Für diese Auswertung wurden alle 335 Fälle mit Deutschlandbezug betrachtet, die ransomware.live im Jahr 2026 erfasst hat (2026-01-02 bis 2026-09-01). Für 200 davon liegt eine Erkennung genutzter Cloud- und SaaS-Dienste vor, für 135 nicht. Insgesamt wurden 53 verschiedene Dienste erkannt.
Am häufigsten taucht Microsoft 365 auf: in 138 der 200 Fälle mit Angabe (69 Prozent).
Dahinter folgen Global Sign (8), HubSpot (7), DocuSign (6), Mailchimp (6), Mailjet (6), Salesforce (6), Zendesk (6), Zoom (6), KnowBe4 (5), Miro (5), Stripe (5), Teamviewer (5), TrendMicro (5), Zoho Campaigns (5), Have I Been Pwned (4), Mailgun (4), Mimecast (4), Proofpoint Essentials (4), 1Password (3), JamF (3), Proofpoint (3). Weitere 22 Dienste kamen auf ein bis zwei Nennungen.
Verlauf nach Monaten
Je Monat die vier meistgenannten Dienste. Die Balken sind innerhalb einer Karte skaliert, lassen sich also nicht zwischen Monaten vergleichen.
Wie diese Zahlen zu lesen sind
Die Dienste werden von ransomware.live aus dem öffentlich sichtbaren Fingerabdruck der Opferdomain abgeleitet, etwa aus DNS-Einträgen. Die Angabe bedeutet also: Dieses Unternehmen nutzt den Dienst. Sie bedeutet nicht, dass der Dienst am Angriff beteiligt war oder ihn ermöglicht hat.
Aus dieser Verteilung lässt sich kein Risikovergleich ableiten. Dafür fehlt der Vergleichswert: Wie verbreitet die genannten Dienste unter den nicht betroffenen Unternehmen sind, geht aus den Daten nicht hervor. Ein Dienst steht hier vor allem deshalb weit oben, weil er allgemein weit verbreitet ist. Die Auswertung zeigt, womit deutsche Unternehmen arbeiten, die Opfer wurden – nicht, woran sie Opfer wurden.
Datenbasis: 2026-01-02 bis 2026-09-01. Quelle: ransomware.live. Die zugrunde liegenden Fälle beruhen auf Selbstauskünften der Tätergruppen und sind nicht unabhängig verifiziert. Es werden bewusst keine betroffenen Unternehmen genannt.