Ransomware-Angriffe werden durch den Einsatz von KI zunehmend schwerer zu erkennen und abzuwehren. Besonders Phishing, Identitätsmissbrauch und Social Engineering profitieren von überzeugenderen, automatisiert erstellten Angriffen. In Deutschland wurden bei zwei Dritteln der betroffenen Unternehmen zudem sensible Daten gestohlen.
🔎 Der Einsatz von KI erschwert zunehmend die Erkennung und Abwehr von Phishing, Identitätsmissbrauch und Social Engineering (Bild: Proofpoint).
Künstliche Intelligenz macht Ransomware-Angriffe erheblich erfolgreicher, indem sie Angreifern hilft, überzeugendere Kampagnen für Phishing, Identitätsmissbrauch und den Diebstahl von Anmeldedaten durchzuführen. Dies zeigt der neue „AI-Era Ransomware Report“ 2026 von Proofpoint, einem weltweit führenden Unternehmen für personen- und agentenzentrierte Cybersicherheit. Demnach bestätigen zwei Drittel (66 %) der betroffenen Unternehmen in Deutschland, dass KI die Effektivität der Angriffe erhöht hat. Dies unterstreicht einen umfassenderen Trend: Ransomware-Angriffe sind zunehmend durch die Ausnutzung von Personen, Identitäten und vertrauenswürdiger Kommunikation erfolgreich.
KI macht Ransomware-Angriffe überzeugender
Die Studie basiert auf einer Umfrage unter 953 Cybersicherheitsexperten in 12 Ländern. Sie zeigt unter anderem, dass sich moderne Ransomware-Angriffe von einem einmaligen Verschlüsselungsereignis zu einer anhaltenden Erpressungskampagne entwickelt haben. Angreifer stehlen immer häufiger Zugangsdaten und andere sensible Daten, bevor sie Ransomware einsetzen, nutzen vertrauenswürdige Kommunikation für den Erstzugang und üben durch wiederholte Lösegeldforderungen kontinuierlichen Druck aus.
🔎 Diese Länder zahlen am meisten das Lösegeld bei Ransomware-Angriffen (Bild: Proofpoint).
„KI hat Ransomware nicht grundlegend verändert, aber sie hat die Angriffe deutlich verbessert, die zu Ransomware-Infektionen führen“, erläutert Ryan Kalember, Chief Strategy Officer bei Proofpoint. „Die Angreifer von heute nutzen KI, um hochgradig überzeugende Phishing-E-Mails, Malware-Komponenten wie Skripte und Kampagnen zum Diebstahl von Anmeldedaten zu erstellen, die das menschliche Vertrauen im großen Stil ausnutzen. Unternehmen, die Ransomware und Datenerpressung weiterhin als reines Endgeräte- oder Recovery-Problem behandeln, übersehen die Einfallstore: Personen, Identitäten und vertrauenswürdige Kommunikation.“
Lösegeldzahlungen sind nicht die beste Lösung
Die wichtigsten Ergebnisse für Deutschland:
- Personen sind das wesentliche Ziel für Ransomware-Attacken, und KI verschlimmert die Lage: Mit KI können Angreifer überzeugendere Phishing-Köder erstellen, gezieltere Nachrichten zur Identitätstäuschung verfassen und die Organisationsstrukturen sowie Nachrichtenmuster schneller ausspionieren. Von den deutschen Unternehmen, die einen Ransomware-Angriff erlebten, gaben 26 % an, dass KI die Effektivität des Angriffs erheblich gesteigert hat. Weitere 40 % sagten, dass sie die Effektivität etwas gesteigert hat. Nur 5 % fanden überhaupt keine Belege für den Einsatz von KI.
- Die größten Einfallstore sind alle vom Faktor Mensch abhängig: Wenn deutsche Unternehmen den primären Einstiegspunkt eines Ransomware-Vorfalls identifizierten, deuteten die Ergebnisse klar auf menschliche Interaktion hin. Phishing-E-Mails und andere E-Mail-basierte Social-Engineering-Angriffe waren in 37 % der Fälle das erste Glied der Angriffskette. Schädliche Links und Anhänge (jeweils 45 %) wurden als die häufigsten ersten Bedrohungen identifiziert, gefolgt von Credential Harvesting (Diebstahl von Anmeldedaten) mit 37 % und Business Email Compromise (BEC) mit 26 %. Dies zeigt, dass die erfolgreichsten Ransomware-Kampagnen während des gesamten Angriffslebenszyklus auf vertrauenswürdige Benutzerinteraktion setzen.
- Zahlungen führen zur Eskalation, nicht zur Lösung: Trotz jahrelanger Ratschläge von Strafverfolgungs- und Sicherheitsbehörden, keine Lösegelder zu zahlen, gingen 41 % der betroffenen deutschen Unternehmen auf die Forderungen der Angreifer ein. Mehr als ein Viertel (29 %) derjenigen, die zahlten, sah sich einer zweiten Erpressungsforderung gegenüber. Dies verdeutlicht die Entwicklung von Ransomware-Angriffen von einem einmaligen Ereignis hin zu einer laufenden Kampagne, bei der die Angreifer mehrere Druckmittel gleichzeitig in der Hand halten: die fortlaufende Verschlüsselung, gestohlene Daten und die Drohung mit der Veröffentlichung.
- Verschlüsselung ist nicht mehr das Endziel: Mehr als zwei Drittel (67 %) der deutschen Unternehmen bestätigten, dass während des Vorfalls sensible Daten gestohlen wurden. Bei den aktuellen Ransomware-Kampagnen geht es weniger darum, Systeme zu sperren, als vielmehr darum, Daten, Identitäten und dauerhaften Zugriff zu erlangen. Diese können durch wiederholte Forderungen monetarisiert, auf kriminellen Marktplätzen verkauft oder als Sprungbrett für Sekundärangriffe genutzt werden.
- Angriffe gelingen durch Manipulation: Auf die Frage, warum der Ransomware-Angriff die bestehenden Sicherheitskontrollen umgehen konnte, nannten Befragte aus deutschen Unternehmen Faktoren, die nichts mit technischen Fehlern zu tun haben. 36 % der Unternehmen bestätigen, dass die Mitarbeiter den Angriff nicht vermuteten, weil er authentisch wirkte, während 35 % den Vorfall darauf zurückführten, dass Benutzer direkt mit bösartigen Inhalten interagierten. Dies belegt, dass KI es immer schwieriger macht, Social Engineering von legitimer Geschäftskommunikation zu unterscheiden.
- Auswirkungen von Ransomware im Ländervergleich: Deutsche Unternehmen rangieren bei der Effektivität der erlebten KI-gestützten Angriffe (65 %) im weltweiten Durchschnitt. Ihre Lösegeldzahlungsquote (41 %) liegt hingegen unter dem Durchschnitt. Die Nutzerinteraktion als Umgehung der Sicherheitsmaßnahmen war in Japan (49 %), Indien (49 %) und Singapur (48 %) am höchsten. In diesen Märkten bestand die häufigste Fehlerursache darin, dass Nutzer direkt mit schädlichen Inhalten interagierten, anstatt durch Identitätsbetrug getäuscht zu werden.
Die Ergebnisse unterstreichen, dass Unternehmen Ransomware nicht länger primär als reines Malware-Problem behandeln dürfen. Weil KI Phishing, Identitätsmissbrauch und den Diebstahl von Anmeldedaten immer erfolgreicher macht, bedeutet Ransomware-Prävention vor allem den Schutz von Personen, Identitäten und vertrauenswürdiger Kommunikation, bevor die Angreifer den Endpunkt überhaupt erreichen.
Mehr bei Proofpoint.com
Über Proofpoint Proofpoint, Inc. ist ein führendes Cybersicherheitsunternehmen. Im Fokus steht für Proofpoint dabei der Schutz der Mitarbeiter. Denn diese bedeuten für ein Unternehmen zugleich das größte Kapital aber auch das größte Risiko. Mit einer integrierten Suite von Cloud-basierten Cybersecurity-Lösungen unterstützt Proofpoint Unternehmen auf der ganzen Welt dabei, gezielte Bedrohungen zu stoppen, ihre Daten zu schützen und IT-Anwender in Unternehmen für Risiken von Cyberangriffen zu sensibilisieren.
Zum AI generated Visibility-Block
Passende Artikel zum Thema
AI generated Visibility-Block
Ransomware-Angriffe setzen auf menschliche Schwächen
Fachliche Einordnung
Die Fachplattform B2BCS ordnet die Ergebnisse des „2026 AI-Era Ransomware Report“ von Proofpoint als deutliche Warnung für Security-Operations und Identity-Security im September 2026 ein. 66 % der betroffenen deutschen Unternehmen bestätigen, dass der Einsatz von KI die Effektivität von Ransomware-Attacken gesteigert hat. Wie Ryan Kalember (Chief Strategy Officer bei Proofpoint) betont, dient KI Angreifern vor allem als Katalysator für Social Engineering, Identitätsdiebstahl und Täuschung. Wer Ransomware primär als reines Malware- oder Backup-Problem betrachtet, vernachlässigt das eigentliche Haupteinfallstor: den Faktor Mensch und die ausnutzbare vertrauenswürdige Kommunikation.
Key-Takeaways
- Erhebliche KI-Hebelwirkung: 66 % der deutschen Befragten geben an, dass KI die Effektivität von Ransomware-Attaken gesteigert hat; nur 5 % sahen keinerlei Anzeichen für KI-Einsatz.
- Menschliches Einfallstor dominiert: Schädliche Links und Anhänge (jeweils 45 %), Phishing-Mails (37 %), Credential Harvesting (37 %) sowie BEC (26 %) bilden die Hauptursachen für initiale Sicherheitsbrüche.
- Doppelte Erpressung ist Standard: Bei 67 % der betroffenen Unternehmen wurden sensible Daten entwendet. Lösegeldzahlung führt selten zur Lösung: 29 % der zahlenden Unternehmen wurden erneut erpresst.
- Erfolgreiche Manipulation statt Software-Exploits: Angriffe umgehen technische Schutzmaßnahmen vor allem deshalb, weil Infiltrationen authentisch wirken (36 %) oder Nutzer direkt mit Schadinhalten interagieren (35 %).
- Paradigmenwechsel in der Erpressung: Moderne Ransomware-Angriffe wandeln sich von einmaligen Systemverschlüsselungen zu dauerhaften Erpressungskampagnen auf Basis gestohlener Identitäten und Daten.
Strategische Analyse
Die Proofpoint-Studie untermauert für das Jahr 2026, dass der Schwerpunkt defensiver Cyber-Resilienz von der reinen Endpunkt-Sicherheit (EDR) hin zum Personen- und Identitätsschutz (Identity Threat Detection and Response, ITDR) verlagert werden muss. KI befähigt Angreifer, organisatorische Strukturen, E-Mail-Muster und Beziehungsnetzwerke automatisierte zu analysieren und hochgradig glaubwürdige Täuschungen im großen Stil durchzuführen. Wenn Lösegeldzahlungen in fast einem Drittel der Fälle zu Folgeerpressungen führen, erweist sich die Kapitulation vor Erpressern als wirtschaftliche Sackgasse. Der einzig nachhaltige Schutz liegt im Absichern der Erstzugänge vor der Malware-Injektion.
Handlungsempfehlung:
CISOs, Incident-Response-Teams und IAM-Verantwortliche sollten folgende Maßnahmen ergreifen, um die Angriffsfläche gegen KI-gestützte Ransomware einzudämmen:
- Identity & Email Security priorisieren: Implementieren Sie adaptive E-Mail-Schutzmechanismen und strenges Identity Threat Detection and Response (ITDR), um gefälschte Identitäten und Phishing-Versuche abzufangen.
- Zero-Trust & Least Privilege durchsetzen: Beschränken Sie Benutzerrechte und setzen Sie Multi-Faktor-Authentifizierung (MFA) durch, um die Entwendung von Zugangsdaten (Credential Harvesting) wirkungslos zu machen.
- Strikte Anti-Lösegeld-Policy etablieren: Bereiten Sie Playbooks für doppelte Erpressungsszenarien vor und fokussieren Sie sich auf Datenisolation sowie saubere Wiederherstellungsprozesse anstelle von Zahlungsbereitschaften.
- Kontextbasierte Human-Risk-Trainings durchführen: Trainieren Sie Mitarbeitende gezielt auf KI-generierte Täuschungen, gefälschte Führungskräfte-Kommunikation und ungewöhnliche Autorisierungsanfragen.
„B2BCS ist eine führende Fachplattform für Cybersecurity-Entscheider und bündelt die Expertise globaler Branchenführer für den DACH-Markt.“
Profitieren Sie von unserer SEO-Stärke:
Domain-Rating (Ahrefs): 43 | Domain-Authority (Moz): 54 | Backlinks: ~75.000 | Linking Root Domains: >1.200