SafePay wird zur aktivsten Ransomware-Gruppe in Deutschland 107 Ransomware-Opfer bringen Deutschland auf Rekordniveau

Anbieter zum Thema

Cohesity Inc.

PresseBox - unn | UNITED NEWS NETWORK GmbH

FAST LTA GmbH

Onapsis Europe GmbH

Im Juni und Juli 2026 hat ransomware.live in Deutschland 107 Opfer von Ransomware ermittelt, rund dreimal so viele wie im Vorjahreszeitraum mit 36 Fällen. Allein 58 Opfer im Juli bedeuten ein monatliches Allzeithoch seit Beginn der Aufzeichnungen 2023. Deutschland liegt damit weltweit auf Platz zwei der am häufigsten angegriffenen Länder.

Die Gefahr durch Ransomware steigt aktuell wieder und ist hierzulande so hoch wie nie. Das liegt vor allem an einer verstärkten Ransomware-Kampagne durch SafePay. Während diese Gruppe, berechnet für das Gesamtjahr 2026, im Mai noch auf Platz 3 mit 14 Opfern in Deutsch­land deutlich hinter Qilin (30) und Akira (21) lag, hat sie jetzt Platz 1 übernommen. Im Juni (8 Opfer) und Juli (23 Opfer) war sie jeweils die aktivste Gruppe in Deutschland. Hinter SafePay (45 Opfer) nimmt im Gesamtjahr nun Qilin (41) Platz 2 ein, gefolgt von TheGentlemen (30), Akira (22) sowie DragonForce und LockBit (je 14 Opfer). Weltweit führt dagegen weiterhin Qilin mit 804 Fällen vor TheGentlemen (617), Akira (326), DragonForce (296) und INC Ransom (286).

182 Ransomware-Opfer in Deutschland bis Mai 2026

Infostealer-Malware wird zum Einfallstor für Ransomware

Im internationalen Vergleich liegt Deutschland bei den Ransomware-Angriffen im Jahr 2026 mit 290 Fällen hinter den klar führenden USA (2247 Fälle), aber vor Großbritannien (260), Kanada (191), Frankreich (162), Italien (157) und Spanien (122). Insgesamt wurden im Juni und Juli weltweit 1668 Ransomware-Angriffe verzeichnet, im Vorjahreszeitraum waren es 1048 Fälle. Das entspricht einem Anstieg von 59,0 Prozent.

Die Fertigung bleibt in Deutschland mit Abstand die am stärksten von Ransomware angegriffene Branche. 86 Opfer in den ersten sieben Monaten 2026 entsprechen 29,7 Prozent aller deutschen Vorfälle. An zweiter Stelle folgen Business Services mit 50 Fällen vor Technologie (40), Einzelhandel (25) und Gesundheitswesen (18). Weltweit liegen dagegen Business Services vor Fertigung und Technologie. Dies belegt die hohe wirtschaftliche Bedeutung der Fertigungsbranche in Deutschland.

Ransomware-Lösegeld ist verhandelbar, aber Zahlung garantiert nichts

Unternehmen verhandeln zum ersten Mal, Angreifer zum hundertsten

Die aktuelle SafePay-Kampagne in Deutschland

Allein im Juli wurden auf ransomware.live in Deutschland 23 Opfer von SafePay registriert. Das zeigt deutlich, dass die Ransomware-Gruppe aktiv und gezielt deutsche Organisationen angreift. Und dieses Tempo flacht nicht ab, sondern beschleunigt sich weiter.

Das Vorgehen von SafePay folgt dabei meist demselben Muster: über kompromittierte VPN-/RDP-Zugangsdaten und fehlerhaft konfigurierte Edge-Geräte. Dabei spielen häufig auch schwache oder umgangene MFA-Vorkehrungen an Firewalls eine wichtige Rolle. Sind die Angreifer in den Systemen, geht es schnell. Die gesamte Angriffskette, vom Erstzugriff bis zur vollständigen Verschlüsselung, dauert häufig nur rund 24 Stunden. In einem dokumentierten Fall genügten sogar etwa 7 Stunden. Diese Geschwindigkeit ist die eigentliche Gefahr: Wenn der Angriff entdeckt wird, ist es zur Eindämmung meist schon zu spät.

Cyber Risk Report 2026 von TrendAI

Cyberrisiko steigt trotz besserer Abwehr

Zum Schutz benötigen Unternehmen daher:

• vollständig unveränderliche Backups

• mindestens eine Offline- bzw. Air-Gap-Kopie der Daten

• einen getesteten Incident-Response-Plan für eine effiziente, schnelle Reaktion

Fazit

Ransomware-Angriffe erfolgen immer häufiger und gezielter auf deutsche Unternehmen. Das beweist die aktuelle SafePay-Kampagne. Dabei stehen oft nur wenige Stunden zur Verfügung, um einen Angriff zu erkennen und einzudämmen. Aufgrund dieses hohen Angriffsdrucks lautet die Frage nicht mehr, ob ein Unternehmen Opfer von Ransomware wird, sondern nur noch, wann das geschieht. Daher müssen sich Unternehmen auf den Fall der Fälle vorbereiten, damit sie sich schnell von einer Attacke erholen können. Dies gelingt nur mit unveränderlichen und vom Netzwerk getrennten Backups sowie einem eingeübten Reaktionsplan. Zudem können sie mit dem Konzept der Minimum Viable Company ihre wichtigsten Systeme schnell und vertrauensvoll wiederherstellen.

Über den Autor: Julien Mousqueton ist Gründer der Plattform ransomware.live und EMEA CISO bei Cohesity. Er verfügt über mehr als 25 Jahre Erfahrung in IT und Cybersecurity. Er grün­de­te ransomware.live, eine Echtzeit-Plattform, die Ransomware-An­griffe weltweit trackt und der Cybersecurity-Community als offene Informationsquelle dient. Zudem berät er das französische Office Anti-Cybercriminalité (OFAC).

Bundeslagebild Cybercrime 2025

Die Bedrohung steigt, die Abwehr zieht nach

(ID:50931907)