# Cyber-Lagebericht Deutschland, Januar 2026

> Im Zeitraum Januar 2026 wurden 28 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich weniger als im Vorzeitraum Dezember 2025 (42). Am aktivsten war die Gruppe QILIN mit 7 Nennungen (25 %), insgesamt waren 13 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/de/2026-01/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.01.2026 bis 31.01.2026 (Vergleich: Dezember 2025)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 28 (-33 % gegenüber Dezember 2025: 42)
- Aktive Ransomware-Gruppen: 10
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 17, davon mit Ransomware-Bezug: 2
- Öffentlich gemeldete Cyberangriffe: 13

## Einordnung

Im Zeitraum Januar 2026 wurden 28 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich weniger als im Vorzeitraum Dezember 2025 (42). Am aktivsten war die Gruppe QILIN mit 7 Nennungen (25 %), insgesamt waren 13 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (10), Technologie und IT (4), Beratung und Dienstleistungen (4). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 7, Österreich 5, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.

Die US-Behörde CISA hat im Zeitraum 17 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 2 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, SmarterTools, Ivanti. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| QILIN | 7 |
| PAYOUTSKING | 6 |
| AKIRA | 5 |
| THEGENTLEMEN | 1 |
| LYNX | 1 |
| COINBASECARTEL | 1 |
| CLOP | 1 |
| DRAGONFORCE | 1 |
| SHINYHUNTERS | 1 |
| SAFEPAY | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 10 |
| Technologie und IT | 4 |
| Beratung und Dienstleistungen | 4 |
| Gesundheitswesen | 2 |
| Nicht zugeordnet | 2 |
| Handel und E-Commerce | 1 |
| Finanzdienstleistungen | 1 |
| Energie und Versorgung | 1 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 7 |
| Deutschland | 28 |
| Österreich | 5 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-1281 | Ivanti Endpoint Manager Mobile (EPMM) | Ivanti Endpoint Manager Mobile (EPMM) Code Injection Vulnerability | 29.01.2026 | nein |
| CVE-2026-24858 | Fortinet Multiple Products | Fortinet Multiple Products Authentication Bypass Using an Alternate Path or Channel Vulnerability | 27.01.2026 | nein |
| CVE-2018-14634 | Linux Kernel | Linux Kernel Integer Overflow Vulnerability | 26.01.2026 | nein |
| CVE-2025-52691 | SmarterTools SmarterMail | SmarterTools SmarterMail Unrestricted Upload of File with Dangerous Type Vulnerability | 26.01.2026 | ja |
| CVE-2026-23760 | SmarterTools SmarterMail | SmarterTools SmarterMail Authentication Bypass Using an Alternate Path or Channel Vulnerability | 26.01.2026 | ja |
| CVE-2026-24061 | GNU InetUtils | GNU InetUtils Argument Injection Vulnerability | 26.01.2026 | nein |
| CVE-2026-21509 | Microsoft Office | Microsoft Office Security Feature Bypass Vulnerability | 26.01.2026 | nein |
| CVE-2024-37079 | Broadcom VMware vCenter Server | Broadcom VMware vCenter Server Out-of-bounds Write Vulnerability | 23.01.2026 | nein |
| CVE-2025-68645 | Synacor  Zimbra Collaboration Suite (ZCS) | Synacor Zimbra Collaboration Suite (ZCS) PHP Remote File Inclusion Vulnerability | 22.01.2026 | nein |
| CVE-2025-34026 | Versa Concerto | Versa Concerto Improper Authentication Vulnerability | 22.01.2026 | nein |
| CVE-2025-31125 | Vite Vitejs | Vite Vitejs Improper Access Control Vulnerability | 22.01.2026 | nein |
