Ransomware
Cyber Risk Report 2026: Sinkendes Cyberrisiko und steigende Ransomware-Gefahr
TrendAI Cyber Risk Report 2026 zeichnet ein ambivalentes Bild der globalen Bedrohungslage: Während sich Unternehmen in Cybersicherheitsfragen messbar besser aufstellen, nimmt gleichzeitig die Zahl erfolgreicher Ransomware-Angriffe weltweit deutlich zu.
Save to Folio
Der Cyber-Risiko-Bericht 2026 stützt sich in erster Linie auf Telemetriedaten aus dem Jahr 2025, die aus der TrendAI Vision One™ Cyber Risk Exposure Management (CREM)-Lösung, XDR-Funktionen und der globalen Infrastruktur für Bedrohungsinformationen stammen. Im Mittelpunkt von CREM steht der Cyber-Risiko-Index (CRI): eine Kennzahl, die das Gesamtsicherheitsrisiko eines Unternehmens quantifiziert, indem sie die Bewertungen einzelner Assets und Risikofaktoren zusammenfasst.
Der globale durchschnittliche Cyber-Risiko-Index (CRI) sank von 38,5 2024 auf 35,8 im Jahr 2025 und setzt damit einen positiven Trend fort. Der Verlauf war jedoch deutlich volatiler als 2024: von 34,6 im Januar über 37,4 im April (vermutlich bedingt durch neue IT-Projekte zum Start eines neuen Geschäftsjahrs für viele Unternehmen) bis zu einem Tief von 34,1 im Juli. Dieses Schwankungsmuster könnte darauf hindeuten, dass Unternehmen Risiken eher reaktiv bewältigen, anstatt eine kontinuierliche Verbesserung aufrechtzuerhalten. Trotz des Anstiegs im Jahresvergleich fallen alle in der Erhebung erfassten Unternehmen weiterhin in die mittlere Risikoklasse (31–69).
CRI nach Branchen
Das Gesundheitswesen (40.3) gehört zum zweiten Mal in Folge zu den Top 3. Ein umfangreicher und vielfältiger Gerätebestand, auf dem größtenteils Software läuft, die ohne behördliche Genehmigung nicht gepatcht werden kann, ohne die Kontinuität der Patientenversorgung zu gefährden – sorgt für einen anhaltend hohen CRI-Wert.
Die Telekommunikationsbranche (39,9) kommt erstmals unter die Top 5. Die Unternehmen sind mit dem Übergang zu einer cloud-nativen Architektur, der Einführung von 5G und dem Umstieg auf eine softwaredefinierte Infrastruktur beschäftigt. Die Einzelheiten zu den verschiedenen Branchen beinhaltet eine Tabelle im Originalbeitrag.
Risiko nach Unternehmensgröße
Organisationen mit 5.001 bis 10.000 Mitarbeitern weisen mit 41,5 den höchsten CRI aller Größenklassen auf und übertreffen damit sogar die größten Unternehmen. Dieses Segment arbeitet mit einer Netzwerkkomplexität, die mit der von großen Unternehmen vergleichbar ist, verfügt jedoch in der Regel nicht über deren Reife im Sicherheitsbetrieb oder die benötigte personelle Besetzung. Die größten Unternehmen verzeichneten die größte absolute Verbesserung: Ihr CRI sank um 3,8 Punkte von 2024 auf 40,4. Das widerspiegelt wahrscheinlich die Skaleneffekte zentralisierter Risikomanagementprogramme. Unternehmen mit bis zu 100 Mitarbeitenden sind zwar weiterhin die Gruppe mit dem niedrigsten Risiko, zugleich aber das einzige Größensegment, dessen CRI 2025 gestiegen ist. Dies deutet darauf hin, dass Angreifer kleine Unternehmen zunehmend als Einfallstor in größere Lieferketten nutzen.
Cloud-Zugriff und Identitätsmanagement ganz oben bei Risikofaktoren
Riskante Zugriffe auf Cloud-Anwendungen bleiben weiterhin auf Platz eins, gefolgt von veralteten Microsoft Entra ID-Konten. Sieben der zehn häufigsten Risikoereignisse stehen im Zusammenhang mit Identitäten, darunter Konten ohne MFA (Platz vier) und deaktivierte abgelaufene Passwörter. Offenbar hat das vorhandene Bewusstsein für das Problem noch nicht zu systematischen Abhilfemaßnahmen geführt.
Verstöße gegen Zero-Trust-Zugriffsregeln (ZTSA) kommen zum ersten Mal unter die Top 5, wahrscheinlich aufgrund zunehmender Einführung von Zero-Trust-Konzepten, die Einblick in Richtlinienverstöße gewähren, die zuvor unentdeckt blieben. Das gleichzeitige Vorkommen veralteter Konten und MFA-Fehler in den Top 10 deutet darauf hin, dass Zero-Trust-Frameworks auf Identitätsgrundlagen bereitgestellt werden, die noch nicht bereinigt wurden.
Sicherheitsfehler bei der Konfiguration
Die Settings für die Web-Reputation führen zum zweiten Mal in Folge die Liste der Fehlkonfigurationen bei Endgeräten an. Die Einstellungen für Anti-Malware-Scans, prädiktives maschinelles Lernen, Endpunkt-Sensoren, Firewalls, Anwendungskontrolle und Verhaltensüberwachung sind in Tausenden von Umgebungen gleichzeitig nicht optimal konfiguriert. Jede Schwachstelle verstärkt die anderen. In Cloud-Umgebungen führen die Einstellungen für Anwendungskontrolle, Firewalls und Protokollprüfung die Liste der Cloud-Fehlkonfigurationen an, was auf eine anhaltende Lücke zwischen der Bereitstellung und der Inbetriebnahme des Schutzes von Cloud-Workloads hindeutet.
