Cyber Intelligence
Threat Reports
Im Zeitraum März 2026 wurden 32 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Februar 2026 (31). Am aktivsten war die Gruppe AKIRA mit 8 Nennungen (25 %), insgesamt waren 15 verschiedene Gruppen aktiv.
Powered by n'guard Cyber Security
Im Zeitraum März 2026 wurden 32 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Februar 2026 (31). Am aktivsten war die Gruppe AKIRA mit 8 Nennungen (25 %), insgesamt waren 15 verschiedene Gruppen aktiv.
Am stärksten betroffen waren die Branchen Industrie und Fertigung (13), Technologie und IT (4), Beratung und Dienstleistungen (3). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.
Zum Vergleich im gleichen Zeitraum: Schweiz 8, Österreich 3, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.
Die US-Behörde CISA hat im Zeitraum 26 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 2 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Apple, Google, Citrix. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.
Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.
Hersteller mit den meisten Einträgen: Apple (6), Google (2), Citrix (1), F5 (1), Aquasecurity (1), Langflow (1).
| CVE | Produkt | Schwachstelle | Aufgenommen | |
|---|---|---|---|---|
| CVE-2026-3055 | Citrix NetScaler | Citrix NetScaler Out-of-Bounds Read Vulnerability | 30.03.2026 | |
| CVE-2025-53521 | F5 BIG-IP | F5 BIG-IP Stack-Based Buffer Overflow Vulnerability | 27.03.2026 | |
| CVE-2026-33634 | Aquasecurity Trivy | Aquasecurity Trivy Embedded Malicious Code Vulnerability | 26.03.2026 | |
| CVE-2026-33017 | Langflow Langflow | Langflow Code Injection Vulnerability | 25.03.2026 | |
| CVE-2025-32432 | Craft CMS Craft CMS | Craft CMS Code Injection Vulnerability | 20.03.2026 | |
| CVE-2025-54068 | Laravel Livewire | Laravel Livewire Code Injection Vulnerability | 20.03.2026 | |
| CVE-2025-43510 | Apple Multiple Products | Apple Multiple Products Improper Locking Vulnerability | 20.03.2026 | |
| CVE-2025-43520 | Apple Multiple Products | Apple Multiple Products Classic Buffer Overflow Vulnerability | 20.03.2026 | |
| CVE-2025-31277 | Apple Multiple Products | Apple Multiple Products Buffer Overflow Vulnerability | 20.03.2026 | |
| CVE-2026-20131 | Cisco Secure Firewall Management Center (FMC) | Cisco Secure Firewall Management Center (FMC) Software and Cisco Security Cloud Control (SCC) Firewall Management Deserialization of Untrusted Data Vulnerability | 19.03.2026 | Ransomware |
| CVE-2025-66376 | Synacor Zimbra Collaboration Suite (ZCS) | Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting Vulnerability | 18.03.2026 | |
| CVE-2026-20963 | Microsoft SharePoint | Microsoft SharePoint Deserialization of Untrusted Data Vulnerability | 18.03.2026 | |
| CVE-2025-47813 | Wing FTP Server Wing FTP Server | Wing FTP Server Information Disclosure Vulnerability | 16.03.2026 | |
| CVE-2026-3910 | Google Chromium V8 | Google Chromium V8 Improper Restriction of Operations Within the Bounds of a Memory Buffer Vulnerability | 13.03.2026 | |
| CVE-2026-3909 | Google Skia | Google Skia Out-of-Bounds Write Vulnerability | 13.03.2026 | |
| CVE-2025-68613 | n8n n8n | n8n Improper Control of Dynamically-Managed Code Resources Vulnerability | 11.03.2026 | |
| CVE-2021-22054 | Omnissa Workspace One UEM | Omnissa Workspace ONE Server-Side Request Forgery | 09.03.2026 | |
| CVE-2025-26399 | SolarWinds Web Help Desk | SolarWinds Web Help Desk Deserialization of Untrusted Data Vulnerability | 09.03.2026 | Ransomware |
| CVE-2026-1603 | Ivanti Endpoint Manager (EPM) | Ivanti Endpoint Manager (EPM) Authentication Bypass Vulnerability | 09.03.2026 | |
| CVE-2017-7921 | Hikvision Multiple Products | Hikvision Multiple Products Improper Authentication Vulnerability | 05.03.2026 | |
| CVE-2021-22681 | Rockwell Multiple Products | Rockwell Multiple Products Insufficient Protected Credentials Vulnerability | 05.03.2026 | |
| CVE-2023-43000 | Apple Multiple Products | Apple Multiple products Use-After-Free Vulnerability | 05.03.2026 | |
