KI und Ransomware verschärfen Risiken

Die Cyberbedrohungslage in Deutschland verschärft sich dramatisch: Innerhalb eines Jahres hat sich die durchschnittliche Zahl der wöchentlichen Cyberangriffe auf Organisationen mehr als verdoppelt. Gleichzeitig geraten Bildungseinrichtungen weltweit besonders stark unter Druck, während die zunehmende Nutzung generativer KI neue Risiken für sensible Unternehmensdaten schafft. Der aktuelle Cyber Threat Report von Check Point zeigt, dass Unternehmen ihre Sicherheitsstrategien zunehmend auf automatisierte Angriffe und eine wachsende Zahl potenzieller Einfallstore ausrichten müssen.

Deutschland verzeichnet stärksten Anstieg im DACH-Raum

Cyberkriminelle erhöhen weltweit das Angriffstempo. Nach dem aktuellen Monthly Cyber Threat Report von Check Point Research (CPR) wurden Organisationen im September 2026 durchschnittlich 2.803-mal pro Woche angegriffen. Gegenüber September 2025 entspricht das einem Anstieg um 48 Prozent, gegenüber August 2026 um 16 Prozent.

Besonders auffällig ist die Entwicklung in Deutschland. Hier registrierten die Sicherheitsforscher durchschnittlich 2.316 Angriffe pro Organisation und Woche – ein Plus von 103 Prozent gegenüber dem Vorjahresmonat. Damit verzeichnet Deutschland den stärksten prozentualen Zuwachs innerhalb der DACH-Region.

Auch Österreich und die Schweiz sind von der Entwicklung betroffen. In Österreich stieg die durchschnittliche Zahl wöchentlicher Angriffe um 96 Prozent auf 3.077, in der Schweiz um 99 Prozent auf 1.928.

Die Zahlen verdeutlichen, dass die Bedrohungslage nicht nur durch einzelne groß angelegte Angriffskampagnen geprägt wird. Vielmehr steigt die kontinuierliche Belastung der Unternehmensinfrastrukturen. Seit Mai 2026 hat sich die weltweite Zahl wöchentlicher Angriffe pro Organisation von 2.055 auf 2.803 erhöht.

Für Security-Teams bedeutet das eine zunehmende Herausforderung: Je mehr Angriffsversuche erkannt, bewertet und abgewehrt werden müssen, desto wichtiger werden automatisierte Sicherheitsprozesse und eine wirksame Priorisierung tatsächlicher Risiken.

Bildungswesen bleibt weltweit bevorzugtes Angriffsziel

Besonders stark betroffen ist weiterhin das Bildungswesen. Im September 2026 registrierte Check Point durchschnittlich 6.656 Cyberangriffe pro Organisation und Woche. Das entspricht einem Anstieg um 59 Prozent gegenüber dem Vorjahr und 24 Prozent gegenüber August.

Ein möglicher Grund liegt im Beginn des neuen Schul- und Studienjahres. Mit der Rückkehr von Schülern, Studierenden und Lehrkräften steigt die Nutzung digitaler Lernplattformen, Endgeräte und Netzwerkinfrastrukturen. Gleichzeitig vergrößert sich die potenzielle Angriffsfläche.

Bildungseinrichtungen stehen dabei vor besonderen Herausforderungen. Unterschiedlich verwaltete Endgeräte, wechselnde Nutzergruppen und häufig begrenzte IT-Ressourcen erschweren die konsequente Umsetzung einheitlicher Sicherheitsstandards.

Hinter dem Bildungswesen folgen weltweit die Telekommunikationsbranche mit durchschnittlich 3.483 Angriffen pro Woche und Organisation sowie der Regierungssektor mit 3.443 Angriffen.

In Deutschland führt ebenfalls das Bildungswesen die Rangliste der am stärksten betroffenen Branchen an. Dahinter folgen Energie- und Versorgungsunternehmen, Hardware- und Halbleiterhersteller, Unternehmensdienstleister sowie die Telekommunikationsbranche.

Europa erlebt die stärkste Angriffsdynamik

Im regionalen Vergleich verzeichnet Europa den größten prozentualen Anstieg. Die durchschnittliche Zahl der wöchentlichen Cyberangriffe pro Organisation erhöhte sich gegenüber dem Vorjahr um 61 Prozent auf 2.545.

Beim absoluten Angriffsvolumen liegen allerdings andere Weltregionen weiterhin vorn. Lateinamerika führt mit durchschnittlich 3.813 Angriffen pro Woche, gefolgt von Afrika mit 3.701 und der Region Asien-Pazifik mit 3.593 Angriffen. Nordamerika registrierte durchschnittlich 2.197 Angriffe pro Organisation und Woche, was einem Anstieg um 50 Prozent entspricht.

