79 % aller Ransomware-Angriffe gehen inzwischen auf kompromittierte Identitäten zurück – das zeigt der aktuelle Sophos-Bericht

Sophos, ein weltweit führender Anbieter von Cybersicherheitslösungen, hat heute seinen siebten jährlichen „State of Ransomware“-Report veröffentlicht. Die herstellerunabhängige Studie unter IT- und Cybersecurity-Verantwortlichen in 17 Ländern untersucht die Auswirkungen von Ransomware auf Unternehmen und deren Bereitschaft zur Abwehr entsprechender Angriffe. Der diesjährige Bericht zeigt, dass Identitäten mittlerweile der dominierende Initial Access Vector (IAV) sind: Vier von fünf Ransomware-Angriffen (79 %) beginnen mit kompromittierten Identitäten. 

Die zunehmende Bedeutung identitätsbasierter Angriffe deutet auf einen grundlegenden Wandel in der Vorgehensweise von Cyberkriminellen hin. Erstmals seit vier Jahren sind ausgenutzte Schwachstellen nicht mehr die häufigste Ursache erfolgreicher Ransomware-Angriffe. Stattdessen führen bösartige E-Mails (26 %) und Phishing-Angriffe (24 %) die Liste an. 

Dennoch bleiben ausgenutzte Schwachstellen ein besonders attraktives Ziel für Angreifer: 59 % der Lösegeldforderungen, die auf eine über die Firewall ausgenutzte Schwachstelle zurückzuführen sind, belaufen sich auf mindestens eine Million US-Dollar, verglichen mit 48 % aller Angriffe insgesamt. 

„Während Ransomware-Gruppen mit KI experimentieren, steigt ihr Potenzial, wertvolle Daten schneller, in größerem Umfang und effektiver als je zuvor zu stehlen und als Druckmittel einzusetzen“, erklärt Ross McKerchar, Chief Information Security Officer bei Sophos. „Diese Entwicklung erfordert eine kontinuierliche Überwachung der häufigsten Angriffswege. Unsere Daten zeigen, dass gestohlene und kompromittierte gültige Benutzerkonten heute der wichtigste Einstiegspunkt sind. Gleichzeitig verschaffen leistungsfähigere offene KI-Modelle Angreifern zusätzliche Vorteile bei der Identifizierung und Ausnutzung von Schwachstellen. Unternehmen können sich daher nicht allein auf Patch-Management verlassen, sondern müssen ihre Angriffsfläche reduzieren und eine starke Endpoint Protection gewährleisten.“ 

Der Bericht zeigt außerdem, dass bei 56 % der von Ransomware betroffenen Unternehmen Daten verschlüsselt wurden – ein Anstieg, der den zweijährigen Abwärtstrend umkehrt. 

Weitere zentrale Ergebnisse

• 67 % der Ransomware-Opfer bestätigten, dass der Ransomware-Vorfall gleichzeitig ihr schwerwiegendster Identitätsangriff war. Dies unterstreicht die zentrale Rolle kompromittierter Identitäten bei modernen Ransomware-Angriffen. 
• 56 % aller Ransomware-Angriffe führten erfolgreich zur Datenverschlüsselung, darunter 16 %, bei denen Daten sowohl verschlüsselt als auch exfiltriert wurden. Diese Erfolgsquote stieg gegenüber 2025 (50 %), liegt aber weiterhin unter dem Höchstwert von 75 % aus dem Jahr 2023. 
• Bei erfolgreicher Datenverschlüsselung besteht eine 50:50-Chance, dass Angreifer eine Lösegeldzahlung erhalten. 48 % der Unternehmen mit verschlüsselten Daten zahlten das Lösegeld, womit der Vierjahresdurchschnitt ebenfalls bei 50 % liegt. 
• Nur 34 % der kleinen Unternehmen (100–250 Mitarbeitende) konnten Angriffe vor einer Verschlüsselung oder Erpressung stoppen. Unternehmen mit 3.001 bis 5.000 Mitarbeitenden erreichten dagegen eine Erfolgsquote von 46 %. 
• Bei 97 % der Vorfälle, deren Ursache kompromittierte Zugangsdaten waren, war irgendeine Form von Multi-Faktor-Authentifizierung (MFA) aktiviert. Dies zeigt, dass MFA allein nicht ausreicht und insbesondere Abdeckungslücken ein erhebliches Risiko darstellen. 
• Das Vereinigte Königreich verzeichnete mit 2,5 Millionen US-Dollar die höchste mediane Lösegeldforderung aller untersuchten Länder. 

