Ransomware: Arten, Erkennung und Abwehr

Im dritten Quartal 2025 waren 85 ransomware gleichzeitig aktiv – so viele wie nie zuvor –, während sich der weltweite Schaden auf 57 Milliarden US-Dollar belief (Check Point Research, 2025; Cybersecurity Ventures, 2025). Allein im März 2026 waren drei Gruppen – Qilin, Akira und DragonForce – für 40 % der 672 in einem einzigen Monat registrierten Vorfälle verantwortlich (Infosecurity Magazine, 2026).

Dieser Leitfaden bietet Sicherheitsexperten, SOC-Analysten und CISOs aktuelle Erkenntnisse darüber, wie ransomware , welche Angreifer das größte Risiko darstellen und welche Abwehrmaßnahmen das Risiko tatsächlich verringern. Ganz gleich, ob Sie Erkennungsfunktionen aufbauen, Verfahren zur Reaktion auf Vorfälle optimieren oder die Unternehmensleitung über organisatorische Risiken informieren – die hier enthaltenen Informationen basieren auf Bedrohungsanalysen und bewährten Abwehrpraktiken des FBI, der CISA und von MITRE ATT&CK.

Was ist ransomware?

Ransomware eine Art von Schadsoftware, die Dateien auf dem Gerät oder im Netzwerk des Opfers verschlüsselt und zur Wiederherstellung des Zugriffs die Zahlung eines Lösegelds verlangt, in der Regel in Kryptowährung. Nach Angaben des FBI ransomware den Zugriff auf Computerdateien, Systeme oder Netzwerke, bis die Zahlung erfolgt ist.

Die CISA definiert ransomware als malware  Dateien auf einem Gerät verschlüsselt und dadurch die Dateien sowie die davon abhängigen Systeme unbrauchbar macht. Die betrieblichen Folgen gehen über die Sperrung von Dateien hinaus: ransomware die Geschäftsprozesse, die auf diesen Daten beruhen.

Laut Cybersecurity Ventures beliefen sich ransomware weltweiten ransomware im Jahr 2025 auf 57 Milliarden US-Dollar, was etwa 156 Millionen US-Dollar pro Tag entspricht. Diese Kosten gehen weit über die Lösegeldzahlungen hinaus und umfassen Betriebsunterbrechungen, Wiederherstellungskosten, Reputationsschäden und behördliche Strafen.

Moderne ransomware führen Erkundungsmaßnahmen durch, sichern sich dauerhaften Zugriff und entwenden sensible Daten, bevor sie die Verschlüsselung starten. Dadurch wird jeder ransomware zu einem potenziellen Datenleck mit langfristigen Folgen für die betroffenen Unternehmen.

Wie ransomware von anderer malware ransomware

Ransomware von anderer malware dadurch, dass sie sich dem Opfer offenbart. Während Spyware, Trojaner und Viren in der Regel im Verborgenen agieren und ohne Vorwarnung Daten stehlen, Hintertüren einrichten oder Dateien beschädigen, ransomware in expliziten Lösegeldforderungen eine Zahlung. Diese Sichtbarkeit ist beabsichtigt: Der Cyberangriff muss erst erkannt werden, bevor das Opfer zur Zahlung gedrängt werden kann.

Jede malware unterscheidet sich hinsichtlich ihres Zwecks, ihrer Sichtbarkeit und der Art und Weise, wie Angreifer davon profitieren.

Finanzielle Anreize treiben eine ständige Anpassung voran. Der Wandel von phishingAngriffen phishing im Jahr 2023 hin zu kompromittierten VPN-Zugangsdaten, die bis zum dritten Quartal 2025 48 % der Angriffe ausmachen, zeigt, wie schnell Angreifer ihre Methoden ändern, sobald die Verteidiger einen Angriffsvektor schließen.

So funktioniert ransomware

Moderne ransomware verlaufen in fünf Phasen, und die Verteidiger können jede einzelne davon unterbinden. Die Zuordnung von Erkennungsmaßnahmen zu den einzelnen Phasen ist entscheidend dafür, ob Unternehmen Angreifer noch vor der Verschlüsselung abfangen können oder den Schaden erst danach feststellen.

Ein typischer ransomware verläuft in fünf Phasen:

1. Erster Zugriff – Angreifer verschaffen sich Zugang durch phishing, kompromittierte Zugangsdaten oder ausgenutzte Sicherheitslücken
2. Seitliche Bewegung – malware im Netzwerk und sammelt dabei zusätzliche Anmeldedaten.
3. Privilegienerweiterung – Angreifer verschaffen sich Administratorzugriff, um die Auswirkungen zu maximieren.
4. Datenexfiltration – sensible Informationen werden vor der Verschlüsselung gestohlen, um doppelte Erpressung zu ermöglichen.
5. Verschlüsselung und Lösegeldforderung – Dateien werden verschlüsselt und die Opfer erhalten Zahlungsanweisungen.

