Info2soft verwendet Cookies, um Ihnen ein besseres und angenehmeres Surferlebnis auf unserer Website zu ermöglichen. Datenschutzerklärung
Wird geladen...
Von:
Ransomware-Angriffe stiegen 2025 im Jahresvergleich um 50 % auf fast 7.900 öffentlich gemeldete Fälle – gleichzeitig sank der Anteil der Opfer, die Lösegelder zahlten, auf einen historischen Tiefstand von 28 % (Chainalysis, Krypto-Kriminalitätsbericht 2026).
Die durchschnittlichen Gesamtkosten eines Ransomware-Vorfalls belaufen sich mittlerweile auf 5,08 Millionen US-Dollar, wenn Ausfallzeiten, Sanierungsmaßnahmen und entgangene Geschäftserlöse eingerechnet werden (IBM Bericht zu den Kosten von Datenschutzverletzungen 2025; Huntress, 2026).
Zudem werden in diesem Jahr Ausgaben in Höhe von 7074 Milliarden US-Dollar prognostiziert. Die nachfolgenden Zahlen werden das gesamte Jahr über von Vorständen, Sicherheitsteams und Politikern als Referenz herangezogen.
2025 wurden alle bisherigen Rekorde im Bereich der Ransomware-Aktivitäten gebrochen, und 2026 begann mit dem gleichen hohen Tempo. Die Zahlen zeigen keine zyklischen Spitzen mehr, sondern ein dauerhaft erhöhtes Ausgangsniveau. Mehrere unabhängige Datenquellen kommen zu dem gleichen Ergebnis: Ransomware tritt häufiger auf, ist stärker industrialisiert und zeigt keine Anzeichen einer Verlangsamung.
|
Kennwert |
Wert |
Quelle |
|
Gesamtzahl öffentlich gemeldeter Ransomware-Angriffe 2025 |
7.874 (Anstieg um 50 % im Jahresvergleich) |
NCC Group Bedrohungsanalyse-Bericht 2026 |
|
Im Darknet erfasste Ransomware-Fälle 2025 |
9.251 (Anstieg um 45 % gegenüber 6.395 im Jahr 2024) |
NordStellar Research, Januar 2026 |
|
Von Cyble erfasste Ransomware-Angriffe 2025 |
6.604 (Anstieg um 52 % gegenüber 2024) |
Cyble Jahresbericht zur Bedrohungslandschaft 2025 |
|
Von Ransomware-Gruppen bestätigte Angriffe im Q4 2025 |
2.018 (durchschnittlich 673 pro Monat) |
Cyble Bedrohungslandschaftsbericht, Januar 2026 |
|
Im Januar 2026 bestätigte Opfer |
679 |
Cyble Bedrohungslandschaftsbericht, Januar 2026 |
|
Monatsrekord Dezember 2025 (Darknet-Fälle) |
1.004 |
NordStellar Research, Januar 2026 |
|
Erfasste eigenständige Ransomware-Gruppen 2025 |
134 (Anstieg um 30 % gegenüber 103 im Jahr 2024) |
NordStellar Research, Januar 2026 |
|
Prognostizierte Ransomware-Vorfälle für 2026 |
Voraussichtlich über 12.000 |
NordStellar Prognose, Januar 2026 |
Ein auffälliger Ausreißer: Allein im Dezember 2025 wurden 1.004 Darknet-Fälle registriert – eine monatliche Zahl, die vor zwei Jahren einem gesamten Quartal an Aktivitäten entsprochen hätte. Bis April 2026 hatte die RaaS-Gruppe The Gentlemen bereits mehr als 320 Opfer auf ihrer Datenleckseite öffentlich gelistet, davon allein 240 im Jahr 2026 (Check Point Research, April 2026).
Die Vereinigten Staaten bleiben mit deutlichem Abstand das am häufigsten angegriffene Land – bedingt durch die hohe Konzentration von Vermögen, digitale Infrastruktur und eine starke Verbreitung von Cyberversicherungen.
|
Kennwert |
Wert |
Quelle |
|
Anteil der USA an allen Darknet-Ransomware-Fällen |
64 % (3.255 Fälle, Anstieg um 28 % im Jahresvergleich) |
NordStellar Research, Januar 2026 |
|
Anteil der USA an den DLS-Schadenmeldungen |
ca. 50 % (3.936 von 7.819) |
Analyst1, Jahresrückblick 2025 |
|
Anteil der USA an den von Cyble erfassten Angriffen |
55 % |
Cyble Jahresbericht zur Bedrohungslandschaft 2025 |
|
Kanada |
352 Fälle (Anstieg um 46 % im Jahresvergleich) |
NordStellar Research, Januar 2026 |
|
Deutschland |
270 Fälle (Anstieg um 97 % im Jahresvergleich) |
NordStellar Research, Januar 2026 |
|
Vereinigtes Königreich |
233 Fälle (Anstieg um 2 % im Jahresvergleich) |
NordStellar Research, Januar 2026 |
81 % der beobachteten Angriffe entfielen auf Nordamerika. Die unverhältnismäßige Ausrichtung auf englischsprachige Volkswirtschaften – insbesondere die USA, Kanada und Großbritannien – zeigt die Vorliebe der Angreifer für entwickelte Märkte, an denen Störungen durch Ransomware den größten finanziellen Druck ausüben.
