Cyber Risk Report 2026: Ransomware-Angriffe auf Rekordniveau

Cyber Risk Report 2026: Der Bericht zeichnet ein zwiespältiges Bild der globalen Bedrohungslage. Während sich Unternehmen in Cybersicherheitsfragen messbar besser aufstellen, nimmt gleichzeitig die Zahl erfolgreicher Ransomware-Angriffe weltweit deutlich zu. Deutschland ist dabei in der Top drei.

Deutschland zählte 2025 mit 433 bestätigten Ransomware-Angriffen (laut beobachteten Leak-Seiten von Cyberkriminellen) zu den drei weltweit am stärksten betroffenen Ländern – nur die USA (4.893) und Kanada (520) verzeichnen noch mehr erfolgreiche Angriffe. Erstmals liefert der Bericht zudem Daten aus der neuen „Attack Path Prediction“-Funktion der Cybersicherheitsplattform TrendAI Vision One™, die zeigen, über welche konkreten Wege Angreifer vorgehen – vom ersten Eindringen in eine Infrastruktur bis hin zu wertvollen Daten und Systemen.

Wichtigsten Erkenntnisse des Cyber Risk Report 2026

• Cyberrisiko sinkt, bleibt aber im mittleren Risikobereich: Der Cyber Risk Index (CRI) fiel im Jahresdurchschnitt 2025 auf 35,8 Punkte, nach 38,5 im Vorjahr.* Der Verlauf war jedoch deutlich volatiler als 2024: von 34,6 im Januar über einen Ausreißer von 37,4 im April (vermutlich bedingt durch neue IT-Projekte zum Start eines neuen Geschäftsjahrs für viele Unternehmen) bis zu einem Tief von 34,1 im Juli. Unabhängig von Branche oder Unternehmensgröße bewegen sich die untersuchten Unternehmen im mittleren Risikobereich.
• Risikoniveau im Branchenvergleich: Bergbau führte 2025 mit einem CRI von 42,5 erstmals die Rangliste der Branchen mit dem höchsten Risiko an, gefolgt vom Gesundheitswesen und der Landwirtschaft (je 40,3), der Telekommunikation (39,9) und dem Bildungswesen (39,8) sowie Behörden und öffentlichen Einrichtungen (39,7).
• Kleine Unternehmen zunehmend als Einfallstor im Visier: Unternehmen mit bis zu 100 Mitarbeitenden sind zwar weiterhin die Gruppe mit dem niedrigsten Risiko, zugleich aber das einzige Größensegment, dessen CRI 2025 gestiegen ist. Dies deutet darauf hin, dass Angreifer kleine Unternehmen zunehmend als Einfallstor in größere Lieferketten nutzen.
• Cloud-Zugriffe und veraltete Konten bleiben Hauptrisikofaktoren: Wie im Vorjahr führen riskante Zugriffe auf Cloud-Applikationen und veraltete Microsoft Entra ID-Konten die Liste der am häufigsten erkannten Risikoereignisse an. Konten mit deaktivierter Multi-Faktor-Authentifizierung (MFA) zählen weiterhin zu den größten Schwachstellen. Neu in den Top 5: Verstöße gegen Zero-Trust-Zugriffsregeln (ZTSA), ein Zeichen für die wachsende, aber noch nicht überall konsequent durchgesetzte Zero-Trust-Adoption.
• Schwachstellenmanagement braucht mehr als CVSS-Werte: Unter den zehn am häufigsten erkannten, ungepatchten Schwachstellen (CVEs) befinden sich drei mit lediglich mittlerem Schweregrad, die jedoch im Zusammenspiel mit hochkritischen Sicherheitslücken für Remote-Codeausführung und Rechteausweitung besonders gefährliche Angriffsketten ermöglichen. Virtuelles Patching über TrendAI™ TippingPoint™ Intrusion-Prevention-Systeme verschaffte Kunden im Schnitt 115 Tage Schutz, bevor ein offizieller Patch verfügbar war.
• Attack Path Prediction zeigt reale Angriffswege auf: Die erstmals ausgewertete Attack Path Prediction-Funktion von TrendAI Vision One™ zeigt, dass ungepatchte Schwachstellen mit Abstand am häufigsten den Ausgangspunkt vollständiger Angriffspfade bilden (über 2,3 Millionen erkannte Pfade), gefolgt von Password-Spraying- und Password-Guessing-Angriffen auf schwach abgesicherte Konten (zusammen über 2 Millionen Pfade). Am Ende der Angriffskette steht in den meisten Fällen ein Benutzerkonto als Ziel – mit durchschnittlich rund 33.000 anvisierten Konten pro Tag nahezu doppelt so häufig wie Endgeräte auf Platz zwei.
• Ransomware-Landschaft fragmentiert sich weiter und wird aktiver: Die Zahl bestätigter Opfer der zehn aktivsten Ransomware-Gruppen (laut beobachteten Leak-Seiten von Cyberkriminellen) stieg 2025 um 236 Prozent auf 5.096 Unternehmen. Qilin (von TrendAI™ als Agenda erkannt) katapultierte sich von Platz zehn im Jahr 2024 auf Platz eins mit 1.262 bestätigten erfolgreichen Angriffen – ein Plus von 1.270 Prozent. Akira folgte mit 857 Fällen (+708 Prozent). Gleich fünf Gruppen stiegen 2025 neu in die Top Ten ein, darunter INC Ransom, SafePay, Lynx, DragonForce und Sinobi, während zuvor dominante Gruppen wie LockBit deutlich an Bedeutung verloren haben. Diese Fragmentierung hat erhebliche Auswirkungen für Unternehmen: Eine Verteidigungsstrategie, die sich lediglich auf bekannte Taktiken, Techniken und Vorgehensweisen etablierter Gruppen stützt, wird in einer sich so rasant wandelnden Landschaft stets hinterherhinken. Die wirksamste Verteidigung besteht nicht in Informationen über bestimmte Gruppen, sondern in der Reduzierung der zugrunde liegenden Schwachstellen – unabhängig davon, wer sie ausnutzt.

