Ransomware-Opfer in Deutschland: 2025 gab es 58 Prozent mehr Angriffe

Die Zahlen sind nicht mehr nur Warnsignale — sie sind ein Alarm. Laut dem State of Ransomware Report 2025 von Sophos wurden weltweit 7.635 Ransomware-Opfer öffentlich dokumentiert. Ein Plus von 58 Prozent gegenüber dem Vorjahr, als es noch 4.837 Fälle gab. Deutschland bleibt dabei ein bevorzugtes Ziel: Mehr als 130 deutsche Unternehmen wurden im vergangenen Jahr als Opfer Namedroppt. Die tatsächliche Dunkelziffer liegt erheblich höher — und die Angriffsmethoden werden mit jedem Monat raffinierter. Für viele Unternehmen kam der Angriff aus heiterem Himmel. Dabei zeigt sich hinterher fast immer: Schwachstellen gab es genug. Nur hat sie vor dem Ernstfall niemand ernsthaft behoben, weil es gerade vermeintlich wichtigere Themen gab. Oder weil das Sicherheitsbudget schon wieder gestrichen wurde.

SafePay führt das Ranking der Ransomware-Gruppen an

Die aktive Gruppe SafePay hat sich im deutschsprachigen Raum zur aktivsten Bedrohung entwickelt. Mindestens 77 deutsche Unternehmen wurden 2025 als Opfer dieser Gruppe öffentlich gemacht. SafePay betreibt ein sogenanntes Ransomware-as-a-Service-Modell — RaaS in der Kurzform. Die Infrastruktur wird an Affiliate-Partner vermietet, die dann unter dem Markennamen der Gruppe selbst Angriffe fahren. Das senkt die Einstiegshürde für angehende Cyberkriminelle erheblich. Ohne tiefgehende IT-Kenntnisse kann heute jeder, der über Bitcoin verfügt, einen Ransomware-Angriff starten. Die Werkzeuge dafür werden im Darknet wie kommerzieller SaaS angeboten — mit Support-Hotline, Updates und einem funktionierenden Kundenservice. Ein Geschäftsmodell, das sich skalieren lässt. Die Ransomware-Industrie ist längst ein vollwertiger Wirtschaftszweig mit eigenen SLAs und Affiliate-Programmen, die an Multi-Level-Marketing erinnern.

Auf den Plätzen folgen Qilin mit 29 dokumentierten Opfern und Akira mit 28 Opfern aus Deutschland. Beide Gruppen operieren nach dem Modell der doppelten Erpressung: Neben der Verschlüsselung von Daten wird gleichzeitig damit gedroht, gestohlene Informationen zu veröffentlichen. Betroffene stehen damit unter einem zweifachen Druck — selbst dann, wenn sie über funktionierende Backups verfügen. Denn ein Backup schützt nun einmal nicht vor Datenexfiltration. Die Erpresser haben die Daten längst, bevor die Verschlüsselung überhaupt beginnt. Das macht dieBackup-Strategie allein zur Farce. Die Lösegeldforderungen liegen inzwischen bei durchschnittlich mehreren Hunderttausend Euro — und die Verhandlungen laufen oft über Wochen, weil Versicherungen und Anwälte sich einmischen und die Zeit drängt.

Doppelte Erpressung: Wenn Daten nicht nur verschlüsselt, sondern auch gestohlen werden

Das Prinzip der doppelten Erpressung hat sich 2025 endgültig als Industriestandard unter Ransomware-Gruppen etabliert. Die Angreifer kopieren vor der Verschlüsselung sämtliche Daten, auf die sie Zugriff erlangen — manchmal über Wochen unbemerkt. Sie bewegen sich ruhig durch die Netze des Opfers, sammeln Informationen und setzen dann die Verschlüsselung als Druckmittel ein, um die Lösegeldzahlung zu erzwingen. Die Opfer erleben also einen Zweiklang aus Schock und Ohnmacht: Plötzlich sind die Systeme weg — und gleichzeitig wissen die Angreifer genau, was sie haben und wie viel es wert ist.

Unternehmen, die sich weigern zu zahlen, landen auf sogenannten Leak-Seiten. Dort werden vertrauliche Dokumente, Kundendaten oder interne Kommunikation öffentlich gemacht. Für ein Unternehmen kann das existenzbedrohend sein — allein der Reputationsschaden durch veröffentlichte interne E-Mails übersteigt oft den finanziellen Schaden der Lösegeldzahlung. Die §§ 303, 303a, 202a StGB bieten zwar einen formalen Strafrahmen — doch die strafrechtliche Verfolgung gestaltet sich bei grenzüberschreitenden Attacken äußerst schwierig. Viele Täter sitzen in Ländern, mit denen Deutschland kein Auslieferungsabkommen hat. Die Ermittler stehen oft vor verschlossenen Türen, während die Opfer unter dem Druck der Veröffentlichung stehen.

