[datensicherheit.de, 10.08.2026] Gelangt ein Ransomware-Angriff in die Schlagzeilen, wird die Aufmerksamkeit meist auf die betroffene Organisation, die gestohlenen Daten sowie die darauffolgende Lösegeldforderung gerichtet. Eine aktuelle Untersuchung des „ThreatLabz“-Teams von Zscaler hat indes den „Faktor Mensch“ in der Angriffskette beleuchtet und demnach aufgezeigt, dass Cyberkriminelle bei der Auswahl ihrer Opfer innerhalb von Organisationen nicht zufällig agieren. Vielmehr gerieten gezielt Mitarbeiter mit weitreichenden Berechtigungen und geschäftskritischen Funktionen in den Fokus, um über dieses Einfallstor das Netzwerk zu infiltrieren, sensible Informationen zu exfiltrieren und den unrechtmäßigen Zugriff schließlich zu monetarisieren. „ThreatLabz“ habe Opfer einer Ransomware-Kampagne identifiziert und die Position der Opfer im Unternehmen analysiert, zudem wie deren Funktionen und Befugnisse dazu beitragen, die Organisation zu unterwandern. Über einen Zeitraum von einem Monat habe „ThreatLabz“ 351 Opfer in 334 Organisationen identifiziert, welche mit einer einzelnen Ransomware-Kampagne in Verbindung gestanden hätten.

Führungskräfte und kritische Geschäftsfelder im Ransomware-Visier

Die untersuchten Bedrohungsakteure hätten sich dabei auf den Erstzugang, den Diebstahl großer Mengen an Unternehmensdaten sowie die selektive Verschlüsselung kritischer Systeme spezialisiert. Die detaillierte Auswertung der Opferprofile habe ergeben, „dass 62 Prozent der betroffenen Personen auf Managementebene oder höher angesiedelt waren“.

Dies deute darauf hin, dass die Täter systematisch nach Mitarbeitern suchten, welche über einen privilegierten Zugriff auf Kundendaten, Finanzunterlagen, Verträge und operative Systeme verfügen.

Der Wert eines kompromittierten Managementkontos sei durch den Umfang der mit der jeweiligen Position verbunden Zugriffsrechte definiert. Führungskräfte könnten beispielsweise Zahlungen freigeben, Budgets und Lieferanten verantworten, Verträge prüfen, auf sensible Unterlagen zugreifen oder die Zusammenarbeit über verschiedene Geschäftsbereiche hinweg koordinieren.

Ransomware-Gruppen erlangen über Mitarbeiter von Industrieunternehmen Zugang zu kritischen Systemen

Auch bei den Branchen und Abteilungen hätten sich in der Analyse klare Schwerpunkte gezeigt. „Die Hälfte der kompromittierten Unternehmen stammte aus der Industrie mit über 35 Prozent sowie der Informationstechnologie mit knapp 15 Prozent.“ Für Ransomware-Gruppen könnten Mitarbeiter in Industrieunternehmen Wege zu jenen kritischen Systemen eröffnen, welche Fertigung, Distribution oder Logistik unterstützen.

In der Informationstechnologie könnten kompromittierte Konten Geistiges Eigentum und für die Bereitstellung digitaler Dienste genutzte Plattformen offenlegen.

Die Störung solcher Systeme könne schnell sowohl operativen als auch finanziellen Druck erzeugen. Die Verschlüsselung einer Produktions-, Logistik- oder Servicebereitstellungsplattform könne den Geschäftsbetrieb und damit den Umsatz beeinträchtigen, während gestohlene technische Daten Erpressungsforderungen untermauern könnten.

Durchschnittsalter der Ransomware-Opfer bei 46 Jahren

„Innerhalb der betroffenen Organisationen entfielen mehr als 75 Prozent der Opferpersonas auf fünf zentrale Geschäftsbereiche.“ Am stärksten anvisiert worden sei das Finanz- und Rechnungswesen, gefolgt vom Vertrieb, dem operativen Betrieb, der Personalabteilung und dem Marketing.

„Demographisch betrachtet lag der Schwerpunkt mit rund 44 Prozent auf der ,Generation X’, wobei das Durchschnittsalter der Opfer 46 Jahre betrug.“

Mitarbeiter dieser Generation bekleideten häufiger etablierte Management- oder höherwertige Positionen und verschafften Angreifern dadurch Zugang zu wertvollen Systemen, Daten und Entscheidungsbefugnissen.

Ransomware-Angreifer nutzen Täuschungstaktiken

Um sich das Vertrauen der anvisierten Entscheidungsträger zu erschleichen, nutzten die Angreifer häufig künstlich erzeugte Dringlichkeit sowie die falsche Identität von vermeintlichen IT-Mitarbeitern. Dabei kämen vertraute Werkzeuge wie „Microsoft Teams“ oder „Quick Assist“ zum Einsatz, woraus schnell weitreichender Datendiebstahl und Erpressung resultieren könnten.

Da Künstliche Intelligenz (KI) eine bessere Personalisierung von Angriffsmaßnahmen und überzeugende Täuschungsmaßnahmen durch Identitätsdiebstahl ermögliche, könnten Ransomware-Akteure mit weniger offensichtlichen Warnsignalen angreifen. Um dieses Risiko zu minimieren, rät „ThreatLabz“ Unternehmen dringend zur Implementierung einer „Zero Trust“-Architektur für eine strikte Netzwerksegmentierung und zur Verhinderung von lateralen Bewegungen im System.

Ebenso wichtig sei die konsequente Durchsetzung des „Least Privilege“-Prinzips, um den Zugriff auf sensible Daten strikt auf das Notwendigste zu begrenzen. Das Blockieren externer Nachrichten in Kollaborationstools, die Sensibilisierung der Mitarbeiter für die Verifizierung von internen IT-Anfragen sowie der Einsatz von KI-gestützten Sicherheitslösungen zur kontinuierlichen Überwachung bildeten die essenziellen Bausteine einer effektiven Verteidigungsstrategie gegen diese zielgerichteten Bedrohungen.

Zentrale Erkenntnisse:

• Im Kontext der rasanten IT-Weiterentwicklung gelangen Führungskräfte einerseits zunehmend in Haftungsfragen bei IT-Schadensfällen – zudem werden sie von cyberkriminellen Angreifern immer öfter gezielt ins Visier genommen.
• Die privilegierten Zugriffsrechte der Führungsebene stellen eine attraktive „Beute“ für Cyberkriminelle dar.
• Generell gilt es, in den Betrieben grundsätzliche Sicherheitsprinzipien wie z.B. „Zero Trust“, „Least Privilege“ oder auch „Multi-Faktor-Authentifizierung“ (MFA) zu etablieren und konsequent anzuwenden.
• Selbst bei einem Höchstmaß an Schutzmaßnahmen solle für eine erprobte Notfall- und Wiederanlaufplanung davon ausgegangen werden, dass irgendwann eine gravierender Cyberangriff auf die Führungsebene – eben z.B. mit Ransomware – gelingt.
• Eine saloppe, despektierliche, gleichwohl ein zentrales Problem adressierende Redensart lautet: „Der Fisch stinkt vom Kopf her“ – Aufgabe der Führungsebene muss es daher sein, an der Spitze der Betriebe Lern- und Sicherheitskultur vorbildhaft einzuführen und im Alltag vorzuleben.

Weitere Informationen zum Thema:

zscaler
About Zscaler: Transforming Today and Tomorrow / Leveraging the largest security cloud on the planet, Zscaler anticipates, secures, and simplifies the experience of doing business for the world’s most established companies.

datensicherheit.de, 25.06.2026
Neuer Ransomware-Boom: Ein Drittel mehr Vorfälle registriert / Laut dem „Threat Status Report 2025/2026“ von aDvens wurden 2025 ein Drittel mehr Ransomware-Vorfälle als im Vorjahr registriert – in Deutschland geriet vor allem die Industrie ins Visier

datensicherheit.de, 29.04.2026
Ransomware-Hotspot: Deutschland als Top-Ziel für Erpresser / Im Jahr 2025 laut PwC 58 Prozent mehr Ransomware-Opfer weltweit – KI senkt Einstiegshürden und beschleunigt Angriffe

datensicherheit.de, 20.04.2026
Ransomware-Attacken: Versicherungs- und Rechtsfragen in Zeiten zunehmender Cyberangriffe / Web-Seminar zur neuen Qualität von Bedrohungen durch Cyberangriffe im Kontext der Wechselwirkungen zwischen angespannter geopolitischer Lage und vermehrtem KI-Einsatz am 22. April 2026

datensicherheit.de, 09.04.2026
Ransomware im Wandel – dennoch weiterhin eine der gravierendsten Cyberbedrohungen weltweit / Weniger Opfer zahlen, doch die Summen steigen – aktuelle Zahlen zur Ransomware-Bedrohung zeichnen ein Bild, welches Verantwortliche in Unternehmen nicht als Entwarnung missverstehen sollten

[datensicherheit.de, 09.07.2026] Die Diskussion um die Möglichkeiten von Frontier AI-Modellen, Schwachstellen in Software zu finden und zu beheben, ist allgegenwärtig.

