Ransomware 2026: Warum gestohlene Zugangsdaten zum größeren Risiko werden als Exploits
Zwischen Januar und Mai 2026 registrierte die Plattform ransomware.live 182 Ransomware-Opfer in Deutschland – ein Anstieg von 7,7 Prozent gegenüber dem Vorjahreszeitraum. Auffällig ist dabei weniger die Zahl selbst als ihre Ursache: Ein wachsender Teil dieser Angriffe beginnt nicht mit einem technischen Exploit, sondern mit Zugangsdaten, die Monate zuvor über unauffällige Infostealer-Malware gestohlen und im Untergrund weiterverkauft wurden. Für Unternehmen bedeutet das: Der Angriff hat oft längst begonnen, bevor die erste Datei verschlüsselt wird.
Inhaltsverzeichnis
Ransomware-Angriffe in Deutschland 2026: Aktuelle Zahlen
Am 20. Juli 2026 veröffentlichte security-insider.de eine Analyse aktueller Ransomware-Zahlen für Deutschland auf Basis der Trackingplattform ransomware.live. Demnach wurden zwischen Januar und Mai 2026 in Deutschland 182 Ransomware-Opfer registriert, gegenüber 169 Fällen im Vorjahreszeitraum – ein Plus von 7,7 Prozent. Der monatliche Verlauf zeigt eine Beschleunigung: 28 Fälle im Januar, 31 im Februar, 32 im März, 50 im April und 41 im Mai. Aktivste Gruppe in Deutschland war 2026 bislang Qilin mit 30 Opfern, gefolgt von Akira (21), Safepay (14) sowie TheGentlemen und DragonForce (je 13). Am stärksten betroffen ist die Fertigungsindustrie. International liegt Deutschland damit hinter den USA (1.718 Fälle), aber vor Großbritannien, Kanada, Frankreich, Italien und Spanien.
Nur wenige Tage zuvor, am 14. Juli 2026, hatte Trend Micro seinen Cyber Risk Report 2026 veröffentlicht. Er ordnet Deutschland mit 433 bestätigten Ransomware-Angriffen im Jahr 2025 unter die drei weltweit am stärksten betroffenen Länder ein – hinter den USA (4.893) und Kanada (520). Die Zahl der Opfer der zehn aktivsten Ransomware-Gruppen stieg demnach weltweit um 236 Prozent auf 5.096 Unternehmen.
Der eigentliche Befund beider Analysen liegt jedoch in der Angriffsmethodik: Julien Mousqueton, Gründer von ransomware.live, beobachtet einen klaren Trend, wonach ein wachsender Anteil der Angriffe nicht mit einem Exploit beginnt, sondern mit zuvor gestohlenen Zugangsdaten aus Infostealer-Malware. Etwa jedes fünfte Qilin-Opfer in den ausgewerteten Daten hatte demnach eine Unternehmensdomain, die zuvor bereits in Infostealer-Protokollen aufgetaucht war.
Wie Infostealer zum Einstiegspunkt für Ransomware-Angriffe werden
Infostealer sind vergleichsweise simple Schadprogramme, die unbemerkt Browser-Passwörter, Sitzungscookies, VPN-Token und weitere Zugangsdaten von infizierten Endgeräten extrahieren und über Untergrundmarktplätze weiterverkaufen. Anders als Ransomware selbst verursachen sie keinen sichtbaren Schaden im Moment der Infektion – es gibt keine verschlüsselten Dateien, keine Lösegeldforderung, oft nicht einmal einen Alarm der Antivirensoftware. Genau das macht sie zum idealen ersten Schritt einer mehrstufigen Angriffskette.
Die gestohlenen Zugangsdaten werden anschließend von sogenannten Initial Access Brokern gehandelt oder direkt von Ransomware-Partnerprogrammen genutzt, um sich validierten Zugang zu Unternehmensnetzwerken zu verschaffen – ohne dass ein Exploit oder eine ausgenutzte Schwachstelle notwendig wäre. Externe Analysen gehen davon aus, dass zwischen dem Kompromittieren einer Zugangskennung und der tatsächlichen Ransomware-Bereitstellung teils weniger als 48 Stunden liegen, sofern die Angreifer sich für einen schnellen Zugriff entscheiden. Häufiger jedoch liegt der eigentliche Zugriffsverkauf Wochen oder Monate vor dem sichtbaren Angriff, während sich die Käufer der Zugangsdaten in dieser Zeit unbemerkt im Netzwerk bewegen, Berechtigungen ausweiten und Backup-Infrastrukturen identifizieren.
