Cyber Intelligence
Threat Reports
Im Zeitraum April 2026 wurden 50 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum März 2026 (32). Am aktivsten war die Gruppe QILIN mit 9 Nennungen (18 %), insgesamt waren 23 verschiedene Gruppen aktiv.
Powered by n'guard Cyber Security
Im Zeitraum April 2026 wurden 50 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum März 2026 (32). Am aktivsten war die Gruppe QILIN mit 9 Nennungen (18 %), insgesamt waren 23 verschiedene Gruppen aktiv.
Am stärksten betroffen waren die Branchen Industrie und Fertigung (14), Beratung und Dienstleistungen (9), Handel und E-Commerce (9). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.
Zum Vergleich im gleichen Zeitraum: Schweiz 9, Österreich 8, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.
Die US-Behörde CISA hat im Zeitraum 31 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 9 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Cisco, SimpleHelp . Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.
Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.
Hersteller mit den meisten Einträgen: Microsoft (8), Cisco (3), SimpleHelp (2), Adobe (2), Fortinet (2), WebPros (1).
| CVE | Produkt | Schwachstelle | Aufgenommen | |
|---|---|---|---|---|
| CVE-2026-41940 | WebPros cPanel & WHM and WP2 (WordPress Squared) | WebPros cPanel & WHM and WP2 (WordPress Squared) Missing Authentication for Critical Function Vulnerability | 30.04.2026 | Ransomware |
| CVE-2024-1708 | ConnectWise ScreenConnect | ConnectWise ScreenConnect Path Traversal Vulnerability | 28.04.2026 | Ransomware |
| CVE-2026-32202 | Microsoft Windows | Microsoft Windows Protection Mechanism Failure Vulnerability | 28.04.2026 | |
| CVE-2025-29635 | D-Link DIR-823X | D-Link DIR-823X Command Injection Vulnerability | 24.04.2026 | |
| CVE-2024-7399 | Samsung MagicINFO 9 Server | Samsung MagicINFO 9 Server Path Traversal Vulnerability | 24.04.2026 | |
| CVE-2024-57728 | SimpleHelp SimpleHelp | SimpleHelp Path Traversal Vulnerability | 24.04.2026 | Ransomware |
| CVE-2024-57726 | SimpleHelp SimpleHelp | SimpleHelp Missing Authorization Vulnerability | 24.04.2026 | Ransomware |
| CVE-2026-39987 | Marimo Marimo | Marimo Remote Code Execution Vulnerability | 23.04.2026 | |
| CVE-2026-33825 | Microsoft Defender | Microsoft Defender Insufficient Granularity of Access Control Vulnerability | 22.04.2026 | Ransomware |
| CVE-2026-20122 | Cisco Catalyst SD-WAN Manger | Cisco Catalyst SD-WAN Manager Incorrect Use of Privileged APIs Vulnerability | 20.04.2026 | |
| CVE-2026-20133 | Cisco Catalyst SD-WAN Manager | Cisco Catalyst SD-WAN Manager Exposure of Sensitive Information to an Unauthorized Actor Vulnerability | 20.04.2026 | |
| CVE-2025-2749 | Kentico Kentico Xperience | Kentico Xperience Path Traversal Vulnerability | 20.04.2026 | |
| CVE-2023-27351 | PaperCut NG/MF | PaperCut NG/MF Improper Authentication Vulnerability | 20.04.2026 | Ransomware |
| CVE-2025-48700 | Synacor Zimbra Collaboration Suite (ZCS) | Synacor Zimbra Collaboration Suite (ZCS) Cross-site Scripting Vulnerability | 20.04.2026 | |
| CVE-2026-20128 | Cisco Catalyst SD-WAN Manager | Cisco Catalyst SD-WAN Manager Storing Passwords in a Recoverable Format Vulnerability | 20.04.2026 | |
| CVE-2025-32975 | Quest KACE Systems Management Appliance (SMA) | Quest KACE Systems Management Appliance (SMA) Improper Authentication Vulnerability | 20.04.2026 | |
| CVE-2024-27199 | JetBrains TeamCity | JetBrains TeamCity Relative Path Traversal Vulnerability | 20.04.2026 | Ransomware |
| CVE-2026-34197 | Apache ActiveMQ | Apache ActiveMQ Improper Input Validation Vulnerability | 16.04.2026 | |
| CVE-2009-0238 | Microsoft Office | Microsoft Office Remote Code Execution | 14.04.2026 | |
| CVE-2026-32201 | Microsoft SharePoint Server | Microsoft SharePoint Server Improper Input Validation Vulnerability | 14.04.2026 | |
| CVE-2012-1854 | Microsoft Visual Basic for Applications (VBA) | Microsoft Visual Basic for Applications Insecure Library Loading Vulnerability | 13.04.2026 | |
