# Cyber-Lagebericht Deutschland, Q1 2026

> Im Zeitraum Q1 2026 wurden 91 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Q4 2025 (84). Am aktivsten war die Gruppe QILIN mit 19 Nennungen (21 %), insgesamt waren 23 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/de/2026-q1/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.01.2026 bis 31.03.2026 (Vergleich: Q4 2025)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 91 (+8 % gegenüber Q4 2025: 84)
- Aktive Ransomware-Gruppen: 10
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 71, davon mit Ransomware-Bezug: 6
- Öffentlich gemeldete Cyberangriffe: 20

## Einordnung

Im Zeitraum Q1 2026 wurden 91 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, etwa gleich viele wie im Vorzeitraum Q4 2025 (84). Am aktivsten war die Gruppe QILIN mit 19 Nennungen (21 %), insgesamt waren 23 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (31), Technologie und IT (14), Beratung und Dienstleistungen (11). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 21, Österreich 11, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.

Die US-Behörde CISA hat im Zeitraum 71 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 6 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Apple, Cisco. Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| QILIN | 19 |
| AKIRA | 16 |
| NIGHTSPIRE | 6 |
| THEGENTLEMEN | 6 |
| PAYOUTSKING | 6 |
| COINBASECARTEL | 5 |
| DRAGONFORCE | 4 |
| LOCKBIT5 | 3 |
| PLAY | 3 |
| SAFEPAY | 3 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 31 |
| Technologie und IT | 14 |
| Beratung und Dienstleistungen | 11 |
| Handel und E-Commerce | 9 |
| Gesundheitswesen | 7 |
| Bildung | 4 |
| Transport und Logistik | 4 |
| Nicht zugeordnet | 4 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 21 |
| Deutschland | 91 |
| Österreich | 11 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-3055 | Citrix NetScaler | Citrix NetScaler Out-of-Bounds Read Vulnerability | 30.03.2026 | nein |
| CVE-2025-53521 | F5 BIG-IP | F5 BIG-IP Stack-Based Buffer Overflow Vulnerability | 27.03.2026 | nein |
| CVE-2026-33634 | Aquasecurity Trivy | Aquasecurity Trivy Embedded Malicious Code Vulnerability | 26.03.2026 | nein |
| CVE-2026-33017 | Langflow Langflow | Langflow Code Injection Vulnerability | 25.03.2026 | nein |
| CVE-2025-32432 | Craft CMS Craft CMS | Craft CMS Code Injection Vulnerability | 20.03.2026 | nein |
| CVE-2025-54068 | Laravel Livewire | Laravel Livewire Code Injection Vulnerability | 20.03.2026 | nein |
| CVE-2025-43510 | Apple Multiple Products | Apple Multiple Products Improper Locking Vulnerability | 20.03.2026 | nein |
| CVE-2025-43520 | Apple Multiple Products | Apple Multiple Products Classic Buffer Overflow Vulnerability | 20.03.2026 | nein |
| CVE-2025-31277 | Apple Multiple Products | Apple Multiple Products Buffer Overflow Vulnerability | 20.03.2026 | nein |
| CVE-2026-20131 | Cisco Secure Firewall Management Center (FMC) | Cisco Secure Firewall Management Center (FMC) Software and Cisco Security Cloud Control (SCC) Firewall Management Deserialization of Untrusted Data Vulnerability | 19.03.2026 | ja |
| CVE-2025-66376 | Synacor Zimbra Collaboration Suite (ZCS) | Synacor Zimbra Collaboration Suite (ZCS) Cross-Site Scripting Vulnerability | 18.03.2026 | nein |
| CVE-2026-20963 | Microsoft SharePoint | Microsoft SharePoint Deserialization of Untrusted Data Vulnerability | 18.03.2026 | nein |
| CVE-2025-47813 | Wing FTP Server Wing FTP Server | Wing FTP Server Information Disclosure Vulnerability | 16.03.2026 | nein |
| CVE-2026-3910 | Google Chromium V8 | Google Chromium V8 Improper Restriction of Operations Within the Bounds of a Memory Buffer Vulnerability | 13.03.2026 | nein |
| CVE-2026-3909 | Google Skia | Google Skia Out-of-Bounds Write Vulnerability | 13.03.2026 | nein |
| CVE-2025-68613 | n8n n8n | n8n Improper Control of Dynamically-Managed Code Resources Vulnerability | 11.03.2026 | nein |
| CVE-2021-22054 | Omnissa Workspace One UEM | Omnissa Workspace ONE Server-Side Request Forgery | 09.03.2026 | nein |
| CVE-2025-26399 | SolarWinds Web Help Desk | SolarWinds Web Help Desk Deserialization of Untrusted Data Vulnerability | 09.03.2026 | ja |
| CVE-2026-1603 | Ivanti  Endpoint Manager (EPM) | Ivanti Endpoint Manager (EPM) Authentication Bypass Vulnerability | 09.03.2026 | nein |
| CVE-2017-7921 | Hikvision Multiple Products | Hikvision Multiple Products Improper Authentication Vulnerability | 05.03.2026 | nein |
| CVE-2021-22681 | Rockwell Multiple Products | Rockwell Multiple Products Insufficient Protected Credentials Vulnerability | 05.03.2026 | nein |
| CVE-2023-43000 | Apple Multiple Products | Apple Multiple products Use-After-Free Vulnerability | 05.03.2026 | nein |
| CVE-2021-30952 | Apple Multiple Products | Apple Multiple Products Integer Overflow or Wraparound Vulnerability | 05.03.2026 | nein |
| CVE-2023-41974 | Apple iOS and iPadOS | Apple iOS and iPadOS Use-After-Free Vulnerability | 05.03.2026 | nein |
| CVE-2026-22719 | Broadcom VMware Aria Operations | Broadcom VMware Aria Operations Command Injection Vulnerability | 03.03.2026 | nein |