„Was bedeutet das Ende der Verknappung für den Angreifer? Nun, zunächst einmal bedeutet es eine Demokratisierung. Was früher nur wenigen vorbehalten war, weil man über Jahre hinweg eine Infrastruktur aufbauen und über tiefgreifendes Fachwissen und Erfahrung verfügen musste. Dieser Mix steht nun jedem zur Verfügung, der über einen Internetzugang und Zugriff auf einen MCP-Server verfügt“, erklärte Nadav Zafrir in seiner Keynote vor etwa 1.000 geladenen Cybersicherheitsexperten, an der auch Datensicherheit vom 1. bis 2. Juli in Paris teilnahm.

Exposure Gap Report 2026

Diese Explosion an nun bekannt gewordenen Schwachstellen wird auch im „Exposure Gap Report 2026“ deutlich, den die Exposure Management Business Unit des Anbieters zeitgleich veröffentlichte. 42,6 Prozent aller als kritisch bewerteten Risiken waren Schwachstellen und ihre Anzahl verdoppelte sich im Vergleich zum Vorjahr. Angreifer testen mittlerweile mehr Sicherheitslücken in mehr Unternehmen und mit einer Geschwindigkeit, mit der Sicherheitsexperten manuell nicht mehr Schritt halten können.

Die Herausforderung besteht nicht nur in der wachsenden Anzahl. Frontier AI-Modelle demokratisieren letztlich nicht nur das Auffinden von Schwachstellen, sondern sie sorgen auch für eine Form der Industrialisierung. Bislang galt es gefundene Schwachstellen, vor allem Zero Days, möglichst lange geheim zu halten und diese erst im richtigen Moment auszunutzen. Sie konnten mit der Zeit also ihren Wert für den Angreifer steigern. Das ist jetzt vorbei, Schwachstellen können im Bruchteil von Sekunden wertlos werden, wenn anderen Angreifer sie flächendeckend ausnutzen.

Lotem Finkelstein, VP bei Check Point Research sieht angesichts dieser Entwicklung lediglich eine Chance für Unternehmen: „Angreifer sind nun noch schneller und besser darin geworden Schwachstellen auszunutzen. Besonders bedroht sind KRITIS und deshalb werden Staaten versuchen den Zugang zu neusten Frontier AI-Modellen zu beschränken. Wenn flächendeckend die Versorgung der Bevölkerung wegen eines IT-Ausfalls zur Gewohnheit wird, droht Chaos.“

Themen: Externe Bedrohungslage und KI-Modelle

Auf der Konferenz wurde jedoch nicht nur über die externe Bedrohungslage diskutiert, auch die Gefahr, die von KI-Modellen aus dem Inneren ausgeht, treibt Sicherheitsexperten um. „Die Bedrohungslandschaft hat sich verändert. Vor allem die Autonomie, mit der KI-Agenten agieren stellt eine neue Qualität dar“, gibt Adam Ely, General Manager AI Security bei Check Point zu Bedenken.

Durch Sicherheitsforschung werden immer wieder Schwachstellen in KI-Modellen offen gelegt. Ein Beispiel dafür lieferten die Sicherheitsforscher aus Tel Aviv gleich mit: Ihre Untersuchung zeigte, wie sich das KI-Modell DeepSeek eigenständig ein theoretisches Browser-Risiko mit einer funktionierenden Ransomware-Technik verknüpfte. Der Angriff wurde vollständig im Browser ausgeführt. Beim direkten Test mit DeepSeek V4 unter Verwendung des Wortes „Ransomware“ lehnte das Modell dies zunächst zwar ab. Bei einer neutralen Formulierung generierte es jedoch durchweg funktionierenden, browserbasierten Ransomware-Code. In einer Antwort beschrieb das Modell die Ausgabe selbst als „eine ausgeklügelte Falle, die eine überzeugende KI-Upscaler-Oberfläche mit versteckten, Ransomware-ähnlichen Verhaltensweisen kombiniert“. Es handelt sich um einen Workflow, der keine APK-Installation, keine native Payload, keinen Browser-Exploit und keinen Root-Zugriff erfordert, sondern lediglich eine einzige Berechtigungsabfrage.

Daraus folgt, dass Sicherheitsverantwortliche vor allem auch die eigenen KI-Modelle kontrollieren und absichern müssen. KI-Governance wird damit zum kritischen Geschäftsfaktor. Roi Karo, Chief Strategy Officer bei Check Point sieht dann auch die Auseinandersetzung mit KI als die eigentliche Aufgabe, er erklärte im Interview: „Wer sich als Cybersicherheitsverantwortlicher nicht mit KI beschäftigt, wird früher oder später seinen Job verlieren. Aus meiner Sicht gibt es drei Arten von KI, nämlich wie Unternehmen, wie Angreifer und wie Verteidiger KI einsetzen. Die Geschäftsführung fragt deshalb vor allem danach, wie ihre eigene Sicherheitsexperten die Möglichkeiten der KI für den Schutz des Unternehmens einsetzen und was sie dafür benötigen.“

Prävention auch in Zeiten von KI entscheidend

Entsprechend fallen auch die Empfehlungen aus, die neben der Absicherung und einem Berechtigungsmanagement jedoch auch das klassische Erstellen von regelmäßigen Offline- und Cloud-Backups umfasst. Alle Anwendungen sollten auf dem neuesten Stand gehalten werden und darüber hinaus sollten Organisationen Sicherheitslösungen einsetzen, die bösartige Websites bereits vor dem Erscheinen verdächtiger Berechtigungsabfragen identifizieren und blockieren. Denn auch das bliebt von der Veranstaltung hängen: „Prevention war vor der KI wichtig und sie bleibt immer noch wichtig“, schließt Lotem Finkelstein.

Weitere Informationen zum Thema:

Check Point Blog
Under Pressure: Insights from the 2026 Exposure Gap Report

datensicherheit.de, 10.06.2026
„AI Security Institute“: Gründung eines deutschen KI-Sicherheitsinstituts beschlossen

[datensicherheit.de, 01.07.2026] Die Sicherheitsforscher von Check Point Research haben ein von DeepSeek generiertes Malware Sample aufgedeckt. Dabei hat ein KI-Modell eigenständig ein theoretisches Browser-Risiko mit einer funktionierenden Ransomware-Technik verknüpft. Diese wird vollständig im Browser ausgeführt. Das Browser-Risiko besteht ohne Exploit, ohne App-Installation und ohne dass der Angreifer technisches Fachwissen benötigt.

Dies ist der erste dokumentierte Fall, in dem ein innovatives KI-Modell eigenständig die Lücke zwischen einem theoretischen, ausschließlich browserbasierten Ransomware-Risiko und einer praktischen, funktionierenden Angriffskette überbrückt hat. Damit wurde ein neuartiger Angriffspfad aufgedeckt, den Sicherheitsverantwortliche aufgrund der Grenzen des Browser-Sandboxings zuvor als undurchführbar abgetan hatten. Das erforderliche Fachwissen zur Entdeckung eines neuen Angriffspfads stellt keinen Engpass mehr dar und Sicherheitsverantwortliche müssen dieser Veränderung nun Rechnung tragen, bevor Angreifer sie in großem Maßstab operationalisieren.

