Gefahr durch Ransomware ist ungebrochen

Gefahr durch Ransomware ist ungebrochen.

Check Point Software Technologies veröffentlicht die Ergebnisse seines Berichts State of Ransomware Q2 2026. Auf Datenleck-Websites, auf denen Ransomware-Gruppen die Daten ihrer Opfer veröffentlichen, wurden im zweiten Quartal 2.139 Opfer verzeichnet. Im Vergleich zum ersten Quartal ist diese Zahl im Wesentlichen unverändert, im Jahresvergleich bedeutet sie jedoch einen Anstieg um 33 Prozent.

Zusammenfassung (TL; DR):

• Laut dem Bericht von Check Point Software ist die Zahl der Ransomware-Opfer im Jahresvergleich um 33 Prozent gestiegen. Die Zahl der aktiven Gruppen hat einen neuen Höchststand erreicht.
• KI-gestützte Tools senken die Eintrittsbarrieren für Angreifer, weshalb der Fokus zunehmend auf Datendiebstahl statt Verschlüsselung liegt.

Das Ökosystem hält sich somit auf dem erhöhten Niveau, auf dem es sich bis 2025 eingependelt hatte. Was sich jedoch verändert hat, ist die Zusammensetzung der Angreifer. Im ersten Quartal kontrollierten die zehn größten Gruppen 71 Prozent der Opfer.

Die wichtigsten Erkenntnisse des Ransomware Report im Überblick

• Auf die Top-10-Gruppen entfielen mit 57,6 Prozent weiterhin die meisten Opfer. Die Zahl der aktiven Gruppen stieg jedoch von 71 auf 93 und erreichte damit einen neuen Höchststand.
• Durchgesickerte Chats der Ransomware-Operation „The Gentlemen“ zeigten, wie ein Kernteam von etwa neun Personen mithilfe von KI-Programmierwerkzeugen innerhalb weniger Monate eine der drei weltweit führenden Operationen aufbaute.
• Die Lösegeldzahlungsquote sank zwar auf etwa 23 Prozent. Doch die auf der Blockchain getätigten Ransomware-Zahlungen beliefen sich im Jahr 2025 immer noch auf über 820 Millionen US-Dollar. Dies veranlasste die Betreiber, den Schwerpunkt eher auf Datendiebstahl als auf Verschlüsselung zu legen.

Bei Ransomware handelt sich um einen eng umkämpften Markt

Im zweiten Quartal sank dieser Anteil auf 57,6 Prozent, während die Zahl der aktiven Gruppen auf 93 stieg. Dies ist der höchste Stand seit Beginn der Aufzeichnungen. Cl0p, dessen Kampagne gegen die Oracle E-Business Suite einen Großteil der Zahlen im ersten Quartal ausmachte, ist fast vollständig verschwunden. Qilin belegte mit 279 Opfern zum vierten Mal in Folge den ersten Platz, knapp vor The Gentlemen, die um 62 Prozent wuchsen.

Sergey Shykevich, Director, Threat Intelligence bei Check Point Software erklärt: „Die wichtigste Erkenntnis aus diesem Quartal ist nicht die Anzahl der Ransomware-Opfer, sondern wie dramatisch die Eintrittsbarrieren sinken. Wir haben nun Belege dafür, dass ein kleines Team, unterstützt durch KI-gestützte Tools und Affiliate-Netzwerke, innerhalb weniger Monate eine hochkarätige Ransomware-Operation aufbauen kann. Da KI sowohl die Softwareentwicklung als auch die Erstellung von Exploits weiter beschleunigt, werden wir erleben, dass mehr Angreifer auftauchen, schneller agieren und in größerem Umfang operieren als je zuvor. Unternehmen müssen von einem reaktiven Sicherheitsmodell zu einem präventionsorientierten Ansatz übergehen, der sich darauf konzentriert, ausnutzbare Schwachstellen zu reduzieren, Anmeldedaten und sensible Daten zu schützen und davon auszugehen, dass Angreifer zunehmend KI einsetzen werden, um jede Phase des Angriffszyklus zu verkürzen.“

Ein Leak des Backends und der Chat-Verläufe von „The Gentlemen“ gewährte den Sicherheitsforschern einen seltenen Einblick in die Aktivitäten der Ransomware-Gruppe. Das Kernteam bestand aus nur neun Personen, die eine 90/10-Aufteilung mit einer breiteren Partnerbasis praktizierten. Letztere führte den Großteil der Einbruchsarbeiten durch und erhielt die höchste auf dem Markt angebotene Gewinnbeteiligung.

