Ransomware in Deutschland: 35 Fälle in 30 Tagen und Rang 4 im weltweiten Vergleich

Anfang November 2026 zeigt ein deutsches Lagebild eine Zahl, die aufhorchen lässt: 35 Organisationen mit Deutschlandbezug tauchten innerhalb von 30 Tagen auf den Leak-Seiten von Erpressergruppen auf. Im Oktober waren es 34 Fälle, und schon in den ersten vier Novembertagen zählten zwei Tracker jeweils 11 neue Listungen. Deutschland steht damit im Länderranking des Trackers ATLAS auf Rang 4 von 184 Ländern. Doch die Zahl braucht Einordnung, denn ein Eintrag auf einer Leak-Seite ist zunächst nur eine Behauptung der Angreifer.

Die Lage in Zahlen

Die jüngsten Daten stammen vom 4. und 5. November 2026. Das Lagebild von fraghugo.de nennt 35 Fälle in einem gleitenden 30-Tage-Fenster bis zum 4. November, das noch den Großteil des Oktobers enthält. Für den Oktober selbst, also den vollen Kalendermonat, stehen 34 Fälle in der Statistik. Zwei weitere Tracker, HackerFeeds und ATLAS von Brandefense, erfassen für den November bis einschließlich 4. November jeweils 11 deutsche Claims. Für einen Monat, der gerade vier Tage alt ist, ist das ein hohes Tempo: Rechnerisch landen damit fast drei deutsche Organisationen pro Tag auf einer Leak-Seite.

Hält das Tempo an, übertrifft der November den Oktober deutlich. Auffällig ist die Streuung der Gruppen. In den neuesten Meldungen tauchen SafePay, The Gentlemen, Payload, Qilin und Lamashtu auf. Keine Gruppe dominiert so stark, dass eine einzelne Festnahme die Statistik kippen würde.

Was ein Leak-Seiten-Eintrag beweist und was nicht

Erpressergruppen betreiben ihre Leak-Seiten als Druckmittel. Der Eintrag soll das Opfer an den Verhandlungstisch bringen. Dass die Gruppe tatsächlich im Netzwerk war, lässt sich daraus nicht ableiten. Mehrere Tracker weisen ausdrücklich darauf hin, dass viele Einträge unbestätigt bleiben, weil weder die Organisation noch unabhängige Prüfer den Angriff bestätigen. Bei einigen Einträgen berichten die Tracker weder Datenproben noch eine Datenmenge. Solche Claims sind besonders schwach belegt.

Zwei Einschränkungen kommen hinzu. Das Datum eines Eintrags nennt den Tag der Veröffentlichung, nicht den Tag des Angriffs. Und Fälle, in denen die Gruppe nichts veröffentlicht, weil das Opfer zahlt oder verhandelt, fehlen in jeder Statistik. Die sichtbare Zahl ist deshalb eher eine Untergrenze der Aktivität als ein Abbild der Realität.

SafePay und die Behördenwarnung vom 20. Oktober

In den verfügbaren Länderstatistiken führt SafePay die Liste der aktivsten Gruppen in Deutschland an. Die jüngsten deutschen Einträge der Gruppe datieren vom 4. November. Laut ATLAS handelte es sich um vier Organisationen an einem einzigen Tag, darunter Einrichtungen aus Gesundheitswesen und Bildung. Ob die Angriffe bestätigt sind, bleibt offen. Die Chronik von integrisec.de zählt für das Jahr 2026 bislang 53 Fälle für Qilin, 48 für SafePay und 29 für The Gentlemen. Im Jahresverlauf liegt SafePay damit hinter Qilin.

SafePay setzt auf Doppelerpressung. Die Täter stehlen zuerst Daten, verschlüsseln danach die Systeme und drohen mit Veröffentlichung, wenn das Opfer nicht zahlt. Als Zugangswege nennt die Behördenwarnung erratene Zugangsdaten, ausgenutzte Schwachstellen und Phishing. Am 20. Oktober 2026 veröffentlichten Behörden aus den USA, Großbritannien und Deutschland eine gemeinsame Warnung zu SafePay. Sie ordnet der Gruppe mindestens 600 Opfer seit August 2024 zu, verteilt über mehrere Kontinente und Sektoren der kritischen Infrastruktur. Die Warnung nennt außerdem fünf ausnutzbare Schwachstellen an Geräten am Netzwerkrand, also an VPN-Gateways, Firewalls und ähnlichen Systemen. Netzwerkrandgeräte stehen offen im Internet und werden oft selten gepatcht.

Payload, Qilin und die anderen Gruppen

Payload ist 2026 neu aufgetaucht. Laut Tracker begann die Gruppe im Februar mit Opferlistungen und kam bis zum 5. November auf 88 Einträge. Auffällig ist der Deutschlandanteil, denn 17,0 Prozent der Payload-Opfer stammen aus Deutschland. Für eine Gruppe, die erst seit neun Monaten sichtbar ist, ist das ein hoher Wert. Das Muster, mehrere deutsche Mittelständler in kurzer Folge zu listen, spricht für eine gezielte Ausrichtung auf den deutschen Markt.