Die KI und der Angriff

1. Eine KI übernahm das „Denken“, das früher ein menschlicher Angreifer leisten musste
   Bei der Analyse von fast 3.000 Dateien in öffentlichen Telemetriedaten, die DeepSeek zugeschrieben wurden, stießen die Forscher auf eine Python-Flask-Anwendung. Sie wirkte wie eine KI-Halluzination aus dem Lehrbuch: Sie versuchte, Keylogging, den Diebstahl von Anmeldedaten, Webcam-Aufnahmen sowie ein Lösegeld-Overlay auf einer einzigen Webseite unterzubringen. Dies wird jedoch von den meisten Browsern schlichtweg nicht zugelassen. Doch versteckt in all dem Durcheinander hat das Modell eine Sache genau richtig gemacht: Es rief „showDirectoryPicker()“ auf, eine legitime Browser-API, die es einer Webseite ermöglicht, Dateien aus einem vom Nutzer ausgewählten Ordner zu lesen, zu ändern und zu exfiltrieren. Ein Laie kann ein böswilliges Ergebnis in einfacher Sprache beschreiben und erhält einen Prototyp, der dieses Ziel mit einer tatsächlichen Plattformfunktion verknüpft, von deren Existenz er bisher nichts wusste.
2. Vom hypothetischen Rahmenkonzept zum voll funktionsfähigen Proof-of-Concept
   Check Point Research hat die Technik durch die Erstellung eines kontrollierten PoC (Proof of Concept) validiert: ein gefälschtes KI-Tool zur Bildoptimierung namens „AI Avatar Enhancer“, dass die File System Access API nutzt, um Bilder in einem ausgewählten Verzeichnis zu verschlüsseln. Beim direkten Test mit DeepSeek V4 unter Verwendung des Wortes „Ransomware“ lehnte das Modell dies ab. Bei einer neutralen Formulierung generierte es jedoch durchweg funktionierenden, browserbasierten Ransomware-Code. In einer Antwort beschrieb das Modell die Ausgabe selbst als „eine ausgeklügelte Falle, die eine überzeugende KI-Upscaler-Oberfläche mit versteckten, Ransomware-ähnlichen Verhaltensweisen kombiniert“. Es handelt sich um einen Workflow, der keine APK-Installation, keine native Payload, keinen Browser-Exploit und keinen Root-Zugriff erfordert, sondern lediglich eine einzige Berechtigungsabfrage.
3. Nutzer von Android-Mobilgeräten sind am stärksten gefährdet
   Mit Chrome 132 wurde die vollständige Unterstützung für den Dateisystemzugriff auf Android eingeführt. Tests mit Chrome 148 haben bestätigt, dass Webseiten Zugriff auf das DCIM-Fotoverzeichnis anfordern können. In diesem Ordner werden in der Regel persönliche Fotos, gescannte Ausweise, Bank-Screenshots, medizinische Unterlagen, Wiederherstellungscodes und Reisedokumente über Jahre hinweg gespeichert.iOS Safari stellt diese API nicht zur Verfügung, sodass diese Technik dort nicht anwendbar ist. Der Verlust des Zugriffs auf diese Daten oder deren Exfiltration kann persönliche oder geschäftliche Probleme nach sich ziehen, die von Ransomware bis hin zu Erpressung reichen. Im Falle sensibler Daten kann es zu einer öffentlichen Bekanntmachung kommen, die einen Reputationsschaden nach sich zieht.Große KI-Anbieter wie Anthropic oder OpenAI lehnen Anfragen, die Ransomware, den Diebstahl von Zugangsdaten oder den Einsatz von Malware betreffen, konsequent ab. DeepSeek ist in dieser Hinsicht weniger konsequent. Es ist kostenlos, weit verbreitet und zugänglich. Im Test erzeugte eine einzige allgemeine Eingabeaufforderung eine vollständige bösartige Anwendung. Bei anderen Modellen hätte die Erstellung mehrere manuelle Anfragen und einen manuellen Zusammenbau erfordert. Diese niedrigere Einstiegshürde macht DeepSeek besonders attraktiv für Angreifer mit begrenzten technischen Fähigkeiten.

Unbegrenzte Malware-Varianten

In der Vergangenheit erforderte die Entdeckung eines neuen Angriffspfads Fachwissen und kreatives menschliches Denken. KI verändert diese Dynamik jedoch grundlegend: Auf diese Weise generierte Malware könnte die Bedrohungslandschaft von einer begrenzten Anzahl wiederverwendeter Malware-Familien hin zu einer größeren Menge wegwerfbarer, einmaliger Artefakte verschieben. Jedes dieser Artefakte enthält eine einzigartige Kombination von Techniken. KI implementiert nicht nur bestehende Techniken neu, sondern überbrückt auch die Lücke zwischen rein theoretischen Risiken und neuartigen, praktischen Angriffen, mit denen Verteidiger in der Praxis noch nicht konfrontiert waren.

Damit Sicherheitsexperten ihre IT-Umgebungen von dieser Art von Angriffen schützen können, muss jede Abfrage des Browsers nach Zugriff auf einen Ordner als sicherheitskritische Entscheidung behandelt werden. Sie sollten prüfen, welche Website die Abfrage stellt, welcher Ordner ausgewählt wird und ob Schreibzugriff tatsächlich erforderlich ist. Websites sollten niemals Zugriff auf die Hauptfotobibliothek, den DCIM-Ordner oder Verzeichnisse gewährt werden. Zu befürchten steht, dass sich Angreifer auf Ausweisdokumente, Wiederherstellungscodes oder Screenshots von Online-Banking Zugriff verschaffen. Nutzer sollten gegenüber mit KI beworbenen Lockangeboten wie Avatar-Upscalern und Bildoptimierern skeptisch bleiben. Für wichtige Aufgaben sollten sie seriöse native Apps oder etablierte Cloud-Dienste bevorzugen. Sie sollten regelmäßige Offline- und Cloud-Backups erstellen, damit verschlüsselte Dateien niemals die einzige Kopie sind. Browser und mobile Betriebssysteme sollten auf dem neuesten Stand gehalten werden. Unternehmen sollten Sicherheitslösungen einsetzen, die solche bösartigen Websites bereits vor dem Erscheinen verdächtiger Berechtigungsabfragen identifizieren und blockieren.

Eli Smadja, Group Manager bei Check Point Research, erklärt: „Wir erleben derzeit einen grundlegenden Wandel in der Art und Weise, wie neue Cyberangriffe entstehen. Zum ersten Mal haben wir Beweise dafür, dass ein KI-Modell eigenständig legitime Plattformfunktionen analysieren und eine funktionierende Angriffstechnik aufdecken kann. Darüber konnten Fachleute bisher nur theoretisch spekulieren, ohne zu wissen, dass die zugrunde liegende API überhaupt existiert. Die Hürde für die Umsetzung komplexer Angriffe sinkt erheblich, was tiefgreifende Auswirkungen auf jedes Unternehmen hat, das KI in seine Arbeitsabläufe integriert, sowie auf jeden Mobilfunknutzer, der mittlerweile sein gesamtes privates und berufliches Leben in einer Fotobibliothek mit sich führt. Die Zukunft der KI-Sicherheit darf nicht darauf beruhen, dass Modelle offensichtlich böswillige Anfragen ablehnen. Sie muss davon ausgehen, dass die nächste Angriffstechnik nicht von einem menschlichen Forscher, sondern durch eine KI-Halluzination entdeckt wird, die zufällig in einem Punkt richtig lag. Unternehmen, die sich schon jetzt auf diese Realität vorbereiten, indem sie den „Delivery Layer“ absichern, das auf Berechtigungen basierende Vertrauensmodell überdenken und jede Browser-Eingabeaufforderung als Sicherheitsentscheidung behandeln, werden diejenigen sein, die noch bestehen, wenn der Rest der Branche aufholt.“

Weitere Informationen zum Thema:

Check Point Research
Browser-Only Ransomware: From LLM Hallucinations to a Practical Attack Technique

datensicherheit.de, 27.02.2025
DeepSeek-R1 als Warnsignal: KI-Sicherheit muss bei der Architektur beginnen

[datensicherheit.de, 27.06.2026] Die Generalstaatsanwaltschaft Frankfurt am Main –Zentralstelle zur Bekämpfung der Internetkriminalität (ZIT) – und das Bundeskriminalamt (BKA) sind nach eigenen Angaben in einer international abgestimmten Aktion im Zeitraum vom 15. bis 19. Juni 2026 gemeinsam mit Strafverfolgungsbehörden aus den Niederlanden, Dänemark, Großbritannien, den USA und Kanada sowie mit Unterstützung durch EUROPOL, EUROJUST, das US-Softwareunternehmen Microsoft und weitere internationale IT-Sicherheitsdienstleister erfolgreich gegen drei der weltweit gefährlichsten Schadsoftware-Varianten („SocGholish“, „StealC“ und „Amadey“) vorgegangen. Der Fokus der Maßnahmen hat demnach auf der nachhaltigen Zerschlagung der jeweiligen technischen Infrastrukturen gelegen.

