Illustration Absmeier foto ki designer

Ransomware bleibt ein akutes Geschäftsrisiko: 45 Prozent der Unternehmen waren binnen zwölf Monaten betroffen, jedes fünfte Opfer zahlte bereits Lösegeld. Für das Management folgt daraus eine klare Priorität: nicht die Zahlung vorbereiten, sondern Widerstandsfähigkeit, Wiederanlauf und Krisenführung konsequent organisieren.

Management Summary

Risiko bleibt hoch: 45 Prozent der Unternehmen waren innerhalb eines Jahres Ziel eines Ransomware-Angriffs; bei jedem vierten Unternehmen entstand ein Schaden.
Nicht zahlen: Lösegeld schafft keine Garantie für Entschlüsselung oder Vertraulichkeit und finanziert weitere Angriffe.
Finanzielle Tragweite: Zahlungen liegen häufig im sechsstelligen Bereich; einzelne Unternehmen überwiesen eine Million Euro oder mehr.
Resilienz entscheidet: Offline-Backups, getestete Wiederherstellung, Mehr-Faktor-Authentifizierung und konsequentes Rechtemanagement begrenzen Ausfall und Schaden.
Führung ist gefragt: Ein zugänglicher Notfallplan, klare Verantwortlichkeiten, belastbare Meldewege und geübte Krisenkommunikation verkürzen den Stillstand.

Zahlen – oder personenbezogene Daten landen im Darknet: Vor dieser Entscheidung steht derzeit das Land Berlin. Zwei Millionen Euro fordern Cyberkriminelle, damit sie die bei einem Hackerangriff gestohlenen Daten nicht veröffentlichen. Was in Berlin für alle sichtbar verhandelt wird, erleben Unternehmen in Deutschland regelmäßig hinter verschlossenen Türen: Fast jedes zweite Unternehmen (45 Prozent) war in den vergangenen zwölf Monaten von einem Ransomware-Angriff betroffen, oft werden dabei auch die IT-Systeme der Opfer verschlüsselt und blockiert, wodurch der gesamte Betrieb stillstehen kann. Bei 25 Prozent ist dabei ein Schaden entstanden, bei 20 Prozent blieb der Angriff ohne Folgen. Gegenüber dem Vorjahr ist das ein Rückgang, damals waren 58 Prozent aller Unternehmen von Ransomware-Attacken betroffen (34 Prozent mit Schaden, 24 Prozent ohne).

Die große Mehrheit der betroffenen Unternehmen zahlt nicht: 66 Prozent haben den Erpressern nichts überwiesen. Jedes Fünfte (20 Prozent) hat aber schon Lösegeld gezahlt, 14 Prozent wollen oder können dazu keine Angabe machen. Das sind Ergebnisse einer repräsentativen Befragung von 1.003 Unternehmen ab 10 Beschäftigten in Deutschland im Auftrag des Digitalverbands Bitkom. »Der aktuelle Fall in Berlin zeigt, vor welch schwieriger Entscheidung Opfer von Ransomware-Angriffen stehen. Richtig wäre, nicht zu zahlen. Jede Zahlung finanziert den nächsten Angriff. Und selbst wer zahlt, erhält keine Garantie: Weder für die Entschlüsselung seiner Daten noch dafür, dass die Täter die Daten nicht doch veröffentlichen oder weiterverkaufen«, sagt Bitkom-Präsident Dr. Ralf Wintergerst. »Besser ist eine gute Vorbereitung auf den Ernstfall. Wer Backups besitzt und Notfallpläne aufgestellt hat, sorgt dafür, dass eine Verschlüsselung den Betrieb nicht über längere Zeit lahmlegt.«

Wer zahlt, zahlt meist sechsstellige Beträge

Wenn Unternehmen auf die Erpresser-Forderungen eingehen, geht es um erhebliche Summen. 37 Prozent der zahlenden Unternehmen überwiesen zwischen 10.000 und 100.000 Euro, 24 Prozent zwischen 100.000 und 500.000 Euro. 6 Prozent zahlten zwischen 500.000 Euro und einer Million und 4 Prozent sogar eine Million Euro oder mehr. 26 Prozent machen zur Höhe keine Angabe, 3 Prozent wissen es nicht.

Was Unternehmen tun können

Der Bitkom empfiehlt Unternehmen fünf Maßnahmen, um Ransomware-Angriffe abzuwehren und im Ernstfall handlungsfähig zu bleiben:

Die eigene IT-Landschaft kennen.
Wer nicht weiß, welche Systeme, Datenbestände und Schnittstellen im Einsatz sind, hat keine Informationen zur eigenen Verwundbarkeit und kann nach einem Angriff die Betroffenheit nicht abschätzen. Eine aktuelle Übersicht über Systeme, Zugänge und Abhängigkeiten ist die Grundlage jeder Reaktion.
Backups machen – und offline halten.
Viele Unternehmen haben gar keine oder nur unvollständige Sicherungen ihrer Daten, das spielt Erpressern in die Hände, die Daten verschlüsseln und den Zugang kontrollieren. Wer Backups besitzt, sollte sie vom Netz getrennt aufbewahren, damit sie sich nicht mitverschlüsseln oder stehlen lassen. Und das Zurückspielen gehört regelmäßig geprobt, nicht erst im Schadensfall.
Zugänge absichern.
Die konsequente Nutzung von Mehr-Faktor-Authentifizierung, ein striktes Rechtemanagement und die regelmäßige Löschung nicht mehr benötigter Konten schließen die Einfallstore, die Angreifer am häufigsten nutzen.
Angriffe früh erkennen.
Die unzureichende Erkennung von Sicherheitsvorfällen ist die häufigste Ursache dafür, dass aus einem Angriff ein Schaden wird. Protokolldaten müssen durchgängig ausgewertet und überwacht werden, um schnell reagieren zu können.
Den Notfall üben.
Ein Notfallplan ist ein Muss, und zwar so, dass auf ihn beim Ausfall der IT auch zugegriffen werden kann. Darin müssen Verantwortlichkeiten, Meldewege und vorbereitete Krisenkommunikation enthalten sein. Geübte Abläufe entscheiden über Stunden oder Wochen Stillstand.

[1] Hinweis zur Methodik: Grundlage der Angaben ist eine Umfrage, die Bitkom Research im Auftrag des Digitalverbands Bitkom durchgeführt hat. Dabei wurden 1.003 Unternehmen ab 10 Beschäftigten und einem Jahresumsatz von mindestens 1 Mio. Euro in Deutschland telefonisch befragt. Die Befragung fand im Zeitraum von KW 16 bis KW 23 2026 statt. Die Umfrage ist repräsentativ. Die Angaben zu Lösegeldzahlungen beziehen sich auf die von Ransomware-Angriffen betroffenen Unternehmen (n=452), die Angaben zur Höhe der Zahlungen auf die Unternehmen, die Lösegeld gezahlt haben (n=90). Die Fragestellungen lauteten: »Welche der folgenden Arten von Cyberangriffen wurden innerhalb der letzten 12 Monate auf Ihr Unternehmen verübt und ist dabei ein Schaden entstanden?«, »Haben Sie bei Ransomware-Angriffen Lösegeld bezahlt?« und »Wie hoch war die Summe, die Sie in den vergangenen 12 Monaten gezahlt haben?«

FAQ: Ransomware im Management-Fokus

Wie groß ist das aktuelle Ransomware-Risiko?
45 Prozent der befragten Unternehmen waren in den vergangenen zwölf Monaten betroffen; bei 25 Prozent entstand ein Schaden.
Sollte ein Unternehmen Lösegeld zahlen?
Grundsätzlich nein. Eine Zahlung finanziert weitere Angriffe und bietet weder eine sichere Entschlüsselung noch Schutz vor Veröffentlichung oder Weiterverkauf der Daten.
Wie viele betroffene Unternehmen zahlen tatsächlich?
20 Prozent der von Ransomware betroffenen Unternehmen haben bereits gezahlt; 66 Prozent haben keine Zahlung geleistet.
Mit welchen Lösegeldsummen ist zu rechnen?
Die Beträge reichen häufig von 10.000 bis 500.000 Euro. Ein kleinerer Anteil zahlte zwischen 500.000 und einer Million Euro oder noch mehr.
Was ist die wichtigste Vorsorgemaßnahme?
Eine aktuelle Übersicht über Systeme, Daten, Zugänge und Abhängigkeiten. Ohne Transparenz lassen sich Verwundbarkeit und Betroffenheit nicht zuverlässig bewerten.
Wie sollten Backups organisiert sein?
Vollständig, regelmäßig und vom produktiven Netz getrennt. Zusätzlich muss die Wiederherstellung unter realistischen Bedingungen geprobt werden.
Welche Zugänge sind besonders zu schützen?
Privilegierte und externe Zugänge. Mehr-Faktor-Authentifizierung, minimale Rechte und die schnelle Löschung nicht mehr benötigter Konten reduzieren typische Einfallstore.
Wie lassen sich Angriffe früher erkennen?
Durch die kontinuierliche Auswertung und Überwachung von Protokolldaten sowie klar definierte Eskalationswege bei Auffälligkeiten.
Was gehört in einen Ransomware-Notfallplan?
Verantwortlichkeiten, Melde- und Entscheidungswege, Wiederanlaufprioritäten, externe Ansprechpartner und vorbereitete Krisenkommunikation. Der Plan muss auch ohne funktionierende IT erreichbar sein.
Welche Aufgabe hat die Unternehmensleitung?
Cyberresilienz als Geschäftsrisiko steuern, Ressourcen und Zuständigkeiten festlegen sowie regelmäßige Notfallübungen und belastbare Wiederanlaufziele einfordern.

2659 Artikel zu „Ransomware“

News | Industrie 4.0 | Infrastruktur | IT-Security

Ransomware trifft die Produktion zunehmend über IT- und OT-nahe Systeme

22. Juli 2026

Wenn von Cyberangriffen auf Industrieunternehmen die Rede ist, denken viele zunächst an manipulierte Maschinen oder kompromittierte Steuerungssysteme. Doch ein aktueller Berichte des OT-Cybersicherheitsanbieters Dragos zeigt ein anderes Bild: Oft müssen Angreifer die Produktionstechnik gar nicht direkt angreifen, um den Betrieb empfindlich zu stören [1]. Die heutige Umgebung von Industrieanlagen hat sich deutlich erweitert Moderne Betriebs- und…