Ransomware Report
Ransomware bleibt auf Rekordniveau – KI senkt die Einstiegshürden für Cyberkriminelle
Warum Ransomware trotz sinkender Zahlungen weiter wächst
Ransomware verliert trotz sinkender Lösegeldzahlungen nichts von ihrer Schlagkraft. Im zweiten Quartal 2026 registrierte Check Point 2.139 veröffentlichte Opfer – 33 Prozent mehr als ein Jahr zuvor und zugleich eine Rekordzahl aktiver Ransomware-Gruppen. Besonders brisant: KI-gestützte Entwicklungswerkzeuge ermöglichen inzwischen auch kleinen Teams, innerhalb weniger Monate eine professionell organisierte Ransomware-Operation aufzubauen.
Der aktuelle „State of Ransomware Q2 2026 “ von Check Point zeigt ein Ransomware-Ökosystem, das sich zunehmend fragmentiert. Zwar blieb die Zahl der auf Leak-Seiten veröffentlichten Opfer gegenüber dem ersten Quartal nahezu konstant. Hinter dieser Stabilität verbirgt sich jedoch eine deutliche Verschiebung innerhalb der Täterlandschaft.
93 aktive Ransomware-Gruppen markieren neuen Höchststand
Noch im ersten Quartal 2026 entfielen 71 Prozent der registrierten Opfer auf die zehn größten Ransomware-Gruppen. Im zweiten Quartal sank deren Anteil auf 57,6 Prozent.
Gesamtzahl der gemeldeten Ransomware-Opfer auf Websites zu Datenlecks, pro Monat vom Juni 2024 bis Juni 2026 (Quelle: Check Point Software 2026)
Gleichzeitig stieg die Zahl der aktiven Gruppen von 71 auf 93 – der höchste bislang von Check Point gemessene Wert. Ransomware wird damit weniger von einigen wenigen dominierenden Akteuren bestimmt. Stattdessen treten immer mehr kleinere Gruppen und neue Marktteilnehmer auf.
Ein Beispiel für die hohe Dynamik liefert Cl0p. Die Gruppe hatte im ersten Quartal mit ihrer Kampagne gegen die Oracle E-Business Suite erheblichen Anteil an den Opferzahlen, spielte im zweiten Quartal dagegen kaum noch eine Rolle.
Anteile der Top-10 und Anzahl der aktiven Gruppen, 2. Quartal 2026 (Quelle: Check Point Software 2026)
An der Spitze steht weiterhin Qilin. Mit 279 Opfern belegte die Gruppe bereits zum vierten Quartal in Folge Platz eins. Dicht dahinter folgt „The Gentlemen“, deren Aktivitäten im Quartalsvergleich um 62 Prozent zunahmen.
Entwicklung der monatlichen Opferzahlen bei „The Gentlemen“, September 2025 – Juni 2026 (Quelle: Check Point Software 2026)
KI macht aus kleinen Teams professionelle Ransomware-Organisationen
Gerade „The Gentlemen“ verdeutlicht, wie stark KI die wirtschaftlichen Rahmenbedingungen der Cyberkriminalität verändert.
Durch ein Leak des Backends und interner Chat-Verläufe erhielten die Sicherheitsforscher Einblick in die Organisation der Gruppe. Das eigentliche Kernteam bestand demnach aus lediglich neun Personen. Für Einbrüche griff die Gruppe auf ein größeres Affiliate-Netzwerk zurück und bot ihren Partnern eine ungewöhnlich attraktive Gewinnaufteilung von 90 zu 10.
Besonders aufschlussreich ist die technische Entwicklung der eigenen Infrastruktur. Der Administrator mit dem Alias Zeta88 soll das Management-Panel der Ransomware-Gruppe mithilfe von KI-Programmierassistenten innerhalb von rund drei Tagen entwickelt haben.
