Cyber Intelligence
Threat Reports
Im Zeitraum Q4 2025 wurden 84 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Q3 2025 (82). Am aktivsten war die Gruppe SAFEPAY mit 22 Nennungen (26 %), insgesamt waren 26 verschiedene Gruppen aktiv.
Powered by n'guard Cyber Security
Im Zeitraum Q4 2025 wurden 84 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Q3 2025 (82). Am aktivsten war die Gruppe SAFEPAY mit 22 Nennungen (26 %), insgesamt waren 26 verschiedene Gruppen aktiv.
Am stärksten betroffen waren die Branchen Industrie und Fertigung (25), Technologie und IT (17), Beratung und Dienstleistungen (13). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.
Zum Vergleich im gleichen Zeitraum: Schweiz 24, Österreich 20, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.
Die US-Behörde CISA hat im Zeitraum 62 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 5 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Fortinet, Gladinet. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.
Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.
Hersteller mit den meisten Einträgen: Microsoft (10), Fortinet (3), Gladinet (3), Oracle (3), WatchGuard (2), Apple (2).
| CVE | Produkt | Schwachstelle | Aufgenommen | |
|---|---|---|---|---|
| CVE-2025-14847 | MongoDB MongoDB and MongoDB Server | MongoDB and MongoDB Server Improper Handling of Length Parameter Inconsistency Vulnerability | 29.12.2025 | |
| CVE-2023-52163 | Digiever DS-2105 Pro | Digiever DS-2105 Pro Missing Authorization Vulnerability | 22.12.2025 | |
| CVE-2025-14733 | WatchGuard Firebox | WatchGuard Firebox Out of Bounds Write Vulnerability | 19.12.2025 | Ransomware |
| CVE-2025-59374 | ASUS Live Update | ASUS Live Update Embedded Malicious Code Vulnerability | 17.12.2025 | |
| CVE-2025-40602 | SonicWall SMA1000 appliance | SonicWall SMA1000 Missing Authorization Vulnerability | 17.12.2025 | |
| CVE-2025-20393 | Cisco Multiple Products | Cisco Multiple Products Improper Input Validation Vulnerability | 17.12.2025 | |
| CVE-2025-59718 | Fortinet Multiple Products | Fortinet Multiple Products Improper Verification of Cryptographic Signature Vulnerability | 16.12.2025 | |
| CVE-2025-14611 | Gladinet CentreStack and Triofox | Gladinet CentreStack and Triofox Hard Coded Cryptographic Vulnerability | 15.12.2025 | |
| CVE-2025-43529 | Apple Multiple Products | Apple Multiple Products Use-After-Free WebKit Vulnerability | 15.12.2025 | |
| CVE-2018-4063 | Sierra Wireless AirLink ALEOS | Sierra Wireless AirLink ALEOS Unrestricted Upload of File with Dangerous Type Vulnerability | 12.12.2025 | |
| CVE-2025-14174 | Google Chromium | Google Chromium Out of Bounds Memory Access Vulnerability | 12.12.2025 | |
| CVE-2025-58360 | OSGeo GeoServer | OSGeo GeoServer Improper Restriction of XML External Entity Reference Vulnerability | 11.12.2025 | |
| CVE-2025-6218 | RARLAB WinRAR | RARLAB WinRAR Path Traversal Vulnerability | 09.12.2025 | |
| CVE-2025-62221 | Microsoft Windows | Microsoft Windows Use After Free Vulnerability | 09.12.2025 | |
| CVE-2022-37055 | D-Link Routers | D-Link Routers Buffer Overflow Vulnerability | 08.12.2025 | |
| CVE-2025-66644 | Array Networks ArrayOS AG | Array Networks ArrayOS AG OS Command Injection Vulnerability | 08.12.2025 | |
| CVE-2025-55182 | Meta React Server Components | Meta React Server Components Remote Code Execution Vulnerability | 05.12.2025 | Ransomware |
| CVE-2021-26828 | OpenPLC ScadaBR | OpenPLC ScadaBR Unrestricted Upload of File with Dangerous Type Vulnerability | 03.12.2025 | |
| CVE-2025-48633 | Android Framework | Android Framework Information Disclosure Vulnerability | 02.12.2025 | |
| CVE-2025-48572 | Android Framework | Android Framework Privilege Escalation Vulnerability | 02.12.2025 | |
| CVE-2021-26829 | OpenPLC ScadaBR | OpenPLC ScadaBR Cross-site Scripting Vulnerability | 28.11.2025 | |
| CVE-2025-61757 | Oracle Fusion Middleware | Oracle Fusion Middleware Missing Authentication for Critical Function Vulnerability | 21.11.2025 | |
| CVE-2025-13223 | Google Chromium V8 | Google Chromium V8 Type Confusion Vulnerability | 19.11.2025 | |
