In diesem Artikel werfen wir einen Blick auf die Ransomware-Aktivitäten im zweiten Quartal von 2026 und sehen uns an, wie sie sich über die vergangenen dreieinhalb Jahre entwickelt haben, angefangen bei Januar 2023. Die für diese Analyse herangezogenen Daten stammen von zwei aussagekräftigen Quellen: RansomLook.io und Ransomware.live. Diese beiden Seiten durchsuchen das Internet und Darknet nach Behauptungen von Cyberkriminellen, neue Opfer gefunden zu haben. Dabei muss wie immer angemerkt werden, dass die Anzahl der tatsächlichen Opfer höchstwahrscheinlich erheblich höher ist als die gemeldeten Zahlen. In Kombination bieten die beiden Seiten große Vorteile, um den Verlauf von Ransomware-Aktivitäten zu analysieren, zum Beispiel:
- Sie setzen ähnliche, jedoch voneinander unabhängige Verfahren zur Suche und Dokumentation der gemeldeten Opferzahlen ein. Die Tatsache, dass ihre Datensätze in Umfang und Größe ähnlich sind, lässt auf ihre Zuverlässigkeit schließen.
- Die Verfahren zur Datensammlung sind über den gesamten analysierten Zeitraum hinweg konsistent gewesen, wodurch sich Trends über einen längeren Zeitraum aufzeigen lassen.
- Beide Seiten verfügen über Daten, die etliche Jahre zurückreichen, und ermöglichen so diesen mehrjährigen Überblick.
- Beide Seiten bieten einen API-Zugriff auf ihre Aufzeichnungen.
Die für die Analyse eingesetzten Datensätze umfassen gemeldete Opferzahlen von Januar 2023 bis Juni 2026 bei 24 278 Einträgen auf Ransomware.live und 24 270 Einträgen auf RansomLook.io. Die Differenz zwischen den Datensätzen ist mit lediglich 3,9 % über 42 Monate hinweg erstaunlich gering.
Seit Anfang 2023 ist in der Ransomware-Welt viel geschehen. Aktivitäten der internationalen Strafverfolgung haben dazu geführt, dass Foren und Darknet-DLS-Seiten stillgelegt wurden, Personen identifiziert und in einigen Fällen zur Rechenschaft gezogen werden konnten sowie Ransomware-Gruppen verschwunden und neue aufgetaucht sind.
Anzahl der Ransomware-Opfer nimmt zu
Das Ergebnis unserer Analyse der Daten von Ransomware.live und RansomLook.io über dreieinhalb Jahre hinweg fällt bedrückend aus. Wie Abbildung 1 entnommen werden kann, ist die Anzahl der Opfer in dem Zeitraum beständig angestiegen. Zwischen 2023 und 2026 hat sich die Zahl im ersten Halbjahr von reichlich 2 000 auf weit über 4 500 mehr als verdoppelt.
Abbildung 1: Ransomware-Opfer 2023–2026
Die Evolution des Ransomware-Ökosystems
Sicher ist es Ihnen auch schon aufgefallen: Wann immer die Strafverfolgungsbehörden eine Ransomware-Gruppe zerschlagen, tauchen zwei oder drei neue auf. In Abbildung 2 ist die Anzahl der seit Januar 2023 jeden Monat neu aufgetauchten Ransomware-Gruppen zu sehen. Diese bieten neuen Leuten die Gelegenheit zum Einstieg in die Onlinekriminalität. Es ist allerdings fraglich, ob die Maßnahmen der Strafverfolgungsbehörden gegen die Ransomware-Infrastrukturen und ihre Akteure außerhalb des westlichen Rechtssystems positive Resultate erzielen.
Abbildung 2: Neue Ransomware-Gruppen 2023–2026
Das Problem liegt darin, dass mehr Gruppen neu hinzukommen als verschwinden, weshalb die Anzahl der aktiven Ransomware-Gruppen – also die in einem beliebigen Monat mindestens ein Opfer melden – ebenfalls seit Jahren beständig ansteigt. Abbildung 3 verdeutlicht das beharrliche Wachstum der Szene.
Abbildung 3: Aktive Ransomware-Gruppen 2023–2026
Diese Fluktuation im Ransomware-Ökosystem sorgt für neue Beziehungen zwischen Akteuren, was wiederum gegenseitigen Wissensaustausch und effizientere kriminelle Zusammenarbeit fördert. Neuere kleinere Gruppen übernehmen die Rolle der sogenannten Farmteams im Sport: Sie nehmen neue Leute ins Spiel auf und feilen ihre Fertigkeiten, während sie gleichzeitig den talentierteren Karrieremöglichkeiten ebnen, um es in die höheren Ligen zu schaffen, wo die Bezahlung besser ist. Dies trifft auch auf die Mitglieder von RaaS-Gruppen zu sowie deren Unterstützer, die diesen helfen, Opfer zu finden und zu kompromittieren.
