[datensicherheit.de, 04.10.2025] „Die Ransomware-Lage in Deutschland und Europa bleibt angespannt“, unterstreicht Abdulrahman H. Alamri, „Principal Threat Intelligence Analyst“ bei Dragos, in seiner aktuellen Stellungnahme und verweist auf die nun vorliegende „Dragos Industrial Ransomware Analysis Q2 2025“ – demnach wurden im zweiten Quartal 2025 weltweit 657 Angriffe auf Industrieunternehmen registriert. Damit liege diese Zahl zwar leicht unter dem Niveau des Vorquartals (708 Angriffe), in Europa habe sich jedoch das Gegenteil gezeigt: „Die dokumentierten Fälle stiegen von 135 auf 173. Keine andere Region verzeichnete einen vergleichbar starken Anstieg.“ Besonders stark betroffen seien Deutschland, Großbritannien und Italien. „Dort treffen die Angriffe vor allem Branchen, die das industrielle Rückgrat der Wirtschaft bilden!“, warnt Alamri.

Foto: Dragos

Abdulrahman H. Alamri rät Unternehmen, sich bei ihren Verteidigungsstrategien an den „5 kritischen Maßnahmen“ des SANS Institute zu orientieren

Ransomware nimmt Kernbranchen der Industrie ins Visier

Die 173 Angriffe auf europäische Industrieunternehmen machten rund 26 Prozent aller weltweiten Ransomware-Vorfälle im zweiten Quartal 2025 aus. „Besonders betroffen sind Industriezweige, die in Deutschland eine zentrale Rolle spielen.“

• Die Bauindustrie habe weltweit 110 Angriffe verzeichnet, im Maschinen- und Anlagenbau seien 63 Fälle dokumentiert worden. In der Automobilindustrie seien es 38 Angriffe gewesen, in der Chemie 20. Insgesamt sei das produzierende Gewerbe mit 428 Angriffen weltweit am stärksten ins Visier geraten – „und stand damit für 65 Prozent aller dokumentierten Fälle“.

Zusätzlich seien 77 Angriffe auf Transport- und Logistikunternehmen gezählt worden. Im Bereich Industrielle Steuerungssysteme und „Engineering“hätten die Analysten 75 Attacken registriert – „mehr als doppelt so viele wie im ersten Quartal“. Besonders dieser Anstieg betreffe zahlreiche, in diesem Sektor international führende deutsche Unternehmen.

„Qilin“ als aktivste Gruppe der Ransomware-Unterwelt

„Im zweiten Quartal 2025 entwickelte sich ,Qilin’ zur aktivsten Ransomware-Gruppe im Industriesektor“, berichtet Alamri. Die Angreifer hätten 101 dokumentierte Attacken verübt und seien damit für rund 15 Prozent der weltweit bekannten Vorfälle verantwortlich. Im ersten Quartal 2025 habe die Zahl noch bei 21 gelegen. „Qilin“ habe sich damit als führender Akteur nach dem Rückgang etablierter Gruppen wie „LockBit“ und „RansomHub“ positioniert.

• Diese Gruppe betreibe eine Ransomware-as-a-Service-Plattform, über die sie erfahrene „Affiliates“ rekrutiere und unterstütze. „Teil des Angebots sind juristische Beratungsdienste, die Partner bei Verhandlungen stärken, sowie interne Medien- und PR-Teams, die gezielt den öffentlichen Druck auf betroffene Organisationen erhöhen.“

Auch technisch hebe sich „Qilin“ deutlich ab: „Die Gruppe nutzt automatisierte ,Tools’, um gezielt Schwachstellen in Fortinet-Produkten auszunutzen, etwa ,CVE-2024-21762‘ und ,CVE-2024-55591‘.“ Darüber gelinge rascher Zugriff auf interne Netzwerke, was tiefgreifende Angriffe ermögliche. „Für Unternehmen, die stark auf Fortinet-Systeme setzen, entsteht daraus ein erhebliches Risiko!“

Ransomware-Bedrohungslage verschärft sich weiter

Alamri führt aus: „Im März 2025 wurde ,Qilin’ operativ von der nordkoreanischen, staatlich unterstützten Hacker-Gruppe ,Moonstone Sleet’ übernommen. Seitdem steht nicht mehr nur finanzielle Erpressung im Vordergrund.“ Deren Aktivitäten zeigten zunehmend geopolitische Ausrichtung und zielten verstärkt auf Kritische Infrastrukturen (KRITIS).