Für Unternehmen bedeutet das: Die bloße Existenz von Backups reicht nicht mehr aus. Ein vollständiger Schutz vor Datenexfiltration muss dazukommen — also Zugriffskontrollen, Netzwerksegmentierung und die Überwachung von auffälligen Datentransfers. Ein Backup-Konzept, das nicht auch die Exfiltration von Daten verhindert, ist heute nur noch die halbe Miete. Und die andere Hälfte ist der Ernstfall, auf den niemand vorbereitet sein will. Wer seine Sicherheitsstrategie nur auf Reaktivität aufbaut, wird früher oder später lernen, wie teuer Prävention wirklich ist — meistens durch einen Schaden, der größer ist als jedes Präventionsbudget.

Lieferkettenangriffe: Wenn der Angriff beim Zulieferer beginnt

Besonders besorgniserregend ist die Zunahme von Angriffen auf Lieferketten. Die Anzahl solcher Vorfälle hat sich 2025 nahezu verdoppelt: von 154 im Jahr 2024 auf 297 Vorfälle. Betroffen waren vor allem Unternehmen aus der Fertigungsindustrie, der Logistikbranche und dem Gesundheitswesen. Die Dunkelziffer ist auch hier erheblich — viele Angriffe werden nicht öffentlich gemacht, weil die Betroffenen keine Lust auf Schlagzeilen haben und weil interne Vorfälle ungern zugegeben werden.

Die Strategie dahinter ist so simpel wie effektiv. Statt ein großes Unternehmen direkt anzugreifen, infiltrieren Angreifer einen kleineren Zulieferer und nutzen dessen Zugangsdaten oder Systemzugriff, um das eigentliche Ziel zu erreichen. Der kleine Partner als Hintertür zum großen Auftraggeber. Das IT-Sicherheitsbudget des kleinen Zulieferers ist halt meist ein Bruchteil von dem des Großkunden — und genau da setzen die Angreifer an. Für mittelständische Unternehmen, die oft als Zulieferer für größere Konzerne fungieren, bedeutet das eine besondere Gefährdung. Ein erfolgreicher Angriff auf einen kleinen Betrieb kann automatisch einen Angriff auf dessen Kunden nach sich ziehen — und die Kettenreaktion ist dann kaum noch aufzuhalten, weil die Abhängigkeiten in modernen Lieferketten so komplex sind.

Supply Chain Security ist deshalb zu einem zentralen Thema in der Unternehmenssicherheit geworden. Unternehmen sollten nicht nur ihre eigenen Systeme absichern, sondern auch die ihrer Zulieferer — zumindest deren Zugangspunkte zu eigenen Netzwerken. Eine Zwei-Faktor-Authentifizierung auch für Partnerzugänge und ein Monitoring verdächtiger Aktivitäten über Schnittstellen hinweg sollten Standard sein. Wer als Zulieferer den Zugang zu seinem System verteilt wie Visitenkarten, wird früher oder später zum Einfallstor — ob er will oder nicht. Die Sicherheit der Lieferkette ist nur so stark wie ihr schwächstes Glied. Und das ist selten der große Konzern mit seinem Security-Team, sondern der kleine Zulieferer, der gerade mal einen IT-Angestellten hat.

Jedes vierte KMU wurde trotz Schutzmaßnahmen gehackt

Kleine und mittlere Unternehmen gelten als bevorzugte Ziele von Ransomware-Gruppen. Die Annahme, dass kleinere Betriebe aufgrund ihrer geringeren Sichtbarkeit weniger gefährdet seien, ist ein gefährlicher Irrtum. Laut einer Studie von Sophos wurde jedes vierte KMU in Deutschland im vergangenen Jahr Opfer eines Ransomware-Angriffs — trotz bestehender Schutzmaßnahmen. Das ist kein kleines Risiko mehr, sondern ein Massenphänomen, das vor keiner Branche haltmacht.

Die Gründe dafür sind vielfältig. Häufig fehlen spezialisierte IT-Sicherheitsexperten. Budgets für moderne Security-Lösungen sind begrenzt. Die Awareness bei Mitarbeitenden bleibt hinter dem zurück, was große Konzerne umsetzen können. Gleichzeitig nutzen Ransomware-Gruppen zunehmend automatisierte Angriffstools, die keine Rücksicht auf die Unternehmensgröße nehmen. Ein automatisierter Phishing-Angriff kann tausende Unternehmen gleichzeitig treffen — ob groß oder klein. Der individuelle Targeting-Aufwand ist gering, der potenzielle Ertrag hoch. Das macht KMU zu lohnenden Zielen, obwohl die einzelnen Lösegeldforderungen meist niedriger ausfallen als bei Großunternehmen — aber die Schäden sind für das einzelne KMU trotzdem existenzbedrohend.