Mithilfe dieses Trainingssystems finden immer mehr Kriminelle den Einstieg in diese Branche, weshalb mehr Gruppen entstehen, zu denen dann auch die erfolgreichsten gehören, die konstant 50 oder mehr Opfer pro Monat kompromittieren. Die Besten der Besten entwickeln sich darüber hinaus weiter, da sie auf bewährte Taktiken setzen und sich gleichzeitig an die Cyberverteidigungsstrategien anpassen, indem sie mit den Gewinnen die Forschung und Entwicklung neuer Bedrohungen finanzieren. Abbildung 4 ist eine Übersicht der aktiven Ransomware-Gruppen für jedes Quartal seit 2023 und deren Opferzahlen.
Abbildung 4: Heatmap der gemeldeten Opfer pro Quartal 2023–2026
Eine kleine Anzahl von Gruppen sind unbemerkt erstaunlich erfolgreich geblieben und haben für sich über die Jahre Monat für Monat die größten Opferzahlen verbucht. Dies sind einige dieser Gruppen:
- DragonForce (erstmaliges Erscheinen im Dezember 2023) mit möglichen Verbindungen nach Malaysia meldet monatlich Opfer: 28 im vergangenen Monat, 253 im ersten Halbjahr 2026 und 590 insgesamt.
- IncRansom (erstmaliges Erscheinen im August 2023), deren Sitz laut Australien in Russland ist, meldet ebenfalls jeden Monat Opfer: 30 im vergangenen Monat, fast 250 im ersten Halbjahr 2026 und über 800 insgesamt.
- Akira (erstmaliges Erscheinen im April 2023) ist eine russischsprachige Gruppe, die von Anfang an jeden Monat Opfer meldet: 32 im vergangenen Monat, über 300 im ersten Halbjahr 2026 und nahezu traurige 1 500 insgesamt.
- Qilin (erstmaliges Erscheinen 2022), eine russischsprachige Gruppe mit unbekanntem Sitz, ist derzeit der erfolgreichste Akteur. Seit Februar 2023 melden sie jeden Monat Opfer: 78 im vergangenen Monat, 665 im ersten Halbjahr 2026 und schon bald eindrucksvolle 2 000 insgesamt. Qilin hat seit Juni 2025 jeden Monat mehr Opfer gemeldet als jede andere Gruppe.
Überlebende Ransomware-Gruppen haben gelernt, der Strafverfolgung zu entgehen, indem sie keine Aufmerksamkeit auf sich ziehen, etwa durch fragwürdige Opfer wie Krankenhäuser oder staatliche Behörden, und bei ihren Teammitgliedern und Partnern auf strenge Disziplin und operative Sicherheit achten. Weniger professionelle Gruppen greifen mitunter auf gewagte Taktiken wie Todesdrohungen zurück, die allerdings mehr Aufmerksamkeit erregen und damit die Identifizierung und Verhaftung beschleunigen.
Die aktuelle Reaktion auf Ransomware
Die Daten zeigen deutlich, dass die aktuellen Strategien im Umgang mit Ransomware-Gruppen nur begrenzten Erfolg haben:
- Sich allein auf Technologie zu verlassen, bietet nicht genügend Schutz.
- Dem Abschalten der von Ransomware-Gruppen eingesetzten Infrastruktur lässt sich leicht entgegenwirken, indem schlicht neue Server eingerichtet werden.
- Durch das Identifizieren der Anführer von Ransomware-Kampagnen, das gelegentlich zu Verhaftungen und Verurteilungen geführt hat, konnte die Anzahl der Opfer nicht gesenkt werden.
Eine relativ neue Strategie westlicher Regierungen besteht darin, den Betrieb der Cyberkriminellen offensiver zu stören. Das kanadische Communications Security Establishment (CSE) hat kürzlich berichtet, dass es „Maßnahmen gegen die 10 bedeutendsten Ransomware-Gruppen ergriffen hat, die Kanada und seine Verbündeten schädigen“. Um der Angriffswelle gerecht zu werden, müssen eindeutig neue und andere Wege gefunden werden.
Eine Schlussfolgerung dieser Analyse besteht darin, dass jedes Unternehmen seine Cybersicherheit ernst nehmen sollte. Sie darf nicht allein auf einen Posten im IT-Budget reduziert werden. Für einen angemessenen Schutz ist ein Überblick auf Vorstandsebene erforderlich. Außerdem müssen neben der Technologie auch die Menschen und Prozesse einbezogen werden.
Fazit
Ransomware entwickelt sich schneller als die Strategien zur ihrer Bekämpfung. Trotz jahrelanger Bemühungen der Strafverfolgung, dem Abschalten von Infrastruktur sowie Verurteilungen ist die Anzahl aktiver Gruppen und der gemeldeten Opfer weiter gestiegen. Das Ökosystem ist zunehmend widerstandsfähiger. Zerschlagene Gruppen werden rasch von neuen ersetzt und erfahrene Akteure geben ihr Wissen in kriminellen Netzwerken weiter.
Für Unternehmen bedeutet das: Ransomware ist kein vorübergehendes Übel, sondern ein anhaltendes Geschäftsrisiko. Wirkungsvolle Abwehr erfordert mehr als nur Sicherheitssoftware. Jetzt ist ein mehrstufiger Ansatz gefragt, der Technologie, Fachkräfte, gut ausgearbeitete Prozesse und Engagement auf Vorstandsebene miteinander kombiniert. Wenn sich die Angreifer weiter anpassen, dürfen auch die Verteidiger nicht stehenbleiben.