Webseite der „OPERATION ENDGAME“

27 Millionen Zugangsdaten von über 385.000 Opfern sichergestellt

So hätten die internationalen Strafverfolgungsbehörden in enger Kooperation mit Microsoft insgesamt rund 15.000 Webseiten, über 320 Server – davon 40 in Deutschland – und mehr als 140 täterseitig genutzte Domains unschädlich gemacht.

• In diesem Zusammenhang seien auch ca. 27 Millionen Zugangsdaten von über 385.000 Opfern sichergestellt worden, zu denen die Prüfung der individuellen Betroffenheit über öffentlich zugängliche Informationsplattformen möglich sei. Zusätzlich unterstütze das Bundesamt für Sicherheit in der Informationstechnik (BSI) bei der Benachrichtigung von Betroffenen in Deutschland.

Darüber hinaus sei „Krypto-Vermögen“ kriminellen Ursprungs von derzeit über 47 Millionen US-Dollar identifiziert, gekennzeichnet und dadurch in der Nutzung eingeschränkt worden.

Wesentlicher Baustein des kriminellen Wertschöpfungsprozesses geschwächt

In Deutschland würden die Ermittlungen unter anderem wegen des „Verdachts der banden- und gewerbsmäßigen Erpressung“ sowie der „Erpressung im besonders schweren Fall“ geführt. Die Maßnahmen nähmen den Tätern nun zentrale Werkzeuge aus der Hand, würden die „virtuelle Infektionskette“ unterbrechen und viele weitere potenzielle Opfer vor diesen Schadsoftware-Varianten schützen. Mit dieser Operation sei ein wesentlicher Baustein des kriminellen Wertschöpfungsprozesses der vernetzten und arbeitsteiligen Strukturen im Bereich Cybercrime geschwächt worden.

• Carsten Meywirth, Leiter der Abteilung „Cybercrime“ im BKA, kommentiert: „Mit der Fortsetzung der ,Operation Endgame’ sind wir erneut gegen die technischen Infrastrukturen vorgegangen, auf die sich zahlreiche Cyberkriminelle weltweit verlassen haben. Dadurch wurde auch die Erstinfektion einer Vielzahl weltweiter Opfersysteme unterbunden. Das zeigt, dass die internationalen Strafverfolgungsbehörden Cybercrime grenzüberschreitend alle rechtlichen Mittel entgegensetzen, auch in enger Zusammenarbeit mit dem Privatsektor.“

• Dr. Benjamin Krause, Leitender Oberstaatsanwalt und Pressesprecher der ZIT, führt aus: „Die ,Operation Endgame’ ist das Paradebeispiel der internationalen Kooperation von Strafverfolgungsbehörden und privaten Organisationen im gemeinsamen Kampf gegen Cybercrime. Wie die Kriminellen arbeiten auch wir arbeitsteilig und international vernetzt, um schlagkräftig zu sein. Der Unterschied ist: Wir stehen auf der guten Seite!“

Schadsoftware-Varianten im „Cybercrime-as-a-Service“-Kontext

Die beseitigten Schadsoftware-Varianten wurden laut BKA als Dienstleistung („Cybercrime-as-a-Service“) bereitgestellt und von anderen Cyberkriminellen als Werkzeug für die Erstinfektion von Opfersystemen eingesetzt. Somit waren sie in der Folge Ausgangspunkt für weitere Straftaten (z.B. das Nachladen von Ransomware für digitale Erpressungen oder die missbräuchliche Nutzung von Daten).

• „SocGholish“
  Die Schadsoftware „SocGholish“ (sog. Dropper / Loader) habe Unbefugten durch die Verteilung von vermeintlichen Browser-Updates über kompromittierte Webseiten Zugang zu Computersystemen verschafft. Statt des Updates hätten dann Internetnutzer die Schadsoftware ausgeführt. Die unbefugt erlangten Zugänge hätten fortan als Ausgangspunkt für weitere Straftaten dient – insbesondere das Nachladen von Ransomware für digitale Erpressungen.
• „StealC“
  Die über unterschiedliche Angriffsvektoren verteilte Schadsoftware „StealC“ (sog. Stealer mit Dropper-Funktionalität) sei vor allem darauf spezialisiert gewesen, sensible Informationen wie Passwörter, gespeicherte Zugangsdaten und digitale Identitäten aus Computern von Betroffenen auszulesen und für kriminelle Folgenutzungen, insbesondere Handel und Missbrauch der Datenbestände, bereitzustellen.
• „Amadey“
  Die Schadsoftware „Amadey“ (sog. Dropper / Loader) sei vor allem über Phishing-Kampagnen verbreitet worden. Sie habe damit als erster Baustein einer größeren Angriffskette fungiert und sei in der Lage, weitere Schadsoftware auf Betroffenensysteme einzubringen. Daneben habe diese Schadsoftware über Stealer-Funktionalitäten verfügt und habe so auch sensible Daten abgreifen können.

Strategie der Operation Endgame: Schadsoftware-Varianten der Kategorie „Initial Access Malware“ unschädlich machen

Ziel der „Operation Endgame“ ist es nach BKA-Angaben, die relevantesten Schadsoftware-Varianten der Kategorie „Initial Access Malware“, also sogenannte Dropper bzw. Loader, unschädlich zu machen. Schadsoftware dieser Kategorie werde zur Erstinfektion genutzt. Sie diene Cyberkriminellen quasi als Türöffner, um unbemerkt Opfersysteme zu infizieren und dann weitere Schadsoftware nachzuladen. Dies geschehe beispielsweise zum Ausspähen von Daten oder zur Verschlüsselung des Systems mit dem Ziel der Erpressung von Lösegeld (sog. Ransomware).

• Mittlerweile verfügten immer häufiger auch Varianten der Kategorie „Stealer“ über Funktionen zum Nachladen von Schadsoftware. Deren Primäraufgabe sei es bislang eigentlich gewesen, unbemerkt Opfersysteme zu infizieren, um sensible Daten und Zugangsinformationen zu stehlen. Sie könnten dadurch ebenfalls zur Installation von Ransomware verwendet werden. Daher gehe die „Operation“ Endgame seit 2025 neben „Droppern“ und „Loadern“ auch gezielt gegen „Stealer“-Schadsoftware vor.
• Die Sicherheitsbehörden verfolgten die Strategie, unmittelbar am Anfang der Angriffskette, der „Kill Chain“, anzusetzen und das gesamte „Cybercrime-as-a-Service“-System an der „Wurzel“ zu schädigen. Durch gebündelte Maßnahmen gegen die technische und finanzielle Infrastruktur der Täter und gegen die Täter selbst solle dieses Geschäftsmodell nachhaltig zerstört werden.

Über die Websites der internationalen polizeilichen Partner stehen fortlaufend Informationen zur Verfügung. Dort werden entsprechende kriminelle Akteure in Form von Kurzvideos mit der Botschaft „Operation Endgame – think about (y)our next move“ direkt adressiert und darüber hinaus potenzielle Zeugen um Hinweise gebeten.

BSI bietet Informationen für Opfer

Seit Mai 2024 unterstützt auch das BSI die Partner der „Operation Endgame“, indem es unter anderem die Infrastruktur zur Umleitung des Datenverkehrs auf behördeneigene Server bereitstelle sowie diese Umleitungen koordiniere und umsetze (sogenanntes Sinkholing). Darüber hinaus werte das BSI technische Asservate aus und sammele zielgerichtet Informationen bezüglich relevanter Schadsoftware-Varianten.

• Für Deutschland habe das BSI nachhaltige Maßnahmen ergriffen, um den Zugriff infizierter Systeme auf die Steuerungssysteme der Täter auch über deren Abschaltung hinaus effektiv zu unterbinden. Dabei würden die Kontaktversuche der Schadsoftware von infizierten Opfersystemen detektiert und die Betroffenen über eine festgestellte Infektion an ihrem Internetanschluss benachrichtigt. Weitere Informationen zum Thema „Botnetze“ sowie Steckbriefe zu den Schadsoftware-Varianten mit Hinweisen zur Bereinigung infizierter Systeme sind auf der betreffenden BSI-Webseite abrufbar.

Darüber hinaus benachrichtige das BSI betroffene Institutionen und Unternehmen direkt über abgeflossene, im Rahmen der Strafverfolgungsmaßnahmen erlangte Zugangsdaten der Schadsoftware „StealC“. Zur Art der betroffenen Daten stellt das BSI online weitere Informationen bereit.

