85 Prozent der Ransomware-Angriffe im Bildungssektor basieren laut Sophos auf kompromittierten Identitäten. Schädliche E-Mails bleiben das häufigste Einfallstor und die Wiederherstellung kostet im Schnitt 2,26 Millionen US-Dollar.
Im Bildungssektor setzen 85 Prozent der Ransomware-Angriffe auf identitätsbasierte Techniken. Der aktuelle Sophos-Report „State of Ransomware in Education 2026“ nennt dabei schädliche E-Mails, Phishing, kompromittierte Zugangsdaten und Brute-Force-Angriffe als zentrale Methoden. Die Quote über dem branchenübergreifenden Durchschnitt von 79 Prozent und unterstreicht, welche Rolle die Kompromittierung von Identitäten bei Ransomware-Vorfällen gegen Einrichtungen der primären, sekundären und tertiären Bildung nach wie vor spielt.
Ransomware-Angriffe: Schädliche E-Mails als häufigstes Einfallstor
Schädliche E-Mails waren sowohl im schulischen (31 Prozent) als auch im akademischen Bereich (29 Prozent) die häufigste technische Ursache von Ransomware-Angriffen. Der Report ergab außerdem, dass 77 Prozent der Hochschulen und 71 Prozent der Schulen angaben, ihr Ransomware-Vorfall sei zugleich ihr bedeutendster identitätsbasierter Angriff gewesen.
Bildungseinrichtungen erholen sich zudem langsamer von Angriffen. Schulen und Hochschulen benötigen rund doppelt so häufig wie der branchenübergreifende Durchschnitt ein bis drei Monate für die vollständige Wiederherstellung. Am schlechtesten schnitt der schulische Bereich ab: 31 Prozent brauchten einen Monat oder länger, um wieder handlungsfähig zu sein, der höchste Anteil aller Branchen.
„Bildungseinrichtungen bleiben attraktive Ziele, weil sie riesige Mengen personenbezogener Daten vorhalten und zugleich unter erheblichen Ressourcenbeschränkungen arbeiten“, sagte Ross McKerchar, Chief Information Security Officer bei Sophos. „Angreifer brauchen heute kein Brecheisen mehr, wenn sie einfach die Schlüssel stehlen können. Die Kompromittierung von Identitäten ist zu einem der wirksamsten Wege in eine Organisation geworden, und KI erhöht Tempo, Umfang und Raffinesse dieser Angriffe zusätzlich. Am widerstandsfähigsten sind jene Einrichtungen, die Identität als zentrale Sicherheitskontrolle behandeln und mit integrierten Erkennungs- und Reaktionsfähigkeiten kombinieren, die Bedrohungen stoppen, bevor sie zu ausgewachsenen Vorfällen werden.“
Weitere Ergebnisse des Reports
- Bildungseinrichtungen berichteten von größeren operativen Herausforderungen als der branchenübergreifende Durchschnitt.
Mehr als die Hälfte (53 Prozent) der Hochschulen gab an, ihnen fehlten die Fähigkeiten oder das Fachwissen, um Angriffe rechtzeitig zu erkennen und zu stoppen, verglichen mit 35 Prozent über alle Branchen hinweg. Schulen nannten am häufigsten menschliches Versagen (52 Prozent), fehlenden Schutz (47 Prozent), unbekannte Sicherheitslücken (42 Prozent) und begrenzte Kapazitäten (41 Prozent) als Faktoren. - Die Verschlüsselungsraten haben sich im schulischen Bereich mehr als verdoppelt.
Der Anteil der Schulen, deren Daten bei einem Ransomware-Angriff verschlüsselt wurden, hat sich gegenüber dem Vorjahr mehr als verdoppelt und stieg von 29 Prozent im Jahr 2025 auf 61 Prozent im Jahr 2026. Im gesamten Bildungssektor führten 58 Prozent der Ransomware-Angriffe zu verschlüsselten Daten. - Die Datenwiederherstellung stützte sich stark auf Backups.
Mehr als drei Viertel (77 Prozent) der Schulen und 69 Prozent der Hochschulen stellten verschlüsselte Daten mithilfe von Backups wieder her, beide Werte über dem branchenübergreifenden Durchschnitt von 66 Prozent. - Die Lösegeldforderungen blieben trotz eines mehrjährigen Rückgangs hoch.
Die mittlere Lösegeldforderung an Bildungseinrichtungen lag bei 775.200 US-Dollar und damit über dem branchenübergreifenden Median von 698.000 US-Dollar. Die mittleren Lösegeldforderungen im Bildungsbereich sind zwei Jahre in Folge gesunken, während die Zahlungen vom Report 2025 zu 2026 um 15.000 US-Dollar gestiegen sind. - Die Wiederherstellungskosten stiegen, und die Wiederherstellungszeiten blieben lang.
Die durchschnittlichen Kosten für die Wiederherstellung nach einem Ransomware-Angriff erreichten im Bildungssektor 2,26 Millionen US-Dollar und übertrafen damit den branchenübergreifenden Durchschnitt von 1,7 Millionen US-Dollar. Mehr als ein Viertel (26 Prozent) der Bildungseinrichtungen benötigte ein bis drei Monate für die vollständige Wiederherstellung, fast doppelt so viel wie der branchenübergreifende Durchschnitt (14 Prozent). - Die Belastung für IT- und Sicherheitsteams hat zugenommen.
Über die Hälfte (53 Prozent) der Hochschulteams berichtete von wachsendem Druck durch die Führungsebene, gegenüber 40 Prozent über alle Branchen hinweg. Rund 39 Prozent der Bildungseinrichtungen meldeten Personalausfälle aufgrund von Stress oder psychischer Belastung nach einem Ransomware-Angriff, verglichen mit 29 Prozent branchenübergreifend. Auch bei der Führungsebene verzeichnete der Bildungssektor eine erhöhte Fluktuation: Bei 29 Prozent der Hochschulen und 27 Prozent der Schulen wurde die Leitung nach dem Angriff ausgetauscht, gegenüber einem branchenübergreifenden Durchschnitt von 21 Prozent.
Die Ergebnisse basieren auf einer unabhängigen Befragung von 226 IT- und Cybersicherheitsverantwortlichen im Bildungssektor aus 17 Ländern, deren Organisationen im vergangenen Jahr von Ransomware betroffen waren. Die Erhebung wurde zwischen Januar und März 2026 durchgeführt. Für die Zwecke dieses Reports werden die Altersgruppen als schulische Bildung (in der Regel Schülerinnen und Schüler bis 18 Jahre) und akademische Bildung (in der Regel Studenten über 18 Jahre) definiert. Es ist das sechste Jahr, in dem Sophos diese Daten erhebt.
Fazit
Ransomware-Angriffe basieren im Bildungssektor vielfach auf kompromittierten Identitäten. Deren Schutz, die schnelle Erkennung von Angriffen und belastbare Backups sind angesichts hoher Wiederherstellungskosten und langer Ausfallzeiten entscheidend.
Weitere Informationen
Sophos
Report „State of Ransomware in Education 2026″
DATENSICHERHEIT.DE, 01.07.2026
Wenn KI theoretische Risiken in reale Angriffe verwandelt
DATENSICHERHEIT.DE, 31.12.2025
Ransomware-Angriffe auf Unternehmen: Zwischen den Jahren lauern viele Gefahren
DATENSICHERHEIT.DE, 29.08.2025
Sophos: Ransomware setzt Einzelhandel massiv unter Druck – IT-Teams gelangen ans Limit