| CVE-2025-54313 | Prettier eslint-config-prettier | Prettier eslint-config-prettier Embedded Malicious Code Vulnerability | 22.01.2026 | nein |
| CVE-2026-20045 | Cisco Unified Communications Manager | Cisco Unified Communications Products Code Injection Vulnerability | 21.01.2026 | nein |
| CVE-2026-20805 | Microsoft Windows | Microsoft Windows Information Disclosure Vulnerability | 13.01.2026 | nein |
| CVE-2025-8110 | Gogs Gogs | Gogs Path Traversal Vulnerability | 12.01.2026 | nein |
| CVE-2009-0556 | Microsoft Office | Microsoft Office PowerPoint Code Injection Vulnerability | 07.01.2026 | nein |
| CVE-2025-37164 | Hewlett Packard Enterprise (HPE) OneView | Hewlett Packard Enterprise (HPE) OneView Code Injection Vulnerability | 07.01.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 23.01.2026: Cyberattacke in Reutlingen: Keine E-Mails, kein Festnetz bei Romina Mineralwasser (https://www.swp.de/lokales/reutlingen/mineralwasser-aus-reutlingen-keine-e-mails-kein-festnetz-cyberattacke-auf-romina-78622235.html)
- 23.01.2026: Cyberattacke in Reutlingen: Keine E-Mails, kein Festnetz bei Romina Mineralwasser (https://www.hs-emden-leer.de/it-sicherheit)
- 22.01.2026: Cyberangriff auf Staatliche Kunstsammlungen Dresden | MDR.DE (https://www.mdr.de/nachrichten/sachsen/dresden/dresden-radebeul/hackerangriff-staatliche-kunstsammlungen-100.html)
- 21.01.2026: Pressemitteilungen (https://www.main-tauber-kreis.de/Landratsamt/Aktuelles/Pressemitteilungen/VGMT-und-Mobilitätszentrale-von-Cyberangriff-betroffen.php)
- 20.01.2026: Cyberangriff auf das IDW - FINANCE (https://www.finance-magazin.de/banking-berater/wirtschaftspruefer/cyberangriff-auf-idw-daten-von-wirtschaftspruefern-und-partnern-abgeflossen-234940/)
- 20.01.2026: Nicht erreichbar: Leinerstift in Großefehn Ziel von Cyber-Kriminellen (https://www.ga-online.de/artikel/1626122/Leinerstift-in-Grossefehn-Ziel-von-Cyber-Kriminellen)
- 20.01.2026: Falscher Sirenenalarm in Querfurt: LKA untersucht möglichen Cyberangriff (https://www.mz.de/lokal/merseburg/sirene-alarm-lka-cyberangriff-4184205)
- 19.01.2026: Eine technische Störung sorgt für Ausfälle von Telefon und Internet bei der Stadt Heinsberg (https://www1.wdr.de/nachrichten/rheinland/mutmasslicher-cyberangriff-heinsberg-100.html)
- 15.01.2026: Hackerangriff legt Heinsberger Stadtverwaltung lahm (https://www.aachener-zeitung.de/region-nrw/hackerangriff-legt-heinsberger-stadtverwaltung-lahm/124334660.html)
- 13.01.2026: Cyber-Attacke: Betroffenes Regensburger Unternehmen nimmt Stellung (https://www.mittelbayerische.de/lokales/stadt-regensburg/cyber-attacke-betroffenes-regensburger-unternehmen-nimmt-stellung-20331400)
- 11.01.2026: Sirenen-Terror in Halle: Hacker lösen Amok-Alarm aus und versetzen Stadt in Angst – Polizei ermittelt (https://dubisthalle.de/sirenen-alarm-in-halle-saale-wir-gehen-derzeit-von-cyberangriff-aus-stadt-zieht-polizei-hinzu/)
- 07.01.2026: Harte-Bavendamm: Ransomware-Angriff trifft renommierte Kanzlei (https://www.ad-hoc-news.de/boerse/news/ueberblick/harte-bavendamm-ransomware-angriff-trifft-renommierte-kanzlei/68517396)
- 07.01.2026: Cyberangriff abgewehrt: Kreisklinik Roth untersucht weiter ihre IT-Systeme nach Attacke (https://www.nn.de/region/roth/cyberangriff-abgewehrt-kreisklinik-roth-untersucht-weiter-ihre-it-systeme-nach-attacke-1.14970026)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.