Angriffsvektoren Ransomware und der erste Zugriff

Laut dem HIPAA Journal waren im dritten Quartal 2025 48 % der ransomware auf kompromittierte VPN-Zugangsdaten zurückzuführen, gegenüber 38 % im zweiten Quartal. Dies stellt eine grundlegende Veränderung gegenüber früheren Jahren dar, in denen phishing den primären Zugangsweg phishing .

Der Zugriff über Anmeldedaten hat phishing, Sicherheitslückenausnutzung und alle anderen Methoden ransomware überholt

Diese Entwicklung spiegelt sowohl die weitverbreitete Verfügbarkeit gestohlener Zugangsdaten auf kriminellen Marktplätzen wider als auch die Wirksamkeit von Initial-Access-Brokern – Spezialisten, die Systeme kompromittieren und den Zugriff an ransomware verkaufen. Diese Broker nutzen Infostealer, um Zugangsdaten in großem Umfang zu sammeln.

Auf die Ausnutzung externer Dienste entfallen weitere 23 % der Angriffe, wobei sich die jüngsten Kampagnen gegen Schwachstellen in VPN-Geräten (CVE-2024-40766 bei SonicWall), Citrix NetScaler-Geräten (CVE-2025-5777) und Unternehmenssoftware wie der Oracle E-Business Suite (CVE-2025-61882) richteten.

Seitliche Bewegung und Datenexfiltration

Sobald sie sich in einem Netzwerk eingenistet haben, beginnen ransomware im Durchschnitt innerhalb von 48 Minuten, sich lateral auszubreiten. In den schnellsten beobachteten Fällen erfolgte die vollständige Ausbreitung im Netzwerk in nur 18 Minuten (Vectra AI ). Verteidiger haben weniger als eine Stunde, manchmal sogar weniger als 20 Minuten Zeit, um die Ausbreitung zu erkennen und einzudämmen, bevor der Angreifer die Kontrolle über die Umgebung übernimmt.

Angreifer nutzen legitime Verwaltungstools und Anmeldedaten, um sich seitlich im Netzwerk zu bewegen, wodurch ihre Aktivitäten ohne Verhaltensanalyse nur schwer von normalen Netzwerkvorgängen zu unterscheiden sind.

Laut Deepstrike waren bei 76 % ransomware im Jahr 2025 bereits vor der Verschlüsselung Daten entwendet worden, sodass fast jeder ransomware bereits zum Zeitpunkt des Verschlüsselungsbeginns eine Datenpanne darstellt. Dies ermöglicht doppelte Erpressung: Selbst wenn die Opfer ihre Daten aus Backups wiederherstellen, drohen die Angreifer mit der Veröffentlichung der gestohlenen Daten.

Zu den häufigsten Tools, die in der Exfiltrationsphase beobachtet werden, gehören:

• Rclone und Rsync für cloud transfers
• Cobalt Strike für Befehl und Kontrolle
• Mimikatz zum Sammeln von Anmeldedaten
• FTP/SFTP für die Übertragung großer Datenmengen

MITRE ATT&CK für ransomware

MITRE ATT&CK listet die spezifischen Techniken auf, ransomware einsetzen, vom Missbrauch von Anmeldedaten (T1078) bis hin zur Verschlüsselung zur Erzielung von Schaden (T1486). Die primäre ransomware ist T1486, „Data Encrypted for Impact“, die unter der Taktik „Impact“ kategorisiert ist.

Sechs Techniken tauchen bei den meisten ransomware auf, vom anfänglichen Missbrauch von Zugangsdaten über die Umgehung von Sicherheitsmaßnahmen bis hin zur abschließenden Verschlüsselung.

Über 70 ransomware sind bestimmten ATT&CK-Techniken zugeordnet. Durch den Abgleich dieser Zuordnung mit den eingesetzten Erkennungsmechanismen lässt sich genau feststellen, wo eine Abdeckung besteht und wo nicht – ein Prozess, der eine gezielte threat hunting bekannt gewordene Lücken ermöglicht.

Arten von ransomware

Ransomware lässt sich Ransomware in mehrere unterschiedliche Kategorien einteilen, die sich jeweils durch unterschiedliche Verschlüsselungsmethoden, Erpressungstaktiken und Geschäftsmodelle auszeichnen.