Die Zahlen machen deutlich, dass die Angriffsdynamik regional unterschiedlich verläuft. Für europäische Unternehmen ist insbesondere die Geschwindigkeit des Anstiegs relevant. Bestehende Sicherheitsarchitekturen müssen nicht nur bekannte Bedrohungen abwehren, sondern auch mit einem kontinuierlich wachsenden Angriffsvolumen umgehen können.

Generative KI wird zunehmend zum Risiko für Unternehmensdaten

Parallel zur steigenden Zahl klassischer Cyberangriffe rückt ein weiteres Sicherheitsproblem in den Mittelpunkt: der Umgang mit sensiblen Informationen in generativen KI-Anwendungen.

Nach Erkenntnissen von Check Point enthielt im September durchschnittlich jeder 39. GenAI-Prompt ein hohes Risiko für die Offenlegung sensibler Daten. Im August war es noch jeder 43. Prompt. Die globale Rate entsprechend riskanter Eingaben lag damit bei rund 2,5 Prozent. Besonders bemerkenswert: Bei 89 Prozent der Unternehmen, die regelmäßig generative KI einsetzen, wurden entsprechende Risikofälle festgestellt.

Weitere 14 Prozent der untersuchten Prompts enthielten potenziell sensible Informationen. Gleichzeitig nahm die Nutzungsintensität zu. Unternehmensanwender generierten durchschnittlich 131 Prompts pro Monat, verglichen mit 106 im August. Pro Unternehmen kamen im Mittel acht unterschiedliche GenAI-Tools zum Einsatz.

Die Auswertung zeigt außerdem, welche Daten besonders häufig betroffen sind. Bei 71 Prozent der untersuchten Unternehmen tauchten Netzwerk- und IT-Infrastrukturdaten in KI-Eingaben auf. Dazu gehören beispielsweise IP-Adressen, Hardwareinformationen und Netzwerkkonfigurationen.

Weitere häufig beobachtete Kategorien waren Finanzdaten mit 70 Prozent, rechtliche und regulatorische Informationen mit 68 Prozent, Personalinformationen mit 62 Prozent sowie personenbezogene Daten mit 60 Prozent.

Diese Prozentwerte beziehen sich auf den Anteil der Unternehmen, bei denen entsprechende Datenkategorien festgestellt wurden, nicht auf den Anteil sämtlicher Prompts.

Das Problem geht über klassische Datenschutzfragen hinaus. Wenn Mitarbeiter interne Netzwerkinformationen oder technische Konfigurationen in externe KI-Anwendungen übertragen, können sicherheitsrelevante Informationen die kontrollierte Unternehmensumgebung verlassen. Für Unternehmen wird deshalb entscheidend, KI-Anwendungen in bestehende Data-Governance- und Sicherheitskonzepte einzubinden. Dazu gehören klare Zugriffsregeln, die Klassifizierung sensibler Informationen und technische Kontrollen für die Nutzung generativer KI.

Phishing bleibt ein zentraler Angriffsvektor

Auch die Bedrohung durch Phishing hat im September zugenommen. Laut Check Point wurde weltweit jede 91. untersuchte E-Mail als Phishing eingestuft. Das entspricht einem Anteil von rund 1,1 Prozent. Im August lag der Wert noch bei 0,89 Prozent beziehungsweise jeder 112. E-Mail.

Die meisten Phishing-Nachrichten setzen weiterhin auf schädliche Links. Ihr Anteil betrug 81 Prozent, während 11 Prozent der erkannten Phishing-Mails gefährliche Anhänge enthielten. Die verbleibenden Kampagnen nutzten Social-Engineering-Methoden ohne Links oder Anhänge.

Damit bleibt der Mensch ein wichtiger Ansatzpunkt für Cyberkriminelle. Technische Schutzmaßnahmen müssen deshalb durch wirksame Identitätskontrollen, Sicherheitsbewusstsein und die Überprüfung ungewöhnlicher Kommunikationsmuster ergänzt werden.

Ransomware-Angriffe bleiben deutlich über Vorjahresniveau

Die Ransomware-Bedrohung zeigt ebenfalls keine nachhaltige Entspannung. Im September 2026 wurden weltweit 824 Ransomware-Angriffe öffentlich bekannt. Das entspricht einem Anstieg um 53 Prozent gegenüber September 2025.

Gegenüber August, als 1.042 Angriffe gemeldet wurden, ging die Zahl zwar zurück. Das Niveau liegt jedoch weiterhin deutlich über dem des Vorjahres.