• Die Zahl der Ransomware-Angriffe in Europa nehme weiter zu und Deutschland sei als industrialisiertes Land besonders häufig betroffen. „Stark im Fokus stehen Angriffe auf zentrale Industriezweige wie Bauwesen, Maschinenbau, Automobilindustrie, Chemie, Logistik und Industrielle Steuerungssysteme.“ Mit „Qilin“ habe sich zudem eine Ransomware-Gruppe etabliert, welche sowohl technisch als auch organisatorisch neue Maßstäbe setze.

Angesichts dieser Entwicklung reiche es nicht aus, sich auf etablierte Standards zu verlassen. Alamri gibt abschließend zu bedenken: „Unternehmen sollten sich bei ihren Verteidigungsstrategien an den ,5 kritischen Maßnahmen’ des SANS Institute orientieren!“ Dieser Rahmen helfe dabei, „Incident Response“, Architektur, Sichtbarkeit, Fernzugriff und Schwachstellen-Management systematisch umzusetzen. „So entsteht bereits in frühen Reifegraden eine belastbare Grundlage für Resilienz gegenüber Bedrohungen, die zunehmend industrielle Schlüsselbranchen und Kritische Infrastrukturen ins Visier nehmen.“

Weitere Informationen zum Thema:

DRAGOS
Our Mission: “To safeguard civilization from those trying to disrupt the industrial infrastructure we depend on every day.“

DRAGOS
Abdulrahman H. Alamri / Abdulrahman H. Alamri is a Senior Intel Analyst II at Dragos. He holds a master’s degree in Cybersecurity and previously worked with the Saudi National Cybersecurity Authority (NCA) as a tactical threat intelligence team lead.

DRAGOS, Abdulrahman H. Alamri & Lexie Mooney, 14.08.2025
Dragos Industrial Ransomware Analysis: Q2 2025

DIGITAL BUSINESS, Stefan Girschner, 15.05.2025
Cyberangriffe Angriffstechniken: Die fünf gefährlichsten Vektoren

datensicherheit.de, 02.10.2025
Acronis: Ransomware dominiert Bedrohung im European Cybersecurity Month 2025 / Die Notwendigkeit des „European Cybersecurity Month“ unterstreichen laut Acronis aktuelle eigene Erkenntnisse – in der ersten Jahreshälfte 2025 blieb Ransomware weltweit die dominierende Bedrohung…

datensicherheit.de, 13.08.2025
Laut Veeam-Ransomware-Bericht für das zweite Quartal 2025 Zunahme der Attacken und Lösegeldzahlungen / Das zweite Quartal 2025 markiert einen Wendepunkt bei Ransomware, da gezieltes Social-Engineering und Datenexfiltration bei Hackern nun die methodische Erstwahl sind

datensicherheit.de, 02.03.2025
Darktrace Threat Report 2024: Malware-as-a-Service eine zunehmende Bedrohung / Malware-as-a-Service inzwischen für mehr als die Hälfte aller Cyber-Angriffe auf Unternehmen verantwortlich

[datensicherheit.de, 11.07.2025] Offenkundig gehört Ransomware inzwischen zu den häufigsten, folgenschwersten und hartnäckigsten Bedrohungen, mit denen Unternehmen weltweit konfrontiert werden. „Die Angreifer gehen heute immer gezielter, ausdauernder und strategischer vor“, berichtet Abdulrahman H. Alamri, „Principal Threat Intelligence Analyst“ bei Dragos. Das wachsende Risiko betreffe besonders Industrieunternehmen auf der ganzen Welt. Die „Industrial Ransomware Analysis Q1“ von Dragos liefere nun fundierte Einblicke in diese anhaltenden Gefahren und zeige wichtige Entwicklungen, regionale Besonderheiten sowie jene durch die weltweite Bedrohungsbeobachtung erkannten Schwachstellen einzelner Branchen auf.