2025 markierte das endgültige Ende der LockBit-Ära. Durch dauerhafte internationale Strafverfolgungsmaßnahmen wurde LockBit 3.0 – die aktivste Gruppe des Jahres 2024 – vollständig aus den Top 10 verdrängt. An seine Stelle trat Qilin mit mehr als 1.000 verbundenen Angriffen als dominante Kraft. Gleichzeitig fragmentierte sich das Ransomware-Ökosystem: Analysten verfolgen mittlerweile 85 aktive Erpressergruppen, verglichen mit nur wenigen dominanten Varianten vor zwei Jahren.
|
Kennwert |
Wert |
Quelle |
|
Qilin: aktivste Gruppe 2025 |
1.022 Angriffe (13 % aller Fälle) |
NCC Group Bedrohungsanalyse-Bericht 2026 |
|
Akira: zweitaktivste Gruppe |
755 Angriffe (Anstieg um 149 % im Jahresvergleich) |
NCC Group Bedrohungsanalyse-Bericht 2026 |
|
CL0P: drittaktivste Gruppe |
517 Angriffe (7 % aller Fälle) |
NCC Group Bedrohungsanalyse-Bericht 2026 |
|
Qilin allein im Januar 2026 |
115 bestätigte Angriffe |
Cyble Bedrohungslandschaftsbericht, Januar 2026 |
|
Verfolgte aktive Erpressergruppen |
85 |
Chainalysis, Krypto-Kriminalitätsbericht 2026 |
|
Anteil der Top-20-Gruppen an allen bestätigten Fällen |
Fast 70 % |
Analyst1, Jahresrückblick 2025 |
|
Durchschnittliche Lösegeldforderung von Akira |
1,2 Millionen US-Dollar (50 % über dem Durchschnitt anderer Gruppen) |
Coalition / At-Bay, April 2026 |
Die 20 führenden Gruppen waren für fast 70 % aller bestätigten Fälle im Jahr 2025 verantwortlich: Qilin (15 %), Akira (10 %), CL0P (6 %), PLAY (5 %), SAFEPAY (5 %), INC RANSOM (5 %), Lynx (3 %), RansomHub (3 %), DragonForce (3 %), Sinobi (2 %) sowie weitere Gruppen (Analyst1, Jahresrückblick 2025).
Die Ransomware-Wirtschaft durchläuft eine grundlegende Neubewertung. Während die gesamten Zahlungen 2025 um 8 % auf 820 Millionen US-Dollar sanken, stieg der mediane gezahlte Betrag um 368 % auf 59.556 US-Dollar. Weniger Opfer zahlen Lösegelder, aber diejenigen, die zahlen, sehen sich mit nie dagewesenen Forderungen konfrontiert. Dies ist kein Zeichen für einen Rückgang der Ransomware, sondern für ihre Reife. Angreifer konzentrieren sich auf hochwertigere Ziele und ziehen den maximalen Wert aus der schrumpfenden Gruppe zahlender Opfer heraus.
Lösegeldforderungen vs. Zahlungen 2023–2025:
|
Kennwert |
Wert |
Quelle |
|
Gesamt auf der Blockchain nachverfolgbare Ransomware-Zahlungen 2025 |
820 Millionen US-Dollar (892 Millionen US-Dollar im Jahr 2024) |
Chainalysis, Krypto-Kriminalitätsbericht 2026 |
|
Zahlungsrate (Anteil der Opfer, die Lösegeld zahlen) |
28 % (historischer Tiefstand; Rückgang von 62,8 % im Jahr 2024) |
Chainalysis, Krypto-Kriminalitätsbericht 2026 |
|
Median des gezahlten Lösegelds |
59.556 US-Dollar (12.738 US-Dollar im Jahr 2024) |
Chainalysis, Krypto-Kriminalitätsbericht 2026 |
|
Durchschnittliche anfängliche Lösegeldforderung |
Über 1 Million US-Dollar (Anstieg um 47 % im Jahresvergleich) |
Coalition, Cyber-Schadenbericht 2026 |
|
86 % der Versicherungsnehmer von Coalition lehnten die Zahlung ab |
Höchste Ablehnungsrate aller Zeiten |
Coalition, Cyber-Schadenbericht 2026 |
|
Durchschnittliche Lösegeldforderung (Daten von BakerHostetler-Kunden) |
4,24 Millionen US-Dollar (2,5 Millionen US-Dollar im Vorjahr) |
BakerHostetler, Bericht zu Datensicherheitsvorfällen 2025 |
|
Durchschnittlich gezahltes Lösegeld (BakerHostetler) |
682.702 US-Dollar (501.338 US-Dollar im Vorjahr) |
BakerHostetler, Bericht zu Datensicherheitsvorfällen 2025 |
|
Höchste bekannte Lösegeldforderung 2025 |
98 Millionen US-Dollar |
BakerHostetler, Bericht zu Datensicherheitsvorfällen 2025 |
Die Ablehnungsrate von 86 % bei den Versicherungsnehmern von Coalition – darunter eine hundertprozentige Ablehnung bei britischen Kunden – signalisiert einen strukturellen Wandel. Unternehmen investieren mehr in Erkennung, abgesicherte Backups und Fähigkeiten zur Vorfallsbewältigung, statt Budgets für Lösegeldzahlungen vorzusehen. Ein Versicherungsmanager kommentierte: „Backup-Strategien greifen, und Ransomware-Banden reagieren mit Datendiebstahl“ (Coalition, Cyber-Schadenbericht 2026).
