Ransomware-Lagebild Deutschland KW 44/2026

In der aktuellen Kalenderwoche gab es mit neun Fällen von Ransomware in Deutschland. Diese Zahl stellt einen deutlichen Anstieg im Vergleich zur Vorwoche dar, da acht Fälle in der vergangenen Woche gemeldet wurden. Dieser Anstieg von elf Fällen spiegelt eine erhöhte Bedrohungslage wider und erfordert eine sofortige Aufmerksamkeit aller IT-Verantwortlichen im Mittelstand sowie in kritischen Infrastrukturen. Betrachtet man die Entwicklung über den letzten Monat, sind insgesamt 48 Fälle zu verzeichnen, was einen signifikanten Anstieg gegenüber den 29 Fällen der vorausgehenden 30 Tage bedeutet. Der wöchentliche Durchschnitt über diesen Zeitraum liegt bei 11,2 Fällen pro Woche, was die anhaltend hohe Aktivität der Angreifer verdeutlicht und eine kontinuierliche Wachsamkeit im Bereich der Cybersicherheit unabdingbar macht.

Welche Branchen betroffen sind

In dieser Berichtsperiode waren insgesamt acht Branchen von Ransomware-Angriffen betroffen. Insbesondere der Sektor Manufacturing verzeichnete neun Fälle, was einen deutlichen Anstieg von null Fällen in der Vorwoche bedeutet und darauf hindeutet, dass diese Branche neu betroffen ist. Auch im Bereich Energy & Utilities gab es zwei neue Fälle, was eine erhöhte Aufmerksamkeit für die Resilienz dieser kritischen Bereiche erfordert. Die Landwirtschaft und Lebensmittelproduktion sowie die Bildungseinrichtungen verzeichneten ebenfalls jeweils einen neuen Fall, was auf eine breite Verteilung der Bedrohung hindeutet.

Im Gegensatz dazu zeigten einige Sektoren keine neuen Fälle in dieser Woche. Die Gesundheitsbranche und die Gastgewerbe meldeten keine neuen Angriffe, obwohl sie in der Vorwoche jeweils einen Fall verzeichneten. Auch der Transportsektor erlebte keine neuen Fälle. Im Bereich Professional Services blieben die Zahlen unverändert bei einem Fall, was auf eine stabile Betroffenheit hindeutet. Die Datenlage zeigt, dass die Bedrohung nicht auf eine einzelne Branche beschränkt ist, sondern sich über verschiedene Sektoren verteilt, wobei die jüngsten Entwicklungen in der Fertigung und im öffentlichen Sektor besonders bemerkenswert sind.

Welche Gruppen aktiv waren

In dieser Woche waren acht unterschiedliche Tätergruppen aktiv, die für die Angriffe verantwortlich waren. Die Aktivität konzentrierte sich auf mehrere bekannte Akteure wie lamashtu mit fünf Fällen, payload mit vier Fällen sowie qilin mit drei Fällen. Weitere aktive Gruppen waren akira (zwei Fälle), emperador (zwei Fälle), Deadlock (ein Fall), everest (ein Fall) und rhysida (ein Fall). Die Tatsache, dass acht verschiedene Tätergruppen aktiv waren, unterstreicht die Komplexität der aktuellen Bedrohungslage und die Vielzahl an Angriffsmethoden, die im Umlauf sind.

Es ist festzuhalten, dass eine spezifische Gruppe, Deadlock, in den letzten neunzig Tagen nicht in den Deutschland-Daten auftauchte. Dies bedeutet jedoch keineswegs, dass die Gruppe neu ist oder ihre Existenz in der Cybersicherheitslandschaft nicht belegt. Die Daten sind Selbstauskünfte der Tätergruppen und stellen keine unabhängige Prüfung dar. Dennoch signalisiert das Fehlen einer jüngsten Aktivität eine temporäre Reduktion ihrer Sichtbarkeit in den spezifischen deutschen Berichten, was die Notwendigkeit besteht, stets neue Bedrohungen zu identifizieren.

Was das für die Praxis heißt

Die erhöhte Fallzahl und die Diversifizierung der Tätergruppen machen es für IT-Verantwortliche im Mittelstand und in kritischen Infrastrukturen zwingend erforderlich, ihre Sicherheitsstrategien zu überprüfen und zu verstärken. Die Angriffe sind nicht mehr isolierte Vorfälle, sondern stellen eine systemische Bedrohung dar, die eine proaktive Verteidigung erfordert. Eine der wichtigsten Maßnahmen ist die Sicherstellung robuster Backup-Strategien, bei denen Backups regelmäßig offline und separat von den Netzwerken getestet werden. Nur durch diese Methode kann gewährleistet werden, dass im Falle eines erfolgreichen Ransomware-Angriffs eine sichere Wiederherstellung ohne Kompromittierung der Daten möglich ist.

Darüber hinaus muss die Implementierung einer starken Multi-Faktor-Authentifizierung (MFA) für sämtliche Zugänge und die konsequente Anwendung von Patch-Management-Prozessen Priorität erhalten. Viele Angriffe nutzen bekannte Schwachstellen, weshalb ein aktueller Patchstand essenziell ist, um die Eintrittspforten für die Angreifer zu minimieren. Zudem ist die Entwicklung und regelmäßige Übung eines umfassenden Notfallplans unerlässlich. Dieser Plan muss klare Kommunikationswege festlegen und definieren, wie im Falle einer Attacke schnell reagiert werden kann, um den potenziellen Schaden zu begrenzen und die Wiederherstellungszeiten zu verkürzen.

Einordnung der Datenlage

Die vorliegenden Zahlen stammen aus Berichten von ransomware.live und stellen eine aggregierte Sicht auf die Lage in Deutschland dar. Es ist wichtig zu betonen, dass diese Daten zwar einen guten Überblick über die Fallzahlen bieten, aber nicht den gesamten Umfang der tatsächlichen Bedrohung abbilden. Die Informationen sind Selbstauskünfte der Tätergruppen und sollten daher mit einer gewissen Vorsicht gelesen werden. Die starke Schwankung der wöchentlichen Zahlen – von acht Fällen in der Vorwoche auf neun Fälle in der aktuellen Woche – zeigt, dass die Dynamik der Angriffe schnell wechselt und eine kontinuierliche Überwachung notwendig ist. IT-Verantwortliche sollten diese Daten nutzen, um ihre internen Risiken zu bewerten und gezielte Maßnahmen zu ergreifen, anstatt sich von Panik treiben zu lassen.

Branchen im Wochenvergleich

Ohne neue Fälle in dieser Woche: Healthcare, Hospitality, Transportation, Retail & E-Commerce, Technology.

Datenbasis: 2026-10-19 bis 2026-10-26, Vergleichswoche 2026-10-12 bis 2026-10-19. Quelle: ransomware.live. Die Einträge beruhen auf Selbstauskünften der Tätergruppen auf deren Leak-Seiten. Sie sind nicht unabhängig verifiziert, die Länderzuordnung ist fehleranfällig, und einzelne Fälle können falsch oder veraltet sein. Es werden bewusst keine Unternehmen genannt.