Weitere Informationen zum Thema:

Bundeskriminalamt
Aufgabenbereiche des BKA / Nationale und internationale Zusammenarbeit, Ermittlungen, Forschung und Entwicklung, Verwaltung und Personenschutz – erfahren Sie hier mehr zu den vielfältigen Aufgabenbereichen der Kriminalpolizei des Bundes

Bundeskriminalamt
OPERATION ENDGAME

Staatsanwaltschaften Hessen
GStA: Zentralstelle zur Bekämpfung der Internet- und Computerkriminalität (ZIT)

OPERATION ENDGAME
What will be (y)our next move?

EUROPOL
Über Europol / Europa sicherer machen

EUROJUST European Union Agency for Criminal Justice Cooperation
Wer wir sind

Handelsblatt Live, Technologie / IT, 23.05.2025
Cybercrime – Ohne Partner ist alles nichts / Gastbeitrag von Carsten Meywirth, Direktor und Leiter der Abteilung Cybercrime, Bundeskriminalamt

DPT Deutscher Präventionstag
Dr. Benjamin Krause

Bundesamt für Sicherheit in der Informationstechnik
Provider informiert über Botnetz-Infektion / Ihr Provider informiert Sie über eine Infektion

Bundesamt für Sicherheit in der Informationstechnik
StealC

datensicherheit.de, 23.05.2025
Operation Endgame 2.0: BKA meldet weitere 20 Haftbefehle gegen Cyberkriminelle / Deutschland und internationale Partner haben erneut führende Akteure der „Underground Economy“ ins Visier genommen – im Zuge der bislang weltweit größten Polizeioperation im Cyberspace

[datensicherheit.de, 25.06.2026] Die Bedrohung durch sogenannte Ransomware verschärft sich offenbar weiter, denn laut dem „Threat Status Report 2025/2026“ von aDvens gab es demnach im Jahr 2025 ein Drittel mehr Fälle als im Vorjahr. In Deutschland sei vor allem die Industrie im Fokus gewesen. Gleichzeitig werden nach aDvens-Erkenntnissen die Methoden der Cyberkriminellen immer raffinierter. Neue Angreifer-Gruppen setzten Künstliche Intelligenz (KI) sowie fortschrittliche Social-Engineering-Methoden ein, um wichtige Ziele zu kompromittieren.

2025 mehr als 8.150 Opfer von Ransomware-Attacken

Ransomware erlebe gerade einen neuen Boom. Dies zeige der „Threat Status Report 2025/2026“ von aDvens: Im Vergleich zum Vorjahr sei die Anzahl der erfolgreichen Ransomware-Attacken 2025 um ein Drittel angestiegen. „Dabei werden die Methoden immer raffinierter.“

• Neue Angreifer-Gruppen setzen KI sowie fortschrittliche Social-Engineering-Methoden ein, um wichtige Ziele zu kompromittieren.

Weltweit seien für 2025 mehr als 8.150 Opfer von Ransomware-Attacken gemeldet worden. Dies entspreche einem Anstieg von 33 Prozent im Vergleich zum Vorjahr. Allein im Februar 2025 seien mehr als 1.000 Fälle gezählt worden. Prominentestes Beispiel: „Der Ransomware-Angriff auf Jaguar Land Rover und der dadurch verursachte Produktionsstillstand hatte einen Gesamtschaden von 2,19 Milliarden Euro für die britische Wirtschaft zur Folge.“

In Deutschland die Industrie als beliebtestes Ziel von Ransomware-Gruppen

Die meisten erfolgreichen Ransomware-Angriffe weltweit hätten 2025 die USA (3.399) verzeichnet. Beinahe jeder zweite Vorfall (47%) habe damit in den Vereinigten Staaten von Amerika stattgefunden. Auf dem zweiten Platz stehe Kanada mit 361 Ransomware-Angriffen. Deutschland habe 333 Angriffe – und damit die drittmeisten Ransomware-Attacken weltweit – verzeichnet.

• Besonders im Fokus der Cyberkriminellen habe in Deutschland der Industriesektor gelegen. „Jeder fünfte erfolgreiche Ransomware-Angriff betraf das produzierende Gewerbe.“ Knapp dahinter liege der Technologiesektor, gefolgt von der Transport- und Logistikbranche.

Mit Abstand die meisten erfolgreichen Ransomware-Angriffe in Deutschland habe „SafePay“ für sich beansprucht. Obwohl sich diese Gruppe erst 2024 formiert habe, zähle sie mittlerweile zu einer der weltweit aktivsten Ransomware-Banden. Jede vierte erfolgreiche Ransomware-Attacke sei 2025 in Deutschland auf das Konto von „SafePay“ gegangen.

Ransomware-Angriff weiterhin eines der größten Cyberrisiken für Unternehmen

„Ein Ransomware-Angriff bleibt eines der größten Cyberrisiken für Unternehmen!“, kommentiert Andreas Süß, „CEO DACH“ der aDvens GmbH. Er führt aus: „Die Anzahl der erfolgreichen Angriffe ist im vergangenen Jahr drastisch angestiegen.“

• Zudem setzten Cyberkriminelle zunehmend auch auf die Unterstützung durch KI. „Dass ein Ransomware-Angriff erhebliche wirtschaftliche Schäden verursachen kann, hat nicht zuletzt der Fall Jaguar Land Rover eindrücklich gezeigt.“

Daher sollten sich Unternehmen mit Maßnahmen wie Netzwerksegmentierung, Multi-Faktor-Authentifizierung, Backups oder Awareness-Schulungen vorbereiten und sich im Zweifelsfall von externen Experten unterstützen lassen.

Ransomware-Angriffe auch künftig Herausforderung für Unternehmen, Behörden und Privatpersonen

Bei einem Ransomware-Angriff wird Schadsoftware in ein IT-System eingeschleust, um Daten zu verschlüsseln oder den Zugriff auf Systeme zu blockieren. Die Täter fordern anschließend ein Lösegeld – meist in Form von „Krypto-Währungen“ – um die Daten freizugeben oder den Zugang wiederherzustellen.

• Zunehmend drohen Ransomware-Angreifer auch mit der Veröffentlichung sensibler Informationen, um zusätzlichen Druck auf die Opfer auszuüben.

Ransomware-Angriffe betreffen indes nicht nur Unternehmen, sondern auch Behörden und Einzelpersonen. Sie verursachen teils gravierende Betriebsunterbrechungen, wirtschaftliche Schäden und Datenverluste.

Weitere Informationen zum Thema:

aDvens
Unsere Mission / Unser Engagement

aDvens
Threat Report 2025-2026: Mit welchen Cyber‑Herausforderungen wird Ihre Organisation 2026 konfrontiert sein? Und wie sollten Sie Ihre Security‑Roadmap anpassen, um Ihre Sicherheitslage nachhaltig zu stärken?

SECURITY SPEZIAL
Managed Detection & Response-Services und mySOC-Plattform / Die Welt sicherer und besser machen

datensicherheit.de, 16.05.2026
Ransomware-Gruppe „Nitrogen“ hat Foxconn-Werk in den USA angegriffen / Foxconn ist Partner von Apple und Nvidia ist – der Cyberangriff auf einen der größten Hersteller elektronischer Produkte könnte globale Auswirkungen haben

datensicherheit.de, 29.04.2026
Ransomware-Hotspot: Deutschland als Top-Ziel für Erpresser / Im Jahr 2025 laut PwC 58 Prozent mehr Ransomware-Opfer weltweit – KI senkt Einstiegshürden und beschleunigt Angriffe

datensicherheit.de, 09.04.2026
Ransomware im Wandel – dennoch weiterhin eine der gravierendsten Cyberbedrohungen weltweit / Weniger Opfer zahlen, doch die Summen steigen – aktuelle Zahlen zur Ransomware-Bedrohung zeichnen ein Bild, welches Verantwortliche in Unternehmen nicht als Entwarnung missverstehen sollten

datensicherheit.de, 24.02.2026
4 Prozent der Ransomware-Vorfälle beinhalten Datenexfiltration / Ransomware-Angriffe zählen 2026 weltweit zu den hartnäckigsten und kostspieligsten Cyberbedrohungen – mit Auswirkungen auf Unternehmen, öffentliche Einrichtungen und Privatnutzer

[datensicherheit.de, 05.06.2026] Großveranstaltungen wie die bevorstehende Fußball-Weltmeisterschaft 2026 ziehen offensichtlich nicht nur Fans und Medien an – die enorme globale Aufmerksamkeit macht sie aus Expertensicht auch zu einem attraktiven Ziel für Cyberkriminelle. So warnt auch Marcel Weber, „Senior Territory Manager“ von Object First, dass diese mitunter schon vor dem Anpfiff versuchen, kritische Systeme zu stören, Übertragungen zu unterbrechen oder das Vertrauen in die Veranstaltung zu beschädigen. Eine sichere Backup-Strategie muss dafür sorgen, dass kritische Daten stets verfügbar bleiben.

