182 Ransomware-Opfer in Deutschland bis Mai 2026 Infostealer-Malware wird zum Einfallstor für Ransomware

Anbieter zum Thema

Cohesity Inc.

Arvato Systems GmbH

Onapsis Europe GmbH

182 Ransomware-Opfer registrierte die Plattform ransomware.live zwischen Januar und Mai 2026 in Deutschland, 7,7 Prozent mehr als im Vorjahres­zeit­raum. Deren Gründer Julien Mousqueton beobachtet dabei einen wach­sen­den Trend: Immer mehr Angriffe beginnen nicht mit einem Exploit, sondern mit zuvor gestohlenen Zugangsdaten aus Infostealer-Malware.

Von Januar bis Mai 2026 hat ransomware.live in Deutschland 182 Opfer von Ransomware verzeichnet. Das sind 7,7 Prozent mehr als im gleichen Vorjahreszeitraum mit 169 Fällen. Der monatliche Verlauf zeigt dabei insgesamt eine Steigerung: 28 Fälle im Januar, 31 im Februar, 32 im März und 50 im April. Nur im Mai ging die Zahl mit 41 Opfern leicht zurück. Im weltweiten Vergleich liegt Deutschland damit auf Platz zwei und ist weiterhin ein bevorzugtes Ziel für international agierende Ransomware-Akteure.

Die Fertigung bleibt mit Abstand der am stärksten von Ransomware betroffene Sektor in Deutschland: 46 Opfer in den ersten fünf Monaten 2026 sind zwar weniger als im Vor­jahres­zeit­raum (55 Opfer), entsprechen jedoch 25,3 Prozent aller deutschen Vorfälle. An zweiter Stelle folgen gleichauf Technologie und Business Services mit jeweils 24 Fällen. Dass die Fertigungs­branche so stark angegriffen wird, zeigt ihre wirtschaftliche Bedeutung in Deutschland. Denn weltweit sind Business Services vor Fertigung und Technologie am stärksten von Ransomware betroffen.

KI erkannte Angriff, aber Reaktion blieb aus

DragonForce verschlüsselt Fertiger in sieben Tagen

International liegt Deutschland bei den Ransomware-Angriffen im Jahr 2026 zwar hinter den klar führenden USA (1718 Fälle), jedoch vor Großbritannien (181), Kanada (139), Frankreich (119), Italien (114) und Spanien (90). Insgesamt wurden weltweit 3991 Ransomware-Angriffe in den ersten 5 Monaten 2026 registriert, im Vor­jahres­zeit­raum waren es 3533 Fälle. Das entspricht einem Anstieg von 13,0 Prozent.

In Deutschland war bislang im Jahr 2026 die mit Abstand aktivste Ransomware-Gruppe Qilin mit 30 Opfern. Es folgen Akira (21 Opfer), Safepay (14 Opfer) sowie TheGentlemen und DragonForce (je 13 Opfer). Zum Vergleich: Weltweit dominierte ebenfalls Qilin mit 587 Fällen, jedoch gefolgt von TheGentlemen (362), Akira (272), DragonForce (228) und INC Ransom (217).

Industrie im Visier des Cybercrime

IoT-Ransomware wird zur wachsenden Gefahr in der vernetzten Industrie

Aktueller Trend in Deutschland

Ein aktueller Trend ist in diesem Zusammenhang besonders beachtenswert. Ein steigender Anteil der Ransomware-Angriffe in Deutschland beginnt nicht mit einem ausgeklügelten Exploit, sondern mit Anmeldedaten, die von Infostealer-Malware gesammelt wurden. Diese einfachen Programme extrahieren unbemerkt Browser-Passwörter, Sitzungs-Cookies und VPN-Token von infizierten Endgeräten. Die Anmeldedaten werden dann auf Untergrundmärkten verkauft und von Ransomware-Partnern als Zugangsvektor genutzt.

Auf ransomware.live hatte etwa jedes fünfte Qilin-Opfer eine Unternehmensdomain, die zuvor in Infostealer-Protokollen aufgetaucht war. Das verdeutlicht: Die beiden Bedrohungen sind mittlerweile direkt miteinander verbunden. Für deutsche Unternehmen bedeutet dies, dass der Schutz vor Ransomware zunehmend die Absicherung der Anmeldedaten erfordert. Dazu gehören die Durchsetzung einer Phishing-resistenten Multi-Faktor-Authentifizierung, die Suche nach gestohlenen Zugangsdaten für Unternehmenssysteme, der schnelle Austausch offengelegter Anmeldedaten und die Behandlung jeder Infostealer-Erkennung auf einem Endpunkt als Vorbote eines potenziellen Ransomware-Vorfalls statt als isoliertes Malware-Ereignis.

Ransomware-Lösegeld ist verhandelbar, aber Zahlung garantiert nichts

Unternehmen verhandeln zum ersten Mal, Angreifer zum hundertsten

Fazit

Angriffe werden immer komplexer, da zunehmend verschiedene Techniken miteinander kombiniert werden. So übersehen Unternehmen häufig, dass die entscheidende Kom­pro­mit­tie­rung oft Monate vor dem eigentlichen Ransomware-Angriff stattfindet. Umso wichtiger ist es, eine möglichst lückenlose Abwehr aufzubauen, die von strengem Identifikations-, Authentifizierungs- und Passwort-Management über das kontinuierliche Monitoring auf geleakte Stealer-Credentials bis zur Verhinderung von Lateral Movement reicht. Damit lassen sich komplexe Angriffsketten bereits in der Initial-Access-Phase unterbrechen.

Über den Autor: Julien Mousqueton ist Gründer der Plattform ransomware.live und EMEA CISO bei Cohesity.

(ID:50901625)