Empfehlung: konsequent risikobasierten Sicherheitsansatz

Um das Cyberrisiko nachhaltig zu senken, rät der japanische Sicherheitsanbieter Unternehmen zu einem konsequent risikobasierten Sicherheitsansatz:

• Sicherheitskonfigurationen aktiv optimieren statt nur implementieren: Einstellungen wie Web-Reputation, Geräte- und Anwendungskontrolle oder Anti-Malware-Scans müssen kontinuierlich überprüft und nachgeschärft werden, da bereits einzelne Fehlkonfigurationen vorhandene Schutzmechanismen erheblich schwächen können.
• Identitäts- und Zugriffsmanagement konsequent durchsetzen: Veraltete Konten inventarisieren und löschen, riskante Konten deaktivieren, sichere Passwörter erzwingen und Multi-Faktor-Authentifizierung flächendeckend aktivieren – insbesondere, da Password-Spraying- und Password-Guessing-Angriffe laut den neuen Attack-Path-Daten zu den häufigsten Einstiegspunkten für vollständige Angriffsketten zählen.
• Schwachstellen risikobasiert statt ausschließlich nach CVSS-Score priorisieren: Auch Schwachstellen mit mittlerem Schweregrad müssen berücksichtigt werden, wenn sie im Zusammenspiel mit anderen Sicherheitslücken hochkritische Angriffsketten ermöglichen. Virtuelles Patching kann die Lücke bis zum offiziellen Herstellerpatch schließen, ersetzt eine reguläre Patch-Strategie aber nicht.
• Angriffspfade statt Einzelrisiken betrachten: Lösungen wie Attack Path Prediction helfen dabei, Risiken danach zu priorisieren, wie wahrscheinlich sie tatsächlich zu einem erfolgreichen Angriff führen, und nicht nur danach, wie häufig sie auftreten.
• Vorhandene Sicherheitsplattformen konsequent nutzen: Die Fähigkeiten zur Risikoreduzierung sind in vielen Unternehmen bereits vorhanden; entscheidend ist, sie durch automatisierte Playbooks, KI-gestützte Priorisierung und kontinuierliches Monitoring auch tatsächlich im Alltag zu operationalisieren.