Dabei ersetzt KI allerdings nicht automatisch technisches Fachwissen. Der Administrator räumte selbst ein, dass die eingesetzten Werkzeuge weiterhin jemanden benötigen, der den generierten Code versteht, kontrolliert und korrigiert. Trotzdem verändert sich damit ein entscheidender Faktor: Geschwindigkeit. Funktionen und Werkzeuge, deren Entwicklung früher erheblich mehr Ressourcen erfordert hätte, können heute innerhalb weniger Tage entstehen.
Einstiegshürden für Ransomware sinken
Für Sergey Shykevich, Director Threat Intelligence bei Check Point Research , liegt darin eine der wichtigsten Entwicklungen des Quartals.
Ein kleines Team könne mit KI-gestützten Werkzeugen und Affiliate-Netzwerken mittlerweile innerhalb weniger Monate eine konkurrenzfähige Ransomware-Operation aufbauen. KI beschleunige sowohl die Softwareentwicklung als auch zunehmend die Erstellung von Exploits.
Damit dürfte sich nicht nur die Zahl potenzieller Angreifer erhöhen. Auch der Zeitraum zwischen der Identifizierung einer Angriffsmöglichkeit und ihrer tatsächlichen Ausnutzung wird kürzer.
Für Unternehmen entsteht dadurch ein strukturelles Problem: Verteidigungsprozesse, die weiterhin von manuellen Prüfungen, Freigaben oder mehrtägigen Patch-Zyklen abhängig sind, treffen auf Angreifer, deren Arbeitsgeschwindigkeit durch Automatisierung und KI kontinuierlich steigt.
Nur noch rund jedes vierte Opfer zahlt Lösegeld
Gleichzeitig scheint eine klassische Säule des Ransomware-Geschäfts an Wirkung zu verlieren.
Nach Angaben von Check Point ist die Zahlungsbereitschaft sechs Jahre in Folge gefallen. Während 2019 noch rund 85 Prozent der Opfer Lösegeld gezahlt haben sollen, liegt die Quote 2026 nur noch bei ungefähr 23 Prozent.
Der Grund dafür ist zumindest teilweise eine Erfolgsgeschichte der Cyberabwehr: Bessere Backup-Strategien machen reine Verschlüsselungsangriffe weniger wirkungsvoll.
Statt Daten ausschließlich zu verschlüsseln, werden sie zunehmend vor dem eigentlichen Erpressungsversuch aus dem Unternehmen gestohlen. Check Point spricht von „Exfiltration First Extortion“.
Das verändert die Verteidigungsstrategie fundamental. Ein funktionierendes Backup kann verschlüsselte Systeme wiederherstellen. Bereits exfiltrierte Kundendaten, Geschäftsgeheimnisse oder Zugangsinformationen lassen sich damit jedoch nicht zurückholen.
820 Millionen Dollar zeigen weiterhin funktionierendes Geschäftsmodell
Auch die rückläufige Zahlungsquote bedeutet deshalb keineswegs das Ende des Geschäftsmodells.
Blockchain-basierte Ransomware-Zahlungen beliefen sich laut Bericht allein 2025 weiterhin auf mehr als 820 Millionen US-Dollar. Weniger zahlende Opfer werden damit zumindest teilweise durch hohe Forderungen und gezieltere Angriffe kompensiert.
Für Cyberkriminelle bleibt Ransomware entsprechend attraktiv – allerdings verändert sich der operative Schwerpunkt zunehmend von Verschlüsselung hin zu Datendiebstahl, Zugangsdaten und Erpressung.
Das macht neben Backup und Disaster Recovery insbesondere Data Loss Prevention, Identitätsschutz und die frühzeitige Erkennung ungewöhnlicher Datenbewegungen wichtiger. Ermittler greifen zunehmend das Ransomware-Ökosystem an
Auch Strafverfolgungsbehörden verändern ihre Strategie.
Statt ausschließlich einzelne Ransomware-Gruppen ins Visier zu nehmen, richten sich Operationen zunehmend gegen gemeinsam genutzte Infrastrukturen und Dienstleistungen des cyberkriminellen Ökosystems.
