D-A-CH-Report für 2025: Cyberattacken steigen um über 120 Prozent

Anzeige

Der „DACH Threat Landscape 2025“ Report zeigt einen massiven Anstieg von Cyber-Bedrohungen von 124 Prozent im Vergleich zum Vorjahr. Während politisch motivierter Hacktivismus dominiert, bleibt Ransomware eine kritische Gefahr für die Wirtschaft. Auch die Attacken aus Russland nehmen zu.

Die geopolitische Lage spiegelt sich direkt in der Cyberbedrohungslandschaft wider. Im Jahr 2025 entfielen rund 18 Prozent aller in Europa registrierten Vorfälle auf die DACH-Region, wobei allein Deutschland 13 Prozent ausmachte. Einen außergewöhnlichen Höhepunkt erreichten die Angriffe in den Sommermonaten. Dieser Anstieg war maßgeblich auf gezielte Vergeltungsaktionen von Hacktivisten infolge der sogenannten „Operation Eastwood“ zurückzuführen. Bei dieser von Europol koordinierten Aktion im Juli 2025 wurden über 100 Server der pro-russischen Gruppe NoName057(16) abgeschaltet. Unter dem Hashtag #FuckEastwood reagierten die Täter umgehend mit massiven Angriffswellen auf öffentliche und private Einrichtungen in Deutschland und den Nachbarländern.

Wichtige Kennzahlen aus dem Threat Landscape Report

• Die DACH-Region verzeichnet eine Zunahme von rund 124 Prozent bei Cyberangriffen im Vergleich zum Vorjahr.
• Mit 82 Prozent aller regionalen Vorfälle ist Deutschland am stärksten betroffen, gefolgt von der Schweiz (12 Prozent) und Österreich (8 Prozent).
• 66 Prozent der Angriffe waren Defacements, die maßgeblich von pro-russischen und ideologisch motivierten Gruppen (wie NoName057(16)) im Rahmen geopolitischer Spannungen vorangetrieben wurden.
• Knapp 30 Prozent der Vorfälle entfallen auf Erpressungstrojaner von finanziell motivierten Gruppen wie Safepay, Qilin oder Akira.
• Die am stärksten attackierten Branchen sind Business Services (24 Prozent) und Regierungsbehörden (13 Prozent), was die Abhängigkeit der Region von vernetzten Lieferketten ausnutzt.

Während Hacktivisten durch massenhafte Überlastungsangriffe und Defacements eine maximale öffentliche Sichtbarkeit anstreben, agieren Ransomware-Akteure im Hintergrund – mit gravierenden Folgen. Zu den aktivsten Gruppen 2025 gehörte „NoName057(16)“, die nach der Zerschlagung ihrer Server mit massiven DDoS-Vergeltungsschlägen reagierte. Daneben traten weitere haktivistisch motivierte Gruppen wie „Hezi Rash“ und „Mr Hamza“ mit gezielten Kampagnen gegen öffentliche Services in Erscheinung.

Ransomware – ein eigenes Business

Auf der finanziell motivierten Seite dominierten hochprofessionelle Ransomware-Gruppen, die ungesicherte Identitäten für „Double Extortion“-Kampagnen nutzten. „Safepay“ trieb diese Erpressungen branchenübergreifend über Dark-Web- und TON-Netzwerke voran. Die Gruppe „Akira“ spezialisierte sich auf Windows- und Linux-Umgebungen und nutzte fehlende Multi-Faktor-Authentifizierungen aus, während das „Qilin“-Kartell die Gefahr durch plattformübergreifende, Rust-basierte Malware und eigene Leak-Portale im Darknet vergrößerte.

Wie kritisch die Auswirkungen dieser organisierten Bedrohungsakteure im DACH-Raum tatsächlich waren, zeigt eine Reihe von weitreichenden Vorfällen aus dem vergangenen Jahr:

• Kritische Infrastruktur und Flugverkehr: Ein Cyberangriff auf das Boarding-System eines großen Luft- und Raumfahrtunternehmens führte zu massiven Abfertigungsstörungen an mehreren europäischen Flughäfen, mit bestätigten Ausfällen auch am Flughafen BER in Berlin.
• Behörden im Visier: Eine schwere Malware-Infektion zwang ein Ministerium dazu, seine E-Mail- und IT-Dienste temporär komplett vom Netz zu nehmen, um die Ausbreitung des Schadcodes zu stoppen.
• Gefährdete Lieferketten: Im September 2025 kompromittierte der massive Supply-Chain-Angriff „Shai Hulud 2.0“ über 600 npm-Pakete und 25.000 GitHub-Repositories. Dadurch wurden zehntausende Entwickler-Zugänge offengelegt, was auch DACH-Unternehmen mit vernetzten Software-Pipelines massiv gefährdete.
• Erfolgreiche Gegenschläge: Die im November 2025 durchgeführte „Operation Endgame“ von Europol zerschlug durch gezielte Razzien (unter anderem in Deutschland) Infrastrukturen von Botnetzen wie Rhadamanthys, die zuvor weltweit über 100.000 Krypto-Wallets kompromittiert hatten.

„Der alarmierende Anstieg der Angriffe um 124 Prozent im Vergleich zum Vorjahr verdeutlicht, dass die DACH-Region weiterhin attraktiv für Cyberkriminelle bleibt“, erklärt Daniel Dreier, Area Manager DACH bei Check Point Exposure Management. „Insbesondere deutsche Unternehmen und Behörden stehen im Fokus von Hacktivisten. Sie nutzen geopolitische Spannungen für disruptive Kampagnen oder Erpressung aus. Angriffe zielen allerdings oft weniger auf finanziellen Gewinn ab, sondern wollen maximale öffentliche Aufmerksamkeit und Störungen verursachen.“

Düstere Aussicht auf das Jahr 2026

Für das Jahr 2026 prognostiziert der Report eine weiterhin volatile Lage durch regulatorische und politische Risikofaktoren. Neben Business Services und Behörden wird der Druck auf das Gesundheitswesen, den Energiesektor und industrielle Ökosysteme stark zunehmen, weil Angreifer hier durch Störungen der Leistungserbringung eine maximale Hebelwirkung erzielen können.

Darüber hinaus birgt die gesetzlich geforderte Umsetzung der NIS2-Richtlinie in Deutschland sowie des NISG 2026 in Österreich kurzfristige Risiken: Bei der technischen Implementierung könnten vorübergehende Lücken in der Abwehr aufklaffen, die von Angreifern als Fenster gezielt ausgenutzt werden. Darüber hinaus werden die anstehenden Landtagswahlen in Deutschland sowie Referenden in der Schweiz als starke Katalysatoren für politisch motivierte Störaktionen, DDoS- und Desinformationskampagnen dienen. Experten warnen überdies davor, dass kurzzyklische Vergeltungsaktionen, wie sie nach der „Operation Eastwood“ zu beobachten waren, nach polizeilichen Erfolgen zur neuen Norm werden könnten.

Um den wachsenden Herausforderungen zu begegnen, empfehlen die Sicherheitsforscher folgende strategische Maßnahmen:

• KI-gestützte Erkennung: Einsatz von Künstlicher Intelligenz, um anomales Authentifizierungsverhalten und frühe laterale Bewegungen der Angreifer in den Netzwerken zu identifizieren.
• Schwachstellen-Management: Kontinuierliches Scannen und schnelle Behebung von Schwachstellen, insbesondere bei internetfähigen Systemen und Cloud-Plattformen.
• Absicherung der Lieferkette: Strenge Überprüfung von Drittanbietern und IT-Dienstleistern, da diese in der DACH-Region besonders häufig als Einfallstor dienen.
  Ausbau der Incident Response-Fähigkeiten: Etablierung und regelmäßiges Testen von abteilungsübergreifenden Notfallplänen, um bei politischen oder finanziell motivierten Angriffen die Ausfallzeiten zu minimieren.

Passende Artikel zum Thema

Cyber-Sturmtief über DACH: Angriffe steigen um 124 Prozent unter geopolitischem Druck

Fachliche Einordnung Die Fachplattform B2BCS ordnet die Erkenntnisse des „DACH Threat Landscape“-Reports als drastische Warnung für den IT-Betrieb im Jahr 2026 ein. Ein massiver Anstieg der Cyberbedrohungen um 124 Prozent im Vergleich zum Vorjahr zeigt, dass die Region DACH – und allen voran Deutschland – im Epizentrum globaler Cyberkonflikte angekommen ist. Die Bedrohungslage ist zweigeteilt: Während pro-russische Hacktivisten mit hochfrequenten, disruptiven Angriffen die öffentliche Infrastruktur destabilisieren, dringen hochprofessionelle Ransomware-Kartelle geräuschlos in die Lieferketten ein.

Key-Takeaways

• Massiver Anstieg & Deutschland im Fokus: Die Angriffe in der DACH-Region sind um 124 Prozent hochgeschnellt. Satte 82 Prozent aller regionalen Vorfälle entfallen auf Deutschland, gefolgt von der Schweiz (12 %) und Österreich (8 %). 18 Prozent aller europaweit registrierten Vorfälle betreffen die DACH-Region.
• Die Revanche der Hacktivisten: Politisch motivierter Hacktivismus dominiert die Fallzahlen: 66 Prozent aller Angriffe waren Web-Defacements und DDoS-Attacken. Als Reaktion auf den Europol-Schlag „Operation Eastwood“ im Juli 2025 überzogen Gruppen wie NoName057(16) unter dem Hashtag #FuckEastwood deutsche Behörden, Flughäfen (darunter den BER) und Unternehmen mit massiven Vergeltungsschlägen.
• Lieferketten als weiches Einfallstor: Mit 24 Prozent aller Angriffe ist die Branche Business Services am stärksten betroffen. Großflächige Supply-Chain-Angriffe wie „Shai Hulud 2.0“ im September 2025 – bei dem über 600 npm-Pakete und 25.000 GitHub-Repositories kompromittiert wurden – zeigen, wie verletzlich moderne Software-Pipelines im DACH-Raum sind.
• Finanzielle Erpressung wird hochprofessionell: Knapp 30 Prozent der Angriffe entfallen auf Ransomware. Gruppen wie Safepay (Erpressung über das TON-Netzwerk), Akira (Ausnutzung fehlender MFA in Windows- und Linux-Umgebungen) und das Rust-basierte Qilin-Kartell nutzen gezielt ungesicherte Identitäten für Double-Extortion-Kampagnen.
• Volatiler Ausblick auf Ende 2026: Neben bevorstehenden Wahlen und Referenden bergibt die gesetzliche Pflicht zur Umsetzung der NIS2-Richtlinie in Deutschland sowie des NISG 2026 in Österreich akute Risiken. Die technische Umstellung droht temporäre Sicherheitslücken aufzureißen, die Angreifer gezielt ins Visier nehmen werden.

Strategische Analyse Wie Daniel Dreier (Area Manager DACH bei Check Point Exposure Management) betont, ist die DACH-Region durch ihre dichte, hochgradig vernetzte Wirtschaftsstruktur und ihre geopolitische Positionierung ein Premium-Ziel. Die Zerschlagung krimineller Infrastrukturen durch Strafverfolgungsbehörden (wie die „Operation Endgame“ gegen das Rhadamanthys-Botnetz) ist zwar essenziell, triggert im Jahr 2026 jedoch unmittelbar hoch aggressive, kurzzyklische Vergeltungsangriffe. Für IT-Sicherheitsverantwortliche bedeutet dies: Polizeiliche Erfolge im Cyberspace sind ab sofort ein Frühwarnindikator für eine unmittelbar bevorstehende Welle von DDoS- und Sabotageangriffen auf die eigene Infrastruktur.

Handlungsempfehlung: Unternehmen müssen ihre Abwehr von rein statischen Schutzmauern auf eine resiliente, angriffserprobte Architektur umstellen.

• Echtzeit-Verhaltensanalyse für Identitäten etablieren: Da Ransomware-Akteure wie Akira und Qilin gezielt Identitäten kompromittieren, um sich lateral im Netz zu bewegen, müssen KI-gestützte Erkennungssysteme etabliert werden. Diese müssen anomale Anmeldeversuche und ungewöhnliche administrative Zugriffe in Echtzeit blockieren.
• Software-Lieferketten (Software Bill of Materials) härten: Angesichts von Vorfällen wie „Shai Hulud 2.0“ müssen Unternehmen ihre Software-Pipelines streng überwachen. Die automatische Überprüfung von Open-Source-Abhängigkeiten (npm, GitHub) und die Durchsetzung signierter Code-Repositories sind für Entwicklerteams im DACH-Raum ab sofort Pflicht.
• DDoS-Schutz und Ausfallszenarien für NIS2-Compliance testen: Im Zuge der NIS2- und NISG-2026-Implementierung müssen Unternehmen ihre Incident-Response-Pläne explizit auf langanhaltende DDoS-Kampagnen und Sabotageversuche ausrichten. Ein funktionierendes Out-of-Band-Kommunikationssystem für den Ernstfall muss etabliert und regelmäßig beübt werden.

„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“ Profitieren Sie von unserer SEO-Stärke: Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200