Verschlüsselnde ransomware . ransomware

Ransomware in zwei Hauptkategorien Ransomware : verschlüsselnde ransomware ransomware) und ransomware.

Verschlüsselnde ransomware verschlüsselt einzelne Dateien und Daten auf infizierten Geräten. Laut Keeper Security können die Opfer ihre Geräte zwar weiterhin nutzen, haben jedoch ohne den Entschlüsselungscode keinen Zugriff auf die verschlüsselten Dateien. Moderne verschlüsselnde ransomware starke Verschlüsselungsalgorithmen wie AES-256, ChaCha20 und RSA-2048, deren Knacken rechnerisch unmöglich ist.

ransomware (Bildschirmsperren) verfolgt einen anderen Ansatz: Anstatt einzelne Dateien zu verschlüsseln, sperrt sie die Nutzer komplett aus ihrem System aus. Laut Check Point verhindern Locker-Varianten jeglichen Zugriff auf das Gerät, bis die Zahlung erfolgt ist. Während ransomware in den Anfängen ransomware häufiger ransomware , ransomware heute ransomware verschlüsselnde ransomware aufgrund ihrer größeren Auswirkungen und der schwierigeren Wiederherstellung.

Die Strategien für Wiederherstellung, Reaktion und Datensicherung unterscheiden sich bei den beiden erheblich.

ransomware mit doppelter und dreifacher Erpressung

ransomware meisten ransomware verbinden mittlerweile Verschlüsselung mit Datendiebstahl, und manche kommen noch DDoS-Angriffe und Bedrohungen durch Dritte hinzu.

ransomware mit doppelter Erpressung kombiniert Datenverschlüsselung mit Datendiebstahl. Angreifer entwenden zunächst sensible Informationen und verschlüsseln anschließend die Systeme. Wenn Opfer ihre Daten ohne Zahlung aus Backups wiederherstellen, drohen die Angreifer damit, die gestohlenen Daten zu veröffentlichen oder zu verkaufen. Laut Arctic Wolf betrafen 96 % der Fälle ransomware im Jahr 2025 Datenexfiltration, wodurch doppelte Erpressung eher zur Regel als zur Ausnahme wurde.

ransomware mit dreifacher Erpressung wendet neben Verschlüsselung und Datendiebstahl noch weitere Druckmittel an:

• Drohung, die Kunden, Partner oder Patienten des Opfers über den Verstoß zu informieren
• Durchführung von DDoS-Angriffen auf die Infrastruktur des Opfers
• Erpressungsforderungen gegenüber Dritten auf Grundlage gestohlener Daten

Das Ergebnis sind sich überschneidende Schäden, Betriebsstörungen aufgrund von Verschlüsselung, Meldepflichten bei Datenschutzverletzungen aufgrund von Datenexfiltration sowie Reputationsschäden durch die Gefahr öffentlicher Datenlecks – und all dies tritt gleichzeitig ein.

Was ist ransomware(RaaS)?

Laut IBM ist ransomware(RaaS) ein Geschäftsmodell, bei dem ransomware ihre malware Partner verkaufen oder vermieten, die die eigentlichen Angriffe durchführen. Dieses Modell hat ransomware industrialisiert und sie von einem technischen Verbrechen zu einem Franchise-Geschäft gemacht.

RaaS-Betreiber bieten ihren Partnern Folgendes:

• Einsatzbereite ransomware
• Verwaltungsgremien für das Opfermanagement
• Zahlungsabwicklungsinfrastruktur
• Unterstützung bei Verhandlungen und Kommunikationsinstrumente für Opfer
• Technischer Support und Updates

Im Gegenzug teilen sich die Partner die Lösegeldzahlungen mit den RaaS-Betreibern. Laut Flashpoint liegen die üblichen Umsatzanteile der Partner zwischen 70 und 85 % der Lösegeldzahlungen, wobei Qilin einen branchenweit führenden Anteil von 85 % bietet, um Partner anzuziehen.

Selbst Kriminelle ohne technisches Fachwissen können mittlerweile professionelle ransomware einsetzen, weshalb die Zahl der aktiven Gruppen im dritten Quartal 2025 auf 85 angestiegen ist.

Die Bedrohungslage ransomware

Im dritten Quartal 2025 waren rekordverdächtige 85 ransomware gleichzeitig aktiv. Zwischen Januar und September wurden weltweit 4.701 Vorfälle verzeichnet, was einem Anstieg von 46 % gegenüber dem gleichen Zeitraum im Jahr 2024 entspricht. Diese Zersplitterung ist auf die Zerschlagung großer Gruppen durch die Strafverfolgungsbehörden zurückzuführen und zeigt, wie einfach es für neue Gruppen ist, mithilfe von RaaS-Infrastrukturen durchzustarten.