Marcel Weber: Entscheidend ist, dass sich kritische Systeme im Ernstfall wiederherstellen lassen!

Organisationen müssen davon ausgehen, gezielt ins Visier zu geraten, und ihre Backup-Strategie darauf ausrichten

„Trotz aller Fortschritte sind IT-Abteilungen heute nicht besser darin, böswillige Cyberangriffen zu verhindern, als sie es noch vor zwei Jahren waren“, so Weber.

• Sein dringender Rat: „Gerade bei großen Sportveranstaltungen sollten Organisationen davon ausgehen, dass sie gezielt ins Visier geraten.“

Temporäre Infrastrukturen, zahlreiche externe Beteiligte und kurzfristig erweiterte Zugriffsrechte sorgten für zusätzliche Sicherheitslücken. Er warnt: „Gestohlene oder per Phishing erlangte Administrator-Zugangsdaten zählen dabei weiterhin zu den effektivsten Einfallstoren!“

Resiliente Backup-Strategie sollte unveränderliche Speicher einbeziehen

Moderne Ransomware greife längst nicht mehr nur Produktivsysteme an, sondern nehme gezielt Backups ins Visier, um Wiederherstellungen zu verhindern und Lösegeld zu erzwingen.

• Webers Empfehlung: „Eine Backup-Strategie, die unveränderlichen Speicher einbezieht, sorgt dafür, dass kritische Daten auch dann verfügbar bleiben, wenn Angreifer Administrator-Konten oder Produktionssysteme kompromittieren.“

Da dieses Risiko bei globalen Veranstaltungen besonders hoch sei, gehe es um mehr als nur den Schutz von Daten. „Entscheidend ist, dass sich kritische Systeme im Ernstfall wiederherstellen lassen. Nur dann bleibt auch der Ball im Spiel!“

Weitere Informationen zum Thema:

OBJECT FIRST
Wenn Sie sich für Veeam entscheiden, sollten Sie auch auf Object First setzen / Object First möchte eine Welt schaffen, in der die Daten von Unternehmen zuverlässig vor der Verschlüsselung durch Angreifer geschützt sind. Deshalb haben wir Ootbi entwickelt, den besten Storage für Veeam. Ootbi bietet Ransomware-Schutz und integrierte Immutability, sodass Kunden ein sicherer, unkomplizierter und leistungsfähiger Backup-Storage zur Verfügung steht.

LinkeIn
Marcel Weber

datensicherheit.de, 05.06.2026
Cybersicherheit quasi Torhüter der Netzwerke: WM 2026 als Herausforderung und Inspiration / Im Umfeld des Anstoßes zur Fußball-WM am 11. Juni 2026 startet vermutlich nicht nur das größte diesjährige Sportereignis – sondern auch eine kalkulierbare Welle gezielter Cyberangriffe

datensicherheit.de, 29.05.2026
Fußball-WM 2026 als Weltbühne: Cyberkriminelle und Bedrohungsakteure laufen sich warm / Die bevorstehende Fußball-WM wird die größte Angriffsfläche für ein Sportereignis dieser Größenordnung darstellen

datensicherheit.de, 13.05.2026
Fußball-Weltmeisterschaft 2026: Cyberkriminelle Hochsaison voraus / KnowBe4 rät zum „VAR-Check“, um echte Angebote für Tickets, Dienstleistungen und Gewinnspiele von cyberkriminellen Betrugsmanövern zu unterscheiden

datensicherheit.de, 05.02.2026
Hilfreiche Analogie: Das Ziel der Cybersicherheit gleicht einem Fußballtor / John Stoner gilt als ein versierter Leiter im Bereich „Cybersicherheit“ mit über 25 Jahren an Erfahrung – auf der „IT-DEFENSE 2026“ zeigte er bewusst Parallelen zum Fußballspiel auf

[datensicherheit.de, 16.05.2026] Foxconn – ein taiwanesischer Auftragsfertiger für Elektronik – hat unlängst bestätigt, am Standort Nordamerika einem Cyberangriff zum Opfer gefallen zu sein. Dieser erfolgreiche Cyberangriff könnte nun globale Auswirkung auf die gesamte Fertigungsbranche haben, da es sich beim Unternehmen – einem Partner von Apple und Nvidia ist – um einen der größten Hersteller elektronischer Produkte handelt. Ismael Valenzuela, „Vice President, Labs, Threat Research & Intelligence“ bei Arctic Wolf, geht in seiner aktuellen Stellungnahme auf die Ransomware-Gruppe „Nitrogen“ ein, welche mutmaßlich für diesen Cyberangriff auf die Fabrik in den USA verantwortlich ist, und erläutert die Vorgehensweise dieses Bedrohungsakteurs.

Ismael Valenzuela warnt: Im Fokus stehen Unternehmen, die vergleichsweise leicht angreifbar sind!

Cyberangriff auf Foxconn weicht vom bisher äußerst konsistenten Opferprofil ab

„,Arctic Wolf Labs’ beobachtet die Ransomware-Gruppe ,Nitrogen’ bereits seit einiger Zeit. Die Gruppe nimmt vor allem kleine bis mittelgroße Unternehmen aus dem Bereich Produktion und Bauwesen ins Visier. Besonders deutlich lässt sich die Vorgehensweise der Gruppe anhand ihrer eigenen Leak-Seite erkennen, die ein äußerst konsistentes Opferprofil zeigt.“

• Im Gegensatz zu groß angelegten Angriffen auf Konzerne wie Foxconn konzentriere sich „Nitrogen“ in der Regel auf mittelständische, im Bereich industrieller Abläufe und Lieferketten angesiedelte Unternehmen. „Das sagt viel über ihre Arbeitsweise aus: Diese Unternehmen halten Lieferketten am Laufen, verfügen jedoch häufig nicht über die umfassenden Sicherheitsressourcen von Großkonzernen und stellen damit verlässliche und wiederholt angreifbare Ziele dar“, so Valenzuela.

Auffällig sei auch die Art, wie „Nitrogen“ sich Zugang verschafft: Die Gruppe nutze schadhafte Online-Anzeigen, um Nutzer zum Download „trojanischer“ Software zu verleiten. „Das deutet auf ein kontrollierteres und gezielteres Vorgehen hin, als dies bei opportunistischen Phishing-Kampagnen der Fall ist.“

Im Fokus vergleichsweise leicht angreifbare Unternehmen von besonderer Wichtigkeit für Lieferketten und Betriebsabläufe

Sobald sich die Angreifer Zugriff verschafft haben, folgten sie einem konsistenten Vorgehensmuster: „Sie stehlen zunächst Daten, bevor Systeme verschlüsselt werden, um auf mehreren Ebenen Druck auszuüben – durch Störungen operativer Prozesse ebenso wie durch die Androhung der Veröffentlichung sensibler Informationen.“

• Die Liste der Opfer-Unternehmen zeige zudem klare Muster bei der Zielauswahl, insbesondere in industriellen und operativen Umgebungen. Hinzu kämen regionale Häufungen, welche auf gemeinsame Dienstleister oder Zugangspunkte hindeuten könnten, beispielsweise „Managed Service Provider“, Remote-Access-Lösungen oder weit verbreitete, mehrere Unternehmen miteinander verbindende Softwareplattformen.

Valenzuela abschließende Einschätzung: „Insgesamt spricht vieles dafür, dass es sich bei ,Nitrogen’ nicht um eine opportunistisch agierende Gruppe handelt, sondern um eine Organisation mit klar definiertem Vorgehensmodell. Im Fokus stehen Unternehmen, die vergleichsweise leicht angreifbar sind, gleichzeitig aber wichtig sind für Lieferketten und Betriebsabläufe, um ausreichend Druck für Lösegeldzahlungen aufzubauen.“

Weitere Informationen zum Thema:

ARCTIC WOLF
Wir sorgen dafür, dass die Sicherheit funktioniert.

