# Cyber-Lagebericht Deutschland, Oktober 2025

> Im Zeitraum Oktober 2025 wurden 25 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum September 2025 (26). Am aktivsten war die Gruppe QILIN mit 5 Nennungen (20 %), insgesamt waren 17 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/de/2025-10/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.10.2025 bis 31.10.2025 (Vergleich: September 2025)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 25 (-4 % gegenüber September 2025: 26)
- Aktive Ransomware-Gruppen: 10
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 31, davon mit Ransomware-Bezug: 3
- Öffentlich gemeldete Cyberangriffe: 8

## Einordnung

Im Zeitraum Oktober 2025 wurden 25 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum September 2025 (26). Am aktivsten war die Gruppe QILIN mit 5 Nennungen (20 %), insgesamt waren 17 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (7), Beratung und Dienstleistungen (5), Technologie und IT (5). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 6, Österreich 4, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.

Die US-Behörde CISA hat im Zeitraum 31 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 3 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Dassault Systèmes, Adobe. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| QILIN | 5 |
| SAFEPAY | 3 |
| NOVA | 2 |
| SHINYHUNTERS | 2 |
| AKIRA | 1 |
| CHAOS | 1 |
| EVEREST | 1 |
| BEAST | 1 |
| STORMOUS | 1 |
| LYNX | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 7 |
| Beratung und Dienstleistungen | 5 |
| Technologie und IT | 5 |
| Handel und E-Commerce | 4 |
| Transport und Logistik | 1 |
| Finanzdienstleistungen | 1 |
| Landwirtschaft und Lebensmittel | 1 |
| Gastgewerbe und Tourismus | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 6 |
| Deutschland | 25 |
| Österreich | 4 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2025-41244 | Broadcom VMware Aria Operations and VMware Tools | Broadcom VMware Aria Operations and VMware Tools Privilege Defined with Unsafe Actions Vulnerability | 30.10.2025 | nein |
| CVE-2025-24893 | XWiki Platform | XWiki Platform Eval Injection Vulnerability | 30.10.2025 | nein |
| CVE-2025-6204 | Dassault Systèmes DELMIA Apriso | Dassault Systèmes DELMIA Apriso Code Injection Vulnerability | 28.10.2025 | nein |
| CVE-2025-6205 | Dassault Systèmes DELMIA Apriso | Dassault Systèmes DELMIA Apriso Missing Authorization Vulnerability | 28.10.2025 | nein |
| CVE-2025-54236 | Adobe Commerce and Magento | Adobe Commerce and Magento Improper Input Validation Vulnerability | 24.10.2025 | nein |
| CVE-2025-59287 | Microsoft Windows | Microsoft Windows Server Update Service (WSUS) Deserialization of Untrusted Data Vulnerability | 24.10.2025 | nein |
| CVE-2025-61932 | Motex LANSCOPE Endpoint Manager | Motex LANSCOPE Endpoint Manager Improper Verification of Source of a Communication Channel Vulnerability | 22.10.2025 | nein |
| CVE-2022-48503 | Apple Multiple Products | Apple Multiple Products Unspecified Vulnerability | 20.10.2025 | nein |
| CVE-2025-2746 | Kentico Xperience CMS | Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel Vulnerability | 20.10.2025 | nein |
| CVE-2025-2747 | Kentico Xperience CMS | Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel Vulnerability | 20.10.2025 | nein |
| CVE-2025-33073 | Microsoft Windows | Microsoft Windows SMB Client Improper Access Control Vulnerability | 20.10.2025 | nein |
| CVE-2025-61884 | Oracle E-Business Suite | Oracle E-Business Suite Server-Side Request Forgery (SSRF) Vulnerability | 20.10.2025 | ja |
| CVE-2025-54253 | Adobe Experience Manager (AEM) Forms | Adobe Experience Manager Forms Code Execution Vulnerability | 15.10.2025 | nein |
| CVE-2025-47827 | IGEL IGEL OS | IGEL OS Use of a Key Past its Expiration Date Vulnerability | 14.10.2025 | nein |
| CVE-2025-24990 | Microsoft Windows | Microsoft Windows Untrusted Pointer Dereference Vulnerability | 14.10.2025 | nein |
| CVE-2025-59230 | Microsoft Windows | Microsoft Windows Improper Access Control Vulnerability | 14.10.2025 | nein |
| CVE-2016-7836 | SKYSEA Client View | SKYSEA Client View Improper Authentication Vulnerability | 14.10.2025 | nein |
| CVE-2021-43798 | Grafana Labs Grafana | Grafana Path Traversal Vulnerability | 09.10.2025 | nein |
| CVE-2025-27915 | Synacor Zimbra Collaboration Suite (ZCS) | Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability | 07.10.2025 | nein |
| CVE-2021-22555 | Linux Kernel | Linux Kernel Heap Out-of-Bounds Write Vulnerability | 06.10.2025 | nein |
| CVE-2010-3962 | Microsoft Internet Explorer | Microsoft Internet Explorer Uninitialized Memory Corruption Vulnerability | 06.10.2025 | nein |
| CVE-2021-43226 | Microsoft Windows | Microsoft Windows Privilege Escalation Vulnerability | 06.10.2025 | ja |
| CVE-2013-3918 | Microsoft Windows | Microsoft Windows Out-of-Bounds Write Vulnerability | 06.10.2025 | nein |
| CVE-2011-3402 | Microsoft Windows | Microsoft Windows Remote Code Execution Vulnerability | 06.10.2025 | nein |
| CVE-2010-3765 | Mozilla Multiple Products | Mozilla Multiple Products Remote Code Execution Vulnerability | 06.10.2025 | nein |

## Öffentlich gemeldete Cyberangriffe
- 26.10.2025: Cyberangriff auf move XM; Dienstleister für alle VW- / Audi-Händler - Teil 2 (https://www.borncity.com/blog/2025/10/31/cyberangriff-auf-move-xm-dienstleister-fuer-alle-vw-audi-haendler/)
- 22.10.2025: Hackerangriff legt Stadtwerke in Clausthal-Zellerfeld lahm (https://www.goslarsche.de/lokales/stadtwerke-clausthal-hackerangriff-694919.html)
- 22.10.2025: Information about IT Incident - Yunex Traffic Global | EN (https://www.yunextraffic.com/newsroom/it-incident/)
- 20.10.2025: Cyber-Angriff legt Gemeindeverwaltung lahm (https://www.nokzeit.de/2025/10/20/cyberangriff-legt-gemeindeverwaltung-lahm/)
- 19.10.2025: Cyberangriff legt Firma im Erzgebirge lahm: Hackerangriff auf IT System (https://www.blick.de/erzgebirge/cyberangriff-legt-firma-im-erzgebirge-lahm-hackerangriff-auf-it-system-artikel13998265)
- 13.10.2025: Cyberattacke treibt Euronics-XXL-Markt in die Insolvenz (https://www.lkz.de/lokales/wirtschaft-lokal_artikel,-cyberattacke-treibt-euronics-xxl-markt-in-die-insolvenz-_arid,867786.html)
- 07.10.2025: AWI in Bremerhaven: IT-Störung – Hacker am Werk? (https://www.nordsee-zeitung.de/bremerhaven/bremerhaven-awi-it-stoerung-kein-hackerangriff-systeme-323422.html)
- 06.10.2025: Cyber-Angriff in Hohen Neuendorf: Rathaus schaltet nach Hacker-Attacke Systeme ab (https://www.moz.de/lokales/oranienburg/cyber-angriff-in-hohen-neuendorf-rathaus-schaltet-nach-hacker-attacke-systeme-ab-78363528.html)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.