Die kurze Antwort
Deutschland hat im ersten Halbjahr 2026 mit 176 Ransomware-Opfern global Rang 4 belegt. Die monatlichen Angriffszahlen verdoppelten sich nahezu. Betroffen sind vor allem Produktion, Technologieunternehmen und Gesundheitswesen. Für Teams, die unter DORA oder NIS2 fallen, ist ein Ransomware-Vorfall ab sofort ein meldepflichtiges ICT-Ereignis mit 24-Stunden-Frist.
Wer noch keine geübte Meldekette und getestete Wiederherstellungspläne hat, sollte jetzt handeln — nicht nach dem ersten Vorfall. Die Bitdefender-Zahlen vom August 2026 zeigen: Die Angriffsdynamik beschleunigt sich, und der DACH-Raum steht im Zentrum des Geschehens.
Deutschland auf Rang 4 weltweit
Der Bitdefender Threat Debrief (August 2026) erfasste im ersten Halbjahr 2026 weltweit 4.641 dokumentierte Ransomware-Angriffe — ein Anstieg von rund sechs Prozent gegenüber 4.381 im Vorjahreszeitraum. Deutschland trug 176 dieser Vorfälle bei und belegt damit Rang 4 hinter den USA, Kanada und Großbritannien. Für einen europäischen Markt dieser Größe ist das eine bemerkenswerte Konzentration: Kein anderes EU-Land taucht in den weltweiten Top 5 auf.
Was die Zahlen jedoch besonders alarmierend macht, ist die Dynamik innerhalb des Halbjahres. Im Januar 2026 registrierte Bitdefender 22 Vorfälle in Deutschland; im Juni waren es 42. Das entspricht einer Zunahme von knapp 91 Prozent in fünf Monaten. Auf das Gesamtjahr hochgerechnet deutet der Trend auf einen neuen Rekordwert hin — sofern die Angriffswelle nicht abflacht. Für Teams, die heute ihre Sicherheitsmaßnahmen und Penetrationstests planen, ist das ein klares Signal: Das Bedrohungsniveau ist kein kurzfristiger Ausreißer, sondern eine strukturelle Verschiebung.
Wer angreift — und wie
Zwei Gruppen dominieren das aktuelle Lagebild. Qilin hat sich als langfristig aktiver DACH-Angreifer etabliert und zielt bevorzugt auf den Fertigungs- und Technologiesektor. Die Gruppe ist bekannt für präzise Zielauswahl und für die Kombination aus Datenverschlüsselung und gezieltem Datendiebstahl — die sogenannte doppelte Erpressung.
The Gentlemen ist ein jüngerer Akteur, der im Juni 2026 mit 115 dokumentierten Opfern weltweit die Spitzenposition übernahm. Ihr Markenzeichen ist aggressive Automatisierung: Infostealer, die Zugangsdaten in Sekunden extrahieren, kombiniert mit EDR-Bypass-Werkzeugen, die gängige Endpunktschutzsoftware umgehen. Das Ergebnis ist eine drastisch verkürzte Zeitspanne zwischen erstem Zugang und vollständiger Verschlüsselung — in dokumentierten Fällen unter 24 Stunden.
Beide Gruppen setzen zudem auf Living-off-the-Land-Techniken (LotL): Sie verwenden legitime Systemwerkzeuge wie PowerShell, WMI und RDP statt eigener Malware, was die Erkennung durch signaturbasierte Systeme erheblich erschwert. Ergänzt wird das durch ClickFix-Social-Engineering — gefälschte Browserfehlermeldungen, die Mitarbeitende zur manuellen Ausführung von Schadcode verleiten.
Betroffene Branchen und dokumentierte Vorfälle
Die fünf am häufigsten angegriffenen Branchen in Deutschland sind laut Bitdefender: Produktion und verarbeitendes Gewerbe, Technologieunternehmen, Gesundheitswesen, Baugewerbe sowie Finanzdienstleister. Bemerkenswert ist der Aufstieg des Einzelhandels: Mit zehn dokumentierten Angriffen in H1 2026 hat er sich erstmals in die deutschen Top 5 vorgearbeitet — und verdrängte damit den Finanzsektor um einen Platz.