## Öffentlich gemeldete Cyberangriffe
- 31.03.2026: IT‑Ausfall an der Berliner Charité: Feuerwehr kann drei Klinikstandorte nicht anfahren (https://www.tagesspiegel.de/berlin/itausfall-an-der-berliner-charite-feuerwehr-kann-drei-klinikstandorte-nicht-anfahren-15421749.html)
- 28.03.2026: ZEGO Textilveredelungszentrum: Insolvenz nach Cyberangriff (https://www.faz.net/aktuell/wirtschaft/unternehmen/zego-textilveredelungszentrum-insolvenz-nach-cyberangriff-201010629.html)
- 26.03.2026: Qilin: Linkspartei meldet russischen Ransomware-Angriff (https://www.heise.de/news/Qilin-Linkspartei-meldet-russischen-Ransomware-Angriff-11227181.html)
- 20.03.2026: Hacker-Attacke auf Berliner Fernheizwerk in Neukölln – Lösegeldforderung (https://www.morgenpost.de/berlin/article411604318/hacker-attacke-auf-berliner-fernheizwerk-in-neukoelln-loesegeldforderung.html)
- 12.03.2026: Cyberangriff? Stadt Herne schaltet IT-Systeme ab – Bürgerservice eingeschränkt (https://www.waz.de/lokales/herne-wanne-eickel/article411437410/cyberangriff-stadt-herne-schaltet-it-systeme-ab-buergerservice-eingeschraenkt.html)
- 08.03.2026: Cyberattacke im Autohaus: Hacker legen Heister lahm: Wie Telenetwork aus Trier das System neu startet (https://www.volksfreund.de/region/rheinland-pfalz/trier-auto-heister-gruppe-lahmgelegt-it-rettung-von-telenetwork_aid-150866277)
- 25.02.2026: IT-Sicherheitsvorfall bei der Stadtverwaltung Konstanz (https://www.konstanz.de/service/presse/pressemitteilungen/it-sicherheitsvorfall+bei+der+stadtverwaltung+konstanz)
- 24.02.2026: Cyberangriff auf Klinik in MV: Das müssen Patienten jetzt beachten (https://www.nordkurier.de/regional/mecklenburg-vorpommern/cyberangriff-auf-klinik-in-mv-das-muessen-patienten-jetzt-beachten-4390256)
- 16.02.2026: Cyberangriff auf Kreis Kassel – Ermittlungen laufen (https://www.n-tv.de/regionales/hessen/Cyberangriff-auf-Kreis-Kassel-Ermittlungen-laufen-id30380886.html)
- 16.02.2026: Franz Sales Haus in Essen wird Opfer von Hackerangriff (https://www.radioessen.de/artikel/franz-sales-haus-in-essen-wird-opfer-von-hackerangriff-2577441)
- 02.02.2026: Hacker greifen städtischen Betrieb "Werkstatt Bremen" massiv an - buten un binnen (https://www.butenunbinnen.de/nachrichten/cyberangriff-polizei-werkstatt-bremen-100.html)
- 23.01.2026: Cyberattacke in Reutlingen: Keine E-Mails, kein Festnetz bei Romina Mineralwasser (https://www.swp.de/lokales/reutlingen/mineralwasser-aus-reutlingen-keine-e-mails-kein-festnetz-cyberattacke-auf-romina-78622235.html)
- 23.01.2026: Cyberattacke in Reutlingen: Keine E-Mails, kein Festnetz bei Romina Mineralwasser (https://www.hs-emden-leer.de/it-sicherheit)
- 22.01.2026: Cyberangriff auf Staatliche Kunstsammlungen Dresden | MDR.DE (https://www.mdr.de/nachrichten/sachsen/dresden/dresden-radebeul/hackerangriff-staatliche-kunstsammlungen-100.html)
- 21.01.2026: Pressemitteilungen (https://www.main-tauber-kreis.de/Landratsamt/Aktuelles/Pressemitteilungen/VGMT-und-Mobilitätszentrale-von-Cyberangriff-betroffen.php)
- 20.01.2026: Cyberangriff auf das IDW - FINANCE (https://www.finance-magazin.de/banking-berater/wirtschaftspruefer/cyberangriff-auf-idw-daten-von-wirtschaftspruefern-und-partnern-abgeflossen-234940/)
- 20.01.2026: Nicht erreichbar: Leinerstift in Großefehn Ziel von Cyber-Kriminellen (https://www.ga-online.de/artikel/1626122/Leinerstift-in-Grossefehn-Ziel-von-Cyber-Kriminellen)
- 20.01.2026: Falscher Sirenenalarm in Querfurt: LKA untersucht möglichen Cyberangriff (https://www.mz.de/lokal/merseburg/sirene-alarm-lka-cyberangriff-4184205)
- 19.01.2026: Eine technische Störung sorgt für Ausfälle von Telefon und Internet bei der Stadt Heinsberg (https://www1.wdr.de/nachrichten/rheinland/mutmasslicher-cyberangriff-heinsberg-100.html)
- 15.01.2026: Hackerangriff legt Heinsberger Stadtverwaltung lahm (https://www.aachener-zeitung.de/region-nrw/hackerangriff-legt-heinsberger-stadtverwaltung-lahm/124334660.html)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.