Deutschland weiterhin ein Ransomware-Hauptziel in Europa

Im ersten Quartal 2025 beobachtete Dragos demnach 708 Ransomware-Angriffe auf Industrieunternehmen weltweit. „Das entspricht einem deutlichen Anstieg im Vergleich zu rund 600 Fällen im vierten Quartal 2024. Nordamerika bleibt mit 413 gemeldeten Vorfällen, was etwa 58 Prozent aller weltweiten Aktivitäten ausmacht, die am stärksten betroffene Region.“ Europa folge mit 102 bis 135 Angriffen (etwa 19%), wobei Deutschland weiterhin zu den Hauptzielen zähle.

• Dieser Anstieg verdeutliche die zunehmende Häufigkeit und Komplexität von Ransomware-Angriffen, welche vor allem Branchen wie Fertigung, Transport, Industrielle Steuerungssysteme (ICS) und Maschinenbau träfen. Alamri führt aus: „Auch wenn viele der eingesetzten Techniken nicht neu oder besonders ausgefeilt sind, fallen Ransomware-Angriffe aufgrund ihrer gezielten Vorgehensweise, ihrer nachhaltigen Wirkung und ihrer wachsenden Verbreitung durch immer raffiniertere Akteure klar in die Kategorie der sogenannten ,Advanced Persistent Threats’ (APT).“

Mit 68 Prozent sei der Fertigungssektor im ersten Quartal 2025 weiterhin am stärksten betroffen gewesen, auch wenn der Anteil leicht unter den 70 Prozent im vierten Quartal 2024 liege. „Industrieunternehmen, die eine Schlüsselrolle in globalen Lieferketten und Infrastrukturen spielen, sind besonders gefährdet, da Ransomware-Gruppen ihre Taktiken stetig weiterentwickeln“, warnt Alamri.

Ransomware-Vorfälle zeigen auf, wie der Betrieb und die Lieferketten von Industrieunternehmen beeinträchtigt werden können

Die zunehmende Vernetzung von IT und OT verstärke die betrieblichen Folgen zusätzlich, da sich IT-Störungen direkt auf operative Prozesse auswirken könnten. Zudem setzten Angreifer vermehrt auf irreführende Erpressungsmethoden, was die Verteidigung zusätzlich erschwere.

• So machten sie häufig unbegründete Behauptungen über angebliche Sicherheitsvorfälle und übten psychologischen Druck aus, etwa durch das erneute Veröffentlichen veralteter oder gefälschter Datenlecks. „Diese Täuschungen behindern nicht nur die Reaktion auf Vorfälle, sondern erschweren auch die Überprüfung und belasten die betroffenen Unternehmen erheblich“, kommentiert Alamri.

Zwar habe Dragos in diesem Zeitraum keine neuen Ransomware-Varianten identifiziert, „die speziell auf ICS-Umgebungen abzielen“, doch schwere Vorfälle wie der Angriff auf Unimicron – einen führenden Hersteller von Leiterplatten – zeigten, wie stark Ransomware den Betrieb und die Lieferketten von Industrieunternehmen beeinträchtigen könne.

Trends, Muster und Beobachtungen zu Ransomware-Gruppen im ersten Quartal 2025

Im ersten Quartal 2025 hätten Ransomware-Gruppen ihre Taktiken weiter verfeinert. „Neben etablierten Akteuren traten auch neue Gruppen in Erscheinung, die unter anderem KI-gestützte Schadsoftware und ausgeklügelte Methoden zur Umgehung von EDR-Systemen einsetzten.“

• Ihre Angriffe hätten sich gezielt gegen Schwachstellen in IT-Infrastrukturen gerichtet, wie etwa in „Cleo“-Dateiübertragungsplattformen, Fernzugriffsanwendungen oder veralteter Software. „Hinzu kamen Versäumnisse beim Schutz von Remote-Zugängen, ein mangelhafter Umgang mit Anmeldedaten und Sicherheitslücken entlang der Lieferkette“, so Alamri. Diese Faktoren hätten zu erheblichen Störungen geführt und eine schnelle und koordinierte Reaktion auf die Angriffe erschwert.

Um dieser dynamischen Bedrohungslage wirksam zu begegnen, brauche es vorausschauende Sicherheitsstrategien, eine schnelle Erkennung verdächtiger Aktivitäten und kontinuierlich weiterentwickelte Schutzmaßnahmen. Dazu zählten der breite Einsatz robuster Multi-Faktor-Authentifizierung (MFA), die kontinuierliche Überwachung sensibler Netzwerkbereiche, zuverlässige Offline-Backups sowie ein sicherer und kontrollierter Fernzugriff.

Eigene Resilienz gegenüber wachsenden Bedrohungen hochentwickelter Ransomware-Gruppen stärken

Abschließend rät Alamri: „Ergänzend sollten Unternehmen ihre Mitarbeitenden gezielt schulen, ihre Netzwerkarchitektur regelmäßig überprüfen und moderne Erkennungssysteme einsetzen, die auch KI-gestützte Angriffsformen erkennen!“

• Er erläutert: „Da sich das Ransomware-Ökosystem zunehmend ausdifferenziert und dynamisch an neue Bedingungen anpasst, gewinnt die frühzeitige Erkennung von Bedrohungen, der zeitnahe Informationsaustausch und eine koordinierte Reaktion auf Angriffe enorm an Bedeutung.“ Nur durch ein entschlossenes und abgestimmtes Vorgehen ließen sich Kritische Infrastrukturen (Kritis) und industrielle Abläufe wirksam schützen.

Unternehmen müssten vor allem die Risiken der IT-OT-Konvergenz aktiv angehen, Schwachstellen in der Lieferkette absichern und Meldeprozesse für sicherheitsrelevante Vorfälle weiterentwickeln. „Wer hier systematisch ansetzt, stärkt die eigene Resilienz gegenüber den wachsenden Bedrohungen durch hochentwickelte Ransomware-Gruppen.“

Weitere Informationen zum Thema:

DRAGOS, The Dragos Blog, Abdulrahman H. Alamri & Lexie Mooney, 21.05.2025
Dragos Industrial Ransomware Analysis: Q1 2025

DRAGOS
Abdulrahman H. Alamri / Senior Intel Analyst II

datensicherheit.de, 18.06.2025
Bedrohung durch Ransomware: Sich tot zu stellen kennzeichnet Verlierer / Im Kampf gegen Ransomware-Attacken können es sich Unternehmen nicht mehr leisten, auf der Stelle zu treten

datensicherheit.de, 08.06.2025
Jährlich droht die Ransomware: eco fordert konsequente Cyberresilienz-Strategien / Laut „Bundeslagebild Cybercrime 2024“ des BKA bleibt Ransomware die größte Bedrohung für Unternehmen und KRITIS

datensicherheit.de, 14.05.2025
Ransomware Reloaded: 2025 droht das bisher gefährlichste Jahr zu werden / „Ransomware war noch nie so aggressiv, anpassungsfähig oder trügerisch!“, warnt Marco Eggerling in seinem Kommentar zum diesjährigen „Anti-Ransomware-Tag“

datensicherheit.de, 20.04.2025
Ransomware-Angriffe: Neue Studie zeigt alarmierendes Ausmaß / Object First nimmt Stellung zu Ransomware-Angriffen auf Unternehmen in Nordamerika, Großbritannien und Deutschland