Ransomware-Lagebild Deutschland KW 43/2026

In der Kalenderwoche 43/2026, also vom 12. bis zum 19. Oktober 2026, verzeichneten die deutschen Systeme sieben Fälle von Ransomware. Dieser Wert stellt einen Rückgang von drei Fällen im Vergleich zur Vorwoche dar, wobei die Gesamtzahl der Fälle in den letzten dreißig Tagen bei 33 liegt und im Zeitraum davor bei 37 Fällen lag. Der Wochendurchschnitt über die letzten dreißig Tage beträgt somit 7,7 Fälle pro Woche. Diese Entwicklung zeigt eine leichte Reduktion der Angriffe im aktuellen Berichtszeitraum, auch wenn die Gesamtzahl der Vorfälle in den letzten Monaten noch vergleichsweise hoch bleibt.

Welche Branchen betroffen sind

In der aktuellen Woche waren insgesamt fünf Branchen von Ransomware-Fällen betroffen. Die Branche Professional Services verzeichnete mit einem Fallzahl von eins eine Reduktion um zwei Fälle im Vergleich zur Vorwoche, was auf eine leichte Beruhigung in diesem Sektor hindeutet. Die Kategorie Other verzeichnete ebenfalls einen Rückgang von einem Fall im Vergleich zur Vorwoche. Im Gesundheitswesen und im Transportwesen blieben die Fallzahlen unverändert bei jeweils einem Fall, was auf eine stabile Angriffsintensität hinweist.

Im Gegensatz dazu zeigten die Branchen Manufacturing, Education und Technology keine neuen Fälle in dieser Woche. Die Branche Manufacturing verzeichnete zwar einen Rückgang von zwei Fällen gegenüber der Vorwoche, aber es gab keine neuen Betroffenheiten. Auch im Sektor Education und Technology gab es keinen Anstieg oder Rückgang im Vergleich zur Vorwoche, was darauf hindeutet, dass diese Bereiche aktuell nicht neu betroffen sind. Die Datenlage zeigt, dass die Angriffe in den letzten Wochen stärker auf spezifische Sektoren konzentriert waren, während andere Bereiche eine geringere Aktivität aufweisen.

Welche Gruppen aktiv waren

In der aktuellen Woche waren sieben Tätergruppen aktiv und waren für die gemeldeten Fälle verantwortlich. Zu diesen aktiven Gruppen zählen bravox, cloak, N0n, play, qilin, thegentlemen und Wallstreet. Diese Gruppen stellen die primären Akteure dar, die in den Berichtszeitraum hinein Ransomware-Aktivitäten in Deutschland durchführen.

Es ist festzuhalten, dass vier dieser Tätergruppen – bravox, cloak, N0n und Wallstreet – zuletzt nicht in den Deutschland-Daten der letzten neunzig Tage auftauchten. Dies bedeutet jedoch nicht, dass sie neu sind oder ihre Aktivitäten eingestellt haben; es zeigt lediglich, dass diese spezifischen Gruppen in der jüngsten Vergangenheit keine gemeldeten Fälle in diesem Bericht erfasst haben. Die Tatsache, dass sieben unterschiedliche Gruppen aktiv waren, unterstreicht die hohe Diversität der Bedrohungslandschaft und die Notwendigkeit einer breiten Abwehrstrategie.

Was das für die Praxis heißt

Die aktuelle Lage, gekennzeichnet durch eine leichte Reduktion der Fälle im Vergleich zur Vorwoche, erfordert weiterhin höchste Wachsamkeit seitens aller IT-Verantwortlichen im Mittelstand und in kritischen Infrastrukturen. Die Tatsache, dass verschiedene Tätergruppen aktiv sind, verdeutlicht, dass die Angriffe nicht auf eine einzelne Schwachstelle abzielen, sondern auf die allgemeine Sicherheitslage der Organisationen.

Um sich gegen diese vielfältigen Bedrohungen zu wappnen, sind grundlegende Maßnahmen unerlässlich und müssen konsequent umgesetzt werden. Dazu gehört die Sicherstellung von Backups, die regelmäßig offline gespeichert und getestet werden, um die Wiederherstellbarkeit kritischer Systeme zu gewährleisten. Darüber hinaus ist der Einsatz von Multi-Faktor-Authentifizierung (MFA) für sämtliche Zugänge zwingend erforderlich, um den Zugriff durch unbefugte Akteure zu minimieren. Ein kontinuierliches Patchmanagement stellt sicher, dass bekannte Sicherheitslücken geschlossen werden, bevor sie von Angreifern ausgenutzt werden können. Zudem muss ein klar definierter Notfallplan existieren und regelmäßig geübt werden, um im Falle eines Angriffs eine koordinierte und schnelle Reaktion zu ermöglichen.

Einordnung der Datenlage

Die vorliegenden Zahlen stammen von Berichten, die aggregiert sind und nicht unabhängig geprüft wurden. Es ist wichtig zu verstehen, dass diese Daten die gemeldeten Fälle darstellen und nicht das tatsächliche Ausmaß aller Ransomware-Angriffe in Deutschland. Die Angaben zu den Tätergruppen sind Selbstauskünfte der Gruppen und stellen keine unabhängige Bestätigung ihrer Fähigkeiten oder Herkunft dar. Die Schwankungen der Wochenzahlen sollten im Kontext des 30-Tage-Durchschnitts betrachtet werden, um Trends korrekt zu beurteilen. Diese Berichte dienen als Indikator für die aktuelle Bedrohungslage, erfordern jedoch keine Panik, sondern vielmehr eine proaktive und robuste Sicherheitsstrategie.

Branchen im Wochenvergleich

Ohne neue Fälle in dieser Woche: Manufacturing, Education, Technology, Energy & Utilities, Hospitality, Retail & E-Commerce.

Datenbasis: 2026-10-12 bis 2026-10-19, Vergleichswoche 2026-10-05 bis 2026-10-12. Quelle: ransomware.live. Die Einträge beruhen auf Selbstauskünften der Tätergruppen auf deren Leak-Seiten. Sie sind nicht unabhängig verifiziert, die Länderzuordnung ist fehleranfällig, und einzelne Fälle können falsch oder veraltet sein. Es werden bewusst keine Unternehmen genannt.