Diese Verschiebung hat eine wichtige Konsequenz für die Bewertung von Sicherheitsvorfällen: Der Zeitpunkt der sichtbaren Verschlüsselung sagt kaum noch etwas darüber aus, wie lange ein Angreifer bereits Zugriff auf ein Netzwerk hatte. Ein Fallbeispiel aus dem internationalen Kontext verdeutlicht die Tragweite: Als ein japanischer Getränkehersteller Ende 2025 Opfer eines Ransomware-Angriffs der Gruppe Qilin wurde, war kein Zero-Day-Exploit im Spiel, sondern ein Satz kompromittierter Zugangsdaten – innerhalb weniger Tage standen 30 Werke still, sechs Brauereien mussten für eine Woche schließen, und der Umsatzausfall wurde auf über 31 Millionen US-Dollar geschätzt.
Auswirkungen auf Unternehmen: Warum klassische Prävention nicht mehr ausreicht
Für Unternehmen bedeutet der Infostealer-Trend zunächst eine Verschiebung der Prioritäten in der Prävention: Klassische Perimeter-Sicherheit wie Firewalls oder Schwachstellen-Scans läuft ins Leere, wenn der Angreifer mit einer gültigen, gestohlenen Kennung ganz regulär auf ein System zugreift. Wichtiger werden Maßnahmen wie phishing-resistente Multi-Faktor-Authentifizierung, die kontinuierliche Suche nach kompromittierten Unternehmenszugangsdaten in Untergrundmarktplätzen sowie ein zügiger Austausch offengelegter Zugangsdaten, sobald sie bekannt werden.
Besonders betroffen ist die Fertigungsindustrie – sowohl in den deutschen Zahlen von ransomware.live als auch international laut Trend Micro. Das liegt vor allem an der Kombination aus hoher Zahlungsbereitschaft bei Produktionsausfällen und häufig historisch gewachsenen, weniger konsequent segmentierten IT/OT-Umgebungen. Für mittelständische Unternehmen ohne dedizierte Security-Teams verschärft sich das Problem zusätzlich: Gestohlene Zugangsdaten werden auf Marktplätzen gehandelt, ohne dass das betroffene Unternehmen davon überhaupt erfährt, bis der eigentliche Angriff erfolgt.
Warum Ransomware-Angriffe die Backup- und Recovery-Strategie verändern
Wenn ein Angreifer bereits Wochen oder Monate vor der sichtbaren Verschlüsselung im Netzwerk aktiv ist, verändert das die Anforderungen an Backup- und Recovery-Strategien grundlegend. Drei Konsequenzen sind besonders relevant:
Zum einen die rückwirkende Kompromittierung von Sicherungspunkten: Wenn die Angreifer bereits vor Wochen Zugriff hatten, können auch reguläre Backups aus diesem Zeitraum bereits kompromittierte Systemzustände enthalten – etwa Hintertüren, manipulierte Berechtigungen oder bereits exfiltrierte Daten. Eine Wiederherstellung auf den „letzten sauberen Stand“ ist damit komplexer als früher angenommen: Der zuletzt als sauber geltende Sicherungspunkt kann in Wahrheit bereits betroffen sein.
Zum anderen die Frage ausreichender Aufbewahrungsfenster für unveränderliche Kopien: Klassische Backup-Retentionszeiten wurden häufig auf operative Wiederherstellungsfälle wie versehentliches Löschen oder Hardware-Ausfälle ausgelegt, nicht auf mehrmonatige Angriffsvorbereitungen. Unveränderliche (immutable) und vom Produktivnetzwerk getrennte Sicherungskopien müssen so weit zurückreichen, dass tatsächlich ein Zustand vor der Kompromittierung verfügbar ist – nicht nur ein Zustand vor der sichtbaren Verschlüsselung.
Und schließlich verifizierte statt angenommene Sauberkeit: Eine Wiederherstellung aus einem Backup, das ungeprüft als „sauber“ gilt, kann eine bereits vorhandene Hintertür oder manipulierte Zugangsdaten unbeabsichtigt reaktivieren. Isolierte Testumgebungen, in denen Wiederherstellungen im Rahmen regelmäßiger Disaster-Recovery-Tests vor der produktiven Rückführung auf verdächtige Artefakte geprüft werden, gewinnen dadurch an Bedeutung – ebenso wie die konsequente Rotation aller Zugangsdaten im Rahmen der Wiederherstellung, nicht nur der offensichtlich betroffenen.
