In der ersten Jahreshälfte 2026 wurden laut einer Bitdefender-Auswertung insgesamt 176 deutsche Unternehmen öffentlich als Ransomware-Opfer gelistet. Deutschland belegt damit weltweit Rang 4, knapp hinter USA, Kanada und Großbritannien. Die monatliche Fallzahl hat sich in dieser Zeit nahezu verdoppelt: von 22 Vorfällen im Januar auf 42 im Juni 2026. Die aktivste Gruppe in Deutschland heißt Qilin, und sie hat es besonders auf Fertigungs- und Baubetriebe abgesehen.
Für Unternehmen im Ruhrgebiet, einer der produktionsstärksten Industrieregionen Deutschlands, ist das keine abstrakte Warnung. Es ist eine laufende Bedrohung mit konkreten Opfern, auch aus Branchen, die den Kreis Recklinghausen und das gesamte Ruhrgebiet prägen.
Aktualisiert am 19. Oktober 2026: Dieser Beitrag enthält jetzt auch die Inhalte des früheren Beitrags „Ransomware-Schutz für kleine Unternehmen: die wichtigsten Hebel".
Hinweis: Dieser Beitrag dient der allgemeinen Information und ist keine Rechts- oder Sicherheitsberatung. Sicherheitsvorfälle erfordern professionelle Unterstützung. Stand: August 2026.
Wie ernst ist die Lage? Das Ransomware-Lagebild Deutschland H1 2026
Die Bitdefender-Analyse, die am 11. August 2026 bei netzpalaver.de veröffentlicht wurde, erfasst ausschließlich Angriffe, die Ransomware-Gruppen auf ihren öffentlichen Leak-Seiten selbst publizierten. Die tatsächliche Dunkelziffer liegt erheblich höher: Wird Lösegeld gezahlt, unterbleibt eine öffentliche Nennung häufig.
Was die Zahlen trotzdem klar zeigen: Im ersten Halbjahr 2026 wurden weltweit 4.641 Ransomware-Angriffe öffentlich beansprucht, gegenüber 4.381 im Vorjahreszeitraum. Deutschland steht mit 176 betroffenen Unternehmen auf Rang 4 weltweit. Der Trend zeigt nach oben, nicht auf ein Plateau.
Wer ist Qilin, und warum trifft es Fertigung und Bau so hart?
Qilin betreibt ein Ransomware-as-a-Service-Modell (RaaS): Die Gruppe entwickelt die Schadsoftware, beschafft Zugangsdaten und teilt Lösegeldzahlungen mit Partnergruppen (Affiliates). In Deutschland war Qilin im bisherigen Jahr 2026 mit 30 beanspruchten Opfern die aktivste Ransomware-Gruppe, deutlich vor Akira (21) und Safepay (14). Weltweit verzeichnete Qilin 1.358 beanspruchte Opfer, ein Anstieg von 443 Prozent gegenüber dem Vorjahr, in mehr als 50 Ländern.
Die Fertigungsindustrie ist in Deutschland der am stärksten betroffene Sektor: In den ersten fünf Monaten 2026 wurden 46 Fertigungsunternehmen als Opfer gelistet (25,3 Prozent aller deutschen Ransomware-Vorfälle). Im DACH-Raum zählen Bauwesen, Technologie, Finanzen und Gesundheitswesen ebenfalls zu den Hauptzielen.
Aktuelle Opfer aus dem Bereich Fertigung und Bau, die Qilin auf seiner Leak-Seite veröffentlichte: Clausing Tiefbau (08.08.2026) und Roth Industries (Juni 2026). Diese Namen stehen für die Branchen, die auch im Ruhrgebiet und im Kreis Recklinghausen das Rückgrat der regionalen Wirtschaft bilden: Metallverarbeitung, Maschinenbau, Tiefbau, Logistik.
Warum trifft es diese Branchen besonders?
- Produktionsdruck: Jede Stunde Stillstand kostet mehrere tausend Euro. Angreifer setzen genau darauf, um Lösegeldforderungen durchzusetzen.
- Gewachsene IT-Strukturen: Ältere, selten aktualisierte Systeme bieten eine breite Angriffsfläche mit bekannten Schwachstellen.
- Vermischte OT/IT-Netze: Wenn Büro-IT und Produktionssteuerung nicht segmentiert sind, kann Ransomware von einem befallenen Bürorechner auf Maschinen, SPS und SCADA-Systeme übergreifen, mit Folgen weit über den Datenverlust hinaus.
Wie kommt Ransomware in den Betrieb?
Die wichtigsten Einstiegsvektoren im Jahr 2026:
- Infostealer und gestohlene Zugangsdaten: Unauffällige Schadsoftware stiehlt im Hintergrund Browser-Passwörter, VPN-Zugangsdaten und gespeicherte Tokens. Die erbeuteten Daten werden im Untergrund verkauft und Monate später gezielt für Ransomware-Angriffe genutzt. Rund jedes fünfte Qilin-Opfer hatte eine Unternehmensdomäne, die zuvor in Infostealer-Protokollen aufgetaucht war.
- Ungepatchte VPN- und Remote-Access-Systeme: Bekannte, aber nicht geschlossene Schwachstellen in VPN-Gateways und Remote-Desktop-Zugängen sind ein bevorzugter Einstieg für Qilin und vergleichbare Gruppen.
- Phishing: Täuschend echte E-Mails verleiten Mitarbeiter, Zugangsdaten preiszugeben oder schädliche Anhänge zu öffnen. Social Engineering bleibt ein verbreiteter und kostengünstiger Erstvektor für Angreifer.