Allein im März 2026 wurden 672 ransomware gemeldet, wobei nur drei Gruppen (Qilin, Akira und DragonForce) für 40 % der Gesamtzahl verantwortlich waren.

ransomware aktivsten ransomware im Jahr 2025

Qilin entwickelte sich zur dominierenden ransomware und verzeichnete bis zum dritten Quartal 2025 monatlich über 75 Opfer. Der Anteil der Partner an den Einnahmen, der mit 85 % über dem der Konkurrenz liegt, hat erfahrene Partner aus aufgelösten Gruppen angezogen. Bemerkenswert ist, dass nordkoreanische Akteure im März 2025 Qilin-Payloads einsetzten, was auf eine Zusammenarbeit zwischen Nationalstaaten und kriminellen ransomware hindeutet.

Laut CISA-Meldungen hatte Akira bis Ende September 2025 Erlöse in Höhe von 244,17 Millionen US-Dollar angehäuft. Die Gruppe hat es auf kleine und mittlere Unternehmen sowie kritische Infrastrukturen in den Bereichen Fertigung, Bildung, IT, Gesundheitswesen und Finanzdienstleistungen abgesehen.

LockBit tauchte im September 2025 mit Version 5.0 wieder auf, trotz erheblichen Drucks seitens der Strafverfolgungsbehörden, darunter die Operation Cronos. Auch wenn die Gruppe gegenüber ihrem Höhepunkt an Stärke verloren hat, zeugt ihre Beharrlichkeit von der Widerstandsfähigkeit etablierter RaaS-Operationen.

Bekanntes Fallstudien

Change Healthcare (2024–2025): Der Angriff von ALPHV/BlackCat auf Change Healthcare stellt den größten Datenverstoß im Gesundheitswesen in der Geschichte der USA dar. Nach Angaben der AHA waren etwa 192,7 Millionen Menschen betroffen, wobei die Gesamtkosten auf 3 Milliarden US-Dollar geschätzt werden. Die Hauptursache waren kompromittierte Anmeldedaten für einen Citrix-Server ohne Multi-Faktor-Authentifizierung – ein Versagen grundlegender Sicherheitsmaßnahmen mit katastrophalen Folgen.

Qilin-Kampagne „Korean Leaks“ (September 2025): Laut The Hacker News hat Qilin einen einzelnen Managed Service Provider (GJTec) kompromittiert und diesen Zugriff genutzt, um 28 nachgelagerte Organisationen anzugreifen, darunter 24 aus dem südkoreanischen Finanzsektor. Über 1 Million Dateien und 2 TB an Daten wurden abgezogen. Dieser Supply-Chain-Angriff zeigt, wie die Kompromittierung eines einzigen MSP ransomware exponentiell verstärken kann.

Clop-Oracle-EBS-Kampagne (November 2025): Laut Z2Data nutzte die ransomware Clop die Sicherheitslücke CVE-2025-61882 (CVSS 9,8) in der Oracle E-Business Suite aus, um über 100 Unternehmen zu kompromittieren, darunter Broadcom, Estee Lauder, Mazda, Canon, Allianz UK und die Washington Post. Die Kampagne folgte dem gleichen Muster der Massenausnutzung, das Clop bereits 2023 gegen MOVEit angewandt hatte: gleiche Gruppe, gleiche Taktik, andere Schwachstelle.

Statistiken zu den Auswirkungen auf die Industrie

Das Gesundheitswesen war im Jahr 2025 das ransomware : Dem FBI wurden 460 Angriffe und 182 Datenschutzverletzungen gemeldet, insgesamt also 642 Cybervorfälle (IC3-Jahresbericht 2025, veröffentlicht im April 2026). Der Finanzdienstleistungssektor lag mit insgesamt 447 Vorfällen an zweiter Stelle.

Die Konzentration der Angriffe auf bestimmte Branchen spiegelt sowohl den Wert der Daten wider, über die diese verfügen, als auch den betrieblichen Druck, der die Opfer eher dazu veranlasst, zu zahlen.

Laut einer Analyse des Verizon DBIR sind 88 % der Datenlecks bei KMU auf ransomware zurückzuführen, gegenüber 39 % bei großen Unternehmen. Ohne spezielle Sicherheitsressourcen und Kapazitäten zur Reaktion auf Vorfälle schließen 60 % der angegriffenen Kleinunternehmen innerhalb von sechs Monaten.