Auch die Zugangsdaten der Backup-Infrastruktur selbst sind kein Sonderfall: Wenn Ransomware-Gruppen gezielt versuchen, vor der Verschlüsselung auch Sicherungssysteme zu identifizieren und zu deaktivieren, sind Backup-Admin-Konten ein ebenso attraktives Ziel für Infostealer wie jedes andere privilegierte Konto. Eine strikte Trennung von Backup-Administration und regulärer IT-Administration, kombiniert mit eigener Multi-Faktor-Authentifizierung für Backup-Systeme, reduziert dieses Risiko erheblich – ein Kernprinzip des Privileged Access Managements (PAM), das den Zugriff auf hochprivilegierte Konten grundsätzlich von der Kompromittierung regulärer Nutzerkonten entkoppelt.
Backup- und Recovery-Maßnahmen greifen jedoch erst, wenn ein Vorfall bereits eingetreten ist. Angesichts von Angriffsketten, die sich über Wochen oder Monate zwischen Zugangsdatendiebstahl und tatsächlicher Verschlüsselung erstrecken, gewinnt die vorgelagerte Erkennungsebene an Bedeutung. Ein durchgehend besetztes Security Operations Center (SOC), das Anmeldeverhalten, Rechteausweitungen (Lateral Movement) und ungewöhnliche Zugriffe auf Backup-Systeme 24/7 auswertet, kann genau die Zeitspanne verkürzen, in der sich Angreifer mit gestohlenen, aber gültigen Zugangsdaten unbemerkt im Netzwerk bewegen. Für Unternehmen ohne eigenes rund-um-die-Uhr besetztes Sicherheitsteam ist ein extern betriebener Managed SOC-Dienst häufig die einzige praktikable Möglichkeit, diese Erkennungslücke zu schließen, ohne selbst ein 24/7-Team aufzubauen. Backup-Resilienz und kontinuierliches Monitoring wirken damit komplementär: Das eine begrenzt den Schaden nach einem Vorfall, das andere verkürzt die Zeit, in der ein Vorfall überhaupt unentdeckt bleiben kann.
Experteneinschätzung: Die größte Fehlannahme bei Ransomware-Recovery
Aus Sicht erfahrener Backup- und Recovery-Spezialisten liegt die zentrale Fehlannahme vieler Unternehmen darin, Ransomware-Vorfälle als punktuelles Ereignis statt als Endpunkt einer langen Angriffskette zu behandeln. Wer einen Vorfall ausschließlich ab dem Moment der sichtbaren Verschlüsselung analysiert, unterschätzt systematisch, wie weit zurück ein sauberer Wiederherstellungspunkt tatsächlich liegen muss.
Ein zweiter verbreiteter Irrtum betrifft die Reichweite klassischer Präventionsmaßnahmen. Firewall-Regeln, Patch-Management und Endpoint-Schutz bleiben notwendig, greifen jedoch nicht, wenn der Zugriff über eine gültige, gestohlene Kennung erfolgt. Genau deshalb verschiebt sich der wirksame Verteidigungsschwerpunkt zunehmend von der reinen Angriffsprävention hin zur Frage: Wie schnell lässt sich ein kompromittierter Zustand erkennen, und wie zuverlässig lässt sich ein tatsächlich sauberer Zustand wiederherstellen, wenn die Prävention versagt hat? Unternehmen, die diese Frage nicht regelmäßig durch echte Recovery-Tests beantworten, verlassen sich im Ernstfall auf eine Annahme statt auf einen Nachweis.
Handlungsempfehlungen gegen Ransomware und Infostealer-Angriffe
Phishing-resistente Multi-Faktor-Authentifizierung flächendeckend durchsetzen, insbesondere für privilegierte und Backup-Administrationskonten.
Kontinuierlich nach kompromittierten Unternehmenszugangsdaten in Untergrundmarktplätzen und Infostealer-Logs suchen lassen, um offengelegte Kennungen frühzeitig zu identifizieren und auszutauschen.