Die Lösegeldzahlung ist das geringste finanzielle Problem der Opfer. Die Wiederherstellungskosten ohne Einbeziehung eines Lösegelds belaufen sich mittlerweile durchschnittlich auf 1,53 Millionen US-Dollar. Die Gesamtkosten eines Vorfalls – einschließlich Ausfallzeiten, entgangener Umsätze, Rechtskosten, regulatorischer Strafen und Rufschäden – erreichen durchschnittlich 5,08 Millionen US-Dollar.
Die Rechnung ist eindeutig: Das Lösegeld macht nur ein Siebtel der Gesamtangriffskosten aus. Check Point Research schätzt, dass die Gesamtbelastung eines Opfers siebenmal höher ausfällt als der Betrag, der an Cyberkriminelle gezahlt wird (CPR, März 2026).
|
Kennwert |
Wert |
Quelle |
|
Durchschnittliche Gesamtkosten pro Ransomware-Vorfall |
5,08 Millionen US-Dollar |
IBM Bericht zu den Kosten von Datenschutzverletzungen 2025 |
|
Durchschnittliche Wiederherstellungskosten ohne Lösegeld |
1,53 Millionen US-Dollar (Rückgang um 4,26 Millionen US-Dollar gegenüber 2024) |
Sophos Ransomware-Status 2025 |
|
Durchschnittliche von CISOs angegebene Wiederherstellungskosten pro Vorfall |
2,5 Millionen US-Dollar |
Absolute Security Umfrage zur Cyber-Resilienz, Januar 2026 |
|
98 % der Unternehmen gaben bis zu 5 Millionen US-Dollar für die Wiederherstellung aus |
Spannweite der Ausgaben |
Absolute Security Umfrage zur Cyber-Resilienz, Januar 2026 |
|
55 % der CISOs von Unternehmen erlebten 2025 einen störenden Cyberangriff |
— |
Absolute Security Umfrage zur Cyber-Resilienz, Januar 2026 |
|
57 % benötigten mehr als 4,5 Tage für die vollständige Sanierung |
19 % brauchten bis zu zwei Wochen |
Absolute Security Umfrage zur Cyber-Resilienz, Januar 2026 |
|
Kostenmultiplikator: Gesamtkosten im Vergleich zum gezahlten Lösegeld |
Faktor 7 (Schätzung) |
Check Point Research, März 2026 |
Für Unternehmen, die ihre Betriebsabläufe schnell wiederherstellen müssen, können automatisierte Backup- und Notfallwiederherstellungslösungen die Wiederherstellungszeiten drastisch verkürzen. Keines der Unternehmen in der Umfrage von Absolute Security konnte innerhalb eines einzigen Tages wiederherstellen – das verdeutlicht die Kluft zwischen Wiederherstellungszielen und betrieblicher Realität.
Der Markt für Cyberversicherungen verschärfte sich 2025 weiter. Versicherer verlangen eine höhere Sicherheitsreife als Voraussetzung für Versicherungsschutz. Der weltweite Cyberversicherungsmarkt soll 2026 ein Volumen von 22,5 Milliarden US-Dollar erreichen (Medhacloud / Branchenschätzungen).
|
Kennwert |
Wert |
Quelle |
|
Prognostiziertes Volumen des weltweiten Cyberversicherungsmarktes 2026 |
22,5 Milliarden US-Dollar |
Branchenschätzungen |
|
Anteil versicherter Unternehmen, deren Police nur einen Teil der Schäden abdeckt |
42 % |
Medhacloud, 2026 |
|
Wegen Nichteinhaltung abgelehnte Cyberversicherungsansprüche |
21 % (fehlende MFA, ungepatchte Systeme) |
Medhacloud, 2026 |
|
Auswirkung fehlender MFA auf die Versicherungsprämien |
25–40 % höhere Prämien oder vollständige Ablehnung der Versicherung |
Medhacloud, 2026 |
|
Anträge, die einen Nachweis von EDR erfordern |
87 % |
Medhacloud, 2026 |
|
Von Coalition wiederhergestellte gestohlene Gelder 2025 |
21,8 Millionen US-Dollar (durchschnittlich 202.000 US-Dollar pro Vorfall, Wiederherstellungsrate von 32 %) |
Coalition, Cyber-Schadenbericht 2026 |
|
Anteil von Akira an den identifizierten Ransomware-Schadenmeldungen |
25 % der Vorfälle, durchschnittliche Forderung von 926.000 US-Dollar |
Coalition, Cyber-Schadenbericht 2026 |
Ransomware war 2025 für 21 % aller Cyberversicherungsansprüche verantwortlich. Die Häufigkeit blieb konstant bei 0,32 %, während die Schwere um 19 % sank mit einem durchschnittlichen Schaden von 262.000 US-Dollar (Coalition, Cyber-Schadenbericht 2026).
