Für diese Auswertung wurden alle 372 Fälle mit Deutschlandbezug betrachtet, die ransomware.live im Jahr 2026 erfasst hat (2026-01-02 bis 2026-09-30). Für 220 davon liegt eine Erkennung genutzter Cloud- und SaaS-Dienste vor, für 152 nicht. Insgesamt wurden 56 verschiedene Dienste erkannt.
Am häufigsten taucht Microsoft 365 auf: in 152 der 220 Fälle mit Angabe (69 Prozent).
Dahinter folgen Cisco (9), DocuSign (7), HubSpot (7), Mailjet (7), Miro (7), Mailchimp (6), Salesforce (6), TrendMicro (6), Zendesk (6), Zoho Campaigns (6), Zoom (6), KnowBe4 (5), Mailgun (5), Proofpoint Essentials (5), Stripe (5), Teamviewer (5), Have I Been Pwned (4), JamF (4), Mimecast (4), 1Password (3), Cisco Duo (3), OneTrust (3), OpenIA (3), Proofpoint (3), SendGrid (3). Weitere 21 Dienste kamen auf ein bis zwei Nennungen.
Verlauf nach Monaten
Je Monat die vier meistgenannten Dienste. Die Balken sind innerhalb einer Karte skaliert, lassen sich also nicht zwischen Monaten vergleichen.
Wie diese Zahlen zu lesen sind
Die Dienste werden von ransomware.live aus dem öffentlich sichtbaren Fingerabdruck der Opferdomain abgeleitet, etwa aus DNS-Einträgen. Die Angabe bedeutet also: Dieses Unternehmen nutzt den Dienst. Sie bedeutet nicht, dass der Dienst am Angriff beteiligt war oder ihn ermöglicht hat.
Aus dieser Verteilung lässt sich kein Risikovergleich ableiten. Dafür fehlt der Vergleichswert: Wie verbreitet die genannten Dienste unter den nicht betroffenen Unternehmen sind, geht aus den Daten nicht hervor. Ein Dienst steht hier vor allem deshalb weit oben, weil er allgemein weit verbreitet ist. Die Auswertung zeigt, womit deutsche Unternehmen arbeiten, die Opfer wurden – nicht, woran sie Opfer wurden.
Datenbasis: 2026-01-02 bis 2026-09-30. Quelle: ransomware.live. Die zugrunde liegenden Fälle beruhen auf Selbstauskünften der Tätergruppen und sind nicht unabhängig verifiziert. Es werden bewusst keine betroffenen Unternehmen genannt.