Drei RaaS-Gruppen dominieren Deutschlands Bedrohungslandschaft Ransomware trifft Deutschland in Produktion, Dienstleistung und Handel

Anbieter zum Thema

FAST LTA GmbH

Ransomware-Gruppen greifen gezielt Branchen an, in denen Stillstand sofort Geld kostet. Produktion, Dienstleistung und Handel stehen deshalb bei ihnen besonders im Fokus. Drei professionalisierte RaaS-Gruppen dominieren dabei die deutsche Bedrohungslandschaft. Die Frage ist nicht mehr ob, sondern wann der Angriff kommt.

Die Zahlen sind eindeutig: 34,1 Prozent aller öffentlich bekannten Ransomware-Angriffe in Deutschland treffen das produzierende Gewerbe. Das sind mehr als jeder dritte erfasste Cyberangriff. Diese Konzentration ist kein Zufall, sondern das Ergebnis einer kühlen Kosten-Nutzen-Rechnung krimineller Gruppen. Die Auswertung von 276 öffentlich bekannten Fällen aus dem Jahr 2025 zeigt: Die Lage verschärft sich, und die Bedrohung wird weiter zunehmen.

Neue Malware-as-a-Service tarnt sich als RMM-Tool

Malware für 300 Dollar im Monat mieten

Wirtschaftlicher Druck macht verwundbar

Der produzierende Sektor ist aus einem einfachen Grund das attraktivste Ziel: Stillstand kostet hier unmittelbar Geld. Während ein IT-Ausfall in anderen Branchen zu Verzögerungen führt, stoppt er in Produktionsbetrieben die Wertschöpfung sofort. Lieferketten reißen, Aufträge können nicht bedient werden und womöglich drohen Vertragsstrafen. Dieser wirtschaftliche Druck macht Unternehmen zahlungswillig, so das Kalkül der Erpresser.

Die Zahlen sprechen eine deutliche Sprache: Nach dem produzierenden Gewerbe folgen Dienstleistungen mit 21,4 Prozent und Handel & Logistik mit 16,3 Prozent. Deutschland ist ein Exportland. Es stellt her und liefert aus. Das wirtschaftliche Volumen, was dahinter steht, macht die Branchen so attraktiv. Im Vergleich dazu ist das Fallvolumen in der Finanz (2,9 Prozent) und im öffentlichen Sektor (4 Prozent) vergleichsweise gering.

Mittelstand setzt bei der IT-Sicherheit oft auf falsche Maßnahmen

Deutsche KMU geraten verstärkt ins Visier von Ransomware

Drei internationale Gruppen dominieren die Bedrohungslandschaft

Eine weitere bemerkenswerte Erkenntnis: 38 Prozent aller erfassten Angriffe gehen auf nur drei internationale Hackergruppen zurück – Safepay, Akira und Inc. Ransom. Diese Konzentration ist typisch für einen professionalisierten Markt. Die Gruppen operieren arbeitsteilig, verfügen über spezialisierte Ressourcen und nutzen erprobte Angriffsmuster. Sie haben sich auf bestimmte Branchen spezialisiert und optimieren ihre Taktiken kontinuierlich. Safepay führt die Liste mit 68 erfassten Fällen an, gefolgt von Akira mit 36 und Inc. Ransom mit 30 Angriffen.

Typische Taktiken

• Safepay: Nutzt aggressives Social Engineering (Vishing) und flutet Unternehmen mit Spam-E-Mails. Geben sich anschließend als Microsoft Support aus (Infos).

• Akira: Setzt auf verletzliche VPN oder RDP Zugänge und zielt auf bestimmte Schwachstellen in Software ab (Infos).

• Inc. Ransom: Nutzt Spear-Phishing-Attacken oder komplexe Schwachstellen in Netzwerk-Software (Infos).

Unternehmen müssen keine leichte Beute sein

Diese 10 Fehler lieben Ransomware-Angreifer

Die Dunkelziffer ist erheblich

Bei unserer Analyse müssen wir von einer erheblichen Dunkelziffer ausgehen. Ransomware-Gruppen veröffentlichen typischerweise nur die Opfer, die sich weigern zu zahlen – als Druckmittel und Abschreckung. Unternehmen, die Lösegeld zahlen, bleiben meist unsichtbar. Das BSI geht davon aus, dass rund 15 Prozent der betroffenen deutschen Unternehmen Lösegeld zahlen. Daraus lässt sich hochrechnen: Die reale Zahl der Angriffe liegt bei mindestens 325 pro Jahr. Wahrscheinlich deutlich höher.

