Cyber-Lagebericht Deutschland, September 2026

Im Zeitraum September 2026 wurden 38 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich weniger als im Vorzeitraum August 2026 (68). Am aktivsten war die Gruppe LAMASHTU mit 5 Nennungen (13 %), insgesamt waren 19 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Technologie und IT (6), Industrie und Fertigung (6), Gesundheitswesen (6). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 11, Österreich 4, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.

Die US-Behörde CISA hat im Zeitraum 43 Schwachstellen neu als aktiv ausgenutzt eingestuft. Betroffen waren vor allem Produkte von Cisco, Citrix, MikroTik. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Bei DDoS-Angriffen lag Deutschland in den letzten 28 Tagen auf Rang 6 der am häufigsten angegriffenen Länder (Netzwerkebene, Anteil 1,83 % des weltweit gemessenen Angriffsverkehrs laut Cloudflare Radar).

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.