# Cyber-Lagebericht Deutschland, Q4 2025

> Im Zeitraum Q4 2025 wurden 84 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Q3 2025 (82). Am aktivsten war die Gruppe SAFEPAY mit 22 Nennungen (26 %), insgesamt waren 26 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/de/2025-q4/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.10.2025 bis 31.12.2025 (Vergleich: Q3 2025)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 84 (+2 % gegenüber Q3 2025: 82)
- Aktive Ransomware-Gruppen: 10
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 62, davon mit Ransomware-Bezug: 5
- Öffentlich gemeldete Cyberangriffe: 20

## Einordnung

Im Zeitraum Q4 2025 wurden 84 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Q3 2025 (82). Am aktivsten war die Gruppe SAFEPAY mit 22 Nennungen (26 %), insgesamt waren 26 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (25), Technologie und IT (17), Beratung und Dienstleistungen (13). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 24, Österreich 20, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.

Die US-Behörde CISA hat im Zeitraum 62 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 5 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Fortinet, Gladinet. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| SAFEPAY | 22 |
| QILIN | 12 |
| LOCKBIT5 | 6 |
| INCRANSOM | 5 |
| AKIRA | 5 |
| PAYOUTSKING | 4 |
| DRAGONFORCE | 3 |
| SPACEBEARS | 2 |
| LYNX | 2 |
| COINBASECARTEL | 2 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 25 |
| Technologie und IT | 17 |
| Beratung und Dienstleistungen | 13 |
| Handel und E-Commerce | 10 |
| Landwirtschaft und Lebensmittel | 4 |
| Öffentliche Hand und Verteidigung | 3 |
| Gesundheitswesen | 3 |
| Transport und Logistik | 2 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 24 |
| Deutschland | 84 |
| Österreich | 20 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2025-14847 | MongoDB MongoDB and MongoDB Server | MongoDB and MongoDB Server Improper Handling of Length Parameter Inconsistency Vulnerability | 29.12.2025 | nein |
| CVE-2023-52163 | Digiever DS-2105 Pro | Digiever DS-2105 Pro Missing Authorization Vulnerability | 22.12.2025 | nein |
| CVE-2025-14733 | WatchGuard Firebox | WatchGuard Firebox Out of Bounds Write Vulnerability | 19.12.2025 | ja |
| CVE-2025-59374 | ASUS Live Update | ASUS Live Update Embedded Malicious Code Vulnerability | 17.12.2025 | nein |
| CVE-2025-40602 | SonicWall SMA1000 appliance | SonicWall SMA1000 Missing Authorization Vulnerability | 17.12.2025 | nein |
| CVE-2025-20393 | Cisco Multiple Products | Cisco Multiple Products Improper Input Validation Vulnerability | 17.12.2025 | nein |
| CVE-2025-59718 | Fortinet Multiple Products | Fortinet Multiple Products Improper Verification of Cryptographic Signature Vulnerability | 16.12.2025 | nein |
| CVE-2025-14611 | Gladinet CentreStack and Triofox | Gladinet CentreStack and Triofox Hard Coded Cryptographic Vulnerability | 15.12.2025 | nein |
| CVE-2025-43529 | Apple Multiple Products | Apple Multiple Products Use-After-Free WebKit Vulnerability | 15.12.2025 | nein |
| CVE-2018-4063 | Sierra Wireless AirLink ALEOS | Sierra Wireless AirLink ALEOS Unrestricted Upload of File with Dangerous Type Vulnerability | 12.12.2025 | nein |
| CVE-2025-14174 | Google Chromium | Google Chromium Out of Bounds Memory Access Vulnerability | 12.12.2025 | nein |
| CVE-2025-58360 | OSGeo GeoServer | OSGeo GeoServer Improper Restriction of XML External Entity Reference Vulnerability | 11.12.2025 | nein |
| CVE-2025-6218 | RARLAB WinRAR | RARLAB WinRAR Path Traversal Vulnerability | 09.12.2025 | nein |
| CVE-2025-62221 | Microsoft Windows | Microsoft Windows Use After Free Vulnerability | 09.12.2025 | nein |
| CVE-2022-37055 | D-Link Routers | D-Link Routers Buffer Overflow Vulnerability | 08.12.2025 | nein |
| CVE-2025-66644 | Array Networks  ArrayOS AG | Array Networks ArrayOS AG OS Command Injection Vulnerability | 08.12.2025 | nein |
| CVE-2025-55182 | Meta React Server Components | Meta React Server Components Remote Code Execution Vulnerability | 05.12.2025 | ja |
| CVE-2021-26828 | OpenPLC ScadaBR | OpenPLC ScadaBR Unrestricted Upload of File with Dangerous Type Vulnerability | 03.12.2025 | nein |
| CVE-2025-48633 | Android Framework | Android Framework Information Disclosure Vulnerability | 02.12.2025 | nein |
| CVE-2025-48572 | Android Framework | Android Framework Privilege Escalation Vulnerability | 02.12.2025 | nein |
| CVE-2021-26829 | OpenPLC ScadaBR | OpenPLC ScadaBR Cross-site Scripting Vulnerability | 28.11.2025 | nein |
| CVE-2025-61757 | Oracle Fusion Middleware | Oracle Fusion Middleware Missing Authentication for Critical Function Vulnerability | 21.11.2025 | nein |
| CVE-2025-13223 | Google Chromium V8 | Google Chromium V8 Type Confusion Vulnerability | 19.11.2025 | nein |
| CVE-2025-58034 | Fortinet FortiWeb | Fortinet FortiWeb OS Command Injection Vulnerability | 18.11.2025 | nein |
| CVE-2025-64446 | Fortinet FortiWeb | Fortinet FortiWeb Path Traversal Vulnerability | 14.11.2025 | nein |

