Schon im vergangenen Herbst warnte der IT-Verband Bitkom vor der rasanten Zunahme der Erpressung durch Ransomware. Der Untersuchung zufolge, deren Zahlen sich mit Erkenntnissen des Bundesamts für Verfassungsschutz decken, waren 34 % der Unternehmen davon betroffen – fast dreimal so viele wie im Jahr 2022 mit damals 12 %. Etwa jedes siebte betroffene Unternehmen (15 %) lässt sich bei Ransomware-Angriffen auf kostspielige Lösegeldzahlungen ein, obwohl Experten davon abraten. Einer aktuellen Untersuchung des IT-Sicherheitsanbieters Trend Micro zufolge kann das Ransomware-Problem weiterhin nicht eingedämmt werden, obwohl sich insbesondere Großunternehmen hinsichtlich Cybersicherheit immer besser wappnen.
Der jüngste Cyber Risk Report von Trend Micro zeichnet ein zwiespältiges Bild hinsichtlich der weltweiten Bedrohung durch Cyberkriminelle. So ist der selbst aufgestellte Cyber Risk Index (CRI) zwar gegenüber dem Jahr 2025 leicht gesunken. Daraus lässt sich folgern, dass Unternehmen mehr in Cybersicherheitsthemen investieren und messbar besser aufgestellt sind als in Vorjahren. Trotz dieser Bestrebungen nimmt die Zahl erfolgreicher Ransomware-Angriffe weltweit zu. Ihre Erkenntnisse zur Ransomware-Gefahr beziehen die Sicherheitsberater dabei von beobachteten Leak-Seiten von Cyberkriminellen – aus erster Hand sozusagen.
Demnach zählt Deutschland mit 433 bestätigten Ransomware-Angriffen zu den drei weltweit am stärksten betroffenen Ländern. Die USA führen die Rangliste mit einer eklatant hohen Zahl von 4893 Attacken an, gefolgt von Kanada mit 520 verzeichneten Angriffen.
Im Jahr 2025 stieg die Zahl der Ransomware-Opfer. Die zehn aktivsten Gruppen attackierten und schädigten mehr als 5000 Unternehmen, ein Anstieg um 236 %. Dabei fragmentiert sich die Angreiferlandschaft immer mehr, was Abwehrstrategien erschwert und komplexer macht. Die IT-Sicherheitsleute raten deshalb dazu, grundlegende Schwachstellen konsequent zu beheben, um unabhängig von einzelnen Angreifern geschützt zu bleiben.
April ist der gefährlichste Monat
Erstmals liefert der Bericht der Sicherheitsspezialisten auch Informationen darüber, wen, welche Taktiken und Angriffswege die Kriminellen wählen. Im weltweiten Branchenvergleich führen Bergbau-Unternehmen die Rangliste mit dem höchsten Risiko an, gefolgt vom Gesundheitswesen und der Landwirtschaft, der Telekommunikation und dem Bildungswesen. Behörden und öffentliche Einrichtungen sind ebenfalls besonders gefährdet. Offenbar sind Angriffe meist dann erfolgreich, wenn das Hauptaugenmerk in Betrieben auf andere Dinge gerichtet ist. Die Berater stellten fest, dass der Monat April am gefährlichsten ist. Die Sicherheitsspezialisten gehen davon aus, dass dies mit dem Start des neuen Geschäftsjahrs in vielen Unternehmen einhergeht, zumal oft zum gleichen Zeitpunkt neue IT-Projekte starten.
Besonders häufig nutzen die Cyberkriminellen nicht reparierte Software-Schwachstellen, um Betriebe anzugreifen (über 2,3 Mio. erkannte Angriffspfade). Mittels des Austestens häufig verwendeter, einfacher Passwörter (Password-Spraying) und Password-Guessing, dem Erraten von beliebten Passwörtern, wurden Unternehmen über 2 Mio. Mal angegriffen.
Riskantes Fehlverhalten von Mitarbeitenden
Wie schon im Jahr zuvor führen riskante Zugriffe auf Cloud-Applikationen und auf veraltete Microsoft-Entra-ID-Konten die Liste der größten Risiken an. Nutzerkonten mit deaktivierter Multi-Faktor-Authentifizierung (MFA) zählen ebenfalls zu den besonders gefährdeten Schwachstellen. Auch den Verstoß gegen Zero-Trust-Zugriffsregeln (ZTSA) durch Mitarbeitende nutzen Cyberkriminelle bei ihren Angriffsversuchen aus. Letzteres ist aber immerhin ein Zeichen für wachsende, allerdings noch nicht überall durchgängig umgesetzte Zero-Trust-Anpassungen.
Um Angriffsrisiken nachhaltig zu senken, rät der japanische Sicherheitsanbieter Unternehmen zu verschiedenen Ansätzen, darunter eine konsequente Geräte- und Anwendungskontrolle und regelmäßig nachgeschärfte Anti-Malware-Scans. Bei Letzteren könnten nämlich bereits einzelne Fehlkonfigurationen dazu führen, dass vorhandene Schutzmechanismen erheblich geschwächt werden.
Alte Nutzerkonten unbedingt löschen
Auch ein gezieltes Identitäts- und Zugriffsmanagement wird empfohlen. Unternehmen sollten veraltete Nutzerkonten inventarisieren und löschen, riskante Konten deaktivieren und bei den Mitarbeitenden die Verwendung sicherer Passwörter erzwingen. Eine Multi-Faktor-Authentifizierung sollte flächendeckend eingeführt und durchgesetzt werden.
Vorhandene IT-Sicherheitstechnologien durchgängig nutzen
Trotz aller Risiken: Der Sicherheitsreport sagt auch, dass die Fähigkeiten zur Risikoreduzierung in vielen Unternehmen bereits vorhanden sind. So ist es sinnvoll, vorhandene Sicherheitsplattformen zu nutzen, etwa automatisierte Playbooks. Ein automatisiertes Playbook isoliert einen PC automatisch vom Netzwerk und blockiert das Nutzerkonto, noch bevor das IT-Team im Unternehmen über einen Vorfall benachrichtigt wird. Auch eine KI-gestützte Priorisierung und ein kontinuierliches Monitoring sollten zum Alltag der IT- oder Security-Fachleute in jedem Betrieb gehören.
