Ransomware 2026: Deutschland auf Platz 3 weltweit

Deutschland gehört zu den drei am stärksten von Ransomware betroffenen Ländern der Welt. Das ist das Ergebnis des aktuellen Cyber Risk Reports von Trend Micro, veröffentlicht am 14. Juli 2026: 433 dokumentierte Ransomware-Angriffe entfielen 2025 auf Deutschland — mehr verzeichneten nur die USA (4.893) und knapp davor Kanada (520). Insgesamt zählten die zehn aktivsten Ransomware-Gruppen weltweit 5.096 bestätigte Opfer, ein Anstieg um 236 Prozent gegenüber dem Vorjahr (Trend Micro, 14.07.2026).

Für Geschäftsführer und IT-Verantwortliche im Mittelstand steckt in dem Report aber eine noch wichtigere Botschaft als die Platzierung: Kleine Unternehmen waren die einzige Größenklasse, deren Risikoindex gestiegen ist. Dieser Beitrag ordnet die Zahlen ein und zeigt, welche Schutzmaßnahmen jetzt Priorität haben — ohne Panik, aber mit klarem Blick auf die Lage.

Die Zahlen im Überblick: Was der Report zeigt

Der Report wertet die Aktivitäten der zehn aktivsten Ransomware-Gruppen des Jahres 2025 aus. Die wichtigsten Befunde:

• 5.096 bestätigte Opfer weltweit — ein Plus von 236 Prozent gegenüber dem Vorjahr
• Deutschland auf Platz 3 mit 433 dokumentierten Angriffen, hinter den USA und Kanada
• Qilin/Agenda ist die aktivste Gruppe: 1.262 Angriffe, ein Anstieg um 1.270 Prozent
• Akira folgt auf Platz 2 mit 857 Angriffen (+708 Prozent)
• Die Szene sortiert sich neu: Fünf neue Gruppen verdrängten etablierte Akteure wie LockBit aus den Top Ten

Wichtig zur Einordnung: Gezählt werden nur bestätigte, meist über Leak-Seiten dokumentierte Opfer. Die Dunkelziffer — Unternehmen, die still zahlen oder Vorfälle nicht publik machen — liegt nach allgemeiner Einschätzung deutlich höher.

Qilin und Akira: Wer hinter den Angriffen steckt

Qilin (auch „Agenda“ genannt) und Akira arbeiten nach dem Ransomware-as-a-Service-Modell: Die Kerngruppe entwickelt die Schadsoftware und Infrastruktur, während sogenannte Affiliates die eigentlichen Einbrüche durchführen und am Lösegeld beteiligt werden. Dieses arbeitsteilige Modell erklärt die enorme Skalierung — und es bedeutet für potenzielle Opfer: Angriffe sind keine handverlesenen Einzelaktionen mehr, sondern industrialisiertes Massengeschäft. Typische Einfallstore sind kompromittierte VPN-Zugänge ohne Multi-Faktor-Authentifizierung, Phishing sowie ungepatchte, aus dem Internet erreichbare Systeme.

Warum gerade KMU? Das Einfallstor in die Lieferkette

Der Report enthält einen Befund, der für den Mittelstand zentral ist: Kleinunternehmen bis 100 Mitarbeitende wiesen zwar insgesamt den niedrigsten Risikoindex auf — waren aber die einzige Größenklasse mit gestiegenem Risiko. Trend Micro deutet das als Hinweis darauf, dass Angreifer kleine Unternehmen zunehmend als Zugangstor zu größeren Lieferketten missbrauchen.

Die Logik dahinter: Ein Konzern mit eigenem Security Operations Center ist ein hartes Ziel. Sein mittelständischer Zulieferer mit fünf IT-Mitarbeitenden, VPN-Zugang zum Kundennetz und ohne 24/7-Überwachung ist es nicht. Wer den Zulieferer kompromittiert, hat oft einen vertrauenswürdigen Pfad zum eigentlichen Ziel — und kann den Zulieferer gleich mit erpressen.

Dass der Faktor Mensch dabei eine zentrale Rolle spielt, zeigt der zeitgleich erschienene Cybersecurity-Hygiene-Report von WatchGuard: Demnach verwenden 76 Prozent der KMU-Mitarbeitenden dasselbe Passwort für mehrere Konten, 70 Prozent arbeiten über öffentliches WLAN, die Hälfte greift ohne VPN auf Unternehmensressourcen zu, und 64 Prozent nutzen nicht freigegebene KI-Tools (Netzpalaver/WatchGuard, 15.07.2026). Jeder dieser Punkte ist für sich genommen ein potenzieller Türöffner für genau die Angriffe, die der Trend-Micro-Report zählt.

