Ransomware im Mittelstand: Qilin-Welle 2026

Stand: 10. August 2026

Kurzantwort: Deutschland liegt bei Ransomware-Angriffen weltweit auf Platz 3, und die aktivste Gruppe hierzulande ist Qilin. Betroffen sind vor allem Fertigung, Bau und Dienstleister — also der klassische Mittelstand. Wirksamer Schutz beginnt bei Identitäten (MFA, Leak-Monitoring), gehärteten Systemen, 24/7-Erkennung und getesteten Offline-Backups.

Ransomware-Welle trifft den Mittelstand: Was die aktuellen Qilin-Angriffe für deutsche KMU bedeuten

Am vergangenen Wochenende haben Ransomware-Gruppen erneut europäische Unternehmen angegriffen — unter den Opfern, die die Gruppe Qilin am 8. und 9. August auf ihrer Leak-Seite listete, findet sich mit dem Tiefbauunternehmen Clausing auch eine deutsche Firma (Börse Express / ThreatMon, 09.08.2026). Der Fall steht exemplarisch für einen Trend, der sich durch das ganze Jahr zieht: Ransomware trifft längst nicht mehr primär Konzerne, sondern zunehmend den Mittelstand — Bauunternehmen, Fertiger, Dienstleister.

Die Zahlen dahinter sind eindeutig. Zeit für eine nüchterne Bestandsaufnahme: Wie groß ist das Risiko wirklich, wie laufen die Angriffe ab — und was können Geschäftsführer und IT-Verantwortliche konkret tun?

Die Lage in Zahlen: Deutschland gehört zu den Top-3-Zielen

Deutschland zählt weltweit zu den am stärksten von Ransomware betroffenen Ländern. Der Trend Micro Cyber Risk Report 2026 verortet Deutschland mit 433 bestätigten Ransomware-Angriffen auf Platz drei hinter den USA und Kanada (ingenieur.de, 15.07.2026). Die Plattform ransomware.live registrierte allein von Januar bis Mai 2026 in Deutschland 182 Opfer, die auf Erpresser-Leak-Seiten veröffentlicht wurden — ein Anstieg von 7,7 Prozent gegenüber dem Vorjahreszeitraum (Security-Insider, 20.07.2026).

Wichtig für die Einordnung: Diese Statistiken erfassen nur veröffentlichte Fälle. Unternehmen, die still zahlen oder deren Vorfall nie publik wird, tauchen darin nicht auf. Die tatsächlichen Zahlen liegen also höher.

Am stärksten betroffen: Fertigung und Bau — der klassische Mittelstand

Aufschlussreich ist die Branchenverteilung: Mit 46 Opfern (25,3 Prozent) war die Fertigungsindustrie in Deutschland am häufigsten betroffen, gefolgt von Technologie- und Business-Services mit je 24 Fällen (Security-Insider, 20.07.2026). Das ist die DNA des deutschen Mittelstands. Auch das Gesundheitswesen zählt laut Trend Micro zu den Sektoren mit dem höchsten Risiko (ingenieur.de, 15.07.2026) — für Praxen, Labore und Kliniken bedeutet ein Ausfall nicht nur Umsatzverlust, sondern potenziell Gefahr für die Versorgung.

Wer oder was ist Qilin — und wie laufen die Angriffe ab?

Qilin ist derzeit die aktivste Ransomware-Gruppe in Deutschland: 30 der 182 deutschen Opfer im Zeitraum Januar bis Mai gingen auf ihr Konto (Security-Insider, 20.07.2026). Die Gruppe arbeitet als Ransomware-as-a-Service: Ein Kernteam stellt Schadsoftware und Infrastruktur, „Affiliates“ führen die eigentlichen Angriffe durch und teilen die Beute. Standard ist die doppelte Erpressung — erst werden Daten gestohlen, dann Systeme verschlüsselt, und wer nicht zahlt, landet mit seinen Daten auf der Leak-Seite. Vergleichbare Muster haben wir bereits in unseren Analysen zu LockBit und Akira sowie zur SafePay-Welle beschrieben.

Der unterschätzte Einstiegsweg: gestohlene Zugangsdaten

Die vielleicht wichtigste Erkenntnis aus den aktuellen Daten: Etwa jedes fünfte Qilin-Opfer hatte eine Unternehmensdomain, die zuvor in Infostealer-Protokollen auftauchte (Security-Insider, 20.07.2026). Im Klartext: Bevor die Ransomware kommt, sind die Zugangsdaten längst im Umlauf — abgegriffen durch Schadsoftware auf einzelnen Rechnern und verkauft in einschlägigen Foren. Als häufigste Angriffsvektoren insgesamt nennt Trend Micro ungepatchte Software-Schwachstellen und schwache Passwörter (ingenieur.de, 15.07.2026).

Für die Verteidigung ist das eine gute Nachricht: Zwischen Erstzugang und Verschlüsselung liegen in der Regel Tage bis Wochen, in denen sich Angreifer im Netzwerk bewegen, Rechte ausweiten und Daten abziehen. Wer in diesem Zeitfenster hinschaut, kann den Angriff stoppen, bevor er zum Ransomware-Vorfall wird.