Aufbewahrungszeiten unveränderlicher Backups an realistische Dwell-Time-Szenarien anpassen, nicht nur an operative Wiederherstellungsfälle.
Wiederherstellungen grundsätzlich in isolierten Testumgebungen vor der produktiven Rückführung auf Anomalien prüfen.
Backup-Administration organisatorisch und technisch von der regulären IT-Administration trennen, inklusive eigener Zugangskontrolle (Privileged Access Management, PAM).
Bei jedem bestätigten Sicherheitsvorfall eine vollständige Rotation aller potenziell betroffenen Zugangsdaten durchführen, nicht nur der unmittelbar involvierten Konten.
Segmentierung zwischen IT- und OT-Umgebungen prüfen, insbesondere in der Fertigung, um die Ausbreitung nach einem initialen Zugriff zu begrenzen.
Kontinuierliches 24/7-Monitoring über ein eigenes oder extern betriebenes Managed SOC etablieren, um verdächtiges Verhalten während der oft monatelangen Dwell-Time frühzeitig zu erkennen – nicht erst im Moment der sichtbaren Verschlüsselung.
Fazit: Ransomware-Schutz braucht getestete Recovery-Fähigkeit
Die aktuellen Zahlen aus Deutschland zeigen keinen Einzeltrend, sondern eine strukturelle Verschiebung: Ransomware-Angriffe beginnen zunehmend nicht mit einem Exploit, sondern mit zuvor gestohlenen Zugangsdaten – oft Monate, bevor die eigentliche Verschlüsselung sichtbar wird. Für Backup- und Recovery-Strategien bedeutet das, dass ein „letzter sauberer Stand“ nicht mehr automatisch als sauber gelten kann, sondern aktiv verifiziert werden muss. Wer Wiederherstellungsfähigkeit nur dokumentiert, statt sie durch regelmäßige Disaster-Recovery-Tests zu überprüfen, verlässt sich im Ernstfall auf eine Annahme, die immer häufiger nicht mehr zutrifft.
Häufig gestellte Fragen zu Ransomware und Infostealer-Angriffen (FAQ)
Was ist ein Infostealer und wie unterscheidet er sich von Ransomware?
Ein Infostealer ist Schadsoftware, die unbemerkt Passwörter, Sitzungscookies und weitere Zugangsdaten von infizierten Geräten sammelt und weiterverkauft, ohne selbst sichtbaren Schaden zu verursachen. Ransomware dagegen verschlüsselt Daten sichtbar und fordert Lösegeld. Infostealer dienen zunehmend als erster Schritt, der Ransomware-Gruppen den Zugang zu einem Netzwerk verschafft.
Wie viele Ransomware-Opfer gab es 2026 bislang in Deutschland?
Laut ransomware.live wurden zwischen Januar und Mai 2026 in Deutschland 182 Ransomware-Opfer registriert, ein Anstieg von 7,7 Prozent gegenüber dem Vorjahreszeitraum. Aktivste Gruppe war Qilin mit 30 Opfern, gefolgt von Akira, Safepay, TheGentlemen und DragonForce.
Warum sind gestohlene Zugangsdaten gefährlicher als klassische Exploits?
Weil sie klassische Sicherheitsmechanismen wie Firewalls oder Schwachstellen-Scans umgehen: Der Angreifer meldet sich mit einer gültigen Kennung an, statt eine technische Schwachstelle auszunutzen. Dadurch bleibt der initiale Zugriff oft über Wochen oder Monate unbemerkt.
Wie lange sind Angreifer im Schnitt unbemerkt im Netzwerk, bevor Ransomware eingesetzt wird?
Das ist stark fallabhängig. Manche Angriffsketten laufen innerhalb von 48 Stunden nach dem Zugangsdatendiebstahl ab, andere Angreifer bewegen sich über Monate unbemerkt im Netzwerk, bevor die Ransomware bereitgestellt wird. Entscheidend ist, dass der Zeitpunkt der sichtbaren Verschlüsselung nicht mit dem tatsächlichen Beginn des Angriffs gleichzusetzen ist.
Was bedeutet das für die Wiederherstellung nach einem Ransomware-Angriff?
Ein Backup, das vor der sichtbaren Verschlüsselung erstellt wurde, ist nicht automatisch unkompromittiert. Wiederherstellungsprozesse sollten daher Backups vor der produktiven Rückführung in einer isolierten Umgebung auf Anomalien prüfen, und Aufbewahrungszeiten sollten realistische Dwell-Time-Szenarien berücksichtigen.
