Informationen wie Namen, Adressen, Kontaktdaten, Sozialversicherungsnummern und geschätztes Vermögen tatsächlich Teil des Datenverstoßes.

Das Unternehmen gab zudem zu, ein Lösegeld gezahlt zu haben, um die Daten wiederzuerlangen und die Interessen seiner Kunden zu schützen.

Nach dem Angriff leitete die Federal Trade Commission (FTC) eine Untersuchung ein und vermutete, dass sie durch „Blackbauds mangelhafte Sicherheits- und Datenaufbewahrungspraktiken“ verursacht wurde.

Laut der FTC‑Beschwerde hat das Unternehmen die grundlegendsten Sicherheitspraktiken nicht umgesetzt, Blackbauds eigene Richtlinien zur Datenaufbewahrung nicht befolgt und Kunden erlaubt, kritische Daten wie Bankkonten in unverschlüsselten Feldern zu speichern. Die Behörde behauptete zudem, dass Blackbaud das Ausmaß und die Schwere des Vorfalls erheblich falsch dargestellt habe.

Im Jahr 2024 erreichten die FTC und Blackbaud eine Einigung, die keine Geldstrafe vorsah, sondern das Unternehmen verpflichtete, nicht mehr benötigte Daten zu löschen, ein umfassendes Informationssicherheitsprogramm zu entwickeln und die FTC im Falle eines zukünftigen Datenverstoßes zu benachrichtigen.

Die Einigung von Blackbaud mit der SEC beinhaltete jedoch eine Geldstrafe von $3 million für die Bereitstellung irreführender Informationen über den Verstoß. Das Unternehmen einigte sich außerdem auf $49.5 million mit 50 Generalstaatsanwälten der Bundesstaaten wegen HIPAA-Verstößen.

Bezüglich der Marktentwicklung von Blackbaud werden die Aktien derzeit bei $63.76 gehandelt, ein Rückgang von 13.74% YTD, was die Marktkapitalisierung auf $3 billion setzt. Damit beträgt das EPS (TTM) -5.83 und das P/E (TTM) -10.94.

Im Q1 2025 erzielte das Unternehmen ein organisches Umsatzwachstum von 5.8 % und verzeichnete $271 million Umsatz. Blackbaud investiert zudem stark in Innovationen, insbesondere in KI, um die interne Produktivität und die Kundenabläufe zu steigern.

4. UnitedHealth Group

Der Gesundheitsversicherungsriese UnitedHealth Group Incorporated (UNH ) hat in den letzten eineinhalb Jahren eine schwierige Phase durchgemacht. Alles begann im Februar 2024, als seine Tochtergesellschaft Change Healthcare einem Cyberangriff zum Opfer fiel. 

UnitedHealth Group operiert über zwei Segmente: UnitedHealthcare, das sich auf Krankenversicherung konzentriert, und Optum, das Technologie‑Dienstleistungen, direkte Gesundheitsdienste und Apotheken‑Pflegedienste über Optum Insight, Optum Health und Optum Rx anbietet.

Im Jahr 2022 erwarb UnitedHealth Group die Change Healthcare Plattform und integrierte sie in Optum Insight. Das Unternehmen verarbeitet jährlich bis zu 15 billion medical claims, was etwa 40 % aller claims entspricht, sodass man sich die mögliche Störung durch einen Angriff auf Change Healthcare vorstellen kann.

Im Februar infizierte Ransomware die Systeme von Change Healthcare, machte sie unzugänglich und richtete im US‑Gesundheitssystem Chaos an. Erst mehrere Monate später, im November, konnte das Unternehmen den Vollbetrieb wieder aufnehmen.

Was genau geschah, erklärte der damalige CEO Andrew Witty dem Kongress: Der Angriff begann am 12. Februar. Die Angreifer nutzten kompromittierte Anmeldedaten, um Zugriff auf das Change Healthcare Citrix‑Portal zu erhalten, das für Remote‑Desktop‑Verbindungen genutzt wurde und keine Zwei‑Faktor‑Authentifizierung hatte. Ein kleiner Fehler, der UNH Milliarden kosten würde.

Von dort aus begannen die Angreifer, Daten zu sammeln und setzten einige Tage später Ransomware ein, wodurch die Systeme des Unternehmens verschlüsselt wurden. Als Reaktion trennte UnitedHealth die Rechenzentren von Change Healthcare vom Netzwerk, um die Ausbreitung des Ransomware-Angriffs auf andere Systeme und externe Stellen zu verhindern.

Die Angreifer, die BlackCat/ALPHV‑Cybercrime‑Gang, übernahmen die Verantwortung und behaupteten, 6 TB vertraulicher Daten exfiltriert zu haben. Zu den gestohlenen Daten gehörten medizinische Unterlagen, persönliche Informationen und Finanzdokumente. UnitedHealth Group bestätigte öffentlich, dass etwa 190,000,000 individuals von diesem Verstoß betroffen waren.

Im März 2024 zahlte das Unternehmen ein Lösegeld von $22 million, doch die BlackCat‑Ransomware‑Gruppe habe dem Affiliate, das den Angriff durchgeführt habe, angeblich nicht bezahlt, das dann mit einer anderen Ransomware‑Gruppe, RansomHub, zusammenarbeitete, die versuchte, UnitedHealth weiter zu erpressen. Es ist noch nicht bekannt, ob UnitedHealth auch ein zweites Mal gezahlt hat.

Der Vorfall, wie von UnitedHealth Group im Januar 2025 berichtet, führte zu einem gesamten Jahresverlust von $3.09 billion.

