Deutschland zählte 2025 mit 433 bestätigten Ransomware-Angriffen zu den drei weltweit am stärksten betroffenen Ländern — nach den USA und Kanada. Für 2026 zeigen aktuelle Auswertungen einen weiteren Anstieg. Interessant ist dabei weniger die schiere Zahl, sondern eine Verschiebung in der Angriffsmethodik, die für die Verteidigung viel wichtiger ist als der nächste Software-Patch.

Der Türöffner heißt nicht mehr "Exploit"

Ein wachsender Anteil der Ransomware-Angriffe in Deutschland beginnt nicht mit einer ausgeklügelten technischen Schwachstelle, sondern mit ganz gewöhnlichen, gestohlenen Zugangsdaten — abgegriffen durch sogenannte Infostealer-Malware und anschließend auf Untergrundmarktplätzen gehandelt. Der Angreifer meldet sich dann nicht "ein", er loggt sich mit einer gültigen Kennung ganz regulär an.

Das verändert die Verteidigungsstrategie grundlegend: Klassische Perimeter-Sicherheit — Firewalls, Schwachstellenscans an der Außenhaut — läuft ins Leere, wenn der Angreifer längst einen echten, funktionierenden Schlüssel besitzt.

Verschlüsseln reicht den Angreifern längst nicht mehr

Die "klassische" Ransomware-Variante — reines Verschlüsseln — ist überholt. Der heutige Standard ist doppelte Erpressung: Daten werden zuerst gestohlen, dann erst verschlüsselt. Die Drohung lautet dann nicht mehr nur "zahl, sonst bleibt alles verschlüsselt", sondern zusätzlich "zahl, sonst veröffentlichen wir deine Daten".

Ein perfekt funktionierendes Backup verhindert zwar den Datenverlust, nicht aber das Datenleck. Wer glaubt, ein guter Backup-Plan reiche 2026 noch aus, übersieht diesen Teil.

Warum es die Fertigungsindustrie besonders trifft

Branchenauswertungen zeigen die Fertigungsindustrie als besonders exponiert — sowohl in Deutschland als auch international. Das liegt an einer unglücklichen Kombination: hohe Zahlungsbereitschaft bei Produktionsstillstand, verbunden mit historisch gewachsenen IT/OT-Umgebungen, die oft weniger konsequent segmentiert sind als klassische Büro-IT.

Was wirklich hilft

Angesichts der Verschiebung hin zu gestohlenen Zugangsdaten verschieben sich auch die wirksamsten Schutzmaßnahmen:

  • Phishing-resistente Multi-Faktor-Authentifizierung statt SMS-Codes
  • Kontinuierliche Überwachung auf offengelegte Unternehmenszugangsdaten in Untergrundmarktplätzen
  • Zügiger, konsequenter Austausch kompromittierter Zugangsdaten, sobald sie bekannt werden
  • Netzwerksegmentierung zwischen IT und OT-Umgebungen
  • Getrennte, regelmäßig getestete Backups — als Ergänzung, nicht als Ersatz für Prävention

Fazit

Ransomware 2026 beginnt seltener am Perimeter und häufiger im Darknet-Handel mit gestohlenen Zugangsdaten. Wer seine Sicherheitsstrategie noch primär auf Schwachstellen-Scans der Außenhaut ausrichtet, schützt sich gegen ein Einfallstor, das zunehmend gar nicht mehr das primäre ist.