Was viele KMU unterschätzen: Die eigene Website oder der eigene Online-Shop kann zum Einfallstor werden. Eine veraltete WordPress-Installation, ein ungepatchtes Plugin oder ein schwaches Passwort reichen manchmal aus, um Zugriff auf das gesamte Unternehmensnetzwerk zu erhalten. Ransomware-Gruppen scannen automatisiert das Internet nach verwundbaren Systemen — und finden sie auch. Wer heute noch kein Monitoring für seine öffentlich erreichbaren Dienste hat, sollte das schleunigst nachholen. Denn verwundbar ist nicht gleich sichtbar — aber gesehen wird man trotzdem. Es reicht eine einzige offene Tür, und die Einbrecher sind drin, bevor jemand etwas merkt. Und dann ist es zu spät.

Instant Payments und APP-Fraud: Neue Betrugsmaschen neben Ransomware

Neben der klassischen Ransomware-Problematik rücken zunehmend auch Betrugsmaschen bei Instant Payments in den Fokus. APP Fraud — das Kürzel steht für Authorised Push Payment Fraud — bezeichnet den Missbrauch von Echtzeit-Überweisungen, bei dem Betrüger ahnungslose Opfer dazu bringen, selbst Geld auf betrügerische Konten zu überweisen. Die Möglichkeit, Überweisungen in Sekundenbruchteilen auszuführen, macht das Zurückholen von Geldern nahezu unmöglich. Innerhalb weniger Sekunden ist das Geld weg — und die Banken stehen vor der Frage, ob sie haften. Eine Frage, die in der Praxis selten zugunsten des Opfers beantwortet wird, weil die Überweisung ja autorisiert war — nur eben vom Kunden auf Betreiben der Betrüger.

Die Verified Push Payment — kurz VoP — Verfahren wurden als Reaktion darauf entwickelt. Sie sehen vor, dass Zahlungsempfänger vor der Ausführung einer Überweisung verifiziert werden — etwa durch eine Bestätigung über einen zweiten Kanal. In der Praxis ist die Verbreitung jedoch noch gering — auch weil Banken und Zahlungsdienstleister unterschiedliche technische Standards pflegen und das Verfahren bislang freiwillig ist. Bis VoP flächendeckend ankommt, wird es noch dauern. Und bis dahin wird weiter betrogen, weil die Technologie schneller ist als die Regulierung, und die Regulierung schneller als die Praxis in den Banken.

Parallel dazu gewinnen KI-gestützte Betrugserkennungssysteme an Bedeutung, die verdächtige Transaktionen in Echtzeit identifizieren und blockieren können. Diese Systeme analysieren das Zahlungsverhalten und melden Abweichungen, bevor ein Schaden entsteht. Sie erkennen Muster, die menschliche Prüfer übersehen würden — etwa ungewöhnliche Überweisungszeiten, abweichende Beträge oder verdächtige Empfängerkonten. Für Unternehmen, die regelmäßig Überweisungen tätigen, ist die Integration solcher Systeme längst keine Option mehr — sondern eine betriebswirtschaftliche Notwendigkeit, die sich meist schneller rechnet als der Schaden, den ein einziger erfolgreicher Betrugsfall anrichtet. Wenn jemand eine fünfstellige Summe ins Ausland überweist und die Betrugserkennung das nicht frühzeitig meldet, steht am Ende vielleicht die ganze Buchhaltung auf dem Spiel.

Desinformation im Netz: Mehr als 100 deutschsprachige Fake-Websites dokumentiert

Ein oft übersehener Aspekt der Cyberbedrohungslandschaft ist die Verbreitung von Desinformation. Sicherheitsexperten haben mehr als 100 deutschsprachige Fake-Websites dokumentiert, die derzeit aktiv betrieben werden. Diese Seiten verbreiten gefälschte Nachrichten, manipulierte Unternehmensinformationen oder täuschend echte Kopien legitimer Dienste — von Fake-Shops bis zu gefälschten Nachrichtenseiten. Manche sehen so gut gemacht aus, dass selbst versierte Nutzer erst beim zweiten Hinsehen merken, dass etwas nicht stimmt. Die Qualität der Fälschungen hat in den letzten Jahren dramatisch zugenommen — auch weil KI-Tools die Erstellung erleichtern.