Diese Dunkelziffer erschwert die Bewertung der Gesamtbedrohung erheblich. Viele Unternehmen scheuen die öffentliche Kommunikation aus Angst vor Reputationsschäden, rechtlichen Konsequenzen oder weiteren Angriffen. Das macht es für Branchen und Wettbewerber schwerer, aus den Erfahrungen anderer zu lernen und Schutzmaßnahmen abzuleiten.

Zwei neue Insolvenzanträge

Cyberattacken treiben deutsche Unternehmen in den Ruin

Vibe Coding senkt die Eintrittshürde

Für 2026 erwarten wir eine weitere Verschärfung der Lage. Drei Trends sind dafür verantwortlich:

• Verwundbare Wertschöpfung im Exportland Deutschland: Industrie-IT, Lieferketten und OT-Systeme bleiben strukturell verwundbar. Viele Produktionsanlagen wurden nicht mit Blick auf Cybersecurity konzipiert. Legacy-Systeme lassen sich nicht einfach patchen, industrielle Steuerungsanlagen sind oft jahrzehntealt. Die Konvergenz von IT und OT, also klassischer Informationstechnologie und Operational Technology in Fabriken, schafft neue Angriffsvektoren, die viele Unternehmen noch nicht ausreichend absichern.

• Vibe Coding & KI: Künstliche Intelligenz beschleunigt Angriffsmuster. KI-Tools helfen Angreifern, Schwachstellen schneller zu identifizieren, Spear-Phishing-Mails überzeugender zu formulieren und Verteidigungsmaßnahmen zu umgehen. Gleichzeitig entstehen mit sogenanntem Vibe Coding neue Werkzeuge, die es ermöglichen, Schadsoftware noch schneller und mit weniger Programmier-Expertise zu entwickeln.

• Ransomware-as-a-Service: Ransomware-as-a-Service senkt die Einstiegshürden dramatisch. Kriminelle müssen keine eigene Schadsoftware mehr entwickeln. Sie mieten fertige Lösungen inklusive Support. Das Geschäftsmodell funktioniert nach dem Franchise-Prinzip: Entwickler erhalten einen Anteil am erpressten Lösegeld, Anwender führen die Angriffe durch. Diese Arbeitsteilung skaliert das Problem und ermöglicht es auch technisch weniger versierten Akteuren, schweren Schaden anzurichten.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

Was Unternehmen jetzt tun müssen

Die gute Nachricht: Wirksamer Schutz ist möglich, aber er erfordert eine ganzheitliche Strategie. Cyber-resiliente Backup-Architekturen sind die letzte Verteidigungslinie. Backups müssen offline, unveränderbar und regelmäßig getestet werden. Der beste Schutz gegen Verschlüsselung ist ein Backup, das selbst im Angriffsfall nicht kompromittiert werden kann.

Darüber hinaus sind regelmäßige Security-Audits, Mitarbeiterschulungen und moderne Endpoint-Detection-Systeme unverzichtbar. Unternehmen sollten Incident-Response-Pläne entwickeln und regelmäßig durchspielen. Im Ernstfall zählt jede Minute – wer vorbereitet ist, minimiert Schaden und Ausfallzeiten.

Die Frage ist nicht mehr, ob ein Unternehmen angegriffen wird, sondern wann. Wer das produzierende Gewerbe, kritische Infrastrukturen oder Lieferketten betreibt, steht bereits im Fadenkreuz. Die Uhr für präventive Maßnahmen tickt.

Über den Autor: Christoph Demiriz ist Experte für präventive und reaktive Cybersecurity. Als Geschäftsführer von Digital Recovery begleitet er Unternehmen im DACH-Raum nach Cyber-Angriffen – vom Produktionsstillstand bis zur vollständigen Wiederherstellung. Seine Erfahrung aus über dreihundert Fällen fließt in cyber-resiliente Backup-Architekturen ein, die selbst modernsten Angriffsszenarien standhalten.

Immutability schützt Backups vor Ransomware-Angriffen

96 Prozent der Ransomware-Opfer verlieren auch ihre Backups

(ID:50815912)