So erkennen und verhindern Sie ransomware

Drei unterschiedliche Schutzebenen – Prävention, Erkennung und Reaktion – unterscheiden Unternehmen, die sich von ransomware erholen, ransomware denen, die dies nicht tun. Prävention ist die kostengünstigste Ebene. Erkennung und Reaktion entscheiden über den Ausgang, sobald ein Angreifer bereits in das System eingedrungen ist.

12 wichtige Maßnahmen ransomware

Der #StopRansomware-Leitfaden der CISA definiert die grundlegenden Sicherheitsmaßnahmen, die jede Organisation umsetzen sollte. Diese 12 Maßnahmen decken die häufigsten Angriffsvektoren ab und verringern das Risiko entlang der ransomware .
‍

Maßnahmen mit hoher Priorität (sofort umsetzen):

1. Die Behebung bekannter, bereits ausgenutzter Sicherheitslücken sollte Priorität haben; dabei sollte der Schwerpunkt auf den Einträgen im CISA-KEV-Katalog liegen
2. Aktivieren und erzwingen Sie eine phishing Multi-Faktor-Authentifizierung für alle externen Dienste.
3. Regelmäßige Offline-Backups mit Verschlüsselung durchführen und Wiederherstellungsverfahren testen

Zusätzliche technische Kontrollen:

4. Implementieren zero trust Prinzipien der Zero-Trust-Architektur für den Netzwerkzugang
5. Netzwerke segmentieren, um Möglichkeiten für seitliche Bewegungen einzuschränken
6. Deaktivieren Sie SMBv1 und aktualisieren Sie auf SMBv3 mit Verschlüsselung.
7. Zentralisieren Sie die Protokollierung mit SIEM und einer Aufbewahrungsfrist von mindestens 12 Monaten
8. PowerShell-Ausführung über Gruppenrichtlinie einschränken
9. Implementieren Sie EDR-, NDR- oder XDR-Lösungen mit Echtzeit-Erkennungsfunktionen
10. Passwörter mit mindestens 15 Zeichen erzwingen
11. Trennen Sie Verwaltungskonten von Konten für den täglichen Gebrauch.
12. Verringern Sie die Angriffsfläche, indem Sie nicht benötigte Dienste deaktivieren
    ‍

Angesichts des Anteils von 48 % an Angriffen, bei denen kompromittierte VPN-Zugangsdaten genutzt werden, sind drei Maßnahmen dringend erforderlich: Überprüfung der VPN-Konfigurationen, Durchsetzung der Zwei-Faktor-Authentifizierung (MFA) bei allen Fernzugriffen und Prüfung eines Zero-Trust-Netzwerkzugangs als Alternative zum VPN.

Backup-Strategie für ransomware

Die von Veeam beschriebene 3-2-1-1-0-Backup-Regel bietet einen ransomware Datenschutz:

• 3 Kopien der Daten (Primärkopie plus zwei Sicherungskopien)
• 2 verschiedene Speichermedientypen
• 1 Kopie außerhalb des Standorts
• 1 Kopie unveränderlich oder luftisoliert
• 0 Fehler nach der Verifizierung

Der unveränderliche Speicher wandelt Backups inWORM(Write Once, Read Many) um, das selbst von Administratoren mit umfassenden Berechtigungen weder überschrieben, geändert noch gelöscht werden kann. Dies schützt vor ransomware gezielt auf Backup-Systeme abzielt.

Nicht getestete Backups sind keine Backups. Die mindestens vierteljährliche Überprüfung der Wiederherstellungsverfahren – und die Dokumentation der tatsächlichen Wiederherstellungszeiten im Vergleich zu den festgelegten Zielen – macht den Unterschied zwischen einem Backup, das funktioniert, und einem, das lediglich existiert.

Indikatoren Ransomware

In jeder Phase der ransomware entstehen Netzwerkaktivitäten, die signaturbasierte Tools übersehen. Durch Netzwerküberwachung und -reaktion lassen sich laterale Bewegungen, Datenexfiltration sowie Command-and-Control-Datenverkehr aufdecken, die endpoint niemals erkennen.

malware überwachende Vorläufer malware :

• Bumblebee, Dridex, Emotet, QakBot und Anchor Loader gehen häufig ransomware voraus.
• Die Erkennung dieser Bedrohungen sollte eine sofortige Untersuchung auslösen.

