# Cyber-Lagebericht Österreich, April 2026

> Im Zeitraum April 2026 wurden 8 Organisationen aus Österreich auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum März 2026 (3). Am aktivsten war die Gruppe KRYBIT mit 2 Nennungen (25 %), insgesamt waren 5 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/at/2026-04/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.04.2026 bis 30.04.2026 (Vergleich: März 2026)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 8 (+167 % gegenüber März 2026: 3)
- Aktive Ransomware-Gruppen: 5
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 31, davon mit Ransomware-Bezug: 9
- Öffentlich gemeldete Cyberangriffe: 1

## Einordnung

Im Zeitraum April 2026 wurden 8 Organisationen aus Österreich auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum März 2026 (3). Am aktivsten war die Gruppe KRYBIT mit 2 Nennungen (25 %), insgesamt waren 5 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Finanzdienstleistungen (2), Handel und E-Commerce (1), Gesundheitswesen (1). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 9, Deutschland 50, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Österreich ab.

Die US-Behörde CISA hat im Zeitraum 31 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 9 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Cisco, SimpleHelp . Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| KRYBIT | 2 |
| APT73 | 2 |
| PAYLOAD | 2 |
| INCRANSOM | 1 |
| LOCKBIT5 | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Finanzdienstleistungen | 2 |
| Handel und E-Commerce | 1 |
| Gesundheitswesen | 1 |
| Industrie und Fertigung | 1 |
| Beratung und Dienstleistungen | 1 |
| Landwirtschaft und Lebensmittel | 1 |
| Transport und Logistik | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 9 |
| Deutschland | 50 |
| Österreich | 8 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-41940 | WebPros cPanel & WHM and WP2 (WordPress Squared) | WebPros cPanel & WHM and WP2 (WordPress Squared) Missing Authentication for Critical Function Vulnerability | 30.04.2026 | ja |
| CVE-2024-1708 | ConnectWise ScreenConnect | ConnectWise ScreenConnect Path Traversal Vulnerability | 28.04.2026 | ja |
| CVE-2026-32202 | Microsoft Windows | Microsoft Windows Protection Mechanism Failure Vulnerability | 28.04.2026 | nein |
| CVE-2025-29635 | D-Link DIR-823X | D-Link DIR-823X Command Injection Vulnerability | 24.04.2026 | nein |
| CVE-2024-7399 | Samsung MagicINFO 9 Server | Samsung MagicINFO 9 Server Path Traversal Vulnerability | 24.04.2026 | nein |
| CVE-2024-57728 | SimpleHelp  SimpleHelp | SimpleHelp Path Traversal Vulnerability | 24.04.2026 | ja |
| CVE-2024-57726 | SimpleHelp  SimpleHelp | SimpleHelp Missing Authorization Vulnerability | 24.04.2026 | ja |
| CVE-2026-39987 | Marimo Marimo | Marimo Remote Code Execution Vulnerability | 23.04.2026 | nein |
| CVE-2026-33825 | Microsoft Defender | Microsoft Defender Insufficient Granularity of Access Control Vulnerability | 22.04.2026 | ja |
| CVE-2026-20122 | Cisco Catalyst SD-WAN Manger | Cisco Catalyst SD-WAN Manager Incorrect Use of Privileged APIs Vulnerability | 20.04.2026 | nein |
| CVE-2026-20133 | Cisco Catalyst SD-WAN Manager | Cisco Catalyst SD-WAN Manager Exposure of Sensitive Information to an Unauthorized Actor Vulnerability | 20.04.2026 | nein |
| CVE-2025-2749 | Kentico Kentico Xperience | Kentico Xperience Path Traversal Vulnerability | 20.04.2026 | nein |
| CVE-2023-27351 | PaperCut NG/MF | PaperCut NG/MF Improper Authentication Vulnerability | 20.04.2026 | ja |
| CVE-2025-48700 | Synacor Zimbra Collaboration Suite (ZCS) | Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability | 20.04.2026 | nein |
| CVE-2026-20128 | Cisco Catalyst SD-WAN Manager | Cisco Catalyst SD-WAN Manager Storing Passwords in a Recoverable Format Vulnerability | 20.04.2026 | nein |
| CVE-2025-32975 | Quest KACE Systems Management Appliance (SMA) | Quest KACE Systems Management Appliance (SMA) Improper Authentication Vulnerability | 20.04.2026 | nein |
| CVE-2024-27199 | JetBrains TeamCity | JetBrains TeamCity Relative Path Traversal Vulnerability | 20.04.2026 | ja |
| CVE-2026-34197 | Apache ActiveMQ | Apache ActiveMQ Improper Input Validation Vulnerability | 16.04.2026 | nein |
| CVE-2009-0238 | Microsoft Office | Microsoft Office Remote Code Execution | 14.04.2026 | nein |
| CVE-2026-32201 | Microsoft SharePoint Server | Microsoft SharePoint Server Improper Input Validation Vulnerability | 14.04.2026 | nein |
| CVE-2012-1854 | Microsoft Visual Basic for Applications (VBA) | Microsoft Visual Basic for Applications Insecure Library Loading Vulnerability | 13.04.2026 | nein |
| CVE-2025-60710 | Microsoft Windows | Microsoft Windows Link Following Vulnerability | 13.04.2026 | ja |
| CVE-2023-21529 | Microsoft Exchange Server | Microsoft Exchange Server Deserialization of Untrusted Data Vulnerability | 13.04.2026 | ja |
| CVE-2023-36424 | Microsoft Windows | Microsoft Windows Out-of-Bounds Read Vulnerability | 13.04.2026 | nein |
| CVE-2020-9715 | Adobe Acrobat | Adobe Acrobat Use-After-Free Vulnerability | 13.04.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 29.04.2026: Hackerangriff an Schulzentrum: Erpresser fordern Lösegeld (https://www.kleinezeitung.at/artikel/21216118/hackerangriff-an-steirischem-schulzentrum-auf-erpressung-gehen-wir-ein)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.