Was ein Ransomware-Angriff für ein KMU konkret bedeutet

Ein erfolgreicher Angriff verschlüsselt heute selten nur Daten. Das Standardvorgehen ist die doppelte Erpressung: Zuerst werden Daten abgezogen, dann Systeme verschlüsselt — gezahlt werden soll für die Entschlüsselung und für das Unterlassen der Veröffentlichung. Für ein mittelständisches Unternehmen bedeutet das im Ernstfall Produktions- oder Betriebsstillstand über Tage bis Wochen, Wiederanlauf- und Forensikkosten, DSGVO-Meldepflichten bei Datenabfluss, Vertragsstrafen gegenüber Kunden und — bei NIS2-regulierten Unternehmen — zusätzlich die Meldepflicht an das BSI innerhalb von 24 Stunden nach Kenntnis des Vorfalls.

Entscheidend ist dabei ein oft übersehener Punkt: Zwischen dem Erstzugriff der Angreifer und der eigentlichen Verschlüsselung vergehen häufig Tage bis Wochen. In diesem Zeitfenster bewegen sich die Angreifer durch das Netzwerk, sichern sich Rechte und ziehen Daten ab. Wer in dieser Phase erkennt und reagiert, verhindert den Schaden — wer sie verpasst, verwaltet ihn nur noch.

Ransomware-Schutz im Mittelstand: Diese Maßnahmen zählen jetzt

Aus der aktuellen Bedrohungslage ergibt sich eine klare Prioritätenliste:

• Multi-Faktor-Authentifizierung überall dort, wo von außen zugegriffen wird — VPN, E-Mail, Fernwartung. Kompromittierte Zugangsdaten sind das häufigste Einfallstor von Gruppen wie Akira.
• Angriffsfläche reduzieren und patchen: Aus dem Internet erreichbare Systeme inventarisieren, nicht benötigte Zugänge schließen, Sicherheitsupdates priorisiert einspielen.
• Backups ransomware-fest machen: Offline- oder unveränderbare Kopien, getrennte Zugangsdaten, regelmäßige Wiederherstellungstests.
• Erkennung und Reaktion sicherstellen: Angriffe in der Frühphase erkennen — dazu unten mehr.
• Notfallplan vorbereiten: Wer entscheidet, wer kommuniziert, wer meldet an Behörden? Ein geübter Plan spart im Ernstfall Tage.
• Menschen und Organisation stärken: Passwort-Manager, Schulungen, klare Regeln für KI-Tools und mobiles Arbeiten. Organisatorisch lässt sich das — etwa im Rahmen von NIS2 — durch einen externen Informationssicherheitsbeauftragten strukturieren und dauerhaft verankern. Die Wirksamkeit der technischen Maßnahmen prüft ein Penetrationstest unter realistischen Bedingungen.

Früherkennung statt Wiederaufbau: Die Rolle von MDR

Die Maßnahmen 1 bis 3 senken die Eintrittswahrscheinlichkeit — aber kein Unternehmen bekommt sie auf null. Deshalb ist Punkt 4 der entscheidende Hebel: Ein Angriff, der in der Frühphase erkannt wird, ist ein Sicherheitsvorfall; einer, der erst bei der Verschlüsselung auffällt, ist eine Betriebskrise. Genau diese Früherkennung leistet Managed Detection & Response (MDR): Spezialisierte Analysten überwachen die Systeme rund um die Uhr, erkennen verdächtige Aktivitäten — etwa ungewöhnliche Anmeldungen, Rechteausweitung oder Datenabflüsse — und greifen ein, bevor die Angreifer ihr Ziel erreichen. Für KMU ist das der realistische Weg zu einem Schutzniveau, das sich intern nur mit einem eigenen Security-Team erreichen ließe.

Wenn es bereits passiert ist

Bei einem laufenden oder vermuteten Angriff zählt Geschwindigkeit: Betroffene Systeme isolieren (nicht ausschalten — flüchtige Spuren gehen sonst verloren), Backups vom Netz trennen, keine vorschnelle Kommunikation mit den Erpressern und umgehend ein erfahrenes Incident-Response-Team hinzuziehen, das Eindämmung, Forensik und Wiederanlauf koordiniert. Auch die Meldepflichten (DSGVO, gegebenenfalls NIS2) laufen ab dem Zeitpunkt der Kenntnis — professionelle Begleitung verhindert hier teure Versäumnisse.

Fazit

Der Trend-Micro-Report bestätigt mit Zahlen, was sich in der Praxis längst abzeichnet: Ransomware ist ein industrialisiertes Geschäft, Deutschland ein Hauptzielmarkt, und der Mittelstand rückt als Einfallstor in Lieferketten zunehmend ins Visier. Die gute Nachricht: Die wirksamsten Gegenmaßnahmen sind bekannt und für KMU umsetzbar — Multi-Faktor-Authentifizierung, gehärtete Backups und vor allem die Fähigkeit, Angriffe früh zu erkennen.

Wenn Sie einschätzen möchten, wie gut Ihr Unternehmen gegen die aktuellen Angriffsmuster aufgestellt ist, stehen wir Ihnen für ein unverbindliches Gespräch gern zur Verfügung.

Quellen: Trend Micro: Ransomware-Angriffe auf Rekordniveau — Deutschland unter den Top drei weltweit (14.07.2026); Netzpalaver/WatchGuard: Cybersecurity-Hygiene-Report (15.07.2026).