Netzwerkindikatoren für ransomware :

• Abnormale Datenausgabe an einem beliebigen Port (Exfiltration)
• Tools wie Rclone, Rsync, FTP/SFTP zum Verschieben großer Datenmengen
• C2-Rückrufe an unbekannte Infrastruktur
• Seitliche Bewegungsmuster (ungewöhnliche Authentifizierung, Missbrauch von Dienstkonten)
• DNS-Tunneling-Versuche
• ARP-Spoofing-Aktivität

Wenn sich ein Dienstkonto um 3 Uhr morgens anmeldet, eine Administratorsitzung 40 GB an einen externen Host überträgt oder ein Benutzer auf Dateifreigaben zugreift, die er noch nie zuvor genutzt hat, sind diese Abweichungen ein Warnsignal.

Erfahren Sie, wie Vectra AI ransomware Vectra AI und eindämmt

Was tun, wenn Sie Opfer einer ransomware werden?

Sollte Ihre Organisation von ransomware betroffen sein, bietet die CISA Anleitungen für sofortige Maßnahmen:

1. Sofort isolieren – betroffene Systeme vom Netzwerk trennen, um eine Ausbreitung zu verhindern
2. Starten Sie das Gerät NICHT neu oder führen Sie keinen Neustart durch – dies kann zu weiteren Schäden führen oder forensische Beweise zerstören.
3. Sichere Backups – Trennen Sie Backup-Systeme, um eine Verschlüsselung zu verhindern.
4. Dokumentieren Sie alles – machen Sie Screenshots von Lösegeldforderungen und bewahren Sie den Systemstatus auf.
5. Umfang bewerten – feststellen, welche Systeme betroffen sind und in welchem Umfang eine Verschlüsselung vorliegt
6. Behörden kontaktieren – FBI, CISA und örtliche Strafverfolgungsbehörden benachrichtigen
7. Suchen Sie nach kostenlosen Entschlüsselungsprogrammen – das „No More Ransom“-Projekt stellt kostenlose Entschlüsselungstools für über 100 ransomware zur Verfügung

Ob der Angriff auf ein Segment beschränkt bleibt oder sich im gesamten Netzwerk ausbreitet, hängt davon ab, ob innerhalb der ersten Stunde Maßnahmen ergriffen werden.

Laut Sophos konnten sich im Jahr 2025 56 % der Unternehmen innerhalb einer Woche wieder erholen – gegenüber 33 % im Jahr 2024. Der Abstand zwischen Unternehmen, die sich innerhalb weniger Tage erholen, und solchen, bei denen dies Monate dauert, verringert sich.

Sollte man ransomware beieiner ransomware zahlen?

Das FBI und die CISA raten davon ab, Lösegeld zu zahlen. Die Daten stützen diese Position:

• Nur 46 % der Unternehmen, die Lösegeld zahlen, können ihre Daten erfolgreich wiederherstellen (CSO Online).
• 93 % der zahlenden Opfer wurden dennoch Opfer eines Datendiebstahls und sind möglicherweise gefährdet.
• Etwa 80 % der Organisationen, die gezahlt haben, wurden anschließend erneut angegriffen.
• Zahlungen finanzieren kriminelle Unternehmen und schaffen Anreize für künftige Angriffe.

Das Verhalten der Opfer spiegelt diese Tendenz wider. Laut Sophos weigerten sich im Jahr 2025 63 % der ransomware , das Lösegeld zu zahlen – ein Anstieg gegenüber 59 % im Jahr 2024. Gleichzeitig konnten 97 % der Unternehmen ihre Daten mithilfe von Backups oder anderen Mitteln erfolgreich wiederherstellen, was zeigt, dass eine Zahlung für die Wiederherstellung nicht erforderlich ist.

Wenn Sie eine Zahlung in Erwägung ziehen, sollten Sie vor einer Entscheidung zunächst Rechtsberatung einholen und die Strafverfolgungsbehörden einschalten. Manche Zahlungen können gegen Sanktionsvorschriften verstoßen, und die Behörden verfügen möglicherweise über Erkenntnisse zu dem jeweiligen Angreifer, die die Lage neu bewerten lassen.

Ransomware und regulatorische Anforderungen im Zusammenhang mit Ransomware

NIS2, NIST IR 8374 und der Gesetzesentwurf des Vereinigten Königreichs schreiben nun ransomware Maßnahmen ransomware sowie Fristen für die Meldung von Vorfällen vor. Die Zuordnung bestehender Maßnahmen zu diesen Rahmenanforderungen und die Erstellung von auditfähigen Nachweisen ist eine betriebliche Notwendigkeit und keine reine Governance-Maßnahme.

