Illustration Absmeier foto ki designer

Management Summary

Daten statt Verschlüsselung: Ransomware-Gruppen erhöhen den Erpressungsdruck zunehmend durch den Abfluss großer Datenmengen; ThreatLabz beziffert das beobachtete Volumen auf 896,2 Terabyte.
Führungskräfte werden zum Einfallstor: 62 Prozent der erfassten Opfer bekleideten laut Report mindestens eine Managementposition – privilegierter Zugriff und geschäftlicher Einfluss machen sie besonders attraktiv.
Vertrauenswürdige Werkzeuge werden missbraucht: Angriffe über Microsoft Teams, Quick Assist und weitere legitime Administrationswerkzeuge können sich wie gewöhnliche Supportvorgänge tarnen.
Resilienz braucht mehrere Ebenen: Identitätsschutz, konsequentes Patchen, Netzwerksegmentierung, Kontrolle von Datenabflüssen und getestete Offline-Backups müssen zusammenspielen.
Ransomware ist ein Managementrisiko: Geschäftsleitung, IT, Recht, Datenschutz und Kommunikation sollten Zuständigkeiten, Meldewege und Entscheidungsregeln vor einem Vorfall verbindlich festlegen.

Ransomware entwickelt sich vom lauten Verschlüsselungsangriff zur datengetriebenen Erpressungsmaschine. Der ThreatLabz-Report 2026 meldet 896,2 Terabyte exfiltrierte Daten, steigende Durchschnittszahlungen und einen auffälligen Fokus auf Führungskräfte. Für Unternehmen reicht klassische Endpunktsicherheit damit nicht mehr aus: Gefragt sind belastbare Identitäten, kontrollierte Datenflüsse und ein eingeübter Krisenmodus.

Zscaler, die Cybersicherheitsplattform für das KI-Zeitalter, veröffentlichte den jüngsten ThreatLabz 2026 Ransomware-Report und enthüllt einen Anstieg von Ransomware-Angriffen im Vergleich zum letztem Jahr um 275 Prozent [1]. Dabei nahmen die Angreifer KI-Unterstützung zu Hilfe und Unternehmen zahlten mehr als 328 Millionen US-Dollar an Lösegelder. Im Lauf des Untersuchungszeitraums wurden fast 900 Terabyte an Daten gestohlen. Der durch KI getriebene Anstieg der Ransomware-Angriffe zielt zu fast zwei Dritteln auf Führungskräfte ab und zunehmend kamen vertrauenswürdige Tools am Arbeitsplatz zum Einsatz, um Datendiebstahl und laterale Bewegung innerhalb der Unternehmensumgebung zu ermöglichen.

Die wichtigsten Ergebnisse im Überblick:

Der durch Ransomware verursachte Datendiebstahl stieg im Jahresvergleich um mehr als 275 Prozent und erreichte 896,2 Terabyte an exfiltrierten Daten.
Blockchain-Transaktionen im Zusammenhang mit Ransomware-Zahlungen beliefen sich auf 328 Millionen US-Dollar.
Die durchschnittliche Lösegeldzahlung stieg im Jahresvergleich um 5,3 Prozent auf 431.995 US-Dollar.
62 Prozent der Opfer hatten eine Führungsposition inne oder waren in höheren Positionen, was den Fokus auf Mitarbeitende mit privilegierten Rollen und geschäftlichem Einfluss unterstreicht.
Angreifer missbrauchen zunehmend vertrauenswürdige Unternehmens-Tools wie Microsoft Teams und Quick Assist, um Social Engineering, laterale Bewegung, Datendiebstahl und Dateiverschlüsselung zu ermöglichen.

»Erfolgreiche Ransomware-Erpressung verlagert sich weg von der Dateiverschlüsselung als Grundlage für Betriebsunterbrechungen hin zu weniger sichtbaren, aber schädlicheren Datendiebstählen«, sagt Deepen Desai, Executive Vice President of Cybersecurity bei Zscaler. »Angreifer nutzen GenAI, um ihre Operationen zu beschleunigen, und konzentrieren sich darauf, mehr geistiges Eigentum, Kundeninformationen und andere sensible Daten von Unternehmen als Basis für Lösegeldforderungen zu stehlen. Sicherheitsteams müssen diese Angriffe frühzeitig stoppen, indem sie die Möglichkeiten für einen ersten Zugriff einschränken, laterale Bewegungen begrenzen und den Datendiebstahl verhindern.«

Weitere Ergebnisse:

Die Fertigungs- und Technologiebranche blieb weiterhin am stärksten betroffen, während die Bereiche Fracht und Logistik (+725 %) sowie die Versorgungseinrichtungen (+622 %) im Jahresvergleich das schnellste Wachstum verzeichneten.
Die Vereinigten Staaten blieben das Hauptziel von Ransomware-Angriffen, wobei US-Unternehmen 50,7 Prozent der beobachteten Aktivitäten ausmachten weit vor Kanada (4,8 %), Deutschland (4,3 %) und Großbritannien (4,1 %).
Skriptbasierte Tools spielen bei Ransomware eine immer größere Rolle, da JavaScript, PowerShell, Python und andere Sprachen Angreifern helfen, neue Tools schneller zu entwickeln und sich in legitime Aktivitäten einzuschleusen.
Die Zahl der Ransomware-Opfer bleibt trotz erheblicher Umbrüche im Ökosystem stabil: ThreatLabz erfasste 7.366 Opfer, die auf Ransomware-Leak-Seiten aufgeführt waren, was einem Rückgang von nur drei Prozent im Jahresvergleich entspricht. Auf »Qilin«, »Akira« und »INC Ransom« entfielen 34 Prozent der offengelegten Opfer.
Die Ransomware-Landschaft weitet sich deutlich aus, da neun der 15 Gruppierungen mit der höchsten Opferzahl neu in der Rangliste auftauchten, und ThreatLabz identifizierte im letzten Jahr 52 neue aktive Gruppen.

Tipps für Unternehmen

Identitäten priorisieren: Privilegierte Konten und besonders exponierte Führungskräfte erfassen, Zugriffe nach dem Least-Privilege-Prinzip beschränken und phishing-resistente Mehrfaktor-Authentifizierung einsetzen.
Supportkanäle absichern: Externe Teams-Kommunikation kennzeichnen, Rückrufprozesse für angebliche Helpdesk-Anfragen definieren und ungenutzte Fernwartungswerkzeuge blockieren oder entfernen [3].
Datenabfluss sichtbar machen: Ungewöhnliche Upload-Volumina, Cloud-Ziele und Archivierungsaktivitäten überwachen; sensible Daten klassifizieren und Exfiltrationsgrenzen technisch durchsetzen.
Laterale Bewegung begrenzen: Netze segmentieren, administrative Protokolle kontrollieren, bekannte Schwachstellen priorisiert schließen und Endpunkte kontinuierlich überwachen [2].
Wiederanlauf testen: Offline oder unveränderbar gespeicherte Backups regelmäßig auf Integrität und Wiederherstellbarkeit prüfen; geschäftskritische Dienste mit realistischen Übungen priorisieren [2].
Krisenentscheidungen vorbereiten: Incident Response, Rechtsberatung, Datenschutz, Kommunikation, Versicherung und Strafverfolgung in einem verbindlichen Playbook zusammenführen. Eine Lösegeldzahlung bietet keine Gewähr für die Rückgabe der Daten [4].

FAQ: Ransomware, Datendiebstahl und Managementrisiken

1. Was unterscheidet moderne Ransomware von klassischen Angriffen?

Die Erpressung basiert nicht mehr ausschließlich auf verschlüsselten Systemen. Angreifer kopieren sensible Daten und drohen mit Veröffentlichung oder Verkauf. CISA bezeichnet die Kombination aus Verschlüsselung und Datendiebstahl als »Double Extortion«; teilweise dient allein der Datenabfluss als Druckmittel [2].

2. Wie belastbar sind die Zahlen des ThreatLabz-Reports?

Die Angaben beruhen auf Zscaler-Telemetrie und ThreatLabz-Analysen für April 2025 bis März 2026. Sie beschreiben damit die Beobachtungen eines Anbieters und keine vollständige weltweite Bestandsaufnahme. Für Trendentscheidungen sollten Unternehmen die Werte mit eigenen Vorfalldaten und weiteren Lagebildern abgleichen [1].

3. Warum geraten Führungskräfte besonders in den Fokus?

Führungskräfte verfügen häufig über weitreichende Zugriffsrechte, sensible Kommunikation und Entscheidungsautorität. Laut ThreatLabz entfielen 62 Prozent der erfassten Opfer auf Managementpositionen oder höhere Ebenen [1]. Individuelle Schutzmaßnahmen und klar geregelte Supportkontakte sind deshalb sinnvoll.

4. Welche Rolle spielt generative KI?

ThreatLabz berichtet, dass Täter GenAI zur Beschleunigung ihrer Abläufe einsetzen [1]. Der Report belegt jedoch nicht, dass KI die alleinige Ursache des gemessenen Anstiegs ist. Für die Verteidigung zählt vor allem, schneller auf variierende Köder, Skripte und Kontaktmuster reagieren zu können.

5. Wie werden Microsoft Teams und Quick Assist missbraucht?

Microsoft dokumentiert Kampagnen, bei denen sich Angreifer über Teams oder Telefon als IT-Support ausgeben und Betroffene zur Freigabe einer Quick-Assist-Sitzung bewegen. Danach können Anmeldedaten gestohlen, Werkzeuge nachgeladen und weitere Systeme erreicht werden [3].