| CVE-2025-58034 | Fortinet FortiWeb | Fortinet FortiWeb OS Command Injection Vulnerability | 18.11.2025 | |
| CVE-2025-64446 | Fortinet FortiWeb | Fortinet FortiWeb Path Traversal Vulnerability | 14.11.2025 |
| Datum | Vorfall |
|---|---|
| 15.12.2025 | Cyberangriff macht Ford-Autohaus in Chemnitz zahlungsunfähig L'entreprise Autohaus Pichel GmbH Chemnitz a été victime d'une attaque cybernétique en décembre 2025, ce qui a entraîné une insolvabilité et un arrêt de travail de deux mois. L'attaque a aggravé la situation économique déjà difficile de l'entreprise. Le fonctionnement … |
| 12.12.2025 | IT-Störung bei der Ahorn Gruppe: Keine E-Mail-Erreichbarkeit La société IDEAL Gruppe a subi une attaque informatique, ce qui a nécessité la déconnexion de ses systèmes, y compris ceux de la société Ahorn Gruppe. Les systèmes de l'entreprise sont actuellement hors ligne, mais les filiales restent ouvertes et … |
| 10.12.2025 | Cyberangriff auf Apotheke / Inhaberin klärt MdB auf / Abda-Protest zu lasch / Fälscher gejagt | APOTHEKE ADHOC La Laurentius-Apotheke à Mönchengladbach a été victime d'une attaque cybernétique. |
| 07.12.2025 | Cyberattacke auf Bildungseinrichtung in Mils Un système informatique d'une institution publique a été victime d'une attaque, mais les données sensibles n'ont pas été compromises, et les systèmes ont été restaurés grâce à des sauvegardes. Les personnes potentiellement affectées ont été informées, et des mesures de … |
| 05.12.2025 | Cyberangriff auf die Stadtentwässerung in Fürth - keine akute Gefahr für die Bevölkerung - Ermittlungen laufen La ville de Fürth a subi un cyberattaque sur sa infrastructure IT, mais aucune atteinte à la sécurité des citoyens n'a été constatée. Les autorités ont lancé une enquête et la ville met en garde contre les arnaques par e-mail. … |
| 24.11.2025 | Cyberangriff legt IT-Systeme der Hochschule Mainz lahm La Hochschule Mainz a été victime d'une attaque cybernétique, ce qui a entraîné la fermeture de la plupart de ses systèmes informatiques pour des raisons de sécurité. Les cours en présentiel se poursuivent, mais la durée de la perturbation n'est … |
| 23.11.2025 | Forbidden Fin novembre, l’entreprise de commerce équitable GEPA à Wuppertal a subi une cyberattaque de type ransomware qui a paralysé son entrepôt, ses livraisons et ses réseaux locaux, chiffrant des données et provoquant un quasi-arrêt d’une semaine en pleine saison de … |
| 20.11.2025 | Sechs Kitas betroffen: Cyberangriff auf Berliner Kita-Betreiber „Socius“ - Tagesspiegel Checkpoint Le Kita-Betreiber berlinois Socius a été victime d'une attaque par ransomware le 20 novembre, au cours de laquelle 1% de ses données ont été copiées. L'entreprise gère six crèches à Berlin et prend soin de 3000 enfants et adolescents. Les … |
| 16.11.2025 | Stadtwerke Detmold von Hackerangriff betroffen Les systèmes informatiques de la société de services publics Stadtwerke Detmold ont été victimes d'une cyberattaque, entraînant une panne complète de leurs services en ligne et de leurs communications téléphoniques et par e-mail. La société assure que les services de … |
| 15.11.2025 | Cyber-Angriff auf Vereinigte Stadtwerke GmbH La Vereinigte Stadtwerke GmbH a été victime d'une attaque de hackers en novembre 2025, mais les systèmes critiques pour la fourniture de services publics n'ont pas été affectés. L'attaque a été détectée et stoppée rapidement, mais un flux de données … |
| 10.11.2025 | Radio Arabella pariert Hacker-Angriff Les radios Arabella München et Arabella Bayern ont subi un cyberattaque ciblée, mais grâce à leur équipe, le service de diffusion a pu être maintenu. Les systèmes ont été restaurés après trois jours de travail. Les experts ont sécurisé les … |
| 09.11.2025 | Hackerangriff legt Radio Nordseewelle lahm Radio Nordseewelle a été victime d'une attaque de piratage informatique qui a endommagé une grande partie de son infrastructure technique, mais le service a pu être rétabli grâce à l'engagement de l'équipe et à l'aide de partenaires régionaux. Les enquêtes … |
