# Cyber-Lagebericht Deutschland, Juli 2026

> Im Zeitraum Juli 2026 wurden 58 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum Juni 2026 (49). Am aktivsten war die Gruppe SAFEPAY mit 23 Nennungen (40 %), insgesamt waren 16 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/de/2026-07/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.07.2026 bis 31.07.2026 (Vergleich: Juni 2026)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 58 (+18 % gegenüber Juni 2026: 49)
- Aktive Ransomware-Gruppen: 10
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 26, davon mit Ransomware-Bezug: 4
- Öffentlich gemeldete Cyberangriffe: 10

## Einordnung

Im Zeitraum Juli 2026 wurden 58 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum Juni 2026 (49). Am aktivsten war die Gruppe SAFEPAY mit 23 Nennungen (40 %), insgesamt waren 16 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (12), Beratung und Dienstleistungen (11), Technologie und IT (7). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 13, Österreich 4, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.

Die US-Behörde CISA hat im Zeitraum 26 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 4 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Fortinet, Cisco. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| SAFEPAY | 23 |
| THEGENTLEMEN | 11 |
| QILIN | 4 |
| DEADLOCK | 4 |
| MEDUSALOCKER | 3 |
| SETTRA | 2 |
| LOCKBIT5 | 2 |
| AURORA | 1 |
| GLOBAL SECRET GROUP | 1 |
| M3RX | 1 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 12 |
| Beratung und Dienstleistungen | 11 |
| Nicht zugeordnet | 7 |
| Technologie und IT | 7 |
| Energie und Versorgung | 3 |
| Handel und E-Commerce | 3 |
| Weitere | 3 |
| Finanzdienstleistungen | 3 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 13 |
| Deutschland | 58 |
| Österreich | 4 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-20316 | Cisco Secure Firewall Management Center (FMC) | Cisco Secure Firewall Management Center Use of Hard-coded Password Vulnerability | 29.07.2026 | ja |
| CVE-2025-68686 | Fortinet FortiOS | Fortinet FortiOS Exposure of Sensitive Information to an Unauthorized Actor Vulnerability | 27.07.2026 | nein |
| CVE-2026-16812 | Arista VeloCloud Orchestrator | Arista VeloCloud Orchestrator On-Prem OS Command Injection Vulnerability | 27.07.2026 | nein |
| CVE-2026-16232 | Check Point SmartConsole | Check Point SmartConsole Improper Authentication Vulnerability | 22.07.2026 | nein |
| CVE-2026-50522 | Microsoft SharePoint | Microsoft SharePoint Deserialization of Untrusted Data Vulnerability  | 22.07.2026 | nein |
| CVE-2026-60137 | WordPress Core | WordPress Core SQL Injection Vulnerability | 21.07.2026 | nein |
| CVE-2026-63030 | WordPress Core | WordPress Core Interpretation Conflict Vulnerability | 21.07.2026 | nein |
| CVE-2026-0770 | Langflow Langflow | Langflow Inclusion of Functionality from Untrusted Control Sphere Vulnerability | 21.07.2026 | nein |
| CVE-2021-27137 | DD-WRT DD-WRT | DD-WRT Stack-Based Buffer Overflow Vulnerability | 21.07.2026 | nein |
| CVE-2026-58644 | Microsoft SharePoint | Microsoft SharePoint Deserialization of Untrusted Data Vulnerability | 16.07.2026 | nein |
| CVE-2026-25089 | Fortinet FortiSandbox | Fortinet FortiSandbox OS Command Injection Vulnerability | 16.07.2026 | nein |
| CVE-2026-39808 | Fortinet FortiSandbox | Fortinet FortiSandbox OS Command Injection Vulnerability | 16.07.2026 | nein |
| CVE-2026-46817 | Oracle E-Business Suite | Oracle E-Business Suite Improper Privilege Management Vulnerability | 15.07.2026 | nein |
