Ransomware: Colonial Pipeline äußert sich zu Lösegeldzahlung

Colonial Pipeline hat 4,4 Millionen US-Dollar an Erpresser gezahlt, obwohl Behörden von Lösegeldzahlungen abraten. Der Pipeline-Betreiber äußert sich nun zu den Gründen.

Artikel veröffentlicht am 20. Mai 2021, 10:55 Uhr, Anna Biselli

Nach dem Ransomware-Befall war an den Tankstellen teils kein Benzin mehr verfügbar. (Bild: Ph B/unsplash.com)

Der CEO von Colonial Pipeline, Joseph Blount, hat dem Wall Street Journal bestätigt, dass das Unternehmen Lösegeld in Höhe von 4,4 Millionen US-Dollar in Bitcoin an Erpresser gezahlt hat. Man sei nicht sicher gewesen, wie stark die Systeme befallen gewesen seien und wie lange es dauern würde, die Pipeline wieder zum Laufen zu bringen, sagte Blount. Deshalb sei die Zahlung im Interesse des Landes richtig gewesen.

Am 7. Mai hatte das Unternehmen seine Pipeline-Systeme abgeschaltet. In der Folge kam es zu Kraftstoff-Engpässen in den USA. Die Wiederherstellung der Systeme erfolgte trotz der Lösegeld-Zahlung offenbar vor allem durch Colonial Pipelines eigene Backups, das Tool der Erpresser soll zu langsam gewesen sein. Mit einer Zahlung könnte Colonial Pipeline jedoch auch eine Veröffentlichung von abgegriffenen Daten verhindert haben.

Blount sagte, er habe die kontroverse Entscheidung nicht leichtfertig getroffen. "Ich gebe zu, dass ich mich dabei nicht wohlgefühlt habe, wenn ich gesehen habe, wie das Geld für solche Leute rausgeht", erklärte der Chef des Unternehmens. In der Regel raten Behörden von Lösegeldzahlungen an die Erpresser ab, damit deren Geschäftsmodell nicht weiter ermutigt wird. So entschied sich beispielsweise Irland bisher, im aktuellen Ransomware-Befall seiner Gesundheits-IT den Forderungen nicht nachzugeben.

Der Fall von Colonial Pipeline hatte dazu geführt, dass die Erpresser der sogenannten Darkside-Gruppe sich für die sozialen Folgen des Angriffs entschuldigten. Sie hätten Geld verdienen und keine gesellschaftlichen Probleme auslösen wollen, schrieben die Erpresser, nachdem es etwa zu Benzin-Hamsterkäufen an Tankstellen kam. Was die tatsächliche Motivation hinter der Entschuldigung war, ist schwer abzuschätzen.

Etwa eine Woche nach dem bekanntgewordenen Angriff gab mutmaßlich Darkside selbst bekannt, dass die Gruppe Zugriff auf ihre erbeuteten Bitcoins und ihre Blog-Infrastruktur verloren habe. Aufgrund des Drucks aus den USA werde die Gruppe ihre Operationen einstellen. Ob das tatsächlich der Fall ist oder ob die Gruppe künftig unter anderem Namen wiederkehren könnte, bleibt abzuwarten.

Nach Analysen der Blockchain-Forensik-Firma Elliptic soll Darkside seit Oktober vergangenen Jahres über 90 Millionen US-Dollar in Bitcoin eingenommen haben. Diese Zahlungen würden zwischen dem Ransomware-Entwickler und Partnern geteilt, die für die Infektion der Systeme zuständig sind. An den Entwickler gingen je nach Höhe der Geldzahlung zwischen 10 und 25 Prozent des erpressten Geldes.