Für diese Auswertung wurden alle 350 Fälle mit Deutschlandbezug betrachtet, die ransomware.live im Jahr 2026 erfasst hat (2026-01-02 bis 2026-09-15). Für 207 davon liegt eine Erkennung genutzter Cloud- und SaaS-Dienste vor, für 143 nicht. Insgesamt wurden 55 verschiedene Dienste erkannt.
Am häufigsten taucht Microsoft 365 auf: in 143 der 207 Fälle mit Angabe (69 Prozent).
Dahinter folgen Global Sign (8), HubSpot (7), DocuSign (6), Mailchimp (6), Mailjet (6), Salesforce (6), Zendesk (6), Zoom (6), KnowBe4 (5), Miro (5), Proofpoint Essentials (5), Stripe (5), Teamviewer (5), TrendMicro (5), Zoho Campaigns (5), Have I Been Pwned (4), Mailgun (4), Mimecast (4), 1Password (3), JamF (3), OneTrust (3), OpenIA (3), Proofpoint (3). Weitere 22 Dienste kamen auf ein bis zwei Nennungen.
Verlauf nach Monaten
Je Monat die vier meistgenannten Dienste. Die Balken sind innerhalb einer Karte skaliert, lassen sich also nicht zwischen Monaten vergleichen.
Wie diese Zahlen zu lesen sind
Die Dienste werden von ransomware.live aus dem öffentlich sichtbaren Fingerabdruck der Opferdomain abgeleitet, etwa aus DNS-Einträgen. Die Angabe bedeutet also: Dieses Unternehmen nutzt den Dienst. Sie bedeutet nicht, dass der Dienst am Angriff beteiligt war oder ihn ermöglicht hat.
Aus dieser Verteilung lässt sich kein Risikovergleich ableiten. Dafür fehlt der Vergleichswert: Wie verbreitet die genannten Dienste unter den nicht betroffenen Unternehmen sind, geht aus den Daten nicht hervor. Ein Dienst steht hier vor allem deshalb weit oben, weil er allgemein weit verbreitet ist. Die Auswertung zeigt, womit deutsche Unternehmen arbeiten, die Opfer wurden – nicht, woran sie Opfer wurden.
Datenbasis: 2026-01-02 bis 2026-09-15. Quelle: ransomware.live. Die zugrunde liegenden Fälle beruhen auf Selbstauskünften der Tätergruppen und sind nicht unabhängig verifiziert. Es werden bewusst keine betroffenen Unternehmen genannt.