Laut ransomware.live gab es in der Kalenderwoche 45/2026 16 Fälle mit Deutschlandbezug, drei weniger als in der Vorwoche (19). In den letzten 30 Tagen waren es 53 Fälle, in den 30 Tagen davor 33. Gegenüber der Vorwoche ist das ein leichter Rückgang. Mit 16 Fällen liegt die Woche aber über dem 30-Tage-Schnitt von 12,4 Fällen pro Woche.
Welche Branchen betroffen sind
In dieser Woche waren neun Branchen betroffen, einschließlich „Other“ und Fällen ohne Branchenangabe. Am stärksten traf es wieder Manufacturing mit 5 Fällen, nach 9 in der Vorwoche. Technology stieg von 0 auf 2 Fälle. Neu gegenüber der Vorwoche sind Government & Defense, Healthcare und Retail & E-Commerce mit je einem Fall. Education und Professional Services blieben mit je einem Fall unverändert.
Ohne neue Fälle blieben Energy & Utilities (Vorwoche 2) sowie Agriculture and Food Production und Financial Services (Vorwoche je 1).
Welche Gruppen aktiv waren
In dieser Kalenderwoche waren sechs Tätergruppen aktiv und beteiligten sich an den gemeldeten Fällen. Die Hauptakteure sind die Gruppe qilin mit sechs Fällen, thegentlemen mit vier Fällen sowie payload mit drei Fällen. Zusätzlich waren die Tätergruppen aurora, Shiba und Whitearmor jeweils mit einem Fall beteiligt.
qilin, thegentlemen und payload stehen zusammen für 13 der 16 Fälle. Shiba und Whitearmor tauchen in dieser Woche zum ersten Mal in den Deutschland-Daten von ransomware.live auf. Neu sind die Gruppen damit nicht, ihnen war bisher nur kein Fall in Deutschland zugeordnet. Sechs aktive Gruppen in einer Woche zeigen, wie breit die Bedrohung in Deutschland verteilt ist.
Was das für die Praxis heißt
Die aktuelle Lage erfordert von IT-Verantwortlichen im Mittelstand und in kritischen Infrastrukturen eine konsequente Stärkung der Resilienz. Angesichts der Tatsache, dass neue Branchen wie Healthcare und Retail & E-Commerce betroffen sind, muss die Sicherheitsstrategie flexibel auf unterschiedliche Risikoprofile abgestimmt werden. Eine der wichtigsten Maßnahmen bleibt die Sicherstellung robuster Backup-Strategien, wobei diese Backups unbedingt offline und regelmäßig getestet werden müssen, um eine Wiederherstellung auch bei komplexen Angriffsvektoren zu gewährleisten.
Darüber hinaus ist die Implementierung von Multi-Faktor-Authentifizierung (MFA) für sämtliche Zugänge unerlässlich, weil gestohlene oder schwache Zugangsdaten zu den häufigsten Einfallstoren gehören. Wie ein Angriff im Einzelfall ablief, verraten die Leak-Seiten allerdings nicht. Ein kontinuierliches Patchmanagement stellt sicher, dass bekannte Schwachstellen geschlossen werden, bevor sie von Angreifern ausgenutzt werden können. Zudem ist die Pflege eines detaillierten Notfallplans entscheidend; dieser muss klar definieren, wie im Falle eines Angriffs zu reagieren ist, welche Kommunikationswege zu nutzen sind und welche Schritte zur Eindämmung der Schadensverluste einzuleiten sind.
Einordnung der Datenlage
Die vorliegenden Zahlen stammen von aggregierten Meldungen und stellen eine Momentaufnahme des Ransomware-Lagebildes in Deutschland dar. Es ist wichtig zu betonen, dass diese Berichte die Selbstauskünfte der Tätergruppen enthalten und nicht unabhängig geprüft sind. Die beobachteten Schwankungen in den Fallzahlen zwischen Woche und Woche spiegeln die unterschiedliche Dynamik der Angriffe wider, aber sie sollten nicht als langfristiger Trend interpretiert werden. Dass Shiba und Whitearmor erstmals in den Deutschland-Daten erscheinen, sagt nichts über ihre Fähigkeiten aus und kann auch an der fehleranfälligen Länderzuordnung liegen. IT-Verantwortliche müssen diese Daten nutzen, um proaktiv ihre Verteidigung zu stärken und die potenziellen Risiken in ihren spezifischen Umgebungen zu bewerten.
Branchen im Wochenvergleich
| Branche | Diese Woche | Vorwoche | Differenz |
|---|---|---|---|
| Manufacturing | 5 | 9 | -4 |
| Ohne Branchenangabe | 2 | 2 | 0 |
| Other | 2 | 2 | 0 |
| Technology | 2 | 0 | +2 |
| Education | 1 | 1 | 0 |
| Professional Services | 1 | 1 | 0 |
| Government & Defense | 1 | 0 | +1 |
| Healthcare | 1 | 0 | +1 |
| Retail & E-Commerce | 1 | 0 | +1 |
| Energy & Utilities | 0 | 2 | -2 |
| Agriculture and Food Production | 0 | 1 | -1 |
| Financial Services | 0 | 1 | -1 |
Ohne neue Fälle in dieser Woche: Energy & Utilities, Agriculture and Food Production, Financial Services.
Datenbasis: 2026-10-26 bis 2026-11-02, Vergleichswoche 2026-10-19 bis 2026-10-26. Quelle: ransomware.live. Die Einträge beruhen auf Selbstauskünften der Tätergruppen auf deren Leak-Seiten. Sie sind nicht unabhängig verifiziert, die Länderzuordnung ist fehleranfällig, und einzelne Fälle können falsch oder veraltet sein. Es werden bewusst keine Unternehmen genannt.