Ransomware-Lösegeld sinkt, doch die Folgen bleiben kostspielig

Ransomware-Angriffe werden für deutsche Unternehmen offenbar etwas weniger teuer, wenn es allein um die Höhe der Lösegeldforderungen geht.

Der neue „State of Ransomware“-Report von Sophos zeigt jedoch zugleich, dass die finanziellen Aufwendungen für die Wiederherstellung nach einem Angriff weiterhin auf hohem Niveau liegen.

Weniger Lösegeld gefordert

Für den aktuellen Deutschland-Report wurden 139 IT- und Sicherheitsverantwortliche aus Unternehmen befragt, die innerhalb der vergangenen zwölf Monate von Ransomware betroffen waren. Die Erhebung wurde im ersten Quartal 2026 vom Marktforschungsunternehmen Vanson Bourne im Auftrag von Sophos durchgeführt.

Ein Ergebnis sticht besonders hervor: Die durchschnittliche Lösegeldforderung ist innerhalb eines Jahres von 600.000 auf 400.000 US-Dollar gefallen. Das entspricht einem Rückgang um rund ein Drittel.

Gleichzeitig entscheiden sich offenbar immer weniger betroffene Unternehmen dafür, die Forderungen tatsächlich zu bezahlen. 45 Prozent der deutschen Unternehmen gaben an, im vergangenen Jahr Lösegeld gezahlt und anschließend ihre Daten zurückerhalten zu haben. Im Vorjahr lag dieser Anteil noch bei 63 Prozent.

Backups gewinnen an Bedeutung

Eine wichtige Rolle bei der Bewältigung der Angriffe spielen Sicherungskopien. 61 Prozent der befragten Unternehmen konnten ihre Daten nach einem Ransomware-Vorfall mithilfe von Backups wiederherstellen.

Der Rückgang bei den Lösegeldzahlungen bedeutet allerdings nicht automatisch, dass Ransomware für Unternehmen deutlich günstiger geworden ist. Die Kosten für die Wiederherstellung eines kompromittierten Systems sind laut Studie weiterhin auf dem gleichen Niveau.

Damit verschiebt sich der Fokus zunehmend von der Frage, ob ein Unternehmen Lösegeld zahlt, hin zur Frage, wie schnell und zuverlässig es seine IT-Umgebung nach einem Angriff wieder in Betrieb nehmen kann.

Gestohlene Zugangsdaten als wichtiger Angriffsweg

Nach Einschätzung von Sophos haben kompromittierte oder gestohlene gültige Benutzerkonten inzwischen eine zentrale Bedeutung für den Einstieg in Unternehmensnetzwerke. Angreifer benötigen damit nicht zwangsläufig eine klassische Schwachstelle, sondern können sich mit bereits vorhandenen Zugangsdaten Zugang zu Systemen verschaffen.

Sophos-CISO Ross McKerchar warnt zudem vor den Auswirkungen leistungsfähigerer KI-Modelle. Diese könnten Angreifer dabei unterstützen, Schwachstellen schneller zu identifizieren und auszunutzen. Auch beim Diebstahl wertvoller Daten könne KI dazu beitragen, Angriffe effizienter und umfangreicher durchzuführen.

Für Unternehmen bedeutet das laut McKerchar, dass allein ein konsequentes Patch-Management nicht mehr ausreicht. Entscheidend sei vielmehr, die gesamte Angriffsfläche zu reduzieren und Endpunkte umfassend abzusichern.

KI verändert die Bedrohungslage

Die zunehmende Nutzung künstlicher Intelligenz durch Cyberkriminelle entwickelt sich damit zu einem weiteren Faktor in der Ransomware-Landschaft. Angreifer können KI beispielsweise nutzen, um Informationen über potenzielle Ziele schneller auszuwerten oder Schwachstellen in komplexen IT-Umgebungen zu identifizieren.

Gleichzeitig kann dieselbe Technologie auch die Verteidigung unterstützen. Voraussetzung dafür ist nach Einschätzung von Sophos allerdings eine Sicherheitsstrategie, bei der Prävention, Erkennung und Reaktion miteinander verbunden sind.

„Mit zunehmender Leistungsfähigkeit von KI werden Angreifer Identitätsfehlkonfigurationen und Schwachstellen deutlich schneller und kostengünstiger aufspüren können“, erklärt McKerchar. Unternehmen könnten sich deshalb nicht mehr darauf verlassen, dass komplexe oder schwer überschaubare IT-Umgebungen allein einen ausreichenden Schutz bieten.

Welche Maßnahmen Unternehmen priorisieren sollten

Aus den Ergebnissen leitet Sophos mehrere Schwerpunkte für die Absicherung gegen Ransomware ab. Dazu gehört zunächst der stärkere Schutz digitaler Identitäten. Unternehmen sollten insbesondere phishing-resistente Multi-Faktor-Authentifizierung einsetzen und sowohl menschliche als auch nicht-menschliche Identitäten regelmäßig überprüfen. Auch Lösungen für Identity Threat Detection and Response (ITDR) können dabei eine Rolle spielen.

Ebenso wichtig bleibt eine belastbare Backup- und Recovery-Strategie. Sicherungen sollten regelmäßig auf ihre Wiederherstellbarkeit getestet und möglichst offline oder unveränderbar gespeichert werden. Außerdem sollten Wiederherstellungsprozesse Bestandteil der Notfallplanung sein.

Beim Exposure Management geht es darum, die eigene Angriffsfläche kontinuierlich zu reduzieren. Dazu zählen konsequentes Patchen, die Priorisierung internetexponierter Systeme und der Einsatz automatisierter beziehungsweise KI-gestützter Verfahren zur Erkennung von Schwachstellen.

Auch Firewalls können dazu beitragen, die Zahl erreichbarer Systeme und Dienste zu begrenzen. Sophos empfiehlt zudem, Telemetriedaten aus der Firewall mit XDR- und MDR-Ansätzen zu verknüpfen, um verdächtige Aktivitäten möglichst früh zu erkennen.

Widerstandsfähigkeit wird zum entscheidenden Faktor

Die Ergebnisse des Reports deuten insgesamt auf eine ambivalente Entwicklung hin: Deutsche Unternehmen scheinen ihre Fähigkeit verbessert zu haben, Ransomware-Angriffe ohne Lösegeldzahlung zu bewältigen. Gleichzeitig bleiben die wirtschaftlichen Folgen eines erfolgreichen Angriffs erheblich.

Für die Sicherheitsstrategie bedeutet das, nicht allein auf einzelne Schutzmaßnahmen zu setzen. Entscheidend ist vielmehr eine Kombination aus abgesicherten Identitäten, belastbaren Backups, reduziertem Exposure sowie einer schnellen Erkennung und Reaktion auf verdächtige Aktivitäten.

(red/Sophos)