Während das Unternehmen weiterhin mit den Folgen des größten Cyberangriffs in der Geschichte des Gesundheitswesens zu kämpfen hat, spürten die Aktien nicht wirklich die volle Wucht, da die UNH‑Aktie im November 2024 ein Allzeithoch von $625 pro share erreichte und eine Marktkapitalisierung von $575 billion hatte.

Doch nun, sechs Monate später, bricht alles zusammen. Der Aktienkurs von UnitedHealth, das eine Marktkapitalisierung von $292 billion hat, ist im Jahresverlauf um 36.43% YTD gefallen. Er wird derzeit bei $321.58 gehandelt, ein Rückgang von 49% gegenüber seinem ATH.

Neben dem stärker als erwarteten Schaden durch den Cyberangriff muss das Unternehmen mit Führungsverlusten kämpfen, da der CEO von UnitedHealthcare, Brian Thompson, am Investorentag in New York City getötet wurde, das Unternehmen seine Gewinne verfehlte und das Justizministerium eine strafrechtliche Untersuchung der Medicare‑Advantage‑Praxis von UHG verfolgt.

Betrachtet man nun die Rentabilität und Effizienz des Unternehmens, so liegt das EPS (TTM) bei 23.89, das P/E (TTM) bei 13.46 und das ROE (TTM) bei 24.33%, während die Dividendenrendite 2.61% beträgt. Für Q1 2025 stiegen die Einnahmen auf $109.6 billion und der operative Cash‑Flow betrug $5.5 billion.

5. AT&T

Der weltweit führende Anbieter von Telekommunikations‑ und Technologiedienstleistungen erlitt 2024 zwei große Datenverstöße.

Der erste Vorfall ereignete sich im März und betraf zwischen 50 und 70 Millionen seiner aktuellen und ehemaligen Kunden. Die Berichte, dass die Daten des Unternehmens im Dark Web kursierten, erschienen Mitte März, und AT&T (T ) brauchte ein paar Wochen, um zu bestätigen, dass die Informationen tatsächlich zu seinen Kunden gehören.

Zu den kompromittierten Informationen gehörten voller Name, Geburtsdatum, E‑Mail, Telefonnummer, Postanschrift, Sozialversicherungsnummer sowie AT&T‑Kontonummer und Passcode. Das Unternehmen sagte den betroffenen Personen Folgendes:

„Soweit wir wissen, waren persönliche Finanzinformationen und Anrufhistorien nicht enthalten.“ 

Man geht davon aus, dass die Daten bereits seit einigen Jahren online kursieren, doch die Herkunft ist unbekannt, und AT&T bestreitet, dass sie aus den eigenen Systemen stammen.

Dann, im April, wurde es Opfer eines Verstoßes, der fast alle Festnetz-, Mobil‑ und Funknetz‑Kunden kompromittierte. Einige Monate später, im Juli, gab AT&T den Verstoß öffentlich bekannt.

Dieser Verstoß wurde mit einem amerikanischen Hacker, einem Mitglied der ShinyHunters‑Gruppe, in Verbindung gebracht, der ein Lösegeld von $1 million forderte, aber sich auf deutlich weniger einließ. Das Unternehmen zahlte im Mai ein Lösegeld von $370,000 in Bitcoin, um ein Datenleck zu verhindern. Der Angreifer stellte dem Unternehmen ein Video zur Verfügung, das den Nachweis der Datenlöschung zeigte.

Bei diesem Angriff wurden die Aufzeichnungen von Kundenanrufen und Textinteraktionen vom 2. Januar 2023 sowie vom 1. Mai 2022 bis zum 31. Oktober 2022 exfiltriert. Dieses Mal stammten die Daten aus dem „Workspace“ des Unternehmens auf einer Cloud‑Plattform eines Drittanbieters. 

Obwohl der eigentliche Inhalt nicht betroffen war, können die kompromittierten Aufzeichnungen andere Telefonnummern identifizieren, mit denen betroffene Kunden interagierten, erklärte das Unternehmen. AT&T informierte etwa 110 Millionen Kunden über den Vorfall. 

Zum Zeitpunkt dieser Erstellung werden die Aktien des Unternehmens mit einer Marktkapitalisierung von $200 billion bei $27.78 gehandelt, ein Anstieg von 22% YTD. Das EPS (TTM) beträgt 1.63, das P/E (TTM) 17.04 und das ROE (TTM) 11.28%. Die angebotene Dividendenrendite liegt bei attraktiven 4%.

Finanziell betrug der Umsatz im Q1 2025 $30.6 billion, der Nettogewinn $4.7 billion und der freie Cash‑Flow $3.1 billion.

Wie wir gesehen haben, treffen Ransomware‑Angriffe Unternehmen aus allen Branchen. Und obwohl das Zahlen des Lösegelds das Unternehmen und seine Kunden schützen kann, ist das nicht immer der Fall. Es birgt das Risiko, kriminelles Verhalten zu fördern, ganz zu schweigen von den finanziellen und reputationsbezogenen Schäden für das Unternehmen.

Was Unternehmen tun müssen, ist, proaktive Sicherheitsmaßnahmen zu ergreifen, um Verstöße von vornherein zu verhindern. Dazu gehören regelmäßige Sicherheitsbewertungen, kontinuierliche Überwachung potenzieller Bedrohungen, aktuelle Systemupdates, Datensicherungen und deren Schutz, robuste Datenverschlüsselung, angemessene Mitarbeiterschulungen und die Aufrechterhaltung einer effektiven Bereitschaft für die Vorfallreaktion.

Letztendlich ist die wahre Verteidigung gegen Ransomware keine Verhandlung, sondern Vorbereitung, also investieren Sie besser noch heute in Cyber‑Sicherheits‑Resilienz!

Klicken Sie hier für eine Liste der besten Cybersecurity-Aktien.