Das Gesundheitswesen bleibt das profitabelste und konstanteste Ziel von Ransomware. Die hohe Zahlungsbereitschaft der Branche – 68–72 % im Gesundheitswesen gegenüber etwa 40 % in anderen Branchen – erzeugt einen sich selbst verstärkenden Kreislauf, der Angreifer immer wieder anzieht. Laut einer Auswertung von 592 Vorfällen bei 94 Ransomware-Gruppen zwischen Januar 2025 und Februar 2026 erlebt jedes Unternehmen im Gesundheitswesen etwa alle 10 Stunden einen Cyberangriff.
|
Kennwert |
Wert |
Quelle |
|
Häufigkeit von Ransomware-Angriffen im Gesundheitswesen |
Einer alle ca. 10 Stunden |
Securin Bericht zur Bedrohung im Gesundheitswesen, April 2026 |
|
Zahlungsrate im Gesundheitswesen bei Ransomware |
68–72 % (gegenüber ca. 40 % in anderen Branchen) |
Securin Bericht zur Bedrohung im Gesundheitswesen, April 2026 |
|
US-Unternehmen im Gesundheitswesen mit mindestens einem Cyberangriff 2025 |
93 % |
Securin / Branchenumfrage, April 2026 |
|
Angriffe mit direkter Beeinträchtigung der Patientenversorgung |
72 % der Befragten berichteten über Störungen |
Securin / Branchenumfrage, April 2026 |
|
Bestätigte Ransomware-Angriffe auf das US-Gesundheitswesen 2025 |
134, 11,7 Millionen Datensätze offengelegt |
Comparitech, zitiert in Infosecurity Magazine |
|
Durchschnittliche Kosten einer Datenschutzverletzung im Gesundheitswesen |
10,22 Millionen US-Dollar (höchster Wert aller Branchen; Anstieg um 9,2 % im Jahresvergleich) |
IBM Bericht zu den Kosten von Datenschutzverletzungen 2025 |
|
Schwarzmarktwert medizinischer Datensätze |
1.000 US-Dollar pro Datensatz |
Securin Bericht zur Bedrohung im Gesundheitswesen, April 2026 |
Ein klares Muster bei Vorfällen im Gesundheitswesen: Angreifer nutzen Schwachstellen aus, die bereits im KEV-Katalog (Known Exploited Vulnerabilities) der CISA aufgeführt sind. „Angreifer treten durch offene Türen ein – und werden dafür bezahlt“, sagte Dr. Srinivas Mukkamala, CEO von Securin. Für Unternehmen mit sensiblen Patientendaten ist die Umsetzung einer umfassenden Backup- und Notfallwiederherstellungsstrategie keine freiwillige Maßnahme mehr, sondern eine regulatorische und betriebliche Pflicht.
Die Fertigungs- und Industriebranchen trugen 2025 die Hauptlast der Ransomware-Angriffe nach Anzahl der Vorfälle. Industriebetriebe machten 28 % aller erfassten Fälle aus. Die Vermischung von IT und Betriebstechnologie (OT) erzeugt besonders gefährliche Angriffsflächen, auf denen Ransomware Fertigungslinien stilllegen kann – nicht nur Dateien verschlüsselt.
|
Kennwert |
Wert |
Quelle |
|
Angriffe auf den Industriesektor 2025 |
2.190 (Anstieg um 54 % im Jahresvergleich; 28 % aller Vorfälle) |
NCC Group Bedrohungsanalyse-Bericht 2026 |
|
Weltweit von Ransomware betroffene Industriebetriebe 2025 |
3.300 (gegenüber 1.693 im Jahr 2024) |
Dragos, Februar 2026 |
|
Häufigstes angegriffenes Teilsegment der Industrie |
Fertigung, gefolgt von Transportwesen |
Dragos, Februar 2026 |
|
Kosten von Ausfallzeiten in der Fertigung seit 2018 |
Über 17 Milliarden US-Dollar |
Comparitech / VikingCloud Schätzung |
|
Vor der Verschlüsselung abgewehrte Angriffe auf Fertigungsbetriebe 2025 |
50 % (starker Anstieg gegenüber 26 % im Jahr 2024) |
Sophos Ransomware-Status in der Fertigung 2025 |
|
Angriffe mit nachfolgender Datenverschlüsselung (Fertigung) |
40 % (niedrigster Wert seit 5 Jahren, Rückgang von 74 % im Jahr 2024) |
Sophos Ransomware-Status in der Fertigung 2025 |
|
Anstieg von Lieferkettenangriffen im Jahresvergleich |
93 % (von 154 im Jahr 2024 auf 297 im Jahr 2025) |
BackBox, zitiert von CyberOne Security |
Die verbesserte Fähigkeit der Fertigungsbranche, Angriffe vor der Verschlüsselung abzuwehren – 50 % werden vor der Verschlüsselung abgefangen – ist ein seltener Lichtblick. Aber Angreifer haben sich angepasst: Reine Erpressungsangriffe ohne Verschlüsselung, bei denen nur Datendiebstahl und die Androhung der Veröffentlichung im Vordergrund stehen, stiegen von 49 % aller Fälle im ersten Halbjahr 2025 auf 65 % im zweiten Halbjahr 2025 (Resilience, Februar 2026).