Besonders häufig betroffen waren Unternehmensdienstleister. Sie machten 31,3 Prozent der öffentlich genannten Opfer aus. Es folgten Unternehmen aus den Bereichen Konsumgüter und Dienstleistungen mit 15,2 Prozent sowie die industrielle Fertigung mit 11 Prozent.

Die hohe Betroffenheit von Dienstleistungsunternehmen ist aus Sicht der Cybersicherheit besonders kritisch. Externe IT- und Geschäftsdienstleister verfügen häufig über privilegierte Zugänge zu Kundensystemen oder verwalten sensible Informationen mehrerer Organisationen. Ein erfolgreicher Angriff kann deshalb Auswirkungen auf zahlreiche weitere Unternehmen haben.

Regional entfielen 46 Prozent der gemeldeten Ransomware-Vorfälle auf Nordamerika, gefolgt von Europa mit 25 Prozent und der Region Asien-Pazifik mit 17 Prozent. Auf Länderebene führten die USA mit 41,9 Prozent der registrierten Opfer. Deutschland folgte mit 4 Prozent vor Kanada mit 3,6 Prozent. Die Auswertung basiert auf öffentlich zugänglichen Veröffentlichungen sogenannter Ransomware-Shame-Sites. Da nicht alle Angriffe auf diesen Plattformen erscheinen, bilden die Zahlen nur einen Ausschnitt des tatsächlichen Ransomware-Geschehens ab.

Neue Kräfteverhältnisse im Ransomware-Ökosystem

Auch innerhalb der Ransomware-Szene zeigen sich Veränderungen. Im September übernahm die Gruppe „The Gentlemen“ mit einem Anteil von 13 Prozent an den öffentlich registrierten Angriffen die Spitzenposition.

Die seit Mitte 2025 aktive Ransomware-as-a-Service-Gruppe bietet neben ihren Erpressungsaktivitäten auch initiale Zugänge zu Unternehmensnetzwerken an. Ihre Angriffe richten sich gegen Windows-, Linux- und VMware-ESXi-Umgebungen.

Auf Platz zwei folgte Qilin mit 9 Prozent. Die Gruppe gehört seit mehreren Jahren zu den etablierten Akteuren im Ransomware-as-a-Service-Geschäft und stellt ihren Partnern Infrastruktur für Verschlüsselung, Erpressungsverhandlungen und weitere Dienstleistungen zur Verfügung.

Den dritten Platz belegte Akira mit 5 Prozent. Die Gruppe ist seit 2023 aktiv und greift ebenfalls unterschiedliche Betriebssystem- und Virtualisierungsumgebungen an. Insgesamt registrierten die Sicherheitsforscher neben den drei führenden Gruppen 80 weitere aktive Ransomware-Akteure. Diese Fragmentierung macht die Bekämpfung von Ransomware zusätzlich komplex. Unternehmen müssen sich nicht nur gegen einzelne bekannte Gruppen schützen, sondern gegen ein breites Ökosystem arbeitsteilig organisierter Cyberkriminalität.

Automatisierte Abwehr und KI-Governance werden entscheidend

Die Ergebnisse des September-Reports zeigen zwei Entwicklungen, die zunehmend zusammenwirken: Cyberangriffe nehmen deutlich zu, während Unternehmen durch die intensive Nutzung generativer KI zusätzliche Risiken für ihre Daten und Infrastrukturen schaffen.

Patrick Fetter, Lead Sales Engineer & Cyber Security Evangelist bei Check Point , sieht darin eine strukturelle Veränderung der Bedrohungslage. Die Verdopplung der Angriffe auf deutsche Unternehmen sei kein kurzfristiger Ausreißer mehr, sondern ein Hinweis darauf, dass Angreifer ihre Kampagnen schneller skalieren, als manuelle Abwehrprozesse Schritt halten können.

Besonders kritisch bewertet Fetter die zunehmende Weitergabe interner Infrastrukturinformationen an KI-Anwendungen. Unternehmen müssten deshalb für KI dieselben Sicherheitsanforderungen etablieren wie für andere geschäftskritische Datenflüsse.

Für IT-Sicherheitsverantwortliche ergibt sich daraus eine klare Konsequenz: Klassische Cyberabwehr, automatisierte Bedrohungserkennung und KI-Governance dürfen nicht länger isoliert betrachtet werden.

Entscheidend wird sein, wie gut Unternehmen ihre Angriffsflächen kennen, sensible Daten kontrollieren und sicherheitskritische Ereignisse frühzeitig erkennen und priorisieren können. Denn mit dem steigenden Angriffsvolumen wächst nicht nur die technische Belastung der Security-Teams, sondern auch der Druck, Sicherheitsentscheidungen schneller und fundierter zu treffen.