# Cyber-Lagebericht Deutschland, Q2 2026

> Im Zeitraum Q2 2026 wurden 138 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum Q1 2026 (91). Am aktivsten war die Gruppe QILIN mit 17 Nennungen (12 %), insgesamt waren 40 verschiedene Gruppen aktiv.

- URL: https://nguard.swiss/threat-reports/de/2026-q2/
- Herausgeber: n'guard.swiss, Cyber-Security-Marke der n'cloud.swiss AG
- Zeitraum: 01.04.2026 bis 30.06.2026 (Vergleich: Q1 2026)
- Stand: 18.10.2026
- Quellen: ransomware.live (Leak-Site-Monitoring und Presse-Sammlung); CISA Known Exploited Vulnerabilities Catalog
- Nutzung: Weitergabe mit Quellenangabe «n'guard Threat Report» erwünscht

## Kennzahlen

- Ransomware-Nennungen: 138 (+52 % gegenüber Q1 2026: 91)
- Aktive Ransomware-Gruppen: 10
- Neu aktiv ausgenutzte Schwachstellen (CISA KEV): 75, davon mit Ransomware-Bezug: 15
- Öffentlich gemeldete Cyberangriffe: 20

## Einordnung

Im Zeitraum Q2 2026 wurden 138 Organisationen aus Deutschland auf den Veröffentlichungsseiten von Ransomware-Gruppen genannt, deutlich mehr als im Vorzeitraum Q1 2026 (91). Am aktivsten war die Gruppe QILIN mit 17 Nennungen (12 %), insgesamt waren 40 verschiedene Gruppen aktiv.

Am stärksten betroffen waren die Branchen Industrie und Fertigung (40), Beratung und Dienstleistungen (28), Technologie und IT (19). Leak-Site-Nennungen zeigen nur den Teil der Angriffe, bei dem das Opfer nicht bezahlt hat oder die Gruppe Druck aufbauen wollte. Die tatsächliche Zahl der Ransomware-Vorfälle liegt erfahrungsgemäss deutlich höher.

Zum Vergleich im gleichen Zeitraum: Schweiz 19, Österreich 20, Liechtenstein 0. Da Ransomware-Gruppen opportunistisch vorgehen, bilden Angriffswellen in Nachbarländern in der Regel auch das Risiko für Deutschland ab.

Die US-Behörde CISA hat im Zeitraum 75 Schwachstellen neu als aktiv ausgenutzt eingestuft, davon 15 mit bekannter Nutzung in Ransomware-Kampagnen. Betroffen waren vor allem Produkte von Microsoft, Cisco, SimpleHelp . Diese Liste ist die verlässlichste Priorisierungshilfe fürs Patchen: Was dort steht, wird nachweislich angegriffen, unabhängig vom CVSS-Wert.

Einordnung für KMU: Die drei Muster hinter fast allen genannten Vorfällen sind unverändert: gestohlene oder geleakte Zugangsdaten ohne zweiten Faktor, ungepatchte extern erreichbare Systeme (VPN, Firewall, Mailserver, Fernwartung) und Phishing als Erstzugang. Wer diese drei Punkte adressiert, senkt sein Risiko messbar, unabhängig davon, welche Gruppe gerade am aktivsten ist.

## Aktivste Ransomware-Gruppen

| Gruppe | Nennungen |
| --- | --- |
| QILIN | 17 |
| SAFEPAY | 17 |
| THEGENTLEMEN | 13 |
| DRAGONFORCE | 10 |
| LOCKBIT5 | 9 |
| KRYBIT | 7 |
| AKIRA | 6 |
| AURORA | 4 |
| INCRANSOM | 4 |
| PLAY | 3 |

## Betroffene Branchen

| Branche | Nennungen |
| --- | --- |
| Industrie und Fertigung | 40 |
| Beratung und Dienstleistungen | 28 |
| Technologie und IT | 19 |
| Handel und E-Commerce | 13 |
| Gesundheitswesen | 9 |
| Energie und Versorgung | 5 |
| Öffentliche Hand und Verteidigung | 5 |
| Transport und Logistik | 5 |

## Vergleich im DACH-Raum

| Land | Nennungen |
| --- | --- |
| Schweiz | 19 |
| Deutschland | 138 |
| Österreich | 20 |
| Liechtenstein | 0 |

