Ransomware Report 2026: Die Zahlen für den Mittelstand

Einmal im Jahr liefert der „State of Ransomware"-Report von Sophos den wohl besten Blick darauf, wie Ransomware-Angriffe tatsächlich ablaufen — nicht aus Anbieterwerbung, sondern aus einer herstellerneutralen Befragung von 2.158 IT- und Security-Verantwortlichen aus 17 Ländern (darunter Deutschland), deren Organisationen im vergangenen Jahr von Ransomware getroffen wurden. Befragt wurden Unternehmen zwischen 100 und 5.000 Mitarbeitenden — also genau das Segment, in dem sich auch der deutsche Mittelstand bewegt.

Die siebte Ausgabe zeichnet ein Bild aus Licht und Schatten: Lösegeldforderungen und -zahlungen sinken deutlich, Backups funktionieren wieder besser — aber mehr als die Hälfte der Angriffe führt weiterhin zur Verschlüsselung, die Wiederherstellungskosten steigen auf durchschnittlich 1,7 Millionen US-Dollar, und das wichtigste Einfallstor hat gewechselt: Nicht mehr ungepatchte Schwachstellen, sondern E-Mail und kompromittierte Identitäten stehen jetzt an der Spitze. Wir haben den Report gelesen und ordnen die wichtigsten Ergebnisse für Geschäftsführer und IT-Verantwortliche in KMU ein.

Der Wendepunkt: E-Mail und Identität lösen Schwachstellen als Einfallstor Nr. 1 ab

Drei Jahre in Folge waren ausgenutzte Schwachstellen die häufigste technische Ursache von Ransomware-Angriffen. Das hat sich geändert: Im Ransomware Report 2026 führen bösartige E-Mails (26 %) und Phishing (24 %) die Liste an — zusammen also die Hälfte aller Vorfälle. Ausgenutzte Schwachstellen fielen von 32 % auf 18 %, kompromittierte Zugangsdaten bleiben mit 23 % auf Rang drei.

Noch deutlicher wird das Bild bei der Frage nach dem Angriffsmuster: 79 % aller Angriffe begannen identitätsbasiert — mit dem Beschaffen oder Ausnutzen von Zugangsdaten. Und 67 % der Ransomware-Opfer bestätigen, dass ihr Ransomware-Vorfall zugleich ihr schwerwiegendster Identitätsangriff war. Ransomware ist 2026 in erster Linie ein Identitätsproblem.

Besonders unbequem ist ein neues Detail: In 97 % der Vorfälle, deren Ursache kompromittierte Zugangsdaten waren, war Multi-Faktor-Authentifizierung zum Angriffszeitpunkt in irgendeiner Form aktiviert. MFA bleibt unverzichtbar — aber lückenhaft ausgerollt oder in phishbaren Varianten (Einmalpasswörter führen mit 52 %) hält sie moderne Angreifer allein nicht mehr auf. Wie ein solcher Angriff vom echten Absender abläuft, zeigt unser Beitrag Phishing vom echten Absender.

Wo Angriffe beginnen

Erstmals weist der Report auch den Ort des Erstzugriffs aus: 38 % der Angriffe über Schwachstellen, Zugangsdaten oder Brute Force starteten in exponierten Anwendungen und Systemen, 30 % auf Endgeräten der Nutzer, 21 % an der Firewall. Brute-Force-Angriffe zielten auffällig oft auf Firewalls (44 %) — ein klarer Auftrag, Perimeter-Geräte zu härten, Login-Raten zu begrenzen und alles, was aus dem Internet erreichbar ist, konsequent zu inventarisieren und zu überwachen.

Die Kostenseite: Forderungen sinken, Wiederherstellung wird teurer

Die mittlere Lösegeldforderung fiel auf 698.000 US-Dollar — nach 1,32 Mio. im Vorjahr und 2 Mio. im Report 2024, ein Rückgang von 65 % in zwei Jahren. Die mittlere Zahlung liegt bei 769.000 US-Dollar; gut die Hälfte der zahlenden Unternehmen (51 %) handelte den Betrag unter die ursprüngliche Forderung.

Wichtig für die KMU-Einordnung: Die Forderungen skalieren stark mit dem Umsatz. Unternehmen unter 50 Mio. US-Dollar Umsatz sahen mediane Forderungen von rund 140.000 US-Dollar (und zahlten im Median 50.000) — Angreifer recherchieren die Zahlungsfähigkeit ihrer Opfer offenbar gezielt. Wer daraus ableitet, als kleineres Unternehmen „kein lohnendes Ziel" zu sein, übersieht die zweite Zahl des Reports: Die durchschnittlichen Wiederherstellungskosten — ohne jedes Lösegeld — stiegen um 11 % auf 1.700.200 US-Dollar (Median: 375.000). Ausfallzeiten, Personalaufwand, Geräte- und Netzwerkkosten, entgangene Aufträge: Der Schaden entsteht überwiegend nicht durch das Lösegeld, sondern durch den Betriebsstillstand. Immerhin: 55 % der Betroffenen waren binnen einer Woche wiederhergestellt, 83 % binnen eines Monats.

Erkennung entscheidet — und kleine Unternehmen erkennen zu spät

56 % der Angriffe führten zur Datenverschlüsselung — der Wert ist gegenüber dem Vorjahr (50 %) wieder gestiegen, in 16 % der Fälle wurden Daten zusätzlich gestohlen. Nur 41 % der Angriffe wurden vor der Verschlüsselung gestoppt.

