Mobile-Menu

Bundeslagebild Cybercrime 2025 Ransomware-Lösegelder explodieren bei sinkender Zahlungsquote

Von Peter Schmitz 5 min Lesedauer

Anbieter zum Thema

Bundeskriminalamt Pressestelle
Fujitsu Technology Solutions GmbH
FAST LTA GmbH

Ransomware bedroht weiter deutsche Unternehmen. Zwar zahlen nur noch 7 Prozent der Geschädigten Lösegeld, doch die durchschnittliche Lösegeld­höhe ist um 65 Prozent gestiegen. Das BKA-Bundeslagebild Cybercrime 2025 zeigt zudem eine Verschiebung hin zu Data Extortion, mehr Hacktivismus und KI-gestützten Angriffen.

Laut BKA zahlen nur noch 7 Prozent der Ransomware-Opfer Lösegeld. Die durchschnittliche Lösegeldhöhe ist jedoch um 65 Prozent gestiegen.(Bild: Gemini / KI-generiert)
Laut BKA zahlen nur noch 7 Prozent der Ransomware-Opfer Lösegeld. Die durchschnittliche Lösegeldhöhe ist jedoch um 65 Prozent gestiegen.
(Bild: Gemini / KI-generiert)

Das Bundeskriminalamt (BKA) hat das Bundeslagebild Cybercrime 2025 vorgelegt und zeichnet darin ein Bild stetig wachsender Cyberkriminalität. Insgesamt verzeichnete die Polizeiliche Kriminalstatistik 333.922 Cybercrime-Delikte im engeren Sinne, ein leichter Anstieg um 0,2 Prozent gegenüber dem Vorjahr.

Aussagekräftiger ist die strukturelle Verteilung. Mit 207.888 Auslandstaten übersteigt die Zahl der Angriffe aus dem Ausland die Inlandstaten von 126.034 inzwischen deutlich. Während Cybercrime in der Inlandsstatistik nur 2,3 Prozent aller Delikte ausmacht, sind es bei den Auslandstaten beinahe ein Drittel. Die Aufklärungsquote spiegelt dieses Ungleichgewicht wider, Inland 31,4 Prozent, Ausland nur 2,0 Prozent.

Für Security-Verantwortliche bedeutet das, der Großteil der Bedrohungen bleibt strafrechtlich faktisch ungeahndet. Resilienz und Prävention im eigenen Haus sind damit die einzigen wirksamen Hebel.

Ransomware bleibt die zentrale Unternehmensbedrohung

Die Zahl der polizeilich angezeigten Ransomware-Vorfälle stieg 2025 auf 1.041, ein Plus von 10 Prozent gegenüber den 950 Fällen im Vorjahr. 90 Prozent dieser Angriffe richteten sich gegen kleine und mittlere Unternehmen, 96 Prozent gegen Organisationen, Institutionen und Unternehmen insgesamt. Rund 76 Prozent der Vorfälle folgten dem Modus Operandi der Double Extortion, also der Kombination aus Verschlüsselung und Datendiebstahl mit Erpressung.

Die typischen Angriffsmonate verschoben sich. Während in Vorjahren in den Sommermonaten ein Rückgang zu beobachten war, traten 2025 die meisten Vorfälle in den Monaten März, Juli und Oktober auf. Eine saisonale Entlastung gab es nicht mehr.

Auf den sogenannten Dedicated Leak Sites wurden 292 deutsche Geschädigte öffentlich erpresst, ein Anstieg um 88 Prozent. Aktivste Varianten gegen deutsche Ziele waren Akira, SafePay, INC/Lynx, LockBit und Qilin. Insgesamt registrierte das BKA rund 100 verschiedene Ransomware-Familien gegen deutsche Geschädigte.

Lösegeldforderungen explodieren, Zahlungsquote sinkt

Der wohl widersprüchlichste Befund des Lageberichts betrifft die Zahlungsdynamik. Nur noch 7 Prozent der deutschen Geschädigten zahlten 2025 ein Lösegeld, im Vorjahr waren es 9 Prozent. International liegt die Quote laut Coveware bei 24 Prozent (https://www.coveware.com/ransomware-quarterly-reports), ebenfalls deutlich gesunken von 30 Prozent.

Wer zahlt, zahlt jedoch deutlich mehr. In Deutschland stieg die durchschnittliche Lösegeldzahlung um 65 Prozent von 276.615 auf 456.335 US-Dollar. Die Gesamtsumme aller erfassten Zahlungen kletterte um 93 Prozent auf 15,5 Millionen US-Dollar. Weltweit erfasste Coveware eine durchschnittliche Zahlung von 662.944 US-Dollar bei einem Anstieg von 47 Prozent. Chainalysis dokumentierte sogar einen Anstieg der durchschnittlichen Lösegeldhöhe um 368 Prozent.

Das BKA interpretiert das als ökonomische Anpassungsstrategie. Sinkende Zahlungsbereitschaft zwingt Ransomware-Akteure dazu, mehr Angriffe durchzuführen und gleichzeitig höhere Forderungen zu stellen. Parallel verlagert sich ein Teil der Szene auf reine Data Extortion ohne Verschlüsselung. Die Gruppierung WorldLeaks, hervorgegangen aus den Strukturen von HIVE und Hunters International, hat seit Mai 2025 vollständig auf dieses Modell umgestellt.