| CVE-2025-60710 | Microsoft Windows | Microsoft Windows Link Following Vulnerability | 13.04.2026 | Ransomware |
| CVE-2023-21529 | Microsoft Exchange Server | Microsoft Exchange Server Deserialization of Untrusted Data Vulnerability | 13.04.2026 | Ransomware |
| CVE-2023-36424 | Microsoft Windows | Microsoft Windows Out-of-Bounds Read Vulnerability | 13.04.2026 | |
| CVE-2020-9715 | Adobe Acrobat | Adobe Acrobat Use-After-Free Vulnerability | 13.04.2026 |
| Datum | Vorfall |
|---|---|
| 30.04.2026 | Dienstleister für Webshops, 4SELLERS, Opfer eines Cyberangriffs Le prestataire de services 4SELLERS, spécialisé dans les solutions e-commerce allemandes, a été victime d'une cyberattaque par rançongiciel (ransomware) en pleine nuit du 30 avril 2026. |
| 18.04.2026 | Ransomware Vorfall Le 18 avril 2026, le système informatique de la WG Neukölln a été visé par une cyberattaque par rançongiciel au cours de laquelle des données ont été chiffrées et copiées, notamment des documents relatifs à ses membres et partenaires commerciaux, … |
| 16.04.2026 | IT-Forensikteam analysiert Cyberangriff auf Verbandsgemeindeverwaltung - Tourismusbeitrag-so-nicht L'administration et les services publics de Sprendlingen-Gensingen ont été paralysés par une attaque de ransomware survenue le jeudi 16 avril 2026. En réponse, l'ensemble des systèmes informatiques a été déconnecté du réseau, entraînant une interruption des services administratifs et des … |
| 15.04.2026 | Cyberangriff in Saarbrücken: Uni soll erpresst worden sein Environ 40 000 enregistrements de données d'étudiants de l'Université du Saarlandes auraient été volés lors d'une cyberattaque. La justice soupçonne un jeune homme du district régional de Saarbrücken d'avoir accédé sans autorisation à une plateforme d'apprentissage à la mi-avril, en … |
| 14.04.2026 | Uniklinik Freiburg von Cyberangriff betroffen: Hacker entwenden Daten von 54.000 Patienten bei Dienstleister La Freiburger Uniklinik a subi un vol massif vol de données (diagnostics, adresses, factures) suite à un vol de données par un prestataire externe, la société Unimed du Saarland. D'autres universités médicales dans le Bade-Wurtemberg (Tübingen, Ulm, Heidelberg-Mannheim) ont également … |
| 12.04.2026 | Autovista Applications - JD Power Autovista L'entreprise Autovista subit actuellement une cyberattaque par ransomware affectant certains de ses systèmes en Europe et en Australie. Des experts externes ont été mobilisés pour mener une enquête approfondie et contenir l'incident, qui perturbe notamment l'accès aux courriels de certains … |
Die n'guard Threat Reports sind kostenlose, automatisch erstellte Cyber-Lageberichte pro Land und Zeitraum. Jeder Report fasst zusammen, was im gewählten Monat oder Quartal öffentlich sichtbar war: wie viele Organisationen aus dem Land auf Ransomware-Leak-Sites genannt wurden, welche Gruppen aktiv waren, welche Branchen betroffen waren, wie sich das im DACH-Raum vergleicht, welche Schwachstellen neu als aktiv ausgenutzt eingestuft wurden und welche Cyberangriffe öffentlich gemeldet wurden. Dazu kommen eine Einordnung in deutscher Sprache und konkrete Handlungsempfehlungen für KMU.
Die Reports richten sich an Geschäftsleitungen, Verwaltungsräte, IT-Verantwortliche und Sicherheitsbeauftragte, die für Risikositzungen, Budgetentscheide oder interne Kommunikation eine faktenbasierte Lageeinschätzung brauchen, ohne selbst Quellen auswerten zu müssen. Jeder Report lässt sich mit einem Klick als PDF speichern.
Vollautomatisch aus öffentlichen Quellen (ransomware.live, CISA KEV, Cloudflare Radar). Die Einordnung ist regelbasiert statt KI-generiert: Jede Aussage lässt sich direkt auf die gezeigten Zahlen zurückführen. Was die Quellen nicht sehen, etwa bezahlte Lösegelder oder nicht gemeldete Vorfälle, fehlt auch im Report.
n'guard übersetzt die Lage in eine Einschätzung Ihrer eigenen Exposition: kostenloser Dark Web & Exposure Check, Penetrationstest oder laufende Überwachung im Managed SOC.