## Neu als aktiv ausgenutzt eingestufte Schwachstellen

| CVE | Produkt | Schwachstelle | Aufgenommen | Ransomware |
| --- | --- | --- | --- | --- |
| CVE-2026-48558 | SimpleHelp  SimpleHelp | SimpleHelp Authentication Bypass Vulnerability | 29.06.2026 | nein |
| CVE-2026-12569 | PTC Windchill and FlexPLM | PTC Windchill and FlexPLM Improper Input Validation Vulnerability | 25.06.2026 | ja |
| CVE-2026-20230 | Cisco Unified Communications Manager | Cisco Unified Communications Manager Server-Side Request Forgery (SSRF) Vulnerability | 25.06.2026 | nein |
| CVE-2025-67038 | Lantronix EDS5000 | Lantronix EDS5000 Code Injection Vulnerability | 23.06.2026 | nein |
| CVE-2026-34910 | Ubiquiti UniFi OS | Ubiquiti UniFi OS Improper Input Validation Vulnerability | 23.06.2026 | nein |
| CVE-2026-34909 | Ubiquiti UniFi OS | Ubiquiti UniFi OS Path Traversal Vulnerability | 23.06.2026 | nein |
| CVE-2026-34908 | Ubiquiti UniFi OS | Ubiquiti UniFi OS Improper Access Control Vulnerability | 23.06.2026 | nein |
| CVE-2026-20253 | Splunk Enterprise | Splunk Enterprise Missing Authentication for Critical Function Vulnerability | 18.06.2026 | nein |
| CVE-2026-48907 | Widget Factory Joomla Content Editor  | Widget Factory Joomla Content Editor Improper Access Control Vulnerability | 16.06.2026 | nein |
| CVE-2026-54420 | LiteSpeed cPanel Plugin | LiteSpeed cPanel Plugin UNIX Symbolic Link (Symlink) Following Vulnerability | 15.06.2026 | nein |
| CVE-2026-20262 | Cisco Catalyst SD-WAN Manager | Cisco Catalyst SD-WAN Manager Directory or Path Traversal Vulnerability | 15.06.2026 | nein |
| CVE-2026-35273 | Oracle  PeopleSoft Enterprise PeopleTools | Oracle PeopleSoft Enterprise PeopleTools Missing Authentication for Critical Function Vulnerability | 12.06.2026 | ja |
| CVE-2026-10520 | Ivanti Sentry | Ivanti Sentry OS Command Injection Vulnerability | 11.06.2026 | nein |
| CVE-2026-11645 | Google Chromium V8 | Google Chromium V8 Out-of-Bounds Read and Write Vulnerability | 09.06.2026 | nein |
| CVE-2026-7473 | Arista Extensible Operating System | Arista Extensible Operating System Incomplete Comparison with Missing Factors Vulnerability | 09.06.2026 | nein |
| CVE-2026-20245 | Cisco Catalyst SD-WAN Manager | Cisco Catalyst SD-WAN Manager Improper Encoding or Escaping of Output Vulnerability | 09.06.2026 | nein |
| CVE-2026-42271 | BerriAI LiteLLM | BerriAI LiteLLM Command Injection Vulnerability | 08.06.2026 | nein |
| CVE-2026-50751 | Check Point Security Gateway | Check Point Security Gateway Improper Authentication Vulnerability | 08.06.2026 | ja |
| CVE-2026-28318 | SolarWinds Serv-U | SolarWinds Serv-U Uncontrolled Resource Consumption Vulnerability | 05.06.2026 | nein |
| CVE-2026-45247 | Mirasvit Mirasvit Full Page Cache Warmer | Mirasvit Full Page Cache Warmer Deserialization of Untrusted Data Vulnerability | 03.06.2026 | nein |
| CVE-2022-0492 | Linux Kernel | Linux Kernel Improper Authentication Vulnerability | 02.06.2026 | nein |
| CVE-2025-48595 | Android Framework | Android Framework Integer Overflow Vulnerability | 02.06.2026 | nein |
| CVE-2024-21182 | Oracle WebLogic Server | Oracle WebLogic Server Unspecified Vulnerability | 01.06.2026 | nein |
| CVE-2026-0257 | Palo Alto Networks PAN-OS | Palo Alto Networks PAN-OS Authentication Bypass Vulnerability | 29.05.2026 | ja |
| CVE-2026-48027 | Nx Nx Console | Nx Console Embedded Malicious Code Vulnerability | 27.05.2026 | ja |