Aus dieser Breitenverteilung ergibt sich eine klare Botschaft: Ransomware richtet sich nicht gegen eine bestimmte Unternehmensgröße oder Nische. Betroffen sind Mittelständler ebenso wie Konzerne — vorausgesetzt, sie halten kritische Daten oder verarbeiten diese für andere.
Zwei Vorfälle illustrieren den wirtschaftlichen Schaden. ZEGO Textilveredelungszentrum erlitt im März 2026 einen Ransomware-Angriff, der zu einem sechswöchigen Produktionsstillstand führte — das Unternehmen meldete in der Folge Insolvenz an. Jäcklin Industrial GmbH taucht auf der Opferliste der Gruppe SafePay auf, die im Juli 2026 Datenpakete aus dem Unternehmen veröffentlichte. Beide Fälle folgen dem gleichen Muster: Verschlüsselung und Datendiebstahl werden kombiniert, um Druck auf das Opfer zu maximieren.
DORA, NIS2 und Meldepflicht
Für Unternehmen, die unter DORA (Digital Operational Resilience Act, Finanzsektor) oder NIS2 (wesentliche und wichtige Einrichtungen) fallen, verschärft der Anstieg den Handlungsdruck erheblich. Beide Rahmen behandeln Ransomware-Vorfälle als meldepflichtige ICT-Ereignisse — mit konkreten Konsequenzen:
- DORA: Finanzunternehmen müssen schwerwiegende IKT-Vorfälle innerhalb von vier Stunden nach erster Einschätzung an die zuständige Behörde melden und binnen 24 Stunden einen detaillierten Erstbericht nachreichen. Ein Ransomware-Angriff, der Systeme verschlüsselt oder Daten exfiltriert, qualifiziert in der Regel als schwerwiegend.
- NIS2: Wesentliche und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle binnen 24 Stunden melden. Auch hier zählt ein erfolgreiches Ransomware-Ereignis typischerweise als erheblich, sobald es Verfügbarkeit, Integrität oder Vertraulichkeit beeinträchtigt.
Wer keine geübte Meldekette hat, riskiert damit nicht nur den Reputationsschaden des Angriffs selbst, sondern zusätzlich Bußgelder wegen mangelhafter Reaktion. NIS2 sieht für wesentliche Einrichtungen Sanktionen bis zu zehn Millionen Euro oder zwei Prozent des globalen Jahresumsatzes vor. Ein robustes Cloud- und DevOps-Engineering mit Redundanz, automatisierter Erkennung und definierten Wiederanlaufplänen ist damit keine nice-to-have-Investition, sondern ein nachweisbarer Compliance-Baustein.
Was Software-Teams jetzt tun sollten
Die gute Nachricht: Die meisten Maßnahmen, die gegen aktuelle Ransomware-Gruppen helfen, sind bekannt und umsetzbar. Das Problem ist häufig nicht das Wissen, sondern die Priorisierung. Eine pragmatische Reihenfolge für Teams im DACH-Raum:
- Penetrationstest und Schwachstellenanalyse durchführen. Qilin und The Gentlemen nutzen bekannte Zugangswege: ungepatchte Perimeter-Systeme, schwache VPN-Credentials und exponierte RDP-Ports. Ein regelmäßiger Pentest zeigt, wo Angreifer heute einsteigen würden — bevor sie es tun.
- Unveränderliche Offsite-Backups einrichten und testen. Backups, die vom Produktivsystem aus erreichbar sind, werden bei einem Ransomware-Angriff mitvershlüsselt. Offsite-Kopien nach dem 3-2-1-Prinzip mit getesteten Wiederherstellungsplänen und definierten RTO/RPO-Zielen sind der einzige belastbare Schutz gegen vollständige Datenverschlüsselung.
