Fälle in der Kalenderwoche 40/2026 betrugen drei Fälle, was im Vergleich zur Vorwoche eine deutliche Reduktion von neun Fällen darstellt. Die Gesamtzahl der gemeldeten Ransomware-Fälle in den letzten dreißig Tagen liegt bei siebenundzwanzig. Dieser Wert ist im Verhältnis zum Durchschnitt der letzten dreißig Tage von sechs Komma drei pro Woche zu sehen, was auf eine insgesamt leicht gedämpfte Aktivität hindeutet. Die Entwicklung zeigt einen Rückgang von neun Fällen auf drei Fälle innerhalb einer Woche, was die aktuelle Lage im Vergleich zur unmittelbaren Vergangenheit als weniger intensiv erscheinen lässt.
Welche Branchen betroffen sind
Die Berichte zeigen eine differenzierte Betroffenheit verschiedener Sektoren in der aktuellen Woche. Im Gesundheitswesen wurden in dieser Woche einen Fall gemeldet, während in der Vorwoche drei Fälle auftraten, was einer Reduktion von zwei Fällen entspricht. Die Betroffenheit im Bereich der Dienstleistungsbranche blieb mit einem Fall unverändert.
Im Transportsektor verzeichnete die aktuelle Woche einen neuen Fall, obwohl in der Vorwoche keine Meldungen vorlagen. Dies deutet auf eine neue Angriffsfläche hin, die in diesem Sektor aktuell besonders relevant ist. Die Technologiebranche meldete in dieser Woche keine neuen Fälle, obwohl sie in der Vorwoche zwei Fälle verzeichnete. Ebenso zeigten die Bereiche Bildung, Fertigung und Ohne Branchenangabe keine neuen Fälle in der aktuellen Woche, auch wenn sie in der Vorwoche jeweils einen Fall meldeten.
Insgesamt sind drei Branchen in dieser Woche mit Ransomware-Fällen betroffen, während elf weitere Branchen keine neuen Meldungen ergingen. Diese Verteilung verdeutlicht, dass die Bedrohung nicht homogen über alle Sektoren verteilt ist, sondern spezifische Bereiche im Fokus der Angreifer haben.
Welche Gruppen aktiv waren
In der aktuellen Woche waren drei Tätergruppen aktiv, darunter anubis, emperador und shinyhunters. Jede dieser Gruppen meldete jeweils einen Fall, was eine gleichmäßige Verteilung der Aktivitäten innerhalb der Gruppe widerspiegelt. Die Meldungen von diesen Gruppen sind Selbstauskünfte und stellen keine unabhängige Prüfung dar.
Besondere Aufmerksamkeit verdient die Beobachtung der Tätergruppen, die in den neunzig Tagen davor nicht in den Deutschland-Daten auftauchten. Hierzu zählen die Gruppen emperador und shinyhunters. Es ist wichtig zu betonen, dass das Fehlen einer Meldung in diesem Zeitraum nicht bedeutet, dass diese Gruppen nicht existieren oder ihre Fähigkeiten nicht besitzen; es bedeutet lediglich, dass sie zuletzt keine Fälle in den veröffentlichten Daten dieser Region gemeldet haben. Die kontinuierliche Beobachtung dieser Aktivitäten ist essenziell, um die sich ändernden Bedrohungslagen adäquat zu bewerten.
Was das für die Praxis heißt
Die aktuellen Zahlen und die spezifische Verteilung der Angriffe unterstreichen die Notwendigkeit robuster Sicherheitsstrategien, insbesondere für Unternehmen in kritischen Sektoren wie dem Transportwesen oder im Gesundheitswesen. Die Reduzierung der Fallzahlen im Vergleich zur Vorwoche ist zwar positiv, sollte jedoch nicht als Ende der Bedrohung interpretiert werden; die Angreifer passen ihre Taktiken ständig an.
Für IT-Verantwortliche im Mittelstand und in kritischen Infrastrukturen bedeutet dies eine dringende Fokussierung auf Prävention und Wiederherstellung. Die Implementierung von Backups, die offline und regelmäßig getestet werden, ist nicht länger optional, sondern eine zwingende Voraussetzung für den Betrieb unter Ransomware-Bedrohung. Darüber hinaus muss der Fernzugriff durch Multi-Faktor-Authentifizierung gesichert werden, um unbefugten Zugriff zu verhindern. Ein gut geübter Notfallplan, der klare Kommunikationswege und Wiederherstellungsschritte festlegt, ist ebenso entscheidend wie technische Schutzmaßnahmen. Die Tatsache, dass spezifische Tätergruppen aktiv sind, erfordert zudem eine ständige Überwachung von Bedrohungslandschaften und die Anpassung der Sicherheitsmaßnahmen an aktuelle Taktiken.
Einordnung der Datenlage
Die vorliegenden Zahlen stammen aus den Berichten von ransomware.live und stellen eine aggregierte Sicht auf die Lage in Deutschland dar. Es ist wichtig zu verstehen, dass diese Daten Selbstauskünfte der Tätergruppen sind und keine unabhängige, tiefgehende forensische Analyse aller betroffenen Systeme abbilden. Die Schwankungen der Wochenzahlen müssen stets im Kontext des 30-Tage-Schnitts und des wöchentlichen Durchschnitts betrachtet werden, um tatsächliche Trends zu erkennen. Während die aktuelle Woche eine Reduktion der Fälle gegenüber der Vorwoche aufweist, zeigen die Gesamtwerte der letzten dreißig Tage eine insgesamt hohe Zahl an gemeldeten Vorkommnissen. Diese Daten dienen als wichtige Indikatoren für das allgemeine Risiko und unterstreichen die Notwendigkeit einer proaktiven, umfassenden Sicherheitskultur in allen betroffenen Branchen.
Branchen im Wochenvergleich
| Branche | Diese Woche | Vorwoche | Differenz |
|---|---|---|---|
| Healthcare | 1 | 3 | -2 |
| Professional Services | 1 | 1 | 0 |
| Transportation | 1 | 0 | +1 |
| Technology | 0 | 2 | -2 |
| Education | 0 | 1 | -1 |
| Manufacturing | 0 | 1 | -1 |
| Ohne Branchenangabe | 0 | 1 | -1 |
Ohne neue Fälle in dieser Woche: Technology, Education, Manufacturing, Ohne Branchenangabe, Agriculture and Food Production, Energy & Utilities, Financial Services, Government & Defense, Hospitality, Other, Retail & E-Commerce.
Datenbasis: 2026-09-21 bis 2026-09-28, Vergleichswoche 2026-09-14 bis 2026-09-21. Quelle: ransomware.live. Die Einträge beruhen auf Selbstauskünften der Tätergruppen auf deren Leak-Seiten. Sie sind nicht unabhängig verifiziert, die Länderzuordnung ist fehleranfällig, und einzelne Fälle können falsch oder veraltet sein. Es werden bewusst keine Unternehmen genannt.