Ransomware-Report Q2 2026: Aktive Gruppen auf Rekordhoch, Lösegeldzahlungen fallen auf 23 Prozent
Der Check-Point-Report für das zweite Quartal 2026 zeigt eine deutlich fragmentierte Ransomware-Szene: 93 aktive Gruppen, ein Rekordwert, bei gleichzeitig sinkender Zahlungsbereitschaft der Opfer. KI-Tools verkürzen die Zeit bis zur einsatzfähigen Ransomware-Infrastruktur drastisch.
93 aktive Ransomware-Gruppen weltweit, ein neuer Rekordwert und gleichzeitig sinkende Lösegeldzahlungen: Der aktuelle Ransomware-Report von Check Point Research für das zweite Quartal 2026 zeichnet das Bild einer Branche, die sich verbreitert statt konzentriert. Während die Gesamtzahl der Opfer nahezu stabil bleibt, wandert der Anteil weg von wenigen dominanten Gruppen hin zu einem breiteren Mittelfeld, das zunehmend KI-Werkzeuge für den eigenen Aufbau nutzt. Für Unternehmen bedeutet das vor allem: Die Bedrohung wird nicht kleiner, aber unvorhersehbarer, weil neue Gruppen schneller einsatzfähig sind als früher.
Was ist passiert?
Check Point Research hat am 13. August 2026 den Ransomware-Report für das zweite Quartal 2026 veröffentlicht. Die zentrale Zahl: Data-Leak-Sites, auf denen Ransomware-Gruppen Opfer veröffentlichen, die nicht zahlen, verzeichneten im Q2 2026 insgesamt 2.139 Opfer, nahezu unverändert gegenüber dem ersten Quartal, aber 33 Prozent mehr als im Vorjahreszeitraum. Deutlich verändert hat sich die Struktur der Szene: Im ersten Quartal kontrollierten die zehn größten Gruppen noch 71 Prozent aller Opfer, verteilt auf nur 71 aktive Gruppen. Im zweiten Quartal sank dieser Anteil auf 57,6 Prozent, während die Zahl aktiver Gruppen auf 93 stieg, den bisherigen Höchstwert. Die Gruppe Qilin führte mit 279 Opfern weiterhin die Statistik an, verlor aber 17 Prozent gegenüber dem Vorquartal. Die Gruppe "The Gentlemen" wuchs dagegen um 62 Prozent auf 269 Opfer und überholte Qilin zeitweise im Juni.
Ein durchgesickerter Chatverlauf der Gruppe "The Gentlemen" gab Sicherheitsforschern seltenen Einblick in den Aufbau einer Top-Operation: Ein Kernteam von rund neun Personen baute mithilfe von KI-Coding-Assistenten innerhalb von nur drei Tagen ein funktionsfähiges Administrations-Panel für die eigene Ransomware-Infrastruktur. Parallel berichtete Sophos Mitte August 2026, dass in eigenen Tests zwölf KI-Agenten rund 80 Malware-Module innerhalb weniger Tage erproben konnten. Die Loesegeldzahlungsquote sank im Report auf etwa 23 Prozent, wobei die on-chain erfassten Ransomware-Zahlungen 2025 dennoch über 820 Millionen US-Dollar erreichten, was Angreifer zunehmend zu Datendiebstahl statt reiner Verschlüsselung treibt.
Wer ist betroffen?
Der Report betrifft Unternehmen aller Größen und Branchen gleichermaßen, da die zunehmende Fragmentierung der Ransomware-Szene bedeutet, dass nicht mehr nur wenige bekannte Gruppen ein Risiko darstellen, sondern ein deutlich breiteres Feld an Akteuren mit unterschiedlichem technischem Niveau. Besonders relevant ist die Verschiebung des Einstiegsvektors: Laut begleitenden Auswertungen beginnen inzwischen vier von fünf Angriffen mit kompromittierten Identitäten statt mit klassischen Software-Schwachstellen, wobei bösartige E-Mails, Phishing und gestohlene Zugangsdaten die drei häufigsten Einstiegspunkte bilden. Unternehmen ohne belastbares Identitaets- und Zugriffsmanagement sind damit stärker exponiert als Unternehmen mit konsequentem Patch-Management allein.
Wie kritisch ist das?
Es handelt sich um einen Trendbericht ohne konkretes Einzelereignis, das eine sofortige technische Maßnahme erfordert. Die Kritikalität liegt in der strukturellen Entwicklung: Mehr aktive Gruppen bedeuten mehr unterschiedliche Angriffsmuster, stärkere Fragmentierung erschwert die Erkennung anhand bekannter Signaturen einzelner Gruppen, und der Einsatz von KI-Werkzeugen verkürzt die Zeit, die neue oder kleinere Gruppen benötigen, um eine einsatzfähige Infrastruktur aufzubauen. Die sinkende Zahlungsbereitschaft ist grundsätzlich eine positive Entwicklung, führt aber laut Report dazu, dass Gruppen verstärkt auf Datendiebstahl und Erpressung durch Veröffentlichungsdrohung statt auf reine Verschlüsselung setzen.
Was sollten Admins jetzt tun?
- Identitaets- und Zugriffsmanagement priorisieren, da vier von fünf Angriffen inzwischen über kompromittierte Identitäten statt Software-Schwachstellen erfolgen
- Multi-Faktor-Authentifizierung für alle administrativen und extern erreichbaren Zugänge konsequent durchsetzen, keine Ausnahmen für Legacy-Systeme
- Phishing-Erkennung und Mitarbeiterschulung als laufenden Prozess statt einmalige Maßnahme etablieren, da E-Mail und Phishing weiterhin die häufigsten Einstiegsvektoren sind
- Backup-Strategie unabhängig von der Verschlüsselungsfrage prüfen, da Angreifer zunehmend auf Datendiebstahl statt Verschlüsselung setzen und klassische Backup-Wiederherstellung allein nicht mehr ausreicht
- Eigene Ransomware-Notfallplanung auf ein breiteres Taeterfeld statt einzelne bekannte Gruppen ausrichten
Einordnung für Unternehmen
Für kleine und mittlere Unternehmen ist die zentrale Botschaft dieses Reports nicht die einzelne Zahl, sondern die Verschiebung dahinter: Ransomware-Abwehr lässt sich nicht mehr auf das Erkennen einzelner bekannter Gruppen stützen, weil die Szene sich verbreitert und schneller verändert als früher. Wer bislang vor allem auf Antiviren-Signaturen und Patch-Management gesetzt hat, sollte Identitätsschutz und Zugriffskontrolle als gleichwertige Säule der Abwehr behandeln, da genau dort inzwischen der Großteil der Angriffe ansetzt.
Passende Anleitungen auf S-EDV
- Ransomware-Notfallplan: Die ersten 60 Minuten nach dem Angriff – konkrete Sofortmaßnahmen im Ernstfall.
- Immutable Backups gegen Ransomware: 3-2-1-1-0-Strategie mit Restic und Hetzner – passende Backup-Strategie angesichts zunehmenden Datendiebstahls.
