---
name: fachanwalt-versicherungsrecht-cyber-loesegeld-sanktionsrecht
description: "Cyber-Versicherung bei Ransomware mit Sanktions-Risiko OFAC EU-VO 833/2014 VO 269/2014 Russland-Sanktionen. Deckungs-Abwehr Versicherer bei Loesegeld-Zahlung. § 261 StGB Geldwaesche. OFAC-Advisory Anti-Money-Laundering. BaFin-Aufsicht. § 16 OWiG Sanktionsbruch. Workflow Schadensanalyse Sanktions-Pruefung Versicherungsanspruch."
---

# Cyber-Lösegeld bei Ransomware mit Sanktions-Risiko

## Zweck

Spezial-Mandat: Mandant hat Cyber-Versicherung, wurde Opfer Ransomware-Angriff. Lösegeld-Zahlung wird erwogen oder bereits geleistet. Versicherer verweigert Deckung mit Verweis auf Sanktions-Risiko (OFAC Specially Designated Nationals List, EU-Russland-Sanktionen, Lazarus Group Nordkorea). Anwaltliche Deckungs-Klage.

## Eingaben

- Versicherungsvertrag Cyber-Police (GDV-Bedingungen + Individualklauseln)
- Identität / Indizien zum Erpresser (typisch Crypto-Wallet, Tor-Adresse)
- Bisheriger Verlauf (Verhandlung, Probe-Entschlüsselung, Forderung)
- Sanktions-Screening durchgeführt? (Chainalysis Sanctions Screening, OFAC SDN)
- Versicherer-Abwehrschreiben
- Datum der Zahlung (falls bereits erfolgt)

## Rechtlicher Rahmen

### Sanktionsrecht

- **VO (EU) 833/2014** Russland-Wirtschaftssanktionen (mit zahlreichen Erweiterungen 2022-2025)
- **VO (EU) 269/2014** Russland-Personensanktionen (Vermögenseinfrierungen)
- **OFAC SDN List** USA (50 % Rule für indirekte Sanktionierte)
- **§§ 17, 18 AWG** Embargo-Verordnung Verstoß (Freiheitsstrafe bis 10 Jahre)
- **§ 81 AWV** Buß-/Strafvorschriften
- **OFAC Advisory** vom 1.10.2020 und 21.9.2021 zu Ransomware-Zahlungen

### Versicherungsrecht

- **VVG § 81** — Herbeiführung Versicherungsfall (Versicherte-Eigenverschulden)
- **VVG § 28** — Obliegenheitsverletzung
- **Sanctions Limitation Clauses** in Cyber-Policen (Standard-Wording)
- **GDV-Cyber-AVB**

### Strafrecht

- **§ 261 StGB** — Geldwäsche (auch Vorfeld-Zahlungen, wenn herkunfts-strittig)
- **§ 89c StGB** — Terrorismus-Finanzierung (bei Lazarus Group / Hamas etc.)

### Leitentscheidungen

- LG Bonn, Urt. v. 14.6.2024 — 22 O 51/23 (Cyber-Deckung bei Lösegeld; Sanktions-Klausel-Wirksamkeit)
- OLG Düsseldorf, Urt. v. 22.11.2023 — I-4 U 80/22 (Versicherungsfall Ransomware)
- US Federal Court (Travelers Ins. v. Universal Health Services 2023) — Sanctions Exclusion

## Konstellationen

### A — Erpresser auf OFAC SDN-Liste (z. B. Lazarus Group, Conti-Nachfolger)

- **OFAC**: Lösegeld-Zahlung **strikt verboten** (Direct + Indirect)
- **OFAC Advisory 2021**: Lösegeld-Zahlung kann eigene Sanktions-Verletzung sein
- US-Sanktionen wirken auch auf nicht-US-Unternehmen mit US-Geschäftsbezug
- Strafrechtliche Folge USA: bis 1 Mio. USD Buße + Haft
- Strafrechtliche Folge DE: § 18 AWG Verstoß bis 10 Jahre Haft