Bildungs- und Behördenbranchen tragen eine doppelte Last: Sie speichern sensible personenbezogene Daten, arbeiten aber mit begrenzten Budgets und veralteter Infrastruktur. Behörden erlebten 2025 die größte Anzahl an Cyberangriffskampagnen, während Angriffe im Bildungsbereich um 63 % im Jahresvergleich stiegen.
|
Kennwert |
Wert |
Quelle |
|
Bedrohungskampagnen gegen Behörden 2025 |
274 (höchster Wert aller Branchen) |
HPE Threat Labs, März 2026 |
|
Ransomware-Angriffe auf Bildungseinrichtungen 2025 |
251 (60 % der britischen Mittelschulen, 85 % der Fachhochschulen, 91 % der Universitäten) |
Comparitech / Kaspersky, März 2026 |
|
Verletzte Bildungsdatensätze 2025 |
3,96 Millionen (Anstieg gegenüber 3,11 Millionen im Jahr 2024) |
Comparitech, März 2026 |
|
Anstieg der Angriffe auf Hochschulen |
63 % (von 260 auf 425 Vorfälle) |
Quorum Cyber, Globaler Cyber-Risiko-Ausblick 2026 |
|
Ausfallkosten durch Ransomware bei US-Behörden (2018–2024) |
Über 1 Milliarde US-Dollar |
VikingCloud / Comparitech |
|
Anstieg der Ransomware-Angriffe auf Behörden im H1 2025 |
65 % im Jahresvergleich (208 Angriffe) |
VikingCloud / Comparitech |
|
Schulbezirke ohne spezialisierten Cybersicherheitsmitarbeiter (Grund- und Mittelschulen) |
66 % |
VikingCloud / Branchendaten |
Öffentliche Verwaltungen und das Gesundheitswesen lagen im ersten Quartal 2026 gleichauf als am häufigsten angegriffene Branchen mit jeweils 24 % der Einsätze von Cisco Talos Incident Response – das dritte Quartal in Folge, in dem öffentliche Verwaltungen die Liste anführten (Cisco Talos, Bericht zu den IR-Trends Q1 2026).
Eine der folgenreichsten taktischen Verschiebungen des Jahres 2025 ist der Aufstieg der ausschließlich datenraubbasierten Erpressung, die vollständig auf Verschlüsselung verzichtet. Nach Angaben des Cybersicherheitsrisikounternehmens Resilience stieg der Anteil rein erpresserischer Angriffe von 49 % im ersten Halbjahr 2025 auf 65 % im zweiten Halbjahr. Dies verändert die Verteidigungsgleichung grundlegend: Sicherungskopien, lange Zeit der Goldstandard für die Wiederherstellung nach Ransomware-Angriffen, können keine Datenerpressung verhindern, wenn Angreifer Daten stehlen, ohne jemals eine Verschlüsselung durchzuführen.
|
Kennwert |
Wert |
Quelle |
|
Doppel-Erpressungsangriffe (Verschlüsselung + Datendiebstahl) |
70 % aller Ransomware-Schadenmeldungen |
Coalition, Cyber-Schadenbericht 2026 |
|
Datenexfiltration bei allen Ransomware-Angriffen |
96 % der Angriffe beinhalteten eine Datenexfiltration |
BlackFog / Vectra AI, Februar 2026 |
|
Rein erpresserische Angriffe H2 2025 |
65 % aller Erpressungsfälle (Anstieg von 49 % im H1) |
Resilience, Februar 2026 |
|
Phishing als initialer Zugangsvektor (Q1 2026) |
Mehr als ein Drittel aller Incident-Response-Einsätze |
Cisco Talos, Incident-Response-Trendbericht Q1 2026 |
|
VPN/Remote-Zugriff als initialer Vektor |
Ca. 73 % der Angriffe 2025 begannen mit der Ausnutzung von VPN-Schwachstellen |
Insurtech Curated, April 2026 |
|
Angriffe unter Ausnutzung von RDP-Schwachstellen |
34 % aller Ransomware-Eintrünge |
Medhacloud, 2026 |
|
Mediane Verweildauer im System |
14 Tage (Anstieg von 11 Tagen im Jahr 2024) |
Mandiant M-Trends 2026 |
|
Mediane Zeit von initialem Zugriff bis Übergabe an Erpresser |
22 Sekunden (Rückgang von mehr als 8 Stunden im Jahr 2022) |
Mandiant M-Trends 2026 |
|
Voice-Phishing als initialer Vektor |
11 % aller Einbrüche (zweithäufigste Methode) |
Mandiant M-Trends 2026 |
|
Anteil von Ransomware-as-a-Service an allen Angriffen |
67 % |
Medhacloud / diverse Quellen, 2026 |
Der drastische Rückgang der Übergabezeit – von über acht Stunden im Jahr 2022 auf nur 22 Sekunden im Jahr 2025 – zeigt die Industrialisierung der Angriffslieferkette. Initial Access Broker (IAB), die kompromittierte Netzwerkzugänge an Ransomware-Betreiber verkaufen, erzielten im ersten Quartal 2023 durchschnittlich etwa 1.427 US-Dollar, im ersten Quartal 2026 nur noch 439 US-Dollar. Dies lässt sich auf Automatisierung, KI-gestützte Tools und ein Überangebot zurückführen (Chainalysis, Krypto-Kriminalitätsbericht 2026).