Welche Branchen sind in Deutschland am stärksten betroffen?
Nach aktuellen Daten von ransomware.live ist die Fertigungsindustrie in Deutschland am stärksten von Ransomware betroffen, was mit der hohen Zahlungsbereitschaft bei Produktionsausfällen und oft weniger konsequent segmentierten IT/OT-Umgebungen zusammenhängt.
Wie können sich Unternehmen konkret gegen infostealer-basierte Angriffe schützen?
Zentrale Maßnahmen sind phishing-resistente Multi-Faktor-Authentifizierung, die kontinuierliche Überwachung auf offengelegte Unternehmenszugangsdaten, eine strikte Trennung privilegierter Konten sowie eine zügige, vollständige Rotation von Zugangsdaten nach jedem bestätigten Vorfall.
Warum reicht Multi-Faktor-Authentifizierung (MFA) allein nicht aus?
MFA erschwert den klassischen Login mit gestohlenem Passwort erheblich, schützt jedoch nicht vollständig vor Infostealern: Diese entwenden häufig nicht nur Passwörter, sondern auch aktive Sitzungscookies und Authentifizierungstoken aus dem Browser. Mit einer gestohlenen, bereits authentifizierten Sitzung kann ein Angreifer die MFA-Abfrage in bestimmten Szenarien umgehen, da die Sitzung technisch bereits als geprüft gilt. MFA bleibt daher eine notwendige, aber keine allein ausreichende Maßnahme – sie sollte mit Session-Invalidierung nach Verdachtsfällen und Privileged Access Management kombiniert werden.
Was ist Privileged Access Management (PAM) und warum ist es hier relevant?
Privileged Access Management bezeichnet Konzepte und Werkzeuge zur gesonderten Absicherung hochprivilegierter Konten, etwa Backup- oder Domänen-Administratoren, getrennt von regulären Nutzerkonten. Da Ransomware-Gruppen gezielt nach Wegen suchen, Sicherungssysteme vor der Verschlüsselung zu deaktivieren, reduziert eine konsequente PAM-Umsetzung das Risiko, dass ein kompromittiertes Standardkonto automatisch auch Zugriff auf die Backup-Infrastruktur eröffnet.
Was leistet ein Managed SOC in diesem Zusammenhang?
Ein Managed SOC ist ein extern betriebenes, rund um die Uhr besetztes Security Operations Center, das Anmeldeverhalten, Rechteausweitungen und Zugriffe auf kritische Systeme kontinuierlich auswertet. Da Angreifer mit gestohlenen Zugangsdaten oft Wochen oder Monate unbemerkt im Netzwerk bleiben, kann durchgehendes Monitoring diese Zeitspanne verkürzen und Vorfälle erkennen, bevor Ransomware tatsächlich ausgerollt wird – eine Ergänzung zu Backup- und Recovery-Maßnahmen, die erst nach einem Vorfall greifen.
Ausblick: Wenn Prävention allein gegen Ransomware nicht mehr ausreicht
Der Infostealer-Trend zeigt, dass sich reine Zugangsprävention allein nicht mehr als vollständige Sicherheitsstrategie eignet – zu viele Angriffe beginnen inzwischen mit gültigen, gestohlenen Kennungen statt mit Schwachstellen. Wenn Sie einschätzen möchten, wie belastbar Ihre eigene Wiederherstellungsfähigkeit gegenüber einem Angreifer wäre, der bereits seit Wochen unbemerkt im Netzwerk ist, unterstützen die Expertinnen und Experten von Cristie Data mit einer herstellerunabhängigen Analyse bestehender Backup- und Recovery-Prozesse sowie praxiserprobten Ansätzen für isolierte Wiederherstellungstests. Ein unverbindliches Gespräch hilft, blinde Flecken zwischen angenommener und tatsächlich geprüfter Recovery-Fähigkeit frühzeitig zu erkennen.
Jetzt handeln – wir sind Ihr Partner für digitale Souveränität
Ob automatisierte Backup-Prüfung, durchgehendes Security Monitoring oder die Analyse bestehender Recovery-Prozesse – Cristie Data unterstützt je nach Ausgangslage mit der passenden Maßnahme. Sprechen Sie uns an – ein Telefonkontakt oder eine Mail genügt.