Rahmenkartierung

NIST IR 8374 – Ransomware : Diese NIST-Veröffentlichung wendet die fünf Kernfunktionen des Cybersecurity Framework (Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen) speziell auf ransomware an. Sie wurde im Januar 2025 für CSF 2.0 aktualisiert und bietet umsetzbare Leitlinien, die auf ISO/IEC 27001:2013 und NIST SP 800-53 Rev. 5 abgestimmt sind.

MITRE ATT&CK : Version 18 von ATT&CK (Oktober 2025) dokumentiert über 70 ransomware und deren Techniken. Unternehmen können ATT&CK nutzen, um die Erfassungsreichweite hinsichtlich bekannter ransomware zu überprüfen und Lücken in ihren Fähigkeiten zu identifizieren.

NIS2-Richtlinie (EU): Die NIS2-Richtlinie verpflichtet wesentliche und wichtige Einrichtungen in 18 kritischen Sektoren zur Umsetzung von Maßnahmen ransomware. Zu den wichtigsten Anforderungen zählen die Meldung schwerwiegender Vorfälle innerhalb von 24 Stunden sowie Strafen von bis zu 10 Millionen Euro oder 2 % des weltweiten Umsatzes bei Nichteinhaltung.

Jedes Framework entspricht unterschiedlichen Compliance-Anforderungen und betrieblichen Erfordernissen

‍

Cyberversicherung und ransomware

Die durchschnittliche ransomware belief sich im Jahr 2025 auf 1,18 Millionen US-Dollar, was einem Anstieg von 17 % gegenüber dem Vorjahr entspricht (Resilience, 2025). Ransomware für 76 % der entstandenen Schäden Ransomware , obwohl sie nur 56 % der Schadensfälle ausmacht.

Im Jahr 2024 lehnten Versicherer etwa 40 % der Cyberversicherungsansprüche ab und beriefen sich dabei häufig auf Ausschlussklauseln wegen „mangelnder Sicherheitsvorkehrungen“ (HIPAA Journal). Bei der Prüfung von Schadensfällen nehmen sie das Schwachstellenmanagement, die Sicherheitspraktiken, den Einsatz von Multi-Faktor-Authentifizierung (MFA) sowie die Backup-Verfahren genau unter die Lupe.

Ein neues Problem: Es wurde beobachtet, dass die ransomware „Interlock“ Cyber-Versicherungspolicen von Opfern stiehlt, um ihre Lösegeldforderungen an den Deckungssummen zu orientieren. Wenn Angreifer Ihre Deckungssumme kennen, wird eine angemessene Versicherung ohne entsprechende Sicherheitsverbesserungen zu einer Belastung.

Wie Vectra AI ransomware Vectra AI

Vectra AI ransomware Attack Signal Intelligence sogenannte Attack Signal Intelligence und erkennt das Verhalten von Angreifern über die gesamte Angriffskette hinweg, anstatt sich auf Signaturen oder bekannte Indikatoren zu verlassen. Durch die Analyse des Netzwerkverkehrs, cloud und von Identitätssignalen identifiziert die Plattform Muster für laterale Bewegungen, die Ausweitung von Berechtigungen und den Datendiebstahl, die ransomware vorausgehen.

Das „Assume Compromise“-Modell geht von der Prämisse aus, dass präventive Kontrollmaßnahmen versagen werden, und konzentriert sich bei der Erkennung auf das, was nach dem ersten Zugriff geschieht. In dem Zeitfenster zwischen dem ersten Zugriff und der Verschlüsselung – das oft nur 18 Minuten beträgt – erfasst die verhaltensbasierte Bedrohungserkennung das, was Signaturerkennung übersieht.

Die KI-gestützte Erkennung identifiziert neue ransomware , ohne dass Vorkenntnisse über bestimmte Varianten erforderlich sind. Wenn Angreifer neue Umgehungstechniken entwickeln, erkennt die Verhaltensanalyse weiterhin die zugrunde liegenden Muster – wie den Missbrauch von Anmeldedaten, ungewöhnlichen Datenzugriff sowie Versuche, sich seitlich zu verbreiten –, die über verschiedene Kampagnen hinweg konsistent bleiben.

Ohne einen umfassenden Überblick über Identitäts-, cloud und Netzwerkschichten gelangen Angreifer unbemerkt bis zur Verschlüsselungsphase.

Wo ransomware meisten ransomware versagen

Ransomware reorganisieren sich innerhalb weniger Wochen nach einer Zerschlagung durch die Strafverfolgungsbehörden, wechseln ihre Angriffsvektoren innerhalb weniger Quartale und wenden innerhalb weniger Monate neue Erpressungstaktiken an. Unternehmen, die Multi-Faktor-Authentifizierung (MFA) einführen, geprüfte, unveränderliche Backups pflegen, ihre Netzwerke segmentieren und Verhaltenserkennung einsetzen, erholen sich schneller und vermeiden die Zahlung von Lösegeld.