Die Kluft zwischen der Einschätzung von Unternehmen bezüglich ihrer Wiederherstellungsfähigkeiten und den tatsächlichen Ergebnissen vergrößert sich gefährlich. Während 90 % der Cybersicherheitsverantwortlichen davon ausgehen, nach einem Cybervorfall schnell wiederherstellen zu können, gelang es nur 28 % der von Ransomware betroffenen Unternehmen, sämtliche Daten vollständig wiederherzustellen. Im Durchschnitt können Unternehmen nach einem Ransomware-Angriff lediglich 72 % der betroffenen Daten wiederherstellen.
Lücke zwischen Einschätzung und Realität bei der Datenwiederherstellung 2025–2026:
|
Kennwert |
Wert |
Quelle |
|
Cybersicherheitsverantwortliche mit Vertrauen in schnelle Wiederherstellung |
90 % |
Veeam Datenvertrauen & Resilienz Bericht 2026 |
|
Unternehmen mit vollständiger Wiederherstellung aller Daten nach Ransomware-Angriff |
28 % |
Veeam Datenvertrauen & Resilienz Bericht 2026 |
|
Durchschnittlich wiederhergestellter Datenanteil nach Ransomware-Vorfall |
72 % der betroffenen Daten |
Veeam Datenvertrauen & Resilienz Bericht 2026 |
|
Ransomware-Opfer mit Wiederherstellung von mehr als 90 % der Daten |
10 % |
DataNumen Datenverluststatistik Bericht 2025 |
|
Von Ransomware betroffene Unternehmen 2024–2025 |
70 % |
DataNumen Datenverluststatistik Bericht 2025 |
|
Unternehmen mit erfolgreicher Wiederherstellung aus Sicherungskopien nach Verschlüsselung |
54 % (niedrigster Wert seit sechs Jahren) |
Sophos Lage der Ransomware 2025 |
|
Zahlende Opfer mit vollständiger Datenwiederherstellung |
65 % |
Medhacloud, 2026 |
|
Zahlende Opfer, die nicht funktionsfähige Wiederherstellungsschlüssel erhielten |
41 % |
Coveware / Cyber Express, Oktober 2025 |
|
Interne Erkennung von Systemeinbrüchen |
52 % (Anstieg von 43 % im Jahr 2024) |
Mandiant M-Trends 2026 |
|
24/7 MDR verhinderte Verschlüsselung bei 100 % der Akira-Angriffe |
100 % |
Coalition, Cyber-Schadenbericht 2026 |
Die Daten zeigen eine ernüchternde Bilanz: Die Zahlung eines Lösegelds garantiert weder eine Wiederherstellung noch ist sie der schnellste Weg. Nur 54 % der von Verschlüsselung betroffenen Unternehmen konnten ihre Daten aus Sicherungskopien wiederherstellen – der niedrigste Wert seit sechs Jahren. Angreifer sind deutlich besser darin geworden, Sicherungsinfrastruktur zu finden und außer Funktion zu setzen, bevor sie eine Verschlüsselung durchführen (Sophos Lage der Ransomware 2025). Für Unternehmen, die ihre Datenresilienz prüfen, kann die Investition in abgesicherte, unveränderbare Sicherungslösungen mit regelmäßigen Wiederherstellungstests den Unterschied zwischen einer 24-stündigen Störung und einem mehrwöchigen Ausfall ausmachen.
Kleine und mittlere Unternehmen sind keine Kollateralschäden bei Ransomware-Kampagnen – sie sind das primäre Ziel. 88 % aller Datenschutzverletzungen bei KMU im Jahr 2025 gingen mit Ransomware einher, mehr als doppelt so viel wie die 39 % bei Großunternehmen. Die Ungleichheit ist gravierend: KMU erleiden etwa viermal so viele bestätigte Sicherheitsverletzungen wie Großkonzerne, verfügen aber nur über einen Bruchteil der Sicherheitsressourcen.