Wichtiges Detail

Ein Detail, das man sich merken sollte: Der Administrator der Gruppe, Zeta88, entwickelte das Ransomware-Management-Panel der Organisation mithilfe von KI-Programmierassistenten in etwa drei Tagen.

Er gab jedoch offen zu, dass die Tools nach wie vor jemanden erfordern, der den Code gut genug versteht, um sie anzuleiten und zu korrigieren. Dies ist ein echter Beleg dafür, dass KI die Entwicklung von Ransomware-Tools beschleunigt, auch wenn es in diesem Fall lediglich darum ging, Software schneller zu schreiben und nicht darum, Operationen durchzuführen oder Ziele auszuwählen. Das wichtigere Signal ist jedoch, dass die Hürden für den Aufbau eines ernstzunehmenden Ransomware-Geschäfts so weit gesunken sind, dass ein erfahrener Ransomware-Betreiber innerhalb weniger Monate erfolgreich sein kann.

Zahlungsquoten gesunken

Die Zahlungsquoten sind sechs Jahre in Folge gesunken – von 85 Prozent im Jahr 2019 auf heute etwa 23 Prozent 2026. Das liegt vor allem daran, dass Backups die Verschlüsselung mittlerweile besser umgehen können. Gegen Datendiebstahl helfen Backups jedoch nicht.

Wenn Dateien bereits gestohlen wurden und kurz vor der Veröffentlichung stehen, kann die Wiederherstellung der Systeme die Datenlecks nicht mehr verhindern. Aus diesem Grund setzen die Betreiber zunehmend auf „Exfiltration First Extortion“ (zuerst Daten entwenden, dann erpressen). Die insgesamt gezahlten Beträge sind jedoch nicht im gleichen Maße gesunken wie die Zahlungsquoten. Die Zahlungen über die Blockchain lagen im Jahr 2025 immer noch bei über 820 Millionen US-Dollar.

Behörden konzentrieren sich auf Infrastrukturen

In diesem Quartal konzentrierten sich die Strafverfolgungsbehörden eher auf gemeinsam genutzte Infrastrukturen als auf einzelne Gruppen. Sie zerschlugen eine Geldwäscheplattform, verhängten Sanktionen gegen mit Ransomware-Akteuren verbundene Börsen und schalteten einen Malware-Signierungsdienst sowie große Netzwerke von Infostealern ab. Dies schlägt sich jedoch nicht in einem Rückgang der Opferzahlen im zweiten Quartal nieder. Beschlagnahmte Infrastrukturen werden in der Regel an anderer Stelle wieder aufgebaut. Die Erhöhung der Kosten für Geldwäsche, Signierung und das Sammeln von Zugangsdaten sorgt jedoch für Reibungsverluste, die sich im Laufe der Zeit summieren.

Aus den oben zusammengefassten Quartalsdaten lassen sich einige Erkenntnisse ableiten. Die „Gentlemen“ nutzten für ihre Angriffe dieselben Methoden wie viele andere auch: Sie scannen das Netzwerk mit einem VPN, greifen mit Brute-Force-Angriffen an und nutzen Anmeldedaten, die ihnen Zwischenhändler bereitstellen. Daher verdienen Phishing und offengelegte Remote Access-Zugänge eine entsprechende Abwehr. Der Erkennung von Datenexfiltration sollte nun dieselbe Bedeutung beigemessen werden wie Backup und Wiederherstellung, und auch die Geschwindigkeit der Behebung gewinnt an Bedeutung, da die Zeitspanne zwischen Bekanntwerden und Ausnutzung mittlerweile nur noch in Stunden gemessen wird. Abwehrmaßnahmen, die nach wie vor auf einem manuellen Überprüfungszyklus basieren, stehen im Widerspruch zu KI-gestützten Tools, die nicht auf einen solchen Zyklus warten.

Häufige Fragen (FAQ)

Häufige Fragen (FAQ)