FortgeschrittenNews und Analysen
Ransomware-Lage 2025
Ransomware 2025: Rekordzahl aktiver Gruppen, mehr Angriffe, aber so wenige zahlende Opfer wie nie. Die wichtigsten Zahlen und Trends – auch für Deutschland.
Redaktion Darknet KompassAktualisiert am 2 Min. Lesezeit
Das Wichtigste in Kürze
- 2025 waren laut GuidePoint Security 124 Ransomware-Gruppen aktiv – ein Rekord und fast 50 Prozent mehr als im Vorjahr.
- Die Zahl gemeldeter Angriffe stieg laut Chainalysis um rund die Hälfte, doch nur noch 28 Prozent der Opfer zahlten.
- Die Lösegeldzahlungen lagen bei mindestens rund 820 Millionen US-Dollar; die Medianzahlung stieg stark.
- In Deutschland registrierte das BKA 1.041 Angriffe, rund 10 Prozent mehr als 2024.
Inhalt
Das Ransomware-Jahr 2025 war von einem Widerspruch geprägt: So viele Gruppen und Angriffe wie nie, aber so wenige zahlende Opfer wie nie. Die Szene ist zersplittert, die Verteidigung besser geworden – und wer zahlt, zahlt mehr.
Die Zahlen
| Kennzahl | Wert | Quelle |
|---|---|---|
| Aktive Ransomware-Gruppen | 124 (+46 %, Rekord) | GuidePoint Security |
| Aktivste Gruppe | Qilin, über 1.000 veröffentlichte Opfer (2024: 154) | GuidePoint Security |
| Gemeldete Angriffe weltweit | rund +50 % | Chainalysis |
| Anteil zahlender Opfer | 28 % (2024: 62,8 %; 2022: 78,9 %) | Chainalysis |
| Lösegeldzahlungen | mind. rund 820 Mio. US-Dollar, voraussichtlich bis rund 900 Mio. | Chainalysis |
| Medianzahlung | 59.556 US-Dollar (2024: 12.738) | Chainalysis |
| Angriffe in Deutschland | 1.041 (+10 %) | BKA |
| Gemeldete Zahlungen in Deutschland | rund 15,5 Mio. US-Dollar | BKA |
Die wichtigsten Trends
1. Zersplitterung
Nach dem Schlag gegen LockBit 2024 entstanden viele neue Gruppen. Mit 124 aktiven Gruppen erreichte die Zahl 2025 einen Rekord. Viele sind kurzlebig, benennen sich um oder verlieren ihre Partner an andere Gruppen. Gleichzeitig konzentrieren sich die meisten Opfer auf wenige etablierte Gruppen mit erfahrenen Partnern und großer Reichweite. Mehr zum Fall LockBit: LockBit und Operation Cronos.
2. Lücken am Netzrand
Mehrere Gruppen nutzten gezielt Sicherheitslücken in Geräten am Rand von Firmennetzen aus, etwa in VPN-Zugängen. Akira etwa nutzte laut GuidePoint massenhaft Schwachstellen in solchen Geräten. Schnelle Updates für diese Systeme gehören damit zu den wichtigsten Schutzmaßnahmen.
3. Erpressung ohne Verschlüsselung
Clop setzte nicht auf die Verschlüsselung von Daten, sondern auf massenhafte Ausnutzung von Lücken in weit verbreiteter Unternehmenssoftware, um Daten zu stehlen und mit deren Veröffentlichung zu drohen. Für Unternehmen heißt das: Backups allein schützen nicht vor Erpressung.
4. Weniger Zahlungen, höhere Beträge
Nur noch 28 Prozent der Opfer zahlten – ein Rekordtief. Gleichzeitig stieg die Medianzahlung um 368 Prozent. Die Gruppen konzentrieren sich offenbar auf größere Ziele mit höherer Zahlungsbereitschaft. In Deutschland zahlte laut einer Bitkom-Befragung etwa jedes siebte betroffene Unternehmen.
5. Ermittlungsdruck
Operationen wie Cronos und Endgame trafen Gruppen und ihre Infrastruktur, die Abschaltung von Geldwäschediensten erschwerte die Nutzung von Lösegeld. Siehe Operation Endgame erklärt.
Was das für Unternehmen bedeutet
- Geräte am Netzrand priorisieren: VPN, Firewalls und Fernzugänge schnell patchen.
- Zwei-Faktor-Authentifizierung für alle Fernzugänge.
- Backups getrennt und getestet – und zusätzlich Schutz vor Datenabfluss.
- Notfallplan einschließlich Kommunikation und Meldepflichten.
- Frühwarnung: Darknet-Monitoring zeigt, ob Zugänge oder Daten gehandelt werden. Siehe Darknet-Monitoring für Unternehmen.
Die Zahlungsströme analysiert Ransomware-Zahlungen in Kryptowährung, die Grundlagen erklärt Ransomware-Gruppen erklärt.
Häufige Fragen
Welche Gruppen waren 2025 am aktivsten?
Laut GuidePoint Security war Qilin mit über 1.000 veröffentlichten Opfern die aktivste Gruppe, gefolgt von Akira. Die Gruppe Clop setzte vor allem auf Massenausnutzung von Sicherheitslücken in Unternehmenssoftware.
Warum zahlen weniger Opfer?
Weil Unternehmen bessere Backups und Notfallpläne haben, weil Behörden abraten und weil Zahlungen weder die Entschlüsselung noch die Löschung gestohlener Daten garantieren. Zudem haben Ermittlungen das Vertrauen in die Zusagen von Gruppen erschüttert.
Was bedeutet die Zersplitterung der Szene?
Nach Schlägen gegen große Gruppen wie LockBit entstanden viele kleinere. Sie sind oft kurzlebig, benennen sich um oder wechseln die Partner. Für Verteidiger heißt das: mehr Akteure, aber ähnliche Methoden.
Quellen
- GuidePoint SecurityRansomware groups in 2025: GRIT 2026 Ransomware & Cyber Threat Report abgerufen am 20.10.2026
- BleepingComputer (zu Chainalysis)Ransomware payment rate drops to record low despite attack surge abgerufen am 20.10.2026
- BundesregierungBundeslagebild Cybercrime 2025: Internetkriminalität auf hohem Niveau abgerufen am 20.10.2026
- BitkomWirtschaftsschutz und Cybercrime 2025 – Pressekonferenz abgerufen am 20.10.2026
Redaktion
Die Redaktion recherchiert, schreibt und prüft alle Inhalte nach den veröffentlichten Redaktionsgrundsätzen. Jeder Artikel nennt seine Quellen.
Zuletzt aktualisiert am 20. Oktober 2026