6. Welche technischen Maßnahmen haben Vorrang?

CISA empfiehlt unter anderem zeitnahes Patchen, Mehrfaktor-Authentifizierung, Netzwerksegmentierung, restriktive Identitäts- und Zugriffsrichtlinien sowie Schutz vor Social Engineering [2]. Ergänzend sollten Unternehmen auffällige Datenabflüsse und den Einsatz legitimer Fernwartungswerkzeuge überwachen.

7. Reichen Backups als Schutz aus?

Nein. Backups unterstützen die Wiederherstellung, verhindern aber weder den Diebstahl noch die Veröffentlichung von Daten. Sie sollten getrennt vom Produktivnetz, gegen Veränderungen geschützt und regelmäßig durch Wiederherstellungstests überprüft werden [2][4].

8. Sollte ein Unternehmen Lösegeld zahlen?

Das FBI unterstützt Lösegeldzahlungen nicht: Eine Zahlung garantiert keine Datenrückgabe und stärkt das kriminelle Geschäftsmodell [4]. Die konkrete Entscheidung muss unter Zeitdruck rechtlich, regulatorisch, operativ und mit Blick auf mögliche Sanktionen bewertet werden.

9. Was gehört in einen Ransomware-Notfallplan?

Er sollte Rollen, Eskalationswege, forensische Sicherung, Isolation betroffener Systeme, Wiederanlaufprioritäten, Meldepflichten, Kommunikationsfreigaben und Kontakte zu Behörden oder Dienstleistern festlegen. CISA stellt dafür eine Reaktionscheckliste bereit [2].

10. Welche Kennzahlen sollte das Management verlangen?

Geeignet sind etwa die Abdeckung starker Mehrfaktor-Authentifizierung, die Zahl privilegierter Konten, Patchzeiten kritischer Lücken, erkannte ungewöhnliche Datenabflüsse, Wiederherstellungszeiten aus Tests sowie Teilnahme- und Meldequoten bei Social-Engineering-Übungen. Entscheidend ist die Entwicklung über die Zeit und der Bezug zu kritischen Geschäftsprozessen.

Quellen

[1] Der Zscaler ThreatLabz 2026 Ransomware Report stellt außerdem dar, wie Ransomware über den gesamten Angriffszyklus hinweg bekämpft werden kann. Der Report basiert auf Zscaler Telemetriedaten und Analysen von ThreatLabz und untersucht Ransomware-Aktivitäten von April 2025 bis März 2026, wobei der Schwerpunkt auf Gruppierungen und deren Partner, der Zielauswahl der Opfer, Angriffstechniken, Datendiebstahl und Zahlungsmustern liegt. Insgesamt zeigen die Ergebnisse eine Bedrohungslandschaft, in der Angreifer ihren Druck durch gestohlene Daten erhöhen, einflussreiche Mitarbeitende in Unternehmen ins Visier nehmen und ihre operative Effizienz durch KI-gestützte Tools sowie den Missbrauch legitimer Unternehmensplattformen steigern.

Zscaler ThreatLabz 2026 Ransomware Report und Zusammenfassung: https://www.zscaler.com/campaign/threatlabz-ransomware-report sowie https://www.zscaler.com/blogs/security-research/ransomware-leverage-growing-terabyte-takeaways-threatlabz-2026-ransomware

[2] CISA, #StopRansomware Guide: https://www.cisa.gov/stopransomware/ransomware-guide

[3] Microsoft Security, Missbrauch von Quick Assist und Teams für Social Engineering: https://www.microsoft.com/en-us/security/blog/2024/05/15/threat-actors-misusing-quick-assist-in-social-engineering-attacks-leading-to-ransomware/

[4] FBI/IC3, Ransomware: Hinweise zu Prävention, Reaktion und Lösegeldzahlungen: https://www.ic3.gov/CrimeInfo/Ransomware

Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

2690 Artikel zu „Ransomware “

IT-Security | News | Tipps | Trends 2026 | Trends Security

Ransomware: »Jede Zahlung finanziert den nächsten Angriff«

6. September 2026

Ransomware bleibt ein akutes Geschäftsrisiko: 45 Prozent der Unternehmen waren binnen zwölf Monaten betroffen, jedes fünfte Opfer zahlte bereits Lösegeld. Für das Management folgt daraus eine klare Priorität: nicht die Zahlung vorbereiten, sondern Widerstandsfähigkeit, Wiederanlauf und Krisenführung konsequent organisieren. Management Summary Risiko bleibt hoch: 45 Prozent der Unternehmen waren innerhalb eines Jahres Ziel eines…