Trotz der sich wandelnden Bedrohungslage haben viele Unternehmen ihre Wiederherstellungsfähigkeiten deutlich verbessert. Investitionen in Backup-Infrastrukturen tragen offenbar dazu bei, dass sich mehr als die Hälfte (55 %) der betroffenen Organisationen innerhalb einer Woche von einem Ransomware-Vorfall erholen kann; 16 % schaffen dies sogar innerhalb eines Tages. 

Unternehmen verhandeln zudem zunehmend erfolgreich mit den Angreifern. 51 % der Organisationen, die sich für eine Zahlung entschieden, konnten einen Betrag unterhalb der ursprünglichen Forderung aushandeln. Die medianen Lösegeldforderungen sind in den vergangenen zwei Jahren um 65 % gesunken, während der Anteil der Unternehmen, die zur Wiederherstellung ihrer Daten zahlen, auf 48 % zurückging – der zweitniedrigste Wert seit Beginn der Erhebung. 

Trotz dieser Fortschritte steigen die durchschnittlichen Wiederherstellungskosten nach einem Angriff weiter an und liegen inzwischen bei 1,7 Millionen US-Dollar pro Vorfall. 

„Unternehmen haben ihre Widerstandsfähigkeit gegenüber Ransomware im vergangenen Jahr deutlich verbessert, und diese Investitionen zahlen sich aus“, sagt Ross McKerchar. „Dennoch verursacht Ransomware weiterhin Kosten in Millionenhöhe. Mit zunehmender Leistungsfähigkeit von KI werden Angreifer Identitätsfehlkonfigurationen und Schwachstellen deutlich schneller und kostengünstiger aufspüren können. Unternehmen können sich nicht mehr darauf verlassen, dass Komplexität oder Intransparenz sie schützen. Gleichzeitig eröffnet dieselbe Technologie Verteidigern neue Möglichkeiten – vorausgesetzt, Prävention, Erkennung und Reaktion arbeiten als Teil einer integrierten Sicherheitsstrategie zusammen.“ 

Sophos empfiehlt folgende Best Practices

• Identitäten als fundamentale Sicherheitsebene behandeln: Priorisierung von ITDR, Einsatz phishing-resistenter MFA und regelmäßige Überprüfung menschlicher sowie nicht-menschlicher Identitäten. 
• In Backup- und Recovery-Infrastrukturen investieren: Backups regelmäßig testen, offline oder unveränderbar speichern und in den Incident-Response-Prozess integrieren. 
• Programme zum Exposure Management etablieren: Konsequentes Patch-Management, Priorisierung internetexponierter Systeme und Nutzung KI-gestützter Technologien zur Schwachstellenidentifikation. 
• Angriffsflächen über Firewalls reduzieren und Telemetriedaten nutzen: Automatisierte Updates sicherstellen, internetexponierte Dienste minimieren und Firewall-Telemetrie mit XDR- und MDR-Lösungen verknüpfen, um Angriffe frühzeitig zu erkennen. 

Die Untersuchung wurde von Vanson Bourne im Auftrag von Sophos im ersten Quartal 2026 durchgeführt. Befragt wurden 2.158 IT- und Cybersecurity-Entscheider aus Unternehmen, die in den vergangenen zwölf Monaten von Ransomware betroffen waren. Die Teilnehmer stammen aus 17 Ländern und repräsentieren Organisationen mit 100 bis 5.000 Mitarbeitenden aus 15 Branchen.