DDoS wird durch Hacktivismus zur politischen Waffe

Im Netz der Deutschen Telekom AG wurden 2025 insgesamt 36.706 DDoS-Angriffe registriert, ein Anstieg um 25 Prozent gegenüber 29.399 im Vorjahr. Im europäischen Vergleich misst der Dienstleister Link11 sogar einen Anstieg von über 75 Prozent. Auffällig ist die veränderte Angriffscharakteristik. Bandbreite (minus 41 Prozent) und Dauer (minus 15 Prozent) sinken, gleichzeitig steigt die Frequenz. Cyberkriminelle setzen damit auf viele kurze Angriffe mit niedriger Bandbreite, oft koordiniert über IoT-Botnetze.

Besonders deutlich zeigt sich die Politisierung der DDoS-Landschaft. Hacktivistische Angriffsankündigungen und -meldungen gegen Ziele in Deutschland sind um 224 Prozent gestiegen, das BKA zählt über 700 Vorfälle. Die russlandnahe Gruppierung NoName057(16) führte 2025 zehn Angriffswellen gegen deutsche Ziele durch, 2024 waren es noch sechs. Die Zahl der Betroffenen stieg von 137 auf 378, ein Plus von 176 Prozent. Als Begründung führen die Akteure die deutsche Unterstützung der Ukraine an.

KI senkt die Einstiegshürde und verändert die Angriffsqualität

Erstmals widmet das BKA der KI-Nutzung durch Cyberkriminelle ein eigenes Kapitel im Lage­bild. Ein konkretes Beispiel ist der Anthropic-Vorfall im September 2025, bei dem das Sprachmodell Claude für nahezu autonome Angriffe auf rund 30 Organisationen und Behörden missbraucht wurde. Die Angreifer zerlegten komplexe Angriffsketten in unauffällige Teilaufgaben, sodass jeder einzelne Prompt wie eine legitime Anfrage wirkte.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Daneben dokumentiert der Bericht mehrere Malware-Varianten, die während des Angriffs mit externen KI-Modellen interagieren. Lamehug, vom ukrainischen CERT-UA im Juli 2025 entdeckt, generiert dynamisch ausführbare Befehle auf dem Opfersystem. Promptflux verändert seinen eigenen Code bei jeder Ausführung, um signaturbasierte Erkennung zu umgehen.

Die Auswirkungen sind nach BKA-Einschätzung phänomenübergreifend. KI beschleunigt Phishing-Kampagnen, ermöglicht fehlerfreie Mehrsprachigkeit, unterstützt Reconnaissance und Schwachstellenerkennung und liefert Codingfähigkeiten auch an technisch wenig versierte Akteure. Gleichzeitig wird KI selbst zum Angriffsziel, etwa durch Indirect Prompt Injections gegen agentische KI-Systeme mit weitreichenden Befugnissen.

Internationale Operationen zeigen Wirkung

Die polizeilichen Erfolge 2025 sind beachtlich. Im Rahmen der Operation Endgame 2.0 im Mai (gegen Dropper/Loader wie Bumblebee, Qakbot, DanaBot, Trickbot) und Endgame 3.0 im November (gegen den Infostealer Rhadamanthys und den Fernzugriffs-Trojaner VenomRAT) konnten insgesamt über 1.300 Server abgeschaltet werden. Bei Endgame 3.0 wurden zudem über 200 Millionen US-Dollar in Kryptowerten gesperrt.

Weitere Operationen trafen die Handelsplattformen nulled.to und cracked.io (Operation Talent im Januar), die Kryptobörse Garantex im März, die Tauschplattform eXch im April mit 34 Millionen Euro Sicherstellung sowie den Darknet-Marktplatz Archetyp Market im Juni. Im Juli zerschlug die Operation Eastwood das Botnetz von NoName057(16) mit hunderten Servern und sechs Haftbefehlen. Im November folgte der Takedown des Bitcoin-Mixers cryptomixer.io mit einer Sicherstellung von etwa 25 Millionen Euro.

Die Zahl der vom BKA koordinierten Zentralen Ermittlungen stieg von 25 auf 34 Verfahren, davon 29 gegen Ransomware-Akteure.

Konsequenzen für Sicherheitsverantwortliche

Aus dem Bundeslagebild lassen sich vier praxisrelevante Schwerpunkte für 2026 ableiten. Erstens treibt der Rekordschaden von 202 Milliarden Euro, den Bitkom als Folge von Cyberangriffen erhebt, die Diskussion um Cybersicherheit endgültig auf Vorstandsebene. Cybercrime verursacht inzwischen rund 70 Prozent des gesamten Schadens durch Wirtschaftskriminalität in Deutschland.

Zweitens müssen KMU als Hauptzielgruppe von Ransomware ihre Backup-, Detection- und Response-Strategien priorisieren. Die hohe Zahl der Nichtzahler zeigt, dass funktionierende Wiederherstellungsprozesse wirken.

Drittens braucht es eine eigene Verteidigungsstrategie für hacktivistische DDoS-Angriffe. Niedrige Bandbreite und kurze Dauer machen klassische Mitigationsmuster weniger wirksam, gefragt sind eher hochfrequente Filtermechanismen und automatisierte Erkennung niedrigvolumiger Angriffsmuster.

Viertens muss KI-Sicherheit in die Risikoanalyse einfließen. Wer agentische KI-Systeme einsetzt, schafft potenzielle Angriffsflächen mit weitreichenden Berechtigungen. Indirect Prompt Injections sind kein theoretisches Risiko mehr.

(ID:50851070)

Weiterführende Inhalte