Ziel solcher Kampagnen ist es häufig, Zugangsdaten für Unternehmenssysteme zu sammeln oder Mitarbeitende dazu zu verleiten, schädliche Anhänge zu öffnen. Für Unternehmen bedeutet das: Die Bedrohung beginnt nicht immer mit einer technischen Attacke — manchmal reicht eine täuschend echte Website, um ganze Abteilungen zu kompromittieren. Phishing per E-Mail ist längst nicht mehr der einzige Weg. Social Engineering kann heute über alles laufen: LinkedIn-Nachrichten, gefälschte Rechnungen, imitierte Support-Chats. Die Angreifer nutzen die Kanäle, die auch das Unternehmen selbst nutzt — nur mit bösen Absichten. Und weil die Kanäle vielfältiger geworden sind, ist die Angriffsfläche für Social Engineering enorm gewachsen.

Ein wirksamer Schutz umfasst hier vor allem eines: gesunden Menschenverstand. Regelmäßige Schulungen, in denen Mitarbeitende lernen, verdächtige Websites und Nachrichten zu erkennen, sind mindestens ebenso wichtig wie technische Schutzmaßnahmen. Die beste Firewall nützt nichts, wenn jemand im Unternehmen einen fingierten Link anklickt. Security Awareness ist kein Projekt mit Ende — es ist ein Dauerzustand, der regelmäßig trainiert werden will. Phishing-Simulationen etwa zeigen ziemlich schnell, wer wirklich aufpasst und wer lieber schnell klickt. Und die Ergebnisse solcher Tests sollten Konsequenzen haben — nicht um jemanden bloßzustellen, sondern um gezielt nachzuschulen.

Was Unternehmen jetzt tun müssen

Die Zahlen aus 2025 zeichnen ein klares Bild: Ransomware bleibt die größte digitale Bedrohung für Unternehmen in Deutschland. Trotzdem gibt es wirksame Schutzmaßnahmen. Ein mehrstufiges Backup-Konzept, das regelmäßig getestet wird, gehört ebenso zur Grundlage wie eine aktuelle Netzwerksegmentierung und konsequentes Patch-Management. Wobei — Patch-Management klingt banal, aber die Mehrheit der erfolgreichen Angriffe läuft über bekannte, längst gepatchte Schwachstellen. Einfach weil das Patchen in der Praxis oft hinterherhinkt und niemand den Überblick behält, welche Systeme noch auf welchem Patchstand sind.

Ergänzend dazu sollten Unternehmen ihre Mitarbeitenden regelmäßig im Bereich Security Awareness schulen — nicht als einmalige Pflichtübung, sondern als laufender Prozess mit echten Testszenarien und Phishing-Simulationen, die zeigen, wer wirklich aufpasst. Denn der Mensch ist und bleibt das Einfallstor Nummer eins. Nicht weil er dumm ist — sondern weil Angreifer verdammt gut darin sind, ihn zu täuschen, und weil das menschliche Gehirn nicht für hochtechnische Social-Engineering-Angriffe optimiert ist.

Die NIS2-Richtlinie, die seit Oktober 2024 in deutsches Recht umgesetzt ist, verpflichtet Unternehmen in kritischen Infrastrukturen darüber hinaus zu erweiterten Sicherheitsmaßnahmen und Meldepflichten. Wer noch nicht entsprechend vorbereitet ist, sollte das dringend nachholen — denn die Bedrohungslage wird sich nach Einschätzung von Sicherheitsexperten 2026 weiter verschärfen. Die Raffinesse der Angriffe nimmt zu, die Zahl der aktiven Gruppen wächst, und die Einkommen aus Lösegeldzahlungen finanzieren weitere Angriffe. Es ist ein Teufelskreis, der nur durch bessere Vorbereitung unterbrochen werden kann. Aber die Vorbereitung kostet — und wer spart, zahlt am Ende meist mehr.

Was bleibt, ist die Erkenntnis, dass Cybersicherheit keine reine IT-Abteilungsangelegenheit mehr ist. Sie muss Chefsache werden — im Mittelstand ebenso wie in großen Konzernen. Das fängt bei der Inventur eigener Systeme an, geht über die Schulung aller Mitarbeitenden und endet bei der Frage, ob im Ernstfall ein funktionierender Notfallplan vorhanden ist. Wer heute nicht in Schutz investiert, wird morgen den Preis zahlen — in Daten, Geld und Vertrauen. Und Vertrauen, das einmal verloren geht, kommt selten zurück. Das sollten sich diejenigen hinter die Ohren schreiben, die Cybersecurity immer noch als Kostentreiber und nicht als Investition betrachten.