Ransomware-Belastung von KMU und Großunternehmen 2025:
|
Kennwert |
Wert |
Quelle |
|
Datenschutzverletzungen bei KMU mit Ransomware-Beteiligung |
88 % (gegenüber 39 % bei Großunternehmen) |
Verizon DBIR 2025 |
|
Häufigkeit von Datenschutzverletzungen bei KMU im Vergleich zu Großunternehmen |
Ca. viermal mehr bestätigte Sicherheitsvorfälle |
Verizon DBIR 2025 |
|
KMU mit mindestens einem Cyberangriff im Jahr 2025 |
80 % |
Spacelift / diverse Quellen, 2026 |
|
KI-gesteuerte Vorfälle bei KMU |
41 % aller Cyberangriffe auf KMU |
Spacelift / diverse Quellen, 2026 |
|
Durchschnittliche Kosten einer Datenschutzverletzung (Unternehmen mit weniger als 500 Mitarbeitern) |
3,31 Millionen US-Dollar |
IBM Kosten einer Datenschutzverletzung Bericht 2025 |
|
KMU mit formellem Incident-Response-Plan |
34 % |
Spacelift / diverse Quellen, 2026 |
|
KMU mit aktivierter Mehrfaktorauthentifizierung (MFA) |
35 % (65 % nutzen keine MFA) |
Spacelift / diverse Quellen, 2026 |
|
Durchschnittliche Ausfallzeit von KMU nach Ransomware-Angriff |
24 Tage |
Verizon DBIR 2025 |
|
KMU, die nach einem Cyberangriff Insolvenz anmelden oder den Betrieb einstellen |
Ca. 20 % (jedes Fünfte) |
Mastercard KMU-Cybersicherheitsstudie 2025 |
|
Zero-Day-Exploits mit Angriffsziel KMU |
Anstieg um 267 % im Jahr 2025 |
Spacelift / SonicWall, 2026 |
|
Insider-Angriffe auf KMU |
Anstieg um 85 % im Jahr 2024; durchschnittliche Kosten 812.000 US-Dollar pro Vorfall |
Spacelift / Branchendaten |
Eine Mastercard-Umfrage unter mehr als 5.000 KMU-Besitzern ergab, dass fast jedes Fünfte Unternehmen, das einen Cyberangriff erlitten hat, Insolvenz anmeldete oder den Betrieb einstellte. 80 % der Betroffenen mussten viel Zeit investieren, um das Vertrauen von Kunden und Geschäftspartnern wiederherzustellen (Mastercard KMU-Cybersicherheitsstudie, 2025). Die weit verbreitete Aussage, dass „60 % kleiner Unternehmen innerhalb von sechs Monaten nach einem Angriff schließen“, wurde von der National Cybersecurity Alliance offiziell widerlegt – die tatsächlichen Zahlen sind jedoch ohne Übertreibung alarmierend genug.
Für KMU ohne eigenes Sicherheitsteam senkt die Auslagerung von Sicherheitsüberwachung und Sicherungsverwaltung an Managed Service Provider das Ransomware-Risiko um bis zu 60 % im Vergleich zu selbstverwalteten Umgebungen (Medhacloud, 2026).
Internationale Strafverfolgungsmaßnahmen wurden im Jahr 2025 deutlich ausgeweitet. Ziel sind nicht nur einzelne Ransomware-Gruppen, sondern auch die dahinterstehende Infrastruktur. Bei der Operation Synergia III von Interpol wurden zwischen Juli 2025 und Januar 2026 mehr als 45.000 bösartige IP-Adressen und Server außer Betrieb gesetzt. Es gab 94 Festnahmen, weitere 110 Personen stehen unter Ermittlung.
Strafverfolgungsmaßnahmen gegen Ransomware 2025–2026:
|
Kennwert |
Wert |
Quelle |
|
Durch Operation Synergia III von Interpol außer Betrieb gesetzte bösartige IP-Adressen |
Mehr als 45.000 |
Interpol, März 2026 |
|
An der Operation Synergia III beteiligte Länder |
72 |
Interpol, März 2026 |
|
Durchgeführte Festnahmen |
94 (110 weitere Personen unter Ermittlung) |
Interpol, März 2026 |
|
2025 vom FBI identifizierte neue Ransomware-Varianten |
63 (ca. 5,25 pro Monat) |
FBI IC3 Jahresbericht 2025 |
|
Durch Play-Ransomware-Gruppe kompromittierte Unternehmen (Stand Mai 2025) |
Ca. 900 (Anstieg von 300 im Oktober 2023) |
Gemeinsame Mitteilung von CISA und FBI, Januar 2026 |
|
Wachstum des CISA-KEV-Katalogs im Jahr 2025 |
20 % (darunter 24 von Ransomware-Gruppen ausgenutzte Schwachstellen) |
Cyble / CISA, Januar 2026 |
|
Rang von LockBit 3.0 nach den Strafverfolgungsmaßnahmen |
Völlig aus den Top 10 gefallen |
NCC Group Bedrohungsanalysebericht 2026 |
|
Chainalysis: Angriffsziel der Strafverfolgung war die Infrastrukturebene |
Bulletproof-Hosting-Anbieter, Malware-Ladetools |
Chainalysis, Krypto-Kriminalitätsbericht 2026 |
Das FBI identifizierte im Jahr 2025 insgesamt 63 neue Ransomware-Varianten. Die größten Auswirkungen hatten Akira, Qilin, RansomHub, LockBit und Medusa auf kritische Branchen wie Gesundheitswesen, Fertigung und staatliche Einrichtungen (FBI IC3 Jahresbericht 2025). Allein die Play-Ransomware-Gruppe hatte bis Mai 2025 etwa 900 Unternehmen kompromittiert – eine Verdreifachung der 300 Fälle vom Oktober 2023 (Gemeinsame Mitteilung von CISA und FBI).