Im zweiten Quartal wurden unter anderem eine Geldwäscheplattform zerschlagen, Sanktionen gegen mit Ransomware verbundene Kryptobörsen verhängt sowie ein Malware-Signierungsdienst und größere Infostealer-Netzwerke abgeschaltet.
Ein unmittelbarer Rückgang der Opferzahlen ist dadurch allerdings nicht erkennbar. Infrastruktur lässt sich vergleichsweise schnell ersetzen.
Langfristig können solche Maßnahmen dennoch Wirkung entfalten, wenn Geldwäsche, Beschaffung von Zugangsdaten oder das Signieren von Malware für Angreifer komplizierter und teurer werden.
Technologisch revolutionär sind viele Angriffe weiterhin nicht.
Auch „The Gentlemen“ nutzten bekannte Methoden: Netzwerk-Scanning, VPN-Zugänge, Brute-Force-Angriffe und Zugangsdaten sogenannter Initial Access Broker.
Gerade deshalb bleiben kompromittierte Accounts, Phishing und schlecht abgesicherte Remote-Zugänge zentrale Schwachstellen.
Neu ist vor allem die Geschwindigkeit, mit der diese Angriffsmöglichkeiten gesucht, kombiniert und ausgenutzt werden können. Wenn zwischen Bekanntwerden einer Schwachstelle und ersten Angriffen teilweise nur noch Stunden liegen, verlieren klassische Patch-Zyklen zunehmend ihre Schutzwirkung.
Ransomware-Abwehr muss Datendiebstahl genauso ernst nehmen wie Verschlüsselung
Aus dem Bericht ergibt sich damit eine Verschiebung der Verteidigungsstrategie. Backups bleiben unverzichtbar, reichen aber nicht mehr aus. Unternehmen müssen mindestens ebenso konsequent darauf achten, ob größere Datenmengen ungewöhnlich bewegt oder aus der Infrastruktur heraus übertragen werden.
Hinzu kommen Exposure Management, konsequenter Identitätsschutz, Multi-Faktor-Authentifizierung und eine möglichst schnelle Priorisierung tatsächlich ausnutzbarer Schwachstellen.
Check Point verweist in diesem Zusammenhang auf vier eigene Technologiebereiche: Workspace Security, Hybrid Mesh Network Security, Exposure Management und AI Security. Sie sollen Angriffe über E-Mail, Browser und Endgeräte verhindern, Netzwerkzugriffe kontrollieren, relevante Schwachstellen priorisieren und die Risiken durch KI-Anwendungen und KI-Agenten reduzieren.
Diese Produktempfehlungen sind naturgemäß aus Herstellerperspektive formuliert. Die grundsätzliche Schlussfolgerung des Berichts geht jedoch darüber hinaus: Ransomware-Abwehr entwickelt sich von einem Wiederherstellungsproblem zunehmend zu einem Geschwindigkeits-, Identitäts- und Datenschutzproblem.
KI verändert die Ökonomie der Cyberkriminalität
Die vielleicht wichtigste Aussage des Berichts steckt deshalb weniger in der Zahl von 2.139 Opfern als in der Struktur des Marktes. 93 aktive Gruppen zeigen, dass Ransomware trotz Strafverfolgung, besserer Backups und sinkender Zahlungsbereitschaft weiterhin attraktiv ist. KI verstärkt diesen Effekt, weil sie Entwicklungszeiten verkürzt und kleinere Teams produktiver macht.
Das bedeutet nicht, dass KI automatisch unerfahrene Angreifer in hochqualifizierte Cyberkriminelle verwandelt. Sie verschiebt aber die ökonomische Gleichung: Für dieselbe technische Leistung werden weniger Zeit und personelle Ressourcen benötigt. Für Verteidiger steigt damit der Druck, ebenfalls stärker zu automatisieren. Wer Schwachstellen, kompromittierte Identitäten oder Datenabflüsse erst entdeckt, wenn ein manueller Prüfprozess abgeschlossen ist, konkurriert zunehmend mit Angreifern, die einen wesentlichen Teil ihres Angriffspfades bereits automatisiert haben.