## Öffentlich gemeldete Cyberangriffe
- 30.06.2026: Cyber-Angriff legt die Stadtverwaltung Furtwangen lahm – das sind die Folgen (https://www.suedkurier.de/schwarzwald/cyber-angriff-auf-die-stadtverwaltung-furtwangen-114629086)
- 28.06.2026: Cyberangriff auf Energieversorger: Landeskriminalamt ermittelt – „Kunden haben Fragen“ (https://www.wa.de/lokales/bergkamen/cyberangriff-auf-energieversorger-landeskriminalamt-ermittelt-94374543.html)
- 25.06.2026: Mutmaßlich russische Hacker attackieren Bremer Rüstungsfirma - buten un binnen (https://www.butenunbinnen.de/nachrichten/tkms-hacker-bremen-100.html)
- 22.06.2026: Attacke auf IT des Flughafens: Cyberangriff auf Hahn: Steckt „SafePay“-Bande dahinter? - Rheinland-Pfalz - Rhein-Zeitung (https://www.rhein-zeitung.de/rheinland-pfalz/cyberangriff-auf-hahn-steckt-safepay-bande-dahinter_arid-4140266.html)
- 19.06.2026: Cyberangriff auf das Badische Landesmuseum in Karlsruhe (https://www.swr.de/swraktuell/baden-wuerttemberg/karlsruhe/cyber-angriff-badisches-landesmuseum-karlsruhe-100.html)
- 18.06.2026: Cyberangriff trifft Stadttheater Gießen: „Wir spielen weiter“ (https://www.mittelhessen.de/lokales/kreis-giessen/giessen/cyberangriff-auf-stadttheater-giessen-wir-spielen-weiter-5818068)
- 18.06.2026: Stadt schaltet Verwaltungsnetz wegen Cyberangriff ab (https://www.mz.de/panorama/stadt-schaltet-verwaltungsnetz-wegen-cyberangriff-ab-4270095)
- 16.06.2026: (+) Cyberangriff: Was Hamburger Energienetz-Kunden jetzt wissen müssen (https://www.mopo.de/hamburg/hamburger-energienetze-betroffen-kundendaten-bei-cyberangriff-gestohlen/4886082)
- 10.06.2026: Cyberangriff an Osteuropa-Zentrum in Berlin: Auch Kontodaten könnten abgeflossen sein (https://www.tagesspiegel.de/wissen/cyberangriff-an-osteuropa-zentrum-in-berlin-auch-kontodaten-konnten-abgeflossen-sein-15749813.html)
- 05.06.2026: Wein- und Ferienregion Bernkastel-Kues GmbH Opfer eines Cyberangriffs (https://borncity.com/blog/2026/06/25/wein-und-ferienregion-bernkastel-kues-gmbh-opfer-eines-cyberangriffs/)
- 02.06.2026: Cyber-Schock: Hacker legen Neuwoges lahm – Mieter, Pflegeheim und Tierheim betroffen (https://www.nordkurier.de/regional/neubrandenburg/cyber-schock-hacker-legen-wohnungsunternehmen-lahm-mieter-pflegeheim-und-tierheim-betroffen-4623454)
- 01.06.2026: Cyberangriff auf Gemeinde: Einen Monat lang keine E-Mails möglich (https://www.schwaebische-post.de/ostalb/ellwangen/adelmannsfelden/hackerangriff-trifft-die-gemeindeverwaltung-adelmannsfelden-94454362.html)
- 28.05.2026: Landeszentrale und Gedenkstätten komplett offline - Cyberangriff (https://www.rheinpfalz.de/lokal/pfalz-ticker_artikel,-landeszentrale-und-gedenkstätten-komplett-offline-_arid,5894846.html)
- 08.05.2026: Information zum Cyberangriff auf die Roth Industries (https://www.roth-industries.com/info-cyberangriff)
- 07.05.2026: Cyberangriff auf Baufirma Heberger - Schifferstadt (https://www.rheinpfalz.de/lokal/ludwigshafen_artikel,-cyberangriff-auf-baufirma-heberger-_arid,5889199.html)
- 04.05.2026: Hackerangriff: Sensible Gesundheitsdaten von Zehntausenden betroffen? (https://www.ndr.de/nachrichten/niedersachsen/hackerangriff-daten-von-zehntausenden-versicherten-betroffen,hackerangriff-132.html)
- 01.05.2026: Hochschule Emden/Leer schaltet nach Cyberangriff zentrale IT-Dienste ab (https://www.noz.de/lokales/rheiderland/regional/artikel/cyberangriff-auf-hochschule-emdenleer-it-teils-offline-50594356)
- 30.04.2026: Dienstleister für Webshops, 4SELLERS, Opfer eines Cyberangriffs (https://borncity.com/blog/2026/05/05/dienstleister-fuer-webshops-4sellers-opfer-eines-cyberangriffs/)
- 18.04.2026: Ransomware Vorfall (https://www.gwneukoelln.de/files/19DBB434D2F/Ransomware%20Vorfall.pdf)
- 16.04.2026: IT-Forensikteam analysiert Cyberangriff auf Verbandsgemeindeverwaltung - Tourismusbeitrag-so-nicht (https://tourismusbeitrag-so-nicht.de/2026/04/21/it-forensikteam-analysiert-cyberangriff-auf-verbandsgemeindeverwaltung/)

## Handlungsempfehlungen für KMU

1. Zugangsdaten absichern: zweiter Faktor für alle externen Zugänge, geleakte Zugangsdaten der eigenen Domain regelmässig prüfen.
2. Aussengrenze patchen: extern erreichbare Systeme nach CISA KEV priorisieren, nicht nach CVSS.
3. Phishing-Resistenz erhöhen: SPF, DKIM und DMARC (p=reject), regelmässige Schulungen, klarer Meldeweg.
4. Erkennen und reagieren können: Backups offline testen, Notfallplan üben, Protokolle zentral sammeln, bei Bedarf mit einem Managed SOC.

## Hinweis

Leak-Site-Nennungen bilden nur veröffentlichte Angriffe ab. Die tatsächliche Zahl der Vorfälle liegt höher. Die Einordnung ist regelbasiert aus den Zahlen abgeleitet, nicht KI-generiert.