Der Weg nach vorn beginnt mit einer ehrlichen Bestandsaufnahme:

• Haben Sie einen lückenlosen Überblick über die laterale Bewegung in Ihrer hybriden Umgebung?
• Können Ihre derzeitigen Tools den Missbrauch von Anmeldedaten und die Ausweitung von Berechtigungen erkennen, bevor die Verschlüsselung beginnt?
• Sind Ihre Backups wirklich unveränderlich – und haben Sie die Wiederherstellung in den letzten 90 Tagen getestet?
• Wissen Sie, welche MITRE ATT&CK Ihr Erkennungssystem abdeckt und wo Lücken bestehen?
• Können Sie die Compliance-Bereitschaft anhand von Belegen und nicht nur anhand von Unterlagen nachweisen?

Schlussfolgerung

Ransomware 2025 stellt eine ausgereifte, hochentwickelte und stark fragmentierte Bedrohung dar, die kein Unternehmen ignorieren kann. Mit 85 aktiven Gruppen, weltweiten Schäden in Höhe von 57 Milliarden US-Dollar und Angriffen, bei denen regelmäßig Verschlüsselung mit Datendiebstahl kombiniert wird, war die Gefahr noch nie so groß wie heute.

Die Daten zeigen, dass Prävention und Vorbereitung funktionieren. Unternehmen, die MFA implementieren, getestete unveränderliche Backups pflegen und ihre Netzwerke segmentieren, erholen sich schneller und vermeiden Lösegeldzahlungen. Diejenigen, die in Erkennungsfunktionen investieren – insbesondere in netzwerkbasierte Verhaltensanalysen – fangen Angreifer ab, bevor die Verschlüsselung beginnt.

Der Weg in die Zukunft erfordert eine kontinuierliche Weiterentwicklung. Da ransomware neue Techniken entwickeln und neue Schwachstellen ausnutzen, müssen sich die Verteidiger anpassen. Regelmäßige Tests der Erkennungsabdeckung anhand des MITRE ATT&CK , fortlaufende Schulungen zum Sicherheitsbewusstsein und vierteljährliche Tests zur Wiederherstellung von Backups bilden die Grundlage für einen widerstandsfähigen Betrieb.

Für Unternehmen, die ihre ransomware verstärken möchten, Attack Signal Intelligence der Ansatz Vectra AI im Bereich Attack Signal Intelligence eine Erkennung über die gesamte Angriffskette hinweg – dabei werden die Verhaltensweisen identifiziert, die ransomware vorausgehen, unabhängig von bestimmten malware oder Umgehungstechniken.

Quellen und Methodik

Die in diesem Leitfaden angeführten Statistiken und Bedrohungsinformationen stammen aus den folgenden Quellen:

• FBI IC3-Jahresbericht 2025 (veröffentlicht im April 2026) – Daten zu ransomware auf Branchenebene
• Check Point Research, 3. Quartal 2025 – Anzahl aktiver ransomware und Angriffsvolumen
• Infosecurity Magazine, April 2026 – März 2026: Anzahl der Vorfälle und Zuordnung zu Gruppen
• HIPAA Journal, 3. Quartal 2025 – Verteilung der primären Angriffsvektoren
• Sophos-Bericht „State of Ransomware – Wiederherstellungszeiten, Zahlungsquoten, Verhalten der Opfer
• Cybersecurity Ventures, 2025 – Prognosen zu den weltweiten Schäden
• Arctic Wolf, 2025 – Verbreitung von doppelter Erpressung in Fällen der Incident Response
• Verizon DBIR 2025 – Daten ransomware von KMU
• Bericht zu Cyberrisiken und Resilienz, 2025 – Durchschnittliche Versicherungssummen und Ablehnungsquoten
• Flashpoint, 2025 – Daten zur Umsatzbeteiligung von RaaS-Partnern
• CISA-Leitfaden #StopRansomware – Maßnahmen zur Prävention und Leitlinien für die Reaktion auf Vorfälle
• MITRE ATT&CK (Oktober 2025) – Zuordnung von Techniken und Dokumentation von ransomware
• NIST IR 8374 (aktualisiert im Januar 2025) – ransomware

Die genannten Vorfälle (Change Healthcare, Qilin Korean Leaks, Clop Oracle EBS) stammen jeweils von AHA, The Hacker News und Z2Data.