|
Kennwert |
Wert |
Quelle |
|
Jährlicher Anstieg der Ransomware-Angriffe 2025 |
50 % (7.874 gemeldete Vorfälle) |
NCC Group 2026 |
|
Ransomware-Fälle im Darknet 2025 |
9.251 (Anstieg um 45 % zum Vorjahr) |
NordStellar 2026 |
|
Zahlungsrate (Opfer, die Lösegeld zahlen) |
28 % (Allzeitniedrigwert) |
Chainalysis 2026 |
|
Gesamtbetrag der auf der Blockchain getätigten Lösegeldzahlungen 2025 |
820 Millionen US-Dollar (Rückgang um 8 %) |
Chainalysis 2026 |
|
Medianwert des gezahlten Lösegelds 2025 |
59.556 US-Dollar (Anstieg um 368 %) |
Chainalysis 2026 |
|
Durchschnittliche anfängliche Lösegeldforderung |
Mehr als 1 Million US-Dollar (Anstieg um 47 %) |
Coalition 2026 |
|
Durchschnittliche Gesamtkosten pro Angriffsvorfall |
5,08 Millionen US-Dollar |
IBM 2025 |
|
Durchschnittliche Wiederherstellungskosten (ohne Lösegeld) |
1,53 Millionen US-Dollar |
Sophos 2025 |
|
Unternehmen, die sich weigern, Lösegeld zu zahlen |
86 % (Versicherungsnehmer von Coalition) |
Coalition 2026 |
|
Doppel-Erpressungsangriffe |
70 % aller Ransomware-Schadenmeldungen |
Coalition 2026 |
|
Datenschutzverletzungen bei KMU mit Ransomware |
88 % (gegenüber 39 % bei Großunternehmen) |
Verizon DBIR 2025 |
|
Durchschnittliche Kosten einer Datenschutzverletzung im Gesundheitswesen |
10,22 Millionen US-Dollar (höchster Wert aller Branchen) |
IBM 2025 |
|
Anteil der Fertigungsbranche an allen Angriffen |
28 % (2.190 Angriffe) |
NCC Group 2026 |
|
Unternehmen mit vollständiger Datenwiederherstellung nach Angriff |
28 % |
Veeam 2026 |
|
Weltweite Ausgaben für Cybersicherheit Prognose 2026 |
244 Milliarden US-Dollar |
Gartner 2026 |
|
Aktive unterschiedliche Erpressergruppen |
85 |
Chainalysis 2026 |
|
Durch Interpol außer Betrieb gesetzte bösartige IP-Adressen |
Mehr als 45.000 |
Interpol 2026 |
|
Durchschnittliche Ausfallzeit von KMU nach Angriff |
24 Tage |
Verizon DBIR 2025 |
|
Anstieg der Lieferkettenangriffe zum Vorjahr |
93 % |
BackBox / CyberOne 2026 |
|
Prognostizierte weltweite Schäden durch Ransomware 2026 |
74 Milliarden US-Dollar (Prognosewert) |
Branchenschätzungen |
Methodik und Quellen:
Dieser Bericht legt den Fokus auf Primärdaten aus Originalforschungsberichten, Umfragen, behördlichen Dokumenten, wissenschaftlichen Arbeiten und offiziellen Unternehmensveröffentlichungen. Soweit möglich wurden alle Statistiken mit mindestens einer unabhängigen Quelle abgeglichen. Wir wenden einen Aktualitätsstandard an, der Daten aus 2025–2026 bevorzugt; Zahlen vor 2024 werden ausdrücklich als „aktuellste verfügbare Daten“ gekennzeichnet. Marktgrößenprognosen und Wachstumsraten wurden bei mindestens zwei unabhängigen Forschungsinstituten geprüft. Bei zahlenbasierten Auswertungen aus Umfragen werden Stichprobengrößen und Einschränkungen der Methodik (z. B. selbst gemeldete Daten) im Kontext genannt. Keine Statistik in diesem Bericht wurde erfunden, zur dramatischen Wirkung aufgerundet oder auf unbelegten Aussagen basiert.
Zitierte Primärquellen:
Zuletzt aktualisiert: Mai 2026. Diese Seite wird quartalsweise mit den neuesten Daten aller Primärquellen aktualisiert.
