Zahlen abgelesen am 21. Oktober 2026.

Opfer aus Deutschland verzeichnet das Cyber-Lagebild von frag.hugo bei der Erpressergruppe ZaWoo erst seit August 2026. Im Oktober stand die Gruppe mit elf Fällen schon auf Platz sechs der letzten zwölf Monate.

Für Admins taugen solche Ranglisten vor allem als Material für Anträge. Mit ihnen begründen Sie ein zweites Backup-Ziel oder ein getrenntes Managementnetz. Bevor eine Zahl auf eine Folie wandert, sollten Sie aber wissen, was sie zählt. Deshalb stehen die Leak-Zahlen und ihre Lücken vorne, die Pflichten nach einem Vorfall am Ende. Zählungen dieser Art ändern sich täglich, vor einer Präsentation lohnt also ein frischer Blick ins Original.

Was die Leak-Zahlen hergeben

1. Für den Investitionsantrag zum zweiten Backup-Ziel

Sie beantragen für die Sicherung der ESXi-Hosts ein zweites Ziel, das nicht im selben Netz hängt. Bevor die Geschäftsführung unterschreibt, will sie wissen, ob Erpresser Betriebe aus Ihrer Branche überhaupt treffen.

Zahlen nach Branche für Deutschland liefern die frag.hugo-Auswertung der RansomLook-Daten nach Branche und Gruppe. RansomLook ist ein Projekt des luxemburgischen CIRCL und schreibt die Leak-Seiten der Gruppen mit. Dort stellen Täter Opfer aus, die nicht gezahlt haben. In den zwölf Monaten bis zum 21. Oktober 2026 zählte das Lagebild 241 Fälle mit Sitz in Deutschland, 45 Prozent mehr als in den zwölf Monaten davor mit 166. Hinter SafePay, The Gentlemen und Akira folgen INC Ransom und Qilin mit je 13 Fällen. Für Ihr eigenes Umfeld lohnt die Branchenliste. IT & Technologie kam auf 12 Fälle nach 5 im Vorjahreszeitraum, Bau & Immobilien auf 21 nach ebenfalls 5.

Den Anstieg sollten Sie nur mit Fußnote zitieren. RansomLook beschreibt seine Einträge heute ausführlicher als früher. 2024 trug laut Methodik nur knapp ein Drittel eine Beschreibung, 2026 sind es 57 Prozent, und deutsche Fälle fallen dadurch leichter auf. Gezählt wird außerdem der Tag, an dem RansomLook einen Eintrag fand. Zwischen Angriff und Veröffentlichung liegen oft Wochen. Und wer sich mit den Tätern geeinigt hat, erscheint in der Regel nie. Auch die Rangliste hat ihre Tücke. Ein Gruppenname bezeichnet laut Seite eine Leak-Seite, und wer dahintersteht, lässt sich daraus nicht ablesen.

2. Für den Kollegen, der eine einzelne Woche weiterleitet

Im Juli kursierte im Team ein Screenshot mit 18 Fällen in einer Woche. Er stammt aus dem Wochenverlauf derselben Seite und zeigt die Woche ab dem 6. Juli 2026. In der Woche danach waren es zwei. Für solche Ausschläge nennt das Lagebild schlichte Gründe. Gruppen veröffentlichen gesammelt, oder eine Leak-Seite war wochenlang offline und meldet sich mit einem Schwung zurück. Aussagekräftig sei der Verlauf über viele Wochen. Die jüngsten Wochen können außerdem noch wachsen, weil Fälle nachträglich erfasst werden.

3. Für die Rückfrage, warum es nur 241 Fälle sind

Der Geschäftsführung kommen 241 Fälle im Jahr wenig vor, verteilt auf ein ganzes Land. Die Gegenrechnung liefern die Zahlen des Bayerischen Landesamts für Datenschutzaufsicht im Behördenvergleich von frag.hugo. Laut 15. Tätigkeitsbericht gingen dort 2025 insgesamt 3.603 Meldungen von Datenpannen ein, 23 Prozent mehr als im Vorjahr, darunter 524 Ransomware-Fälle, und das in einem einzigen Bundesland. Das Lagebild selbst ordnet ein, wie groß der sichtbare Ausschnitt ist. Nach dem BSI-Lagebericht 2025 entfielen von 6.910 mutmaßlich Geschädigten auf Leak-Seiten weltweit 222 auf Deutschland, rund drei Prozent. In einer Bitkom-Befragung, die das Lagebild zitiert, gaben 45 Prozent der Unternehmen an, in zwölf Monaten von Ransomware betroffen gewesen zu sein. Ein Fünftel der Betroffenen hat schon einmal Lösegeld gezahlt.

Addieren lassen sich diese Zahlen nicht. Das Lagebild schreibt das für die Behördenzahlen, die es neben die eigene Zählung stellt, und für die bayerischen Meldungen gilt es genauso. Das BayLDA zählt Meldungen von Firmen und anderen nicht-öffentlichen Stellen in Bayern, die Bitkom-Zahl beruht auf Selbstauskunft, und das BSI zählt wie RansomLook nur Opfer, die auf Leak-Seiten stehen. Für die Größenordnung reicht es trotzdem.

Am Hypervisor, an der Sicherung und bei den Konten

4. Für die Planung des Managementnetzes

Die Verwaltungsoberflächen der Hosts sind seit der Einrichtung aus demselben Netz erreichbar wie die Arbeitsplätze. Der Umbau steht seit zwei Jahren auf der Liste und rutscht jedes Quartal nach hinten.