Qilin listete deutsche Ziele am 30. Oktober und am 1. November. Ein Forschungszentrum für Medizintechnik und Biotechnologie stand laut Tracker am 1. November auf der Qilin-Leak-Seite. Ob und welche Daten abgeflossen sind, ist unbestätigt. The Gentlemen meldete neue deutsche Claims am 2. November, Lamashtu am 21. Oktober. Anfang Oktober 2026 wurde die Gruppe KillSec laut Medienberichten zerschlagen, doch Mitglieder wechseln erfahrungsgemäß zu anderen Gruppen.

Welche Branchen es trifft

Nach Tracker-Angaben verteilen sich die jüngsten deutschen Einträge auf Gesundheitswesen, Bildung, Industrie, Bau, Logistik, öffentlichen Sektor und Dienstleister. Kleine Arztpraxen stehen neben Stahlbauern und Speditionen. Der Mittelstand stellt die Masse der Einträge. Ein Bericht von Valyros vom 2. November meldet, dass sich Cyberangriffe auf Kanzleien fast verdoppelt haben. Berufsgeheimnisträger sind für Erpresser besonders attraktiv, weil die Daten Dritte betreffen und der Reputationsschaden hoch ist. Laut einer Studie von TÜV-Verband und BSI berichteten 17 Prozent der deutschen Unternehmen von Cyberangriffen oder Betrugsversuchen mit KI-Bezug.

Was Unternehmen jetzt tun sollten

Aus der Behördenwarnung und den Tracker-Daten ergibt sich eine kurze Prioritätenliste. Alle Geräte am Netzwerkrand inventarisieren, also VPN-Gateways, Firewalls und Remote-Zugänge, und die Patchstände prüfen. Mehrfaktor-Authentifizierung für jeden Fernzugang erzwingen, auch für Dienstleister-Konten. Wiederverwendete Passwörter beseitigen, Brute-Force-Versuche protokollieren und Alarme setzen. Backups offline oder unveränderbar halten und die Wiederherstellung real testen. Einen Notfallplan mit Ansprechpartnern, Meldewegen und Entscheidungsbefugnissen schriftlich festlegen. Mitarbeitende gegen Phishing schulen und verdächtige E-Mails an eine feste Adresse melden lassen.

Wer seinen Namen auf einer Leak-Seite findet, braucht eine klare Reihenfolge. Zuerst trennt das Krisenteam betroffene Systeme vom Netz, ohne sie auszuschalten, damit flüchtige Spuren erhalten bleiben. Danach sichert es Logs von Firewall, VPN, Mailserver und Verzeichnisdienst. Parallel prüft es, welche Konten und Fernzugänge zuletzt auffällig waren, und setzt deren Passwörter zurück. Die Rechtsabteilung oder der Datenschutzbeauftragte klärt, ob personenbezogene Daten betroffen sein können und welche Meldewege gelten. Die Polizei und die Landeskriminalämter nehmen Anzeigen entgegen. Die Kommunikation nach außen sollte knapp und sachlich ausfallen. Sie nennt, was bekannt ist, was geprüft wird und wann die nächste Auskunft folgt.

Frequently Asked Questions

Wie viele deutsche Organisationen stehen aktuell auf Ransomware-Leak-Seiten?

Ein deutsches Lagebild zählte 35 Fälle in den 30 Tagen bis zum 4. November 2026 und 34 Fälle im Oktober. Zwei Tracker erfassen für den November jeweils 11 Listungen. Die Werte unterscheiden sich wegen anderer Zeiträume und Erfassungsregeln. Im Länderranking des Trackers ATLAS liegt Deutschland auf Rang 4 von 184 Ländern.

Beweist ein Leak-Seiten-Eintrag einen erfolgreichen Angriff?

Nein. Der Eintrag ist eine Behauptung der Angreifer. Er belegt weder den Einbruch noch die Echtheit der Daten. Erst Bestätigungen der Betroffenen, Datenproben oder Ermittler sichern den Vorfall ab. Viele Einträge bleiben unbestätigt, weil weder die Organisation noch unabhängige Prüfer den Angriff bestätigen.

Was sollte meine Firma tun, wenn sie auf einer Leak-Seite auftaucht?

Prüfen Sie den Eintrag auf Echtheit, sichern Sie Logs und holen Sie Incident-Response-Fachleute und die Polizei dazu. Bei möglichem Abfluss personenbezogener Daten gilt die Meldepflicht gegenüber der Aufsichtsbehörde. Zahlen Sie nicht überstürzt und verhandeln Sie nicht auf eigene Faust.