- Least-Privilege-Prinzip konsequent umsetzen. LotL-Techniken funktionieren vor allem dort, wo kompromittierte Accounts zu viele Rechte haben. Minimale Berechtigungen, Netzwerksegmentierung und Just-in-Time-Privilegien verkleinern die Angriffsfläche erheblich.
- EDR mit Verhaltensanalyse statt nur Signaturschutz. Die aktuellen EDR-Bypass-Kits umgehen signaturbasierte Erkennung systematisch. Verhaltensbasierte Erkennung, die anomales Prozessverhalten und laterale Bewegung erkennt, ist der wirksamere Ansatz gegen diese Angreifergeneration.
- Meldekette aufbauen und üben. Eine ungeübte Meldekette reißt genau dann, wenn es zählt — nachts, am Wochenende, unter Druck. Definieren Sie Eskalationswege, Ansprechpartner bei Behörden und Kommunikationspfade für den Ernstfall, und testen Sie sie in regelmäßigen Übungen.
- Lieferketten-Risiko adressieren. Mehrere DACH-Vorfälle in H1 2026 begannen bei Software-Zulieferern. Prüfen Sie, welche Drittanbieter Zugang zu Ihren Systemen haben, und verlangen Sie nachweisbare Sicherheitsstandards.
Häufig gestellte Fragen
Wie viele Ransomware-Angriffe gab es in Deutschland in H1 2026?
Deutschland verzeichnete laut Bitdefender Threat Debrief (August 2026) im ersten Halbjahr 2026 insgesamt 176 Ransomware-Opfer — Rang 4 weltweit hinter USA, Kanada und Großbritannien. Die monatliche Angriffszahl stieg von 22 im Januar auf 42 im Juni 2026.
Welche Branchen sind in Deutschland am stärksten betroffen?
Laut Bitdefender sind Produktion und verarbeitendes Gewerbe, Technologieunternehmen, Gesundheitswesen, Baugewerbe und Finanzdienstleister die fünf am häufigsten getroffenen Branchen. Neu in die deutschen Top 5 arbeitete sich der Einzelhandel mit zehn dokumentierten Angriffen in H1 2026 vor.
Welche Ransomware-Gruppen sind besonders aktiv?
Laut Bitdefender sind Qilin und The Gentlemen führende Angreifer im DACH-Raum. The Gentlemen übernahm im Juni 2026 weltweit die Spitzenposition mit 115 dokumentierten Opfern in einem Monat. Beide Gruppen setzen verstärkt auf automatisierte Infostealer und EDR-Bypass-Techniken sowie Living-off-the-Land-Methoden.
Was bedeutet der Anstieg für DORA- und NIS2-pflichtige Unternehmen?
Für Unternehmen unter DORA (Finanzsektor) oder NIS2 verschärft die Angriffswelle den Handlungsdruck: Beide Rahmen verlangen dokumentierte Incident-Response-Pläne, 24-Stunden-Meldefristen und regelmäßige Resilienzprüfungen. Ransomware-Vorfälle werden als meldepflichtige ICT-Ereignisse behandelt; mangelhafte Reaktion kann Bußgelder bis zehn Millionen Euro nach sich ziehen.
Was sollten Software-Teams konkret tun?
Die wichtigsten Maßnahmen: regelmäßige Penetrationstests und Sicherheitsaudits, unveränderliche Offsite-Backups mit getesteten Wiederherstellungsplänen, konsequentes Least-Privilege-Prinzip und eine dokumentierte, geübte Meldekette. Endpunktschutz mit Verhaltensanalyse schließt die EDR-Bypass-Lücke der aktuellen Angreifergeneration.
Quellen
Bitdefender — Threat Debrief August 2026: Ransomware-Statistiken DACH und weltweit
Security Storage und Channel Germany — Ransomware Trends H1 2026: Increased Incidents in DACH, Aug. 2026
DIESEC GmbH — Ransomware in Germany: Named Victims and Insolvency Risk, Juli 2026
Check Point Research — Hacktivists, Ransomware and a 124% Surge: The DACH Threat Picture, Mai 2026