Ransomware-Gruppen im Dauerwandel KI beschleunigt Ransomware schneller, als die Abwehr mitzieht

Anbieter zum Thema

Cohesity Inc.

cidaas by Widas ID GmbH

secunet Security Networks AG

FAST LTA GmbH

Die Ransomware-Szene in Deutschland splittert sich auf. Immer mehr Gruppen tauchen auf und schlagen sofort zu. Eine Erkennung, die nur bekannte Muster kennt, übersieht sie. Zugleich übernimmt KI große Teile der Angriffskette. Entscheidend ist, wie schnell ein Unternehmen nach dem Treffer wieder arbeitet.

Im August und September 2026 hat ransomware.live in Deutschland 109 Opfer von Ran­som­ware verzeichnet. Das sind zwei mehr als im Juni und Juli 2026 sowie fast doppelt so viele wie im Vorjahreszeitraum (August und September 2025) mit 58 Fällen. Allein im August waren es 71 Opfer – ein neuer Monatsrekord seit Aufzeichnung der Ergebnisse im Jahr 2023. Damit steigt die Gefahr durch Ransomware weiter.

Gleichzeitig verändern sich die Aktivitäten der verschiedenen Gruppen sehr stark. Während SafePay im Juni und Juli noch die jeweils aktivste Ransomware-Gruppe in Deutschland war, spielte sie im August keine Rolle und tauchte erst im September mit 4 Fällen auf Platz 2 wieder auf. Im August war erneut Qilin mit 14 Fällen am aktivsten, vor der erstmals auftretenden Gruppe ZaWoo (11) und TheGentlemen (6). Dagegen übernahm im September die ebenfalls neue Gruppe Lamashtu mit 5 Opfern in Deutschland die Spitzenposition. Im Vormonat war sie ebenso wie SafePay hierzulande nicht aktiv. Auf Platz drei liegen im September gleichauf LockBit, Rhysida und Panzer (je 3).

Advens Threat Status Report 2025/2026

So organisieren sich Ransomware-Gruppen

Für 2026 bisher hat damit Qilin wieder die Führung übernommen (57 Opfer), vor SafePay (50) und TheGentlemen (38). Bemerkenswert ist, dass mit ZaWoo, Settra, Lamashtu, Deadlock und Panzer gleich fünf Ransomware-Gruppen im dritten Quartal 2026 erstmals in Deutschland aktiv waren und auf Anhieb mindestens vier erfolgreiche Angriffe starteten. Insgesamt wurden sogar 19 neu auftretende Gruppen hierzulande aufgedeckt.

Die Fertigung blieb im August die mit Abstand am stärksten von Ransomware angegriffene Branche in Deutschland mit 21 Opfern, gefolgt von Technologie (12) und Einzelhandel (8). Im September lag aber erstmals das Gesundheitswesen gemeinsam mit Fertigung und Technologie auf Platz 1 (je 6). Dies weist auf die hohe Gefahrenlage für diese sensible Branche hin.

Qilin

NRW gelingt Schlag gegen berüchtigte russische Hackergruppe

Weltweit liegt Deutschland bei den Ransomware-Angriffen im Jahr 2026 mit 402 Fällen weiter­hin auf Platz 2 hinter den klar führenden USA (2985 Fälle), aber vor Großbritannien (338), Kanada (252), Italien (239) und Frankreich (208). Die aktivsten Ransomware-Gruppen waren im Gesamtjahr Qilin (1.051), TheGentlemen (843) und Akira (402). Auch global wurde im August ein neuer Monatsrekord mit 1.166 Opfern registriert, im September waren es 849 Fälle. Der bisherige Höchstwert lag bei 1.014 Fällen im Februar 2025.

Drei wichtige Trends

Insgesamt haben drei Trends die letzten Monate geprägt. Erstens nahm die Fragmentierung der Ransomware-Gruppen weiter zu. Zweitens blieb die bislang übliche Sommerflaute in Europa aus und im August wurden sogar neue Allzeithochs registriert. Drittens entwickelte sich KI vom Marketingthema zu einer operativen Fähigkeit, inklusive einem innerhalb von drei Tagen erstellten Admin-Panel, Unterstützung bei Verhandlungen und bei JadePuffer einem KI-Agenten, der große Teile der Angriffskette eigenständig ausführte.

SafePay wird zur aktivsten Ransomware-Gruppe in Deutschland

107 Ransomware-Opfer bringen Deutschland auf Rekordniveau

Alle drei Trends dürften sich in den nächsten Monaten fortsetzen und sogar verstärken. Die praktische Konsequenz für Unternehmen ist, dass neue Angriffswege schneller entstehen und zunehmen, als sich die bisherigen Erkennungssysteme anpassen können. Gerade KI wird hier eine zentrale Rolle spielen. Zum Beispiel setzt TheGentlemen bereits kommerzielle und offene Modelle für Verhandlungen und die Datenauswahl ein. Die Security-Experten von Cisco Talos entdeckten Malware, die kommerzielle LLMs – darunter DeepSeek, Qwen, Mistral und Google Gemini – über ihre nächste Aktion abstimmen lässt und anschließend die gewählte Option ausführt, ohne auf einen vom Angreifer kontrollierten Server zu warten. Die Architektur erfordert keine menschlichen Akteure mehr.

Auf solche und ähnlich automatisierte neuartige Angriffsszenarien müssen sich Unternehmen in den kommenden Monaten vorbereiten. Dies gelingt nur mit KI-gestützter Erkennung und Abwehr sowie mit unveränderlichen Backups, die in geschützten Datentresoren zur zuverlässigen Wiederherstellung gespeichert sind.

182 Ransomware-Opfer in Deutschland bis Mai 2026

Infostealer-Malware wird zum Einfallstor für Ransomware

Fazit

Die deutlichen Schwankungen in den Aktivitäten der einzelnen Ransomware-Gruppen sowie die steigende Zahl neu auf­tre­ten­der Akteure stellen Unternehmen vor veränderte He­r­aus­for­de­rungen. Es reicht nicht mehr aus, sich auf bekannte Angriffs­in­di­ka­to­ren zu konzentrieren. Die ständigen Verschiebungen in der Bedrohungslandschaft und neuartige KI-basierte Angriffs­me­tho­den erfordern eine Rundumsicht auf die eigene Infrastruktur inklusive Cloud-Services und Lieferkette sowie eine KI-basierte Anomalie-Erkennung, umfassende Zero-Trust-Konzepte und weitgehend automatisierte Abwehrprozesse. Dabei müssen Unternehmen davon ausgehen, dass sie eher früher als später erfolgreich angegriffen werden, und sich entsprechend mit zuverlässigen, erprobten Response-, Backup- und Recovery-Systemen auf diesen Tag vorbereiten.

Über den Autor: Julien Mousqueton ist Gründer der Plattform ransomware.live und EMEA CISO bei Cohesity. Er verfügt über mehr als 25 Jahre Erfahrung in IT und Cybersecurity. Er grün­de­te ransomware.live, eine Echtzeit-Plattform, die Ransomware-An­griffe weltweit trackt und der Cybersecurity-Community als offene Informationsquelle dient. Zudem berät er das französische Office Anti-Cybercriminalité (OFAC).

The Global Cost of Ransomware

Erschreckende Zahlen zu Ransomware-Attacken weltweit

(ID:51011661)