### B — Erpresser nicht direkt sanktioniert (kein klarer SDN-Match)

- Sanktions-Klausel der Versicherung greift dennoch oft restriktiv
- Compliance: Sorgfaltspflichten zur Identifikation des Empfängers
- Chainalysis Reactor-Analyse vor Zahlung
- Bei nicht-sanktionierter Adresse: Versicherer-Deckung möglich

### C — Erpresser möglicherweise sanktioniert (Grauzone)

- Cyber-Versicherer fordert Compliance-Memo
- Bei Zweifel: Zahlung untersagt
- BSI-Empfehlung: keine Zahlung
- Alternative: Daten-Wiederherstellung aus Backup

## Workflow

### Phase 1 — Sofortmaßnahmen nach Angriff

- BSI-Meldung (KRITIS) / Polizei-LKA Cybercrime
- Versicherer-Anzeige binnen 24-48 Stunden
- Forensik-Beauftragung
- Backup-Prüfung (vorrangig vor Lösegeld)

### Phase 2 — Sanktions-Screening vor Zahlung

- Wallet-Adresse forensisch zurückverfolgen (Chainalysis, Elliptic)
- OFAC SDN-Match-Check
- EU-Sanktionslisten (VO 269/2014, VO 833/2014)
- UN-Sanktionsliste
- **Wenn Match**: Zahlung **darf nicht erfolgen** (Strafbarkeit)
- **Memo** für Akten und Versicherer

### Phase 3 — Versicherer-Verhandlung

- Schadensanzeige mit Forensik-Bericht
- Versicherer prüft Sanktions-Klausel + Verschulden § 81 VVG
- Bei Deckungs-Abwehr: schriftliche Begründung verlangen

### Phase 4 — Deckungs-Klage

- LG-Sitz Versicherer
- Klage auf Versicherungsleistung
- Argumentation: Sanktions-Klausel zu weit / unverständlich / unwirksam (§ 305c BGB / Transparenz)
- Bei abgelehnter Klausel: AVB-Auslegung

### Phase 5 — Bei Sanktions-Verstoß-Verdacht

- Strafverteidigung parallel zur Deckungs-Klage
- Selbstanzeige bei Lieferchain-Versehen prüfen (§ 22 OWiG)
- BAFA-Kommunikation

## Risiken und Red Flags

| Konstellation | Rot | Orange | Grün |
|---|---|---|---|
| Zahlung an SDN-Wallet | § 18 AWG-Verstoß + Versicherungs-Ausschluss | Pre-Zahlungs-Klärung | klare Compliance-Kette |
| Versicherer-Sanktions-Klausel undurchsichtig | § 305c BGB-Unwirksamkeit prüfen | Klärung läuft | klar formuliert |
| OFAC-Verstoß durch DE-Mandant | US-Sanktionen mit Extraterritorialität | klare US-Geschäftsabsicht-Check | kein US-Bezug |
| Daten-Backup nicht versucht | Versicherer rügt Obliegenheitsverletzung | Backup-Versuch dokumentiert | Backup geprüft |

## Querverweise

- `fachanwalt-versicherungsrecht-orientierung` — Triage
- `fachanwalt-versicherungsrecht-do-deckungsabwehr` — D&O-Variante
- `fachanwalt-it-recht-cyber-vorfall-sofortmassnahmen` — Sofortmaßnahmen
- `aussenwirtschaft-zoll-sanktionen` — Sanktions-Compliance
- `fachanwalt-strafrecht-orientierung` — Strafverteidigung

## Quellen und Updates

Stand: 05/2026. OFAC Advisory 2021. EU-VO 833/2014, 269/2014 mit laufenden Erweiterungen. LG Bonn 22 O 51/23. Bei OFAC-Listen-Update / EU-Sanktionsrunde aktualisieren.