ARCTIC WOLF
Ismael Valenzuela

BLEEPINGCOMPUTER, Sergiu Gatlan, 13.05.2026
Foxconn confirms cyberattack claimed by Nitrogen ransomware gang

datensicherheit.de, 24.02.2026
74 Prozent der Ransomware-Vorfälle beinhalten Datenexfiltration / Ransomware-Angriffe zählen 2026 weltweit zu den hartnäckigsten und kostspieligsten Cyberbedrohungen – mit Auswirkungen auf Unternehmen, öffentliche Einrichtungen und Privatnutzer

datensicherheit.de, 18.02.2026
Dragos’ Cybersecurity Report 2026 zur OT-Bedrohung: Ransomware-Angreifer erhöhen operativen Druck auf industrielle Infrastrukturen und KRITIS / Drei neue Ransomware-Angreifergruppen mit OT-Fokus identifiziert – Zahl der Ransomware-Gruppen mit OT-Reichweite um 49 Prozent zugenommen

datensicherheit.de, 09.04.2026
Ransomware im Wandel – dennoch weiterhin eine der gravierendsten Cyberbedrohungen weltweit / Weniger Opfer zahlen, doch die Summen steigen – aktuelle Zahlen zur Ransomware-Bedrohung zeichnen ein Bild, welches Verantwortliche in Unternehmen nicht als Entwarnung missverstehen sollten

[datensicherheit.de, 16.05.2026] Am 12. Mai 2026 wurde das aktuelle „Bundeslagebild Cybercrime 2025“ veröffentlicht: Dieses zeigt laut Anouck Teiller, „Deputy CEO“ bei HarfangLab, ein deutliches Bild der Bedrohungslage. Dieser Bericht lege vor allem ein strukturelles Problem für Europa offen – insbesondere Kleine und Mittlere Unternehmen (KMU) seien stärker gefährdet sind als je zuvor.

Anouck Teiller: Wenn 90 Prozent der Ransomware-Opfer Kleine und Mittlere Unternehmen sind, sprechen wir nicht mehr über Einzelfälle!

KMU als Rückgrat der europäischen Wirtschaft am stärksten gefährdet

„Der BKA-Bericht zur Cyberkriminalität zeigt nicht nur, dass Deutschland zunehmend Ziel von Angriffen ist – er macht auch deutlich, wie verwundbar Europas digitale Infrastruktur insgesamt geworden ist!“, kommentiert Teiller.

• Hinter den Zahlen stehe eine klare Realität: KMU, das Rückgrat der europäischen Wirtschaft, seien zu den am stärksten gefährdeten Akteuren einer noch viel zu fragmentierten Cyberabwehr geworden.

Teiller warnt: „Die Frage ist nicht mehr, ob Europa angegriffen wird, sondern warum es immer wieder gelingt und was getan werden muss, um dem entgegenzuwirken.“

90 Prozent der Ransomware-Opfer sind KMU

Sie führt aus: „Wenn 90 Prozent der Ransomware-Opfer Kleine und Mittlere Unternehmen sind, sprechen wir nicht mehr über Einzelfälle, sondern über ein systemisches Problem! Diese Unternehmen stehen kriminellen Gruppen gegenüber, die wie professionelle Dienstleister organisiert sind – mit beachtlichen Ressourcen, Arbeitsteilung und einer bemerkenswerten Anpassungsfähigkeit.“

• Viele Unternehmen könnten sich gegen diese Bedrohungen allein kaum noch ausreichend schützen.

„Unser ,State of Cybersecurity Report 2025‘ zeigt: Nur 19 Prozent der europäischen Unternehmen haben vollständige Kontrolle über ihre Sicherheitsinfrastruktur, gleichzeitig sehen 58 Prozent KI als den größten Risikoverstärker der kommenden Jahre. Man könnte versucht sein, besonders reife Organisationen stärker in den kollektiven Kampf gegen Cyberkriminalität einzubeziehen, etwa indem sie auch die Infrastruktur der Angreifer ins Visier nehmen…“

KMU sollten cyberkriminelle Verhaltensmuster frühzeitig erkennen und ausnutzbare Schwachstellen rechtzeitig identifizieren

Doch genau dies werfe erhebliche Fragen auf. „Denn die eindeutige Zuordnung eines Cyberangriffs ist hochkomplex und oft nur auf staatlicher Ebene zuverlässig möglich.“ Unkoordinierte Gegenmaßnahmen schafften deshalb nicht automatisch mehr Sicherheit.

• Die eigentliche Priorität müsse deshalb auf der Verteidigung liegen: Verhaltensmuster frühzeitig erkennen, ausnutzbare Schwachstellen vor den Angreifer identifizieren und schnell reagieren.

„In diese Resilienz-Kette aus Erkennung, Reaktion und Antizipation muss Europa jetzt gemeinsam investieren – und darf nicht warten, bis das nächste Opfer vielleicht das letzte ist, das sich Schutz überhaupt noch leisten kann“, legt Teiller abschließend nahe.

Weitere Informationen zum Thema:

HarfangLab
About HarfangLab: HarfangLab is a cybersecurity company that has developed a suite of solutions to prevent, detect, and block cyberattacks

THE ORG
Anouck Teiller – Deputy CEO

HarfangLab
The state of cybersecurity 2025: Cyber threats are escalating. Trust in foreign providers is eroding. And European businesses are responding. / Discover what’s driving strategic shifts in cybersecurity across Europe and how leaders are building resilience.

Bundesministerium des Innern, 12.05.2026
Bundeslagebild Cybercrime 2025: Deutschland im Fokus von Cyberkriminellen / KI verschärft die Bedrohungslage – Sicherheitsbehörden stärken Fähigkeiten zur Cyberabwehr

Bundeskriminalamt, 12.05.2026
Bundeslagebild Cybercrime 2025

datensicherheit.de, 14.05.2026
Bundeslagebild Cybercrime 2025: Deutlicher Anstieg bei DDoS-Angriffen / Max Röttgermann warnt vor zunehmender Professionalisierung von Cyberangriffen – z.B. per DDoS – und sieht akuten Handlungsbedarf bei Unternehmen und Kritischer Infrastruktur

[datensicherheit.de, 29.04.2026] Der nun vorliegende „Annual Threat Dynamics 2026“-Bericht der Wirtschaftsprüfungs- und Beratungsgesellschaft PwC zeigt demnach, dass die Zahl der Ransomware-Fälle 2025 im Vergleich zu 2024 weltweit um rund 58 Prozent gestiegen ist – von 4.837 auf 7.635 Betroffene, welche auf sogenannten Leak-Sites erfasst wurden, auf denen Cyberangreifer gestohlene Daten veröffentlichen, um Lösegeld zu erzwingen. Der Bericht bündelt laut PwC Analysen aus dem Jahr 2025 und stützt sich auf praktische Erkenntnisse aus Incident-Response-Einsätzen sowie den kontinuierlichen Austausch mit Kunden, Stakeholdern und Experten der Sicherheitsbranche.

Lorenz Kuhlee warnt: Angreifer loggen sich immer häufiger mit gestohlenen Zugangsdaten ein!

Ransomware-Gruppe „SafePay“ hat 77 deutsche Unternehmen angegriffen

Deutschland gehöre zu den zehn Ländern, welche weltweit am häufigsten von Ransomware betroffen seien, und belege bei den Leak-Site-Fällen sogar Platz 3.

• Allein die Ransomware-Gruppe „SafePay“ habe 77 deutsche Unternehmen angegriffen, gefolgt von „Qilin“ und „Akira“ mit 29 respektive 28 dokumentierten Vorfällen. Die Geschwindigkeit, mit der sich das Ransomware-„Ökosystem“ professionalisiere, sei alarmierend.

„Angreifer loggen sich immer häufiger mit gestohlenen Zugangsdaten ein, statt technische Schwachstellen auszunutzen. Das macht klassische Schutzkonzepte zunehmend wirkungslos“, erläutert Lorenz Kuhlee, „Director Incident Response“ bei PwC Deutschland.

Zahl aktiver Ransomware-Gruppen von 92 auf 135 gestiegen

Der Bericht zeigt einen grundlegenden Wandel in der Angriffsstrategie: Cyberattacken seien heute überwiegend identitätsgetrieben. Kompromittierte Konten, SSO- oder OAuth-Zugänge und verknüpfte Anmeldesysteme dienten als Einfallstor. Besonders anfällig sei der Mittelstand, weil sich viele Unternehmen erst noch in der Umstellung auf Zero-Trust-Architekturen befänden. Ohne durchgängige Zugriffskontrollen über alle Netzwerkgrenzen hinweg blieben Benutzerkonten eine entscheidende Schwachstelle.

• Zusätzlich verschärft werde die Lage durch Künstliche Intelligenz (KI): Diese senke die Einstiegshürden für Angreifer, lasse Social-Engineering-Kampagnen authentischer wirken und reduziere die Zeit zwischen Angriffsvorbereitung und Schadenswirkung erheblich.

Neue KI-Funktionen würden in immer kürzeren Abständen zweckentfremdet – eine Entwicklung, die sich 2026 weiter zuspitzen dürfte. Dass die Zahl aktiver Ransomware-Gruppen von 92 auf 135 gestiegen sei, zeige, dass sich das kriminelle „Ökosystem“ nicht nur professionalisiere, sondern auch verbreitere.

Cyberrisiko als geopolitischen Faktor begreifen

Dokumentiert worden seien auch staatlich gesteuerte Einfluss- und Cyberoperationen, welche sich direkt gegen Deutschland richten, darunter mehr als 100 deutschsprachige Fake-Websites, die seriöse Absender imitierten, und KI-generierte Desinformationsvideos. Neben technischen Schäden verbreiteten Cyberangriffe gezielt Unsicherheit – weit über IT-Abteilungen hinweg.

• Als direkte Reaktion auf die geopolitische Volatilität erhöhten 60 Prozent der Führungskräfte ihre Cyberinvestitionen. Gleichzeitig trauten sich nur sechs Prozent der Organisationen zu, Cyberangriffe über sämtliche Angriffswege abzuwehren.

„Einzelne Schutzmaßnahmen reichen nicht mehr aus. Unternehmen brauchen wenige, aber wirksame Kontrollpunkte! Das heißt: Zugangsdaten konsequent schützen, ,Cloud’- und Lieferkettenrisiken aktiv steuern. Und im Ernstfall so schnell reagieren, wie die Angreifer agieren“, kommentiert Kuhlee abschließend.

Weitere Informationen zum Thema:

pwc
How we are structured / What is ‚PwC‘?

pwc
Annual Threat Dynamics 2026: Cyber threats in motion

LinkedIn
Lorenz Kuhlee

datensicherheit.de, 24.02.2026
74 Prozent der Ransomware-Vorfälle beinhalten Datenexfiltration / Ransomware-Angriffe zählen 2026 weltweit zu den hartnäckigsten und kostspieligsten Cyberbedrohungen – mit Auswirkungen auf Unternehmen, öffentliche Einrichtungen und Privatnutzer

datensicherheit.de, 18.02.2026
Dragos’ Cybersecurity Report 2026 zur OT-Bedrohung: Ransomware-Angreifer erhöhen operativen Druck auf industrielle Infrastrukturen und KRITIS / Drei neue Ransomware-Angreifergruppen mit OT-Fokus identifiziert – Zahl der Ransomware-Gruppen mit OT-Reichweite um 49 Prozent zugenommen

datensicherheit.de, 09.04.2026
Ransomware im Wandel – dennoch weiterhin eine der gravierendsten Cyberbedrohungen weltweit / Weniger Opfer zahlen, doch die Summen steigen – aktuelle Zahlen zur Ransomware-Bedrohung zeichnen ein Bild, welches Verantwortliche in Unternehmen nicht als Entwarnung missverstehen sollten

[datensicherheit.de, 20.04.2026] Das IT-Sicherheitsnetzwerk Berlin-Brandenburg, vertreten durch den it’s.BB e.V., lädt zu seinem nächsten „Awareness-Webinar“ mit dem Titel „Haben Sie genügend Kryptogeld? Falls der Ransom Ware Angriff kommt“ ein. Diese Veranstaltung wird wieder in Zusammenarbeit mit der IHK Berlin organisiert und ist der neuen Qualität von Bedrohungen durch Cyberangriffe im Kontext der Wechselwirkungen zwischen angespannter geopolitischer Lage und vermehrtem Einsatz Künstlicher Intelligenz (KI) gewidmet.

it’s.BB-Einladung zum „Awareness-Webinar“ am 2. April 2026

Unternehmen mit großen Herausforderungen angesichts der Zunahme von Cyberangriffen konfrontiert

Die aktuelle geopolitische Lage führt offenkundig zu einer spürbaren Zunahme von Cyberangriffen. Zudem senkt gleichzeitig der KI-Einsatz auch noch die Einstiegshürden für Cyberkriminelle erheblich und steigert die Effizienz professioneller Angreifer, wodurch eine neue Qualität der Bedrohung entsteht, die Unternehmen vor große Herausforderungen stellt.

• Im Web-Seminar soll unter anderem der Frage nachgegangen werden, ob und in welchem Umfang Versicherungen im Ernstfall helfen könnten, welche Policen für Unternehmen tatsächlich sinnvoll sind und worauf dabei zu achten ist.

„Zudem beleuchten wir, welche rechtlichen und organisatorischen Maßnahmen erforderlich sind, um existenzbedrohende Risiken wirksam zu minimieren.“

Cyberangriffe auf Unternehmen werfen Vorsorge- und Rechtsfragen auf

„Haben Sie genügend Kryptogeld? Falls der Ransom Ware Angriff kommt“
Web-Seminar am Mittwoch, dem 22. April 2026, von 16.00 bis 17.00 Uhr
Teilnahme kostenlos – Online-Anmeldung erforderlich.

Agenda (ohne Gewähr):

• Kurze Darstellung aktueller Cybervorfälle und deren Konsequenzen für die beteiligten Unternehmen 
• Vorsorge (Versicherungsteil)
  – Cyber-Versicherung
  – D&O-Versicherung (und Aternativen)
• Strategisches Vorgehen: Krisenplan (Anwaltsteil)
  -Technik
  – „Business Continuity“
  – Recht: Haftungsprävention
  „Legal Privilege“? Die Verteidigung gegen mögliche Bußgeld- und Schadenersatzrisiken
  Meldepflichten: BSIG / LDIs
  Kapitalgeber (Börse / Investoren / Banken)
  Wertschöpfungskette (Kunden / Lieferanten)
  Kommunikation

Referenten:

• Steffen A. Mueller ARM | CIB | MioD Dipl.-Vers.-Fachwirt
• Dr. Christian Schefold, LL.M. (Edinburgh) Rechtsanwalt / Partner / Head German Compliance Group
• Lorenz Wascher, Rechtsanwalt | Counsel, Dentons

Weitere Informationen zum Thema:

it’s.BB DAS IT_SICHERHEITSNETZWERK BERLIN-BRANDENBURG
it´s.BB – über uns / IT-Sicherheit für Berlin und Brandenburg

eventbrite, it’sBB e.V ITSicherheitsnetzwerk BerlinBrandenburg
Haben Sie genügend Kryptogeld? Falls der Ransom Ware Angriff kommt …

datensicherheit.de, 09.04.2026
Ransomware im Wandel – dennoch weiterhin eine der gravierendsten Cyberbedrohungen weltweit / Weniger Opfer zahlen, doch die Summen steigen – aktuelle Zahlen zur Ransomware-Bedrohung zeichnen ein Bild, welches Verantwortliche in Unternehmen nicht als Entwarnung missverstehen sollten

datensicherheit.de, 24.02.2026
74 Prozent der Ransomware-Vorfälle beinhalten Datenexfiltration / Ransomware-Angriffe zählen 2026 weltweit zu den hartnäckigsten und kostspieligsten Cyberbedrohungen – mit Auswirkungen auf Unternehmen, öffentliche Einrichtungen und Privatnutzer

datensicherheit.de, 31.01.2026
Cyberversicherungen: Compliance zur Senkung der Prämien / Cyberversicherungen werden zu einem zentralen Bestandteil der Risikovorsorgestrategie – Sicherheitsverantwortliche könnten nun in Zeiten verschärfter Prüfung durch die Versicherer einen Weg finden, die Prämien zu minimieren

datensicherheit.de, 15.07.2019
Kryptowährungen: Zunehmend verlockend auch für Cyber-Kriminelle / „Kryptowährung für Dummies“ gibt Einblick in „Bitcoin“, „Ethereum“, „Litecoin“, „Ripple“ u.a.