Ransomware-Welle 2026: Qilin greift Fertigung und Bau im Mittelstand an

In der ersten Jahreshälfte 2026 wurden laut einer Bitdefender-Auswertung insgesamt 176 deutsche Unternehmen öffentlich als Ransomware-Opfer gelistet — Deutschland belegt damit weltweit Rang 4, knapp hinter USA, Kanada und Großbritannien. Die monatliche Fallzahl hat sich in dieser Zeit nahezu verdoppelt: von 22 Vorfällen im Januar auf 42 im Juni 2026. Die aktivste Gruppe in Deutschland heißt Qilin — und sie hat es besonders auf Fertigungs- und Baubetriebe abgesehen.

Für Unternehmen im Ruhrgebiet, einer der produktionsstärksten Industrieregionen Deutschlands, ist das keine abstrakte Warnung. Es ist eine laufende Bedrohung mit konkreten Opfern — auch aus Branchen, die den Kreis Recklinghausen und das gesamte Ruhrgebiet prägen.

Hinweis: Dieser Beitrag dient der allgemeinen Information und ist keine Rechts- oder Sicherheitsberatung. Sicherheitsvorfälle erfordern professionelle Unterstützung. Stand: August 2026.

Wie ernst ist die Lage? Das Ransomware-Lagebild Deutschland H1 2026

Die Bitdefender-Analyse, die am 11. August 2026 bei netzpalaver.de veröffentlicht wurde, erfasst ausschließlich Angriffe, die Ransomware-Gruppen auf ihren öffentlichen Leak-Seiten selbst publizierten. Die tatsächliche Dunkelziffer liegt erheblich höher: Wird Lösegeld gezahlt, unterbleibt eine öffentliche Nennung häufig.

Was die Zahlen trotzdem klar zeigen: Im ersten Halbjahr 2026 wurden weltweit 4.641 Ransomware-Angriffe öffentlich beansprucht — gegenüber 4.381 im Vorjahreszeitraum. Deutschland steht mit 176 betroffenen Unternehmen auf Rang 4 weltweit. Der Trend zeigt nach oben, nicht auf ein Plateau.

Wer ist Qilin — und warum trifft es Fertigung und Bau so hart?

Qilin betreibt ein Ransomware-as-a-Service-Modell (RaaS): Die Gruppe entwickelt die Schadsoftware, beschafft Zugangsdaten und teilt Lösegeldzahlungen mit Partnergruppen (Affiliates). In Deutschland war Qilin im bisherigen Jahr 2026 mit 30 beanspruchten Opfern die aktivste Ransomware-Gruppe — deutlich vor Akira (21) und Safepay (14). Weltweit verzeichnete Qilin 1.358 beanspruchte Opfer, ein Anstieg von 443 Prozent gegenüber dem Vorjahr, in mehr als 50 Ländern.

Die Fertigungsindustrie ist in Deutschland der am stärksten betroffene Sektor: In den ersten fünf Monaten 2026 wurden 46 Fertigungsunternehmen als Opfer gelistet — 25,3 Prozent aller deutschen Ransomware-Vorfälle. Im DACH-Raum zählen Bauwesen, Technologie, Finanzen und Gesundheitswesen ebenfalls zu den Hauptzielen.

Aktuelle Opfer aus dem Bereich Fertigung und Bau, die Qilin auf seiner Leak-Seite veröffentlichte: Clausing Tiefbau (08.08.2026) und Roth Industries (Juni 2026). Diese Namen stehen für die Branchen, die auch im Ruhrgebiet und im Kreis Recklinghausen das Rückgrat der regionalen Wirtschaft bilden: Metallverarbeitung, Maschinenbau, Tiefbau, Logistik.

Warum trifft es diese Branchen besonders?

• Produktionsdruck: Jede Stunde Stillstand kostet mehrere tausend Euro. Angreifer setzen genau darauf, um Lösegeldforderungen durchzusetzen.
• Gewachsene IT-Strukturen: Ältere, selten aktualisierte Systeme bieten eine breite Angriffsfläche mit bekannten Schwachstellen.
• Vermischte OT/IT-Netze: Wenn Büro-IT und Produktionssteuerung nicht segmentiert sind, kann Ransomware von einem befallenen Bürorechner auf Maschinen, SPS und SCADA-Systeme übergreifen — mit Folgen weit über den Datenverlust hinaus.

Wie kommt Ransomware in den Betrieb?