7 Sofortmaßnahmen, die jetzt den Unterschied machen
Die folgenden Prioritäten basieren auf den Empfehlungen des BSI und dem CISA Ransomware Guide:
MFA für alle Remote-Zugänge aktivieren. VPN, RDP, E-Mail und Admin-Oberflächen müssen sofort mit Multi-Faktor-Authentifizierung gesichert werden. Phishing-resistente Verfahren (FIDO2/Passkeys) sind SMS-OTP deutlich überlegen, denn SMS-Codes können abgefangen oder per SIM-Swapping umgeleitet werden.
Offline-Backups anlegen und Wiederherstellung regelmäßig testen. Mindestens eine Backup-Kopie muss vom Netzwerk getrennt (offline) aufbewahrt werden. Entscheidend: regelmäßige Restore-Tests. Ein Backup, das im Notfall nicht wiederhergestellt werden kann, bietet keinen echten Schutz.
Patch-Management: VPN-Gateways und exponierte Systeme zuerst. Ungepatchte VPN-Zugänge sind Qilins bevorzugter Einstiegspunkt. Der öffentliche CISA-KEV-Katalog (Known Exploited Vulnerabilities) liefert eine priorisierte Liste der dringlichsten bekannten Schwachstellen.
Netzwerksegmentierung: OT- und IT-Netze trennen. Produktions- und Büronetz gehören in separate Segmente ohne ungefilterte Verbindungen. Das verhindert, dass Ransomware von einem kompromittierten Bürorechner auf Maschinen und Steuerungen überspringt.
Privilegierte Konten absichern (Least Privilege, PAM). Domain-Admin-Konten dürfen nicht für Alltagsaufgaben genutzt werden. Privilegierte Zugänge sollten über ein Privileged-Access-Management-System verwaltet, protokolliert und zeitlich begrenzt werden.
Mitarbeiter schulen und Phishing-Simulationen einplanen. Regelmäßige Awareness-Trainings und realistische Phishing-Simulationen helfen Büro- und Verwaltungspersonal, verdächtige Nachrichten zu erkennen und korrekt zu reagieren.
Incident-Response-Plan aufstellen und üben. Ohne geübte Prozesse verlieren Betriebe im Ernstfall wertvolle Stunden. Der Plan muss offline verfügbare Kommunikationswege, Eskalationsketten, BSI-Meldepflichten und Kontaktdaten von Incident-Response-Spezialisten enthalten.
Kleine Unternehmen: die wichtigsten Hebel nach Wirkung
Ransomware trifft längst nicht nur Konzerne und Industriebetriebe. Kleine Unternehmen sind ein beliebtes Ziel, weil sie oft schlechter geschützt sind und im Ernstfall eher zahlen. Ein Klick auf den falschen Anhang genügt, und am nächsten Morgen sind Auftragsdaten, Buchhaltung und Mails verschlüsselt. Die Einfallstore sind dieselben wie oben: Phishing-Mails mit Anhang oder Link, offene Fernzugänge (RDP, VPN ohne MFA) mit schwachen Passwörtern und ungepatchte Systeme mit bekannten Lücken.
Wer ohne eigene Produktionsnetze und ohne große IT-Abteilung arbeitet, muss nicht alle sieben Maßnahmen auf einmal umsetzen. Nach Wirkung sortiert sind es fünf Hebel:
- MFA überall: für E-Mail, Fernzugriff und Admin-Konten. Das verhindert den Großteil der Account-Übernahmen.
- Geprüfte, unveränderbare Backups: eine Kopie offline bzw. immutable, sonst verschlüsselt der Angreifer das Backup gleich mit. Details im Beitrag Backup-Strategie für KMU.
- Patchen mit Routine: Betriebssysteme, Server und VPN-Gateways zeitnah aktualisieren, nicht „wenn mal Zeit ist".
- Mitarbeitende sensibilisieren: Kurze, regelmäßige Schulung zu Phishing wirkt besser als jedes Plakat.
- Rechte trennen und Netze segmentieren: Nicht jeder Account braucht Adminrechte, nicht jedes System muss jedes andere erreichen.
Vier davon kosten vor allem Konsequenz, nicht Budget.
Was tun, wenn es trotzdem passiert?
Betroffene Systeme sofort vom Netzwerk isolieren, aber nicht hektisch herunterfahren, neu starten oder bereinigen, da forensische Spuren sonst verloren gehen. Wiederhergestellt wird aus geprüften Backups; genau deshalb ist Hebel 2 oben so wichtig. Lösegeld zahlen ist keine zuverlässige Lösung: In einem erheblichen Teil der Fälle funktioniert die versprochene Entschlüsselung nicht vollständig, und jede Zahlung finanziert weitere Angriffe. Das BSI-CERT-Bund steht für Meldungen und erste Orientierung zur Verfügung. Für NIS2-pflichtige Unternehmen besteht zudem eine gesetzliche Meldepflicht (siehe NIS2 für den Mittelstand).
Jetzt handeln, bevor es zu spät ist
Wenn Sie nicht sicher sind, ob Ihre IT-Infrastruktur gegen die aktuellen Angriffsmethoden ausreichend geschützt ist, sprechen Sie uns an. Für Betriebe im Ruhrgebiet, im Kreis Recklinghausen und darüber hinaus analysieren wir Ihre Angriffsfläche, priorisieren die Maßnahmen und helfen Ihnen, im Ernstfall handlungsfähig zu bleiben.
Hinweis: Die Beiträge dieses Blogs werden unter Einsatz von KI erstellt und vor der Veröffentlichung redaktionell geprüft. Die redaktionelle Verantwortung trägt Emre Yurtbay (siehe Impressum).