Der Blick auf die Unternehmensgröße zeigt dabei ein klares Gefälle: Die größten befragten Organisationen (3.001–5.000 Mitarbeitende) stoppten 46 % der Angriffe vor Verschlüsselung oder Erpressung — die kleinsten (100–250) nur 34 %, und bei ihnen wurden mit 48 % plus 15 % „verschlüsselt und gestohlen" die höchsten Verschlüsselungsraten gemessen. Die Gründe benennt der Report gleich mit: 62 % der Opfer nennen Sicherheitslücken im eigenen Setup, 58 % fehlende Leute oder Skills, 57 % fehlenden oder unzureichenden Schutz. In der Größenklasse 100–250 Mitarbeitende gaben 43 % an, dass schlicht nicht genug Security-Fachleute die Systeme überwachten — der höchste Wert aller Größenklassen. Menschliches Versagen (35 %) war übrigens der einzige operative Faktor, der gegenüber dem Vorjahr zunahm.

Bemerkenswert auch die Firewall-Auswertung: Wo die Firewall den Angriff vor Ausführung der Ransomware erkannte, blieb die Verschlüsselungsrate bei 50 % — wo sie ihn gar nicht erkannte, lag sie bei 71 %. Telemetrie ist vorhanden; was vielen Unternehmen fehlt, ist jemand, der sie rund um die Uhr auswertet und daraus Reaktionen macht. Genau hier setzt die Empfehlung an, die Sophos selbst formuliert: Wer kein eigenes Security-Team rund um die Uhr besetzen kann, sollte mit einem externen Spezialisten arbeiten — etwa einem Managed-Detection-&-Response-Dienst (MDR), der Erkennung und Reaktion übernimmt.

Zahlen oder nicht? Backups sind wieder auf dem Vormarsch

66 % der Unternehmen mit verschlüsselten Daten stellten über Backups wieder her — ein Sprung um zwölf Punkte gegenüber dem Vorjahr und nahe am Rekordwert. Der Anteil der Lösegeldzahler sank parallel auf 48 %, den niedrigsten Wert seit drei Jahren. Nur 2 % bekamen gar keine Daten zurück. Die Richtung ist eindeutig: Getestete, offline bzw. unveränderlich gespeicherte Backups sind der wirksamste Hebel, um aus der Erpressungslogik auszusteigen — und sie machen sich in der Verhandlungsposition unmittelbar bezahlt.

Nicht zu unterschlagen ist die menschliche Seite: 99 % der betroffenen Teams berichten von Folgen — erhöhter Stress (41 %), Druck der Geschäftsleitung (40 %); bei 21 % wurde die IT-/Security-Leitung nach dem Angriff ausgetauscht. Einziger Wert, der stieg: die Anerkennung durch die Geschäftsführung (36 %). Ransomware-Vorsorge ist auch Fürsorge für das eigene Team.

Fünf Konsequenzen für KMU

Aus dem Report lassen sich für mittelständische Unternehmen fünf Prioritäten ableiten. Erstens, Identitäten zuerst: MFA flächendeckend und möglichst phishing-resistent (FIDO2/Passkeys) ausrollen, Zugangsdaten und Dienstkonten regelmäßig auditieren — und kompromittierte Zugangsdaten aktiv aufspüren, bevor Angreifer sie nutzen. Zweitens, E-Mail-Sicherheit und Awareness ernst nehmen, denn die Hälfte aller Angriffe beginnt im Postfach. Drittens, Erkennung rund um die Uhr sicherstellen — selbst betrieben oder als MDR —, weil genau hier kleine Unternehmen messbar schlechter abschneiden als große. Viertens, Backups testen und unveränderlich auslagern, denn sie sind laut Report der Unterschied zwischen Wiederanlauf und Lösegeldverhandlung. Und fünftens, den Ernstfall vorbereiten: Ein geübter Incident-Response-Plan verkürzt die Wiederherstellung — die 16 %, die binnen eines Tages wieder arbeitsfähig waren, sind kein Zufall.

Fazit

Der Sophos State of Ransomware 2026 zeigt eine Bedrohungslage im Umbruch: weg vom reinen Schwachstellen-Wettrennen, hin zu Identitäts- und E-Mail-Angriffen; sinkende Lösegelder, aber steigende Wiederherstellungskosten; und eine Erkennungslücke, die kleinere Unternehmen überproportional trifft. Die gute Nachricht: Die Maßnahmen, die laut Report den Unterschied machen — gehärtete Identitäten, kontinuierliche Erkennung, belastbare Backups, geübte Reaktion — sind für KMU allesamt erreichbar.

Wenn Sie die Zahlen des Reports auf Ihr Unternehmen übertragen möchten — wo Ihre Identitäts-, Erkennungs- und Backup-Lage heute steht —, unterstützt Sie das Team von Valyros gern mit einer unverbindlichen Standortbestimmung. Mehr zu kontinuierlicher Erkennung auf unserer MDR-Leistungsseite, die NIS2-Pflichten dahinter erklärt der Beitrag zur NIS2-Durchsetzung.

Quellen

• Sophos: „The State of Ransomware 2026" — Insights from 2,158 IT and Cybersecurity Leaders Across 17 Countries (Befragung Vanson Bourne, Q1 2026; alle Zahlen dieses Beitrags stammen aus dem Report). Abrufbar über sophos.com.