Die wichtigsten Einstiegsvektoren im Jahr 2026:

• Infostealer und gestohlene Zugangsdaten: Unauffällige Schadsoftware stiehlt im Hintergrund Browser-Passwörter, VPN-Zugangsdaten und gespeicherte Tokens. Die erbeuteten Daten werden im Untergrund verkauft — und Monate später gezielt für Ransomware-Angriffe genutzt. Rund jedes fünfte Qilin-Opfer hatte eine Unternehmensdomäne, die zuvor in Infostealer-Protokollen aufgetaucht war.
• Ungepatchte VPN- und Remote-Access-Systeme: Bekannte, aber nicht geschlossene Schwachstellen in VPN-Gateways und Remote-Desktop-Zugängen sind ein bevorzugter Einstieg für Qilin und vergleichbare Gruppen.
• Phishing: Täuschend echte E-Mails verleiten Mitarbeiter, Zugangsdaten preiszugeben oder schädliche Anhänge zu öffnen. Social Engineering bleibt ein verbreiteter und kostengünstiger Erstvektor für Angreifer.

7 Sofortmaßnahmen, die jetzt den Unterschied machen

Die folgenden Prioritäten basieren auf den Empfehlungen des BSI und dem CISA Ransomware Guide:

1. MFA für alle Remote-Zugänge aktivieren. VPN, RDP, E-Mail und Admin-Oberflächen müssen sofort mit Multi-Faktor-Authentifizierung gesichert werden. Phishing-resistente Verfahren (FIDO2/Passkeys) sind SMS-OTP deutlich überlegen — SMS-Codes können abgefangen oder per SIM-Swapping umgeleitet werden.

2. Offline-Backups anlegen und Wiederherstellung regelmäßig testen. Mindestens eine Backup-Kopie muss vom Netzwerk getrennt (offline) aufbewahrt werden. Entscheidend: regelmäßige Restore-Tests. Ein Backup, das im Notfall nicht wiederhergestellt werden kann, bietet keinen echten Schutz.

3. Patch-Management — VPN-Gateways und exponierte Systeme zuerst. Ungepatchte VPN-Zugänge sind Qilins bevorzugter Einstiegspunkt. Der öffentliche CISA-KEV-Katalog (Known Exploited Vulnerabilities) liefert eine priorisierte Liste der dringlichsten bekannten Schwachstellen.

4. Netzwerksegmentierung: OT- und IT-Netze trennen. Produktions- und Büronetz gehören in separate Segmente ohne ungefilterte Verbindungen. Das verhindert, dass Ransomware von einem kompromittierten Bürorechner auf Maschinen und Steuerungen überspringt.

5. Privilegierte Konten absichern (Least Privilege, PAM). Domain-Admin-Konten dürfen nicht für Alltagsaufgaben genutzt werden. Privilegierte Zugänge sollten über ein Privileged-Access-Management-System verwaltet, protokolliert und zeitlich begrenzt werden.

6. Mitarbeiter schulen — Phishing-Simulationen einplanen. Regelmäßige Awareness-Trainings und realistische Phishing-Simulationen helfen Büro- und Verwaltungspersonal, verdächtige Nachrichten zu erkennen und korrekt zu reagieren.

7. Incident-Response-Plan aufstellen und üben. Ohne geübte Prozesse verlieren Betriebe im Ernstfall wertvolle Stunden. Der Plan muss offline verfügbare Kommunikationswege, Eskalationsketten, BSI-Meldepflichten und Kontaktdaten von Incident-Response-Spezialisten enthalten.

Einen grundsätzlichen Überblick zu präventiven Maßnahmen bietet unser Beitrag Ransomware-Schutz für kleine Unternehmen.

Was tun, wenn es trotzdem passiert?

Betroffene Systeme sofort vom Netzwerk isolieren — aber nicht neu starten oder bereinigen, da forensische Spuren sonst verloren gehen. Lösegeld zahlen ist keine zuverlässige Lösung: In einem erheblichen Teil der Fälle funktioniert die versprochene Entschlüsselung nicht vollständig, und jede Zahlung finanziert weitere Angriffe. Das BSI-CERT-Bund steht für Meldungen und erste Orientierung zur Verfügung. Für NIS2-pflichtige Unternehmen besteht zudem eine gesetzliche Meldepflicht.

Jetzt handeln — bevor es zu spät ist

Wenn Sie nicht sicher sind, ob Ihre IT-Infrastruktur gegen die aktuellen Angriffsmethoden ausreichend geschützt ist, sprechen Sie uns an. Wir analysieren Ihre Angriffsfläche, priorisieren die Maßnahmen und helfen Ihnen, im Ernstfall handlungsfähig zu bleiben — für Betriebe im Ruhrgebiet, im Kreis Recklinghausen und darüber hinaus.