| CVE-2023-4346 | KNX Association KNX Protocol Connection Authorization Option 1 | KNX Association KNX Protocol Connection Authorization Option 1 Overly Restrictive Account Lockout Mechanism Vulnerability | 15.07.2026 | nein |
| CVE-2026-56155 | Microsoft Active Directory Federation Services | Microsoft Active Directory Federation Services Insufficient Granularity of Access Control Vulnerability  | 14.07.2026 | nein |
| CVE-2026-56164 | Microsoft SharePoint Server | Microsoft SharePoint Server Missing Authentication for Critical Function Vulnerability | 14.07.2026 | nein |
| CVE-2026-15409 | SonicWall SMA1000 Appliances | SonicWall SMA1000 Appliances Server-Side Request Forgery Vulnerability | 14.07.2026 | ja |
| CVE-2026-15410 | SonicWall SMA1000 Appliances | SonicWall SMA1000 Appliances Code Injection Vulnerability | 14.07.2026 | ja |
| CVE-2008-4128 | Cisco IOS | Cisco IOS Cross-Site Request Forgery Vulnerability | 13.07.2026 | nein |
| CVE-2026-56291 | Balbooa Forms | Balbooa Forms Unrestricted Upload of File with Dangerous Type Vulnerability | 10.07.2026 | nein |
| CVE-2026-48939 | iCagenda iCagenda | iCagenda Unrestricted Upload of File with Dangerous Type Vulnerability | 10.07.2026 | nein |
| CVE-2026-48908 | JoomShaper SP Page Builder | JoomShaper SP Page Builder Unrestricted Upload of File with Dangerous Type Vulnerability | 07.07.2026 | nein |
| CVE-2026-55255 | Langflow Langflow | Langflow Authorization Bypass Through User-Controlled Key Vulnerability | 07.07.2026 | nein |
| CVE-2026-56290 | Joomlack Page Builder | Joomlack Page Builder Improper Access Control Vulnerability | 07.07.2026 | nein |
| CVE-2026-48282 | Adobe ColdFusion | Adobe ColdFusion Path Traversal Vulnerability | 07.07.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 25.07.2026: Webseite vorerst abgeschaltet: Krefeld Pinguine werden Opfer eines Cyberangriffs (https://rp-online.de/nrw/staedte/krefeld/krefeld-pinguine-werden-opfer-eines-cyberangriffs_aid-152093095)
- 21.07.2026: Cyberangriff auf Obermain Therme in Bad Staffelstein (https://www.fraenkischertag.de/lokales/lichtenfels/wirtschaft/cyberangriff-auf-webseite-der-obermain-therme-bad-staffelstein-art-575585)
- 20.07.2026: Cyberangriff auf ZTN Süd in Warthausen – Ermittlungen laufen (https://www.wochenblatt-news.de/region-biberach/biberach/cyberangriff-auf-ztn-sued-in-warthausen-ermittlungen-laufen/)
- 16.07.2026: Cyberangriff in Rhein-Nahe: Bürgerdienste eingeschränkt (https://www.wochenblatt-reporter.de/c-ratgeber/cyberangriff-in-rhein-nahe-buergerdienste-eingeschraenkt_a846282)
- 16.07.2026: Mülheim: UPDATE zu Hackerangriff auf Stadtverwaltung (https://www.radiomuelheim.de/artikel/muelheim-update-zu-hackerangriff-auf-stadtverwaltung-2705900)
- 16.07.2026: Wriezener Stadtverwaltung ist Opfer von Cyberangriff (https://www.rbb24.de/panorama/beitrag/2026/07/cyberangriff-auf-stadtverwaltung-wriezen.html)
- 15.07.2026: Osnabrück: Verstärkte Sicherheitsmaßnahmen nach Cyberangriff (https://www.ndr.de/fernsehen/sendungen/hallo_niedersachsen/osnabrueck-verstaerkte-sicherheitsmassnahmen-nach-cyberangriff,hallonds-10294.html)
- 15.07.2026: Stadtverwaltung Döbeln (https://kommunaler-notbetrieb.de/2026/07/23/stadtverwaltung-doebeln/)
- 15.07.2026: Cyberangriff auf städtische Einrichtungen in Leipzig: Hacker erbeuten interne Daten (https://www.tag24.de/leipzig/crime/cyberangriff-auf-staedtische-einrichtungen-in-leipzig-hacker-erbeuten-interne-daten-3517541)
- 03.07.2026: Cyberattacke auf Airport: Flughafen Hahn wird zum Ziel eines Hackerangriffs – Behörden prüfen den Vorfall (https://www.volksfreund.de/region/rheinland-pfalz/hackerangriff-auf-flughafen-hahn-betrieb-laeuft-weiter_aid-151045669)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.