Ransomware-Schutz im Mittelstand: Was jetzt Priorität hat

Vollständige Sicherheit gibt es nicht — aber die Reihenfolge der Maßnahmen lässt sich aus den Angriffsdaten direkt ableiten.

1. Zugangsdaten und Identitäten absichern

Multi-Faktor-Authentifizierung auf allen extern erreichbaren Diensten (VPN, E-Mail, Remote-Zugänge) ist die wirksamste Einzelmaßnahme gegen den Missbrauch gestohlener Zugangsdaten. Ergänzend lohnt ein Blick von außen: Tauchen Zugangsdaten Ihres Unternehmens bereits in Leaks oder Infostealer-Logs auf? Genau das beantwortet unser Darknet- und Leak-Monitoring — bevor es ein Angreifer tut.

2. Schwachstellen schneller schließen als der Angreifer

Ungepatchte Systeme sind der zweite Hauptvektor. Ein strukturiertes Patch-Management für extern erreichbare Systeme und regelmäßige Überprüfung der eigenen Angriffsfläche gehören zur Pflicht. Ein Penetrationstest für KMU zeigt, welche Lücken ein realer Angreifer zuerst finden würde — und priorisiert damit das Patchen nach tatsächlichem Risiko.

3. Angriffe erkennen, bevor verschlüsselt wird

Das Zeitfenster zwischen Erstzugang und Verschlüsselung ist die entscheidende Verteidigungschance — aber nur, wenn jemand die Frühindikatoren sieht: ungewöhnliche Anmeldungen, neue Admin-Konten, deaktivierte Sicherheitstools, auffällige Datenbewegungen. Für ein eigenes 24/7-Sicherheitszentrum fehlen im Mittelstand meist Budget und Personal. Managed Detection & Response für den Mittelstand schließt genau diese Lücke: Sensorik auf Endpunkten und im Netzwerk, ausgewertet rund um die Uhr von Analysten, die im Ernstfall sofort eingreifen.

4. Backups, die eine Erpressung ins Leere laufen lassen

Offline- oder unveränderliche Backups (Immutable Backups), regelmäßig getestet inklusive Wiederherstellung, nehmen der Verschlüsselung ihren Schrecken. Wichtig: Auch Backup-Systeme brauchen MFA und getrennte Zugangsdaten — moderne Gruppen wie Qilin suchen gezielt nach Backups, um sie vor der Verschlüsselung zu löschen.

5. Den Ernstfall vorbereiten, bevor er eintritt

Wer erst im Vorfall googelt, „Ransomware Angriff was tun“, verliert wertvolle Stunden. Ein Incident-Response-Plan regelt vorab: Wer entscheidet über Abschaltungen? Wie erreichen wir IT-Forensiker? Welche Meldepflichten gelten (DSGVO, ggf. NIS2)? Wie kommunizieren wir mit Kunden? Bei Aufbau und Übung dieser Prozesse unterstützt unser externer Informationssicherheitsbeauftragter — und verkürzt die Reaktionszeit im Ernstfall von Tagen auf Stunden.

Lösegeld zahlen? Die Zahlen sprechen dagegen

Laut Trend Micro zahlen etwa 15 Prozent der betroffenen Unternehmen Lösegeld (ingenieur.de, 15.07.2026). Die Erfahrung zeigt jedoch: Eine Zahlung garantiert weder die Wiederherstellung der Daten noch das versprochene Löschen der gestohlenen Informationen — und markiert das Unternehmen als zahlungsbereites Ziel. Behörden wie das BSI raten von Zahlungen ab. Die bessere Investition ist die in Prävention und Erkennungsfähigkeit — sie kostet typischerweise einen Bruchteil eines einzigen Vorfalls.

Fazit: Qilin ist austauschbar — Ihre Vorbereitung nicht

Ob der nächste Angriff von Qilin, Krybit oder einer Gruppe kommt, die heute noch niemand kennt, ist letztlich unerheblich. Die Einstiegswege bleiben dieselben: gestohlene Zugangsdaten, ungepatchte Systeme, unbemerkte Bewegungen im Netz. Genau dort setzt wirksamer Ransomware-Schutz für den Mittelstand an — mit Identitätsschutz, gehärteter Angriffsfläche, kontinuierlicher Detektion und einem geübten Notfallplan.

Wenn Sie einschätzen möchten, wie gut Ihr Unternehmen einen Angriff nach Qilin-Muster erkennen und stoppen würde, sprechen Sie uns an — wir geben Ihnen eine ehrliche Standortbestimmung, keine Angstkampagne. Standortbestimmung anfragen.

Quellen

• Börse Express: Ransomware-Welle — Krybit und Qilin greifen europäische Firmen an (09.08.2026)
• Security-Insider: Ransomware 2026 — Opferzahlen in Deutschland steigen (20.07.2026)
• ingenieur.de: Deutschland bei Ransomware-Attacken auf Platz 3 — Trend Micro Cyber Risk Report 2026 (15.07.2026)