## Öffentlich gemeldete Cyberangriffe
- 15.12.2025: Cyberangriff macht Ford-Autohaus in Chemnitz zahlungsunfähig (https://www.saechsische.de/lokales/chemnitz/chemnitz-cyberangriff-macht-ford-autohaus-zahlungsunfaehig-VDRZXMZ53FEWPNK4ZTY2MUJK2M.html)
- 12.12.2025: IT-Störung bei der Ahorn Gruppe: Keine E-Mail-Erreichbarkeit (https://www.ahorn-gruppe.de/news-und-events/newsdetail/it-stoerung-bei-der-ahorn-gruppe-keine-e-mail-erreichbarkeit)
- 10.12.2025: Cyberangriff auf Apotheke / Inhaberin klärt MdB auf / Abda-Protest zu lasch / Fälscher gejagt | APOTHEKE ADHOC (https://www.apotheke-adhoc.de/nachrichten/detail/adhoc24/cyberangriff-auf-apotheke-inhaberin-klaert-mdb-auf-abda-protest-zu-lasch-faelscher-gejagt/)
- 07.12.2025: Cyberattacke auf Bildungseinrichtung in Mils (https://tirol.orf.at/stories/3333714/)
- 05.12.2025: Cyberangriff auf die Stadtentwässerung in Fürth - keine akute Gefahr für die Bevölkerung - Ermittlungen laufen (https://www.nordbayern.de/fuerth/nach-cyberangriff-auf-stadt-furth-eindringliche-warnung-keine-akute-gefahr-fur-bevolkerung-1.14931064)
- 24.11.2025: Cyberangriff legt IT-Systeme der Hochschule Mainz lahm (https://www.allgemeine-zeitung.de/lokales/mainz/stadt-mainz/cyberangriff-legt-it-systeme-der-hochschule-mainz-lahm-5188406)
- 23.11.2025: Forbidden (https://taz.de/Cyberangriff-auf-Gepa/)
- 20.11.2025: Sechs Kitas betroffen: Cyberangriff auf Berliner Kita-Betreiber „Socius“ - Tagesspiegel Checkpoint (https://checkpoint.tagesspiegel.de/langmeldung/38mr3Nt74x7jjUnU4PoOGq)
- 16.11.2025: Stadtwerke Detmold von Hackerangriff betroffen (https://www.csoonline.com/article/4091972/stadtwerke-detmold-von-hackerangriff-betroffen.html)
- 15.11.2025: Cyber-Angriff auf Vereinigte Stadtwerke GmbH (https://herzogtum-direkt.de/index.php/2025/11/28/cyber-angriff-auf-vereinigte-stadtwerke-gmbh/)
- 10.11.2025: Radio Arabella pariert Hacker-Angriff (https://www.new-business.de/_rubric/detail.php?rubric=MEDIEN&nr=829799)
- 09.11.2025: Hackerangriff legt Radio Nordseewelle lahm (https://www.radioszene.de/207744/radio-nordseewelle-hackerangriff.html)
- 06.11.2025: Hackerangriff legt Netzwerk der Stadtverwaltung Ludwigshafen lahm (https://www.mannheimer-morgen.de/orte/ludwigshafen_artikel,-ludwigshafen-hackerangriff-legt-netzwerk-der-stadtverwaltung-ludwigshafen-lahm-_arid,2339209.html)
- 05.11.2025: Cyberangriff legt MVZ in Tirschenreuth und Kemnath lahm | OberpfalzECHO (https://www.oberpfalzecho.de/beitrag/cyberangriff-legt-mvz-in-tirschenreuth-und-kemnath-lahm)
- 04.11.2025: St. Lukas ist Opfer eines Hackerangriffs geworden (https://www.aachener-zeitung.de/lokales/region-dueren/dueren/st.-lukas-ist-opfer-eines-hackerangriffs-geworden/103432091.html)
- 26.10.2025: Cyberangriff auf move XM; Dienstleister für alle VW- / Audi-Händler - Teil 2 (https://www.borncity.com/blog/2025/10/31/cyberangriff-auf-move-xm-dienstleister-fuer-alle-vw-audi-haendler/)
- 22.10.2025: Hackerangriff legt Stadtwerke in Clausthal-Zellerfeld lahm (https://www.goslarsche.de/lokales/stadtwerke-clausthal-hackerangriff-694919.html)
- 22.10.2025: Information about IT Incident - Yunex Traffic Global | EN (https://www.yunextraffic.com/newsroom/it-incident/)
- 20.10.2025: Cyber-Angriff legt Gemeindeverwaltung lahm (https://www.nokzeit.de/2025/10/20/cyberangriff-legt-gemeindeverwaltung-lahm/)
- 19.10.2025: Cyberangriff legt Firma im Erzgebirge lahm: Hackerangriff auf IT System (https://www.blick.de/erzgebirge/cyberangriff-legt-firma-im-erzgebirge-lahm-hackerangriff-auf-it-system-artikel13998265)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.