Ein Argument mit Behördenstempel bieten die BSI-Anforderungen an Virtualisierungsserver (SYS.1.5), ein Baustein aus dem IT-Grundschutz, Edition 2023, acht Seiten als PDF. Der Baustein nummeriert die Anforderungen von A1 bis A28, zwei davon sind entfallen. Die Basis-Anforderungen A2 bis A7 sind im Grundschutz als MUSS formuliert. Nach A5 darf aus nicht vertrauenswürdigen Netzen niemand an die Administrationsschnittstellen kommen. Als Standard-Anforderung empfiehlt A11, die Infrastruktur nur über ein separates Managementnetz zu verwalten. A12 sieht vor, die Rechte derer, die virtuelle Maschinen betreuen, von denen zu trennen, die die Virtualisierungsumgebung selbst verwalten. Unter den Gefährdungen beschreibt das BSI außerdem, dass sich Snapshots bei Angriffen missbrauchen lassen, um unberechtigt an die Daten einer virtuellen Maschine zu kommen. Den Satz kann man in jeder Diskussion brauchen, in der ein Snapshot als Sicherung gilt. Für erhöhten Schutzbedarf schlägt A24 sogar vor, Snapshots ganz abzuschalten.

Der Baustein ist produktneutral. ESXi, vCenter oder Proxmox kommen darin nicht vor, welche Einstellung eine Anforderung erfüllt, müssen Sie in der Herstellerdoku nachlesen. Ein Prüfwerkzeug ist er auch nicht, abhaken müssen Sie selbst.

5. Für den, der die Sicherung verantwortet

Die nächtliche Sicherung landet auf einem NAS, das als Freigabe dauerhaft am Backup-Server hängt. Für ein zweites, getrenntes Ziel gibt es erst Geld, wenn jemand zeigt, was sonst passiert.

Ein passendes Beispiel steht in der Auswertung des Brandenburger Datenschutzberichts bei frag.hugo. Eine Arztpraxis verlor nach einem Ransomware-Angriff die Daten von über 8.000 Patienten, weil alle Sicherungsfestplatten ständig am System hingen. „Da die Ransomware auf sie zugreifen konnte, wurden die dort gespeicherten Daten mitverschlüsselt“, heißt es auf Seite 50 des Berichts. Die Behörde sprach eine Verwarnung wegen Art. 32 DSGVO aus und rät, mindestens eine Kopie getrennt vom laufenden System aufzubewahren.

Eine Strafhöhe lässt sich aus dem Fall nicht ableiten, es blieb bei einer Verwarnung. Ob ein Band, eine Wechselplatte oder ein unveränderlicher Speicher die Anforderung erfüllt, beantwortet der Steckbrief ebenfalls nicht.

6. Für die Kollegin, die Microsoft 365 nebenbei betreut

Seit der eigene Mailserver abgeschaltet ist, liegen Postfächer und Projektdateien in Microsoft 365. Den Mandanten betreut eine Kollegin aus dem Support, zwischen zwei Tickets.

Im Lagebild steht unter den Handgriffen für die erste Stunde der Satz, dass viele Angriffe mit einem einzigen gestohlenen Passwort beginnen. Wie es um die Konten steht, zeigt der Prüfskript von hagel IT für Mehr-Faktor-Abdeckung und verwaiste Konten. Prüfung 01 nennt die Abdeckung mit zweitem Faktor in Prozent und listet die Konten ohne. Prüfung 12 sucht aktive Konten, an denen sich lange niemand angemeldet hat. Was niemand benutzt, beobachtet auch niemand, heißt es dazu auf der Werkzeugseite.

Backups prüft das Skript laut Seite nicht, auch nicht die von Microsoft 365, Firewall und VPN ebenso wenig. Wie lange Microsoft gelöschte Inhalte von sich aus aufhebt, steht im Beitrag von hagel IT zur eigenen Sicherung von Microsoft-365-Daten. Für gelöschte Mails sind es dort 14 Tage.

Nach dem Vorfall

7. Für den Krisenstab am ersten Morgen

Am Montag sind drei virtuelle Maschinen verschlüsselt. Der Vertrieb will bis mittags wieder Aufträge erfassen, Sie wollen erst sehen, wie die Täter hereingekommen sind.

Diesen Konflikt sprechen die Leitfragen des BSI für die Organisation im IT-Notfall offen an. Das BSI fragt dort, ob der Weiterbetrieb um jeden Preis gewährleistet werden muss, und warnt, dass das die forensische Beweissicherung verschlechtern kann. Davor steht die Aufforderung, einen Krisenstab einzurichten und festzulegen, wer entscheidet und wer was bis wann erledigt. Später kommen vertragliche Informationspflichten dazu, etwa gegenüber Auftraggebern oder der Versicherung. Hat ein Externer den Vorfall gemeldet, rät das BSI, mit ihm in Kontakt zu bleiben, damit er die Sache nicht vorzeitig öffentlich macht, weil er sich übergangen fühlt.

Die Liste besteht aus Leitfragen. Wer am Montag über Wiederherstellen oder Sichern entscheidet, beantwortet sie nicht, das muss vorher feststehen.

8. Für die Meldung ans BSI

Die Geschäftsführung geht davon aus, dass Ihr Betrieb unter das neue BSI-Gesetz fällt. Im Notfallhandbuch steht als Meldeverantwortlicher noch Ihr Vorgänger.

Der Kalender von frag.hugo, der auch die BSI-Registrierung nach NIS2 führt, gibt zur Meldepflicht nach § 32 BSIG, die seit dem 6. Dezember 2025 gilt, einen knappen Arbeitsauