Bildungskrise durch Ransomware: Identitäten im Visier

Identitätsbasierte Angriffe verursachen 85 Prozent der Ransomware-Angriffe im Bildungssektor, wie ein Sophos-Report zeigt.

Schädliche E-Mails sind die häufigste Angriffsmethode, und die Wiederherstellungskosten liegen inzwischen im Schnitt bei 2,26 Millionen US-Dollar.

Zusammenfassung (TL; DR):

• Laut dem Sophos-Report „State of Ransomware in Education 2026“ sind 85 Prozent der Ransomware-Angriffe im Bildungssektor auf identitätsbasierte Techniken zurückzuführen.
• Die Bewältigung dieser Vorfälle ist mit operativen Herausforderungen, langen Wiederherstellungszeiten sowie durchschnittlichen Kosten von 2,26 Millionen US-Dollar verbunden.

Report „State of Ransomware in Education 2026″

Sophos, Unternehmen für Cybersicherheit, hat seinen jährlichen Report „State of Ransomware in Education 2026″ veröffentlicht. Demnach kamen bei 85 Prozent der Ransomware-Angriffe auf Bildungseinrichtungen identitätsbasierte Angriffstechniken zum Einsatz. Dazu zählen schädliche E-Mails, Phishing, kompromittierte Zugangsdaten und Brute-Force-Angriffe. Mit 85 Prozent lag die Quote über dem branchenübergreifenden Durchschnitt von 79 Prozent. Dies unterstreicht, welche Rolle die Kompromittierung von Identitäten bei Ransomware-Vorfällen gegen Einrichtungen der Bildung nach wie vor spielt.

Schädliche E-Mails waren sowohl im schulischen (31 Prozent) als auch im akademischen Bereich (29 Prozent) die häufigste Ursache von Ransomware-Angriffen. Der Report ergab außerdem, dass 77 Prozent der Hochschulen und 71 Prozent der Schulen angaben, ihr Ransomware-Vorfall sei zugleich ihr bedeutendster identitätsbasierter Angriff gewesen.

Bildungseinrichtungen erholen sich langsamer von Angriffen.

Bildungseinrichtungen erholen sich zudem langsamer von Angriffen. Schulen und Hochschulen benötigen rund doppelt so häufig wie der branchenübergreifende Durchschnitt ein bis drei Monate für vollständige Wiederherstellung. Am schlechtesten schnitt der schulische Bereich ab: 31 Prozent brauchten einen Monat oder länger, um wieder handlungsfähig zu sein.

„Bildungseinrichtungen bleiben attraktive Ziele, weil sie riesige Mengen personenbezogener Daten vorhalten und zugleich unter erheblichen Ressourcenbeschränkungen arbeiten”, sagte Ross McKerchar, Chief Information Security Officer bei Sophos. „Angreifer brauchen heute kein Brecheisen mehr, wenn sie einfach die Schlüssel stehlen können. Die Kompromittierung von Identitäten ist zu einem der wirksamsten Wege in eine Organisation geworden. KI erhöht Tempo, Umfang und Raffinesse dieser Angriffe zusätzlich. Am widerstandsfähigsten sind jene Einrichtungen, die Identität als zentrale Sicherheitskontrolle behandeln. Auch wenn sie integrierte Erkennungs- und Reaktionsfähigkeiten kombinieren, die Bedrohungen stoppen, bevor sie zu ausgewachsenen Vorfällen werden, ein ein wirksamer Schutz.”

Weitere Ergebnisse des Reports

• Bildungseinrichtungen berichteten von größeren operativen Herausforderungen als der branchenübergreifende Durchschnitt. Mehr als die Hälfte (53 Prozent) der Hochschulen gab an, ihnen fehlten die Fähigkeiten oder das Fachwissen, um Angriffe rechtzeitig zu erkennen und zu stoppen, verglichen mit 35 Prozent über alle Branchen hinweg. Schulen nannten am häufigsten menschliches Versagen (52 Prozent), fehlenden Schutz (47 Prozent), unbekannte Sicherheitslücken (42 Prozent) und begrenzte Kapazitäten (41 Prozent) als Faktoren.
• Die Verschlüsselungsraten haben sich im schulischen Bereich mehr als verdoppelt. Der Anteil der Schulen, deren Daten bei einem Ransomware-Angriff verschlüsselt wurden, hat sich gegenüber dem Vorjahr mehr als verdoppelt und stieg von 29 Prozent im Jahr 2025 auf 61 Prozent im Jahr 2026. Im gesamten Bildungssektor führten 58 Prozent der Ransomware-Angriffe zu verschlüsselten Daten.
• Die Datenwiederherstellung stützte sich stark auf Backups. Mehr als drei Viertel (77 Prozent) der Schulen und 69 Prozent der Hochschulen stellten verschlüsselte Daten mithilfe von Backups wieder her, beide Werte über dem branchenübergreifenden Durchschnitt von 66 Prozent.

Lösegeldforderungen weiter hoch

• Die Lösegeldforderungen blieben trotz eines mehrjährigen Rückgangs hoch. Die mittlere Lösegeldforderung an Bildungseinrichtungen lag bei 775.200 US-Dollar und damit über dem branchenübergreifenden Median von 698.000 US-Dollar. Die mittleren Lösegeldforderungen im Bildungsbereich sind zwei Jahre in Folge gesunken, während die Zahlungen vom Report 2025 zu 2026 um 15.000 US-Dollar gestiegen sind.
• Die Wiederherstellungskosten stiegen, und die Wiederherstellungszeiten blieben lang. Die durchschnittlichen Kosten für die Wiederherstellung nach einem Ransomware-Angriff erreichten im Bildungssektor 2,26 Millionen US-Dollar. Damit übertrafen sie den branchenübergreifenden Durchschnitt von 1,7 Millionen US-Dollar. Mehr als ein Viertel (26 Prozent) der Bildungseinrichtungen benötigte ein bis drei Monate für die vollständige Wiederherstellung. Das ist fast doppelt so viel wie der branchenübergreifende Durchschnitt (14 Prozent).
• Die Belastung für IT- und Sicherheitsteams hat zugenommen. Über die Hälfte (53 Prozent) der Hochschulteams berichtete von wachsendem Druck durch die Führungsebene, gegenüber 40 Prozent über alle Branchen hinweg. Rund 39 Prozent der Bildungseinrichtungen meldeten Personalausfälle aufgrund von Stress oder psychischer Belastung nach einem Ransomware-Angriff. Branchenübergreifend sind es 29 Prozent. Auch bei der Führungsebene verzeichnete der Bildungssektor eine erhöhte Fluktuation: Bei 29 Prozent der Hochschulen und 27 Prozent der Schulen wurde die Leitung nach dem Angriff ausgetauscht, gegenüber einem branchenübergreifenden Durchschnitt von 21 Prozent.

Die Ergebnisse basieren auf einer unabhängigen Befragung von 226 IT- und Cybersicherheitsverantwortlichen im Bildungssektor aus 17 Ländern, deren Organisationen im vergangenen Jahr von Ransomware betroffen waren. Die Erhebung wurde zwischen Januar und März 2026 durchgeführt. Für die Zwecke dieses Reports werden die Altersgruppen als schulische Bildung (in der Regel Schüler bis 18 Jahre) und akademische Bildung (in der Regel Studierende über 18 Jahre) definiert. Es ist das sechste Jahr, in dem Sophos diese Daten erhebt.

Häufige Fragen (FAQ)