Angreifer konzentrieren sich auf die Umgehung der Abwehrmaßnahmen.
Die mögliche Deaktivierung von Antivirensoftware führt 2025 die Hitliste des XDR-Modelle an. Dies deutet darauf hin, dass Angreifer die Endpunkt-Abwehrmechanismen als erstes Ziel neutralisieren, anstatt sie zu umgehen. Die Erstellung von „Registry Run Keys“ in temporären Verzeichnissen, die Erkennung von Backdoor-Dateien und die Erkennung von Hacking-Tools folgen in den Top 10 und lassen eine konsistente Vorgehensweise der Angreifer erkennen: Abwehrmechanismen deaktivieren, Persistenz herstellen, Berechtigungen ausweiten, sich lateral ausbreiten.
CVEs mit niedrigerem Schweregrad können solche mit höherem Schweregrad verstärken.
Alle 10 der am häufigsten festgestellten, nicht gepatchten Common Vulnerabilities and Exposures (CVEs) stammen von 2025. Drei der Top-10-CVEs weisen einen mittleren Schweregrad auf. Keine dieser Schwachstellen ist für sich genommen kritisch, doch jede einzelne kann direkt die Exploits mit hohem Schweregrad ermöglichen. Unternehmen, die diese Schwachstellen aufgrund ihrer CVSS-Bewertung als weniger wichtig einstufen, lassen die Bedingungen bestehen, die Exploits mit hohem Schweregrad zuverlässiger machen.
Daten von TrendAI™ TippingPoint™ deuten darauf hin, dass virtuelles Patchen helfen kann, diese Lücke zu schließen: Die durchschnittliche Vorlaufzeit für virtuelle Patches bei Schwachstellen aus 2025 beträgt 115 Tage ab ihrer Entdeckung, während Angreifer bekannte Schwachstellen im Durchschnitt bereits 39 Tage nach ihrer Veröffentlichung ausnutzen. Da die Entdeckung stets der Bekanntgabe vorausgeht, kann virtuelles Patchen einen Schutzzeitraum bieten, bevor eine Schwachstelle öffentlich bekannt wird und aktiv ausgenutzt wird. Das Risiko besteht darin, virtuelles Patching als Ersatz für formelles Patching zu betrachten, anstatt es als Überbrückung zu diesem zu sehen.
Vorhersage von Angriffspfaden zeigt die Bewegungsmuster von Angreifern
Die erstmals ausgewertete Attack Path Prediction-Funktion von TrendAI Vision One™ zeigt, dass ungepatchte Schwachstellen mit Abstand am häufigsten den Ausgangspunkt vollständiger Angriffspfade bilden (über 2,3 Millionen erkannte Pfade), gefolgt von Password-Spraying- und Password-Guessing-Angriffen auf schwach abgesicherte Konten (zusammen über 2 Millionen Pfade).
Öffentliche IP-Adressen sind die häufigste Art von Einstiegspunkt. Am anderen Ende der Kette sind Benutzerkonten das häufigste Endziel mit durchschnittlich 33.000 angegriffenen Assets pro Tag – fast doppelt so viele wie der zweitplatzierte Asset-Typ (Geräte mit 18.445).
Das Ransomware-Ökosystem vergrößert sich um 236 %
Die Gesamtzahl der bestätigten Ransomware-Angriffe der Top-10-Gruppen stieg von 1.518 2024 auf 5.096 im Jahr 2025. Fünf Gruppen schafften es zum ersten Mal in die Top 10: INC Ransom, SafePay, Lynx, DragonForce und Sinobi. LockBit ist nach einer Zerschlagung durch die Strafverfolgungsbehörden vollständig aus den Top 10 gefallen. RansomHub fiel 2025 auf den zehnten Platz zurück.
Qilin (von TrendAI™ Agenda) kletterte mit 1.262 bestätigten Angriffen – einem Anstieg von 1.270 % – vom letzten Platz im Jahr 2024 auf den ersten Platz im Jahr 2025. Die Gruppe agiert als „Ransomware-as-a-Service“-Plattform, was bedeutet, dass ihr Wachstum auf ein expandierendes Partnernetzwerk zurückzuführen ist. Akira verzeichnete einen Anstieg von 106 auf 857 Angriffe – ein Plus von 708 % – und ist damit die zweitaktivste Gruppe. Der rasche Einstieg mehrerer neuer Gruppen in großem Umfang deutet darauf hin, dass die Zerschlagung etablierter Ransomware-Operationen die Gesamtbedrohung eher umverteilt als verringert.
Fazit
Die Ergebnisse zeigen als durchgängiges Muster, dass Ursache der Risiken nicht eine technologische Lücke ist, sondern eine Lücke bei der Umsetzung.
In Lösungen, die optimale Einstellungen durchsetzen können, bestehen weiterhin Fehlkonfigurationen. Auf Plattformen, die das Management des Kontolebenszyklus automatisieren können, häufen sich Identitätsrisiken an. CVE-Schwachstellen mittlerer Schwere werden trotz ihrer nachgewiesenen Rolle bei der Ermöglichung von Exploits hoher Schwere nicht vorrangig behandelt.
Die TrendAI Vision One™ Cyber Risk Exposure Management (CREM)-Lösung bietet kontinuierliche Transparenz der Angriffsfläche, einheitliche Risikobewertung, XDR-gestützte Erkennung und Reaktion sowie automatisierte Behebung.
Der ganze Cyber Risk Report steht zum Download zur Verfügung.