| 06.11.2025 | Hackerangriff legt Netzwerk der Stadtverwaltung Ludwigshafen lahm Le réseau de la ville de Ludwigshafen a été victime d'une attaque de hackers, ce qui a entraîné une panne généralisée. Les détails de l'incident ne sont pas encore connus, mais il s'agit potentiellement du deuxième cas d'attaque de ce … |
| 05.11.2025 | Cyberangriff legt MVZ in Tirschenreuth und Kemnath lahm | OberpfalzECHO Le Medizinische Versorgungszentrum Nordoberpfalz a subi une attaque informatique, ce qui a conduit à la fermeture temporaire de deux de ses sites à Tirschenreuth et Kemnath. Les cliniques ne sont pas affectées et le site de Weiden continue de fonctionner. … |
| 04.11.2025 | St. Lukas ist Opfer eines Hackerangriffs geworden La grande paroisse Saint-Luc de Düren, en Allemagne, a été victime d'une attaque de hackers, les systèmes informatiques ont été visés dans la nuit du 3 novembre. Les raisons de cette attaque ne sont pas encore connues. La paroisse comprend … |
| 26.10.2025 | Cyberangriff auf move XM; Dienstleister für alle VW- / Audi-Händler - Teil 2 Le fournisseur de services move XM a été victime d'une attaque cybernétique réussie le 26 octobre 2025, ce qui a entraîné la fermeture temporaire de son portail CEM pour les concessionnaires VW et Audi. L'entreprise a pris des mesures pour … |
| 22.10.2025 | Hackerangriff legt Stadtwerke in Clausthal-Zellerfeld lahm Un hackerangriff a visé les Stadtwerke Clausthal-Zellerfeld, provoquant une panne de leurs systèmes de communication. Les téléphones et les adresses e-mail ne fonctionnent plus, ce qui a des conséquences pour la population locale. Les Stadtwerke Clausthal-Zellerfeld sont actuellement hors service … |
| 22.10.2025 | Information about IT Incident - Yunex Traffic Global | EN Yunex Traffic a récemment pris des mesures pour gérer un accès non autorisé à certaines parties de ses systèmes internes de développement de produits. Les systèmes et les services de l'entreprise sont toujours opérationnels. Une enquête approfondie a été lancée … |
| 20.10.2025 | Cyber-Angriff legt Gemeindeverwaltung lahm La commune d'Untereisesheim a été victime d'une attaque informatique qui a crypté les contenus de son serveur, affectant ainsi l'ensemble de son infrastructure informatique. La commune travaille à minimiser les impacts sur les citoyens et à restaurer ses systèmes informatiques. … |
| 19.10.2025 | Cyberangriff legt Firma im Erzgebirge lahm: Hackerangriff auf IT System La Nickelhütte Aue GmbH a été victime d'une attaque informatique qui a partiellement paralysé ses systèmes IT. L'entreprise travaille avec des experts pour résoudre le problème. Les clients, les partenaires et les employés sont invités à faire preuve de compréhension … |
Die n'guard Threat Reports sind kostenlose, automatisch erstellte Cyber-Lageberichte pro Land und Zeitraum. Jeder Report fasst zusammen, was im gewählten Monat oder Quartal öffentlich sichtbar war: wie viele Organisationen aus dem Land auf Ransomware-Leak-Sites genannt wurden, welche Gruppen aktiv waren, welche Branchen betroffen waren, wie sich das im DACH-Raum vergleicht, welche Schwachstellen neu als aktiv ausgenutzt eingestuft wurden und welche Cyberangriffe öffentlich gemeldet wurden. Dazu kommen eine Einordnung in deutscher Sprache und konkrete Handlungsempfehlungen für KMU.
Die Reports richten sich an Geschäftsleitungen, Verwaltungsräte, IT-Verantwortliche und Sicherheitsbeauftragte, die für Risikositzungen, Budgetentscheide oder interne Kommunikation eine faktenbasierte Lageeinschätzung brauchen, ohne selbst Quellen auswerten zu müssen. Jeder Report lässt sich mit einem Klick als PDF speichern.
Vollautomatisch aus öffentlichen Quellen (ransomware.live, CISA KEV, Cloudflare Radar). Die Einordnung ist regelbasiert statt KI-generiert: Jede Aussage lässt sich direkt auf die gezeigten Zahlen zurückführen. Was die Quellen nicht sehen, etwa bezahlte Lösegelder oder nicht gemeldete Vorfälle, fehlt auch im Report.
n'guard übersetzt die Lage in eine Einschätzung Ihrer eigenen Exposition: kostenloser Dark Web & Exposure Check, Penetrationstest oder laufende Überwachung im Managed SOC.