| CVE-2021-30952 | Apple Multiple Products | Apple Multiple Products Integer Overflow or Wraparound Vulnerability | 05.03.2026 | |
| CVE-2023-41974 | Apple iOS and iPadOS | Apple iOS and iPadOS Use-After-Free Vulnerability | 05.03.2026 | |
| CVE-2026-22719 | Broadcom VMware Aria Operations | Broadcom VMware Aria Operations Command Injection Vulnerability | 03.03.2026 |
| Datum | Vorfall |
|---|---|
| 31.03.2026 | IT‑Ausfall an der Berliner Charité: Feuerwehr kann drei Klinikstandorte nicht anfahren Un dysfonctionnement technique au sein d'un centre de données de la Charité à Berlin a entraîné une panne informatique affectant trois sites hospitaliers, empêchant la Feuerwehr d'accéder aux cliniques Virchow, Mitte et Steglitz. Bien que la fourniture de soins aux … |
| 28.03.2026 | ZEGO Textilveredelungszentrum: Insolvenz nach Cyberangriff Le textile ZEGO, basé à Aschaffenburg, a dû déposer le bilan suite à une cyberattaque qui a interrompu sa production pendant près de six semaines. Bien que l'entreprise soit en procédure d'insolvabilité, la direction souhaite la restructurer pour assurer sa … |
| 26.03.2026 | Qilin: Linkspartei meldet russischen Ransomware-Angriff La formation politique allemande « Die Linke » a signalé un incident de cybersécurité impliquant un ransomware attribué au groupe hacker russe Qilin, obligeant la partie à mettre son infrastructure hors ligne le jeudi. Bien que la partie ait porté … |
| 20.03.2026 | Hacker-Attacke auf Berliner Fernheizwerk in Neukölln – Lösegeldforderung Le 20 mars 2026, des pirates informatiques non identifiés ont attaqué la centrale de chauffage urbain de Neukölln et chiffré des données ; le groupe DragonForce a été identifié comme étant l'auteur de cette attaque. L'exploitant a laissé passer l'ultimatum … |
| 12.03.2026 | Cyberangriff? Stadt Herne schaltet IT-Systeme ab – Bürgerservice eingeschränkt La ville de Herne a décidé de désactiver préventivement certaines de ses systèmes informatiques, ce qui a entraîné des restrictions au service aux citoyens. Bien que l'article évoque la possibilité d'une cyberattaque, aucune confirmation définitive n'est encore apportée sur l'origine … |
| 08.03.2026 | Cyberattacke im Autohaus: Hacker legen Heister lahm: Wie Telenetwork aus Trier das System neu startet L'Autohaus-Gruppe Heister a été victime d'une cyberattaque qui a paralysé ses opérations (e-mails, PC, téléphonie, gestion des données clients, etc.). Grâce à un filet de sécurité mis en place par Telenetwork de Trier, l'entreprise a pu être sauvée et son … |
Die n'guard Threat Reports sind kostenlose, automatisch erstellte Cyber-Lageberichte pro Land und Zeitraum. Jeder Report fasst zusammen, was im gewählten Monat oder Quartal öffentlich sichtbar war: wie viele Organisationen aus dem Land auf Ransomware-Leak-Sites genannt wurden, welche Gruppen aktiv waren, welche Branchen betroffen waren, wie sich das im DACH-Raum vergleicht, welche Schwachstellen neu als aktiv ausgenutzt eingestuft wurden und welche Cyberangriffe öffentlich gemeldet wurden. Dazu kommen eine Einordnung in deutscher Sprache und konkrete Handlungsempfehlungen für KMU.
Die Reports richten sich an Geschäftsleitungen, Verwaltungsräte, IT-Verantwortliche und Sicherheitsbeauftragte, die für Risikositzungen, Budgetentscheide oder interne Kommunikation eine faktenbasierte Lageeinschätzung brauchen, ohne selbst Quellen auswerten zu müssen. Jeder Report lässt sich mit einem Klick als PDF speichern.
Vollautomatisch aus öffentlichen Quellen (ransomware.live, CISA KEV, Cloudflare Radar). Die Einordnung ist regelbasiert statt KI-generiert: Jede Aussage lässt sich direkt auf die gezeigten Zahlen zurückführen. Was die Quellen nicht sehen, etwa bezahlte Lösegelder oder nicht gemeldete Vorfälle, fehlt auch im Report.
n'guard übersetzt die Lage in eine Einschätzung Ihrer eigenen Exposition: kostenloser Dark Web & Exposure Check, Penetrationstest oder laufende Überwachung im Managed SOC.