*TrendAI Vision One Cyber Risk Exposure Management (CREM) verwendet einen Risikoereigniskatalog, um eine Risikobewertung für jeden Anlagentyp und eine Indexbewertung für Unternehmen zu formulieren. Dazu werden die Gefährdungs- und Sicherheitskonfiguration einer Anlage mit der Kritikalität der Anlage multipliziert. Das Ergebnis ist eine ganze Zahl zwischen null und 100, die in eine von drei Stufen fällt: Geringes Risiko (0-30), mittleres Risiko (31-69) und hohes Risiko (70-100).

Mehr bei TrendMicro.com

 

---

Über TrendAI

TrendAI, ein Geschäftsbereich von Trend Micro und einer der weltweit führenden Anbieter von KI-Sicherheit, unterstützt Unternehmen dabei, Innovationen mutig voranzutreiben, indem er KI, Cloud-Umgebungen, Netzwerke, Endpunkte und Daten über die moderne Angriffsfläche hinweg absichert. Im Zentrum steht TrendAI Vision One™, eine einheitliche Cybersicherheitsplattform, die das Management von Cyberrisiken und Sicherheitsoperationen zentralisiert, um den gesamten KI-Lebenszyklus von der Infrastruktur über Modelle bis hin zu den Nutzern zu schützen. In diese Plattform fließen weltweit einzigartige Threat Intelligence und Forschungsergebnisse ein, die dabei helfen, Unternehmen vor Hunderten Millionen von Bedrohungen täglich zu schützen. Mit 6.000 TrendAI™ Experten in 75 Ländern versetzt TrendAI™ Sicherheitsverantwortliche in die Lage, Bedrohungen voraus zu sein und proaktive Sicherheit über die gesamte Angriffsoberfläche voranzutreiben. Dazu zählen kritische Umgebungen wie AWS, Google, Microsoft und NVIDIA. AI Fearlessly.

---

Zum AI-Visibility-Block

Passende Artikel zum Thema

109 Maschinen auf einen Menschen: Wie die Bevölkerungsexplosion nicht-menschlicher Identitäten deutsche Unternehmen überfordert

Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Erkenntnisse des Cyber Risk Reports 2026 als dringendes Alarmsignal für den DACH-Markt ein. Obwohl Unternehmen spürbare Fortschritte bei der grundlegenden Absicherung ihrer Infrastrukturen erzielen, kollidiert diese Abwehrverbesserung mit einer hochgradig aggressiven, fragmentierten Ransomware-Industrie. Deutschland ist im globalen Vergleich ins direkte Fadenkreuz gerückt und belegt hinter den USA und Kanada den kritischen dritten Platz bei den erfolgreichsten Erpressungsangriffen. Die strategische Bedrohung liegt nicht mehr in einzelnen Schadprogrammen, sondern in komplexen, automatisierten Angriffsketten, die scheinbar harmlose Schwachstellen mittleren Schweregrads mit kompromittierten Identitäten verknüpfen.

---

Key-Takeaways

• Deutschland in den weltweiten Top 3: Mit 433 verifizierten Ransomware-Opfern auf kriminellen Leak-Seiten im Jahr 2025 ist Deutschland nach den USA (4.893) und Kanada (520) das am härtesten getroffene Land Europas.
• Explosive Verschiebung im kriminellen Ökosystem: Die Ransomware-Szene fragmentiert sich in rasantem Tempo, wodurch starre, auf bekannte Gruppen fokussierte Abwehrstrategien nutzlos werden. Während Platzhirsche wie LockBit einbrachen, verzeichnete die Gruppe Qilin ein Wachstum von 1.270 Prozent (1.262 Opfer, Platz 1), gefolgt von Akira mit einem Zuwachs von 708 Prozent. Fünf neue Akteure stießen direkt in die Top 10 vor.
• Tödliche Kombination im Schwachstellenmanagement: Unter den zehn am häufigsten ausgenutzten Sicherheitslücken (CVEs) befinden sich drei Schwachstellen mit lediglich mittlerem Schweregrad. Angreifer nutzen diese gezielt als Bindeglied, um im Zusammenspiel mit kritischen Lücken komplexe Ketten zur Rechteausweitung und Remote-Codeausführung (RCE) zu bauen.
• Identitäten als primäres Endziel: Daten der neuen Attack Path Prediction von TrendAI zeigen, dass Benutzerkonten mit rund 33.000 Angriffen pro Tag fast doppelt so häufig das Endziel von Schadcode-Pfaden darstellen wie Endgeräte. Die Einfallstore bilden ungepatchte Sicherheitslücken (2,3 Mio. Pfade), dicht gefolgt von Password-Spraying und Password-Guessing (über 2 Mio. Pfade).
• Lieferketten-Fokus auf Kleinunternehmen: Während der globale Cyber Risk Index (CRI) leicht auf 35,8 Punkte sank, stieg das Risikoniveau bei Firmen mit unter 100 Mitarbeitern als einzigem Größensegment an. Cyberkriminelle nutzen KMUs systematisch als weiches Einfallstor in die Supply-Chain größerer Konzerne.
• Bergbau und Gesundheit im Visier: Im Branchenvergleich führt der Sektor Bergbau (CRI 42,5) die Risikoskala an, dicht gefolgt vom stark regulierten Gesundheitswesen und der Landwirtschaft (je 40,3).

---

Strategische Analyse
Die Analyse von TrendAI legt offen, dass die klassische, signaturbasierte Abwehr und die starre Fokussierung auf hochkritische CVSS-Scores (9.0+) im Jahr 2026 versagen. Wenn kriminelle Gruppen wie Qilin oder Akira ihre Opferzahlen im dreistelligen Prozentbereich skalieren, tun sie dies durch das systematische Abgehen vordefinierter Angriffspfade (Attack Paths). Sie attackieren schwach geschützte Cloud-Zugänge und Konten im Microsoft Entra ID, bei denen die Multi-Faktor-Authentifizierung (MFA) deaktiviert oder fehlerhaft konfiguriert ist. Da Angreifer logische Pfade über mittlere Schwachstellen hinweg bis zum administrativen Benutzerkonto kombinieren, schützt das Schließen isolierter Einzellücken nicht mehr. Die Verteidigung muss den Fokus zwingend von der „Schadsoftware-Erkennung“ auf die „Angriffsflächen-Reduzierung“ verlagern.

---

Handlungsempfehlung:
Unternehmen müssen von einer reaktiven, listenbasierten Patch-Politik zu einer pfadbasierten, proaktiven Absicherungsstrategie übergehen.

• Einführung pfadbasierter Schwachstellen-Priorisierung: Bewerten Sie ungepatchte CVEs nicht isoliert nach ihrem CVSS-Wert. Implementieren Sie Tools zur Angriffspfad-Vorhersage (Attack Path Prediction), um gezielt jene Lücken – auch mittleren Schweregrads – zu schließen, die als Brücke zu kritischen Identitäten oder Systemen dienen können.
• Kompromisslose Bereinigung der Identitäts-Infrastruktur: Führen Sie ein striktes Audit aller Microsoft Entra ID-Konten durch. Veraltete, verwaiste Konten müssen automatisiert gelöscht, inaktive Profile deaktiviert und eine lückenlose Multi-Faktor-Authentifizierung (MFA) erzwungen werden, um Password-Spraying-Angriffen die Basis zu entziehen.
• Einsatz von virtuellem Patching im Netzwerk: Nutzen Sie Intrusion-Prevention-Systeme (IPS), um virtuelles Patching flächendeckend zu operationalisieren. Dies überbrückt die kritische Zeitspanne (im Schnitt 115 Tage) zwischen dem Bekanntwerden einer Sicherheitslücke und dem Einspielen des offiziellen Hersteller-Patches, ohne den operativen Betrieb zu stören.
• Härtung der Zero-Trust-Zugriffsregeln (ZTSA): Angesichts steigender Verstöße gegen Zero-Trust-Richtlinien müssen Zugriffsrechte dynamisch und kontextabhängig (Gerätestatus, Standort, Nutzerverhalten) überprüft werden. Ein einmal authentifiziertes Konto darf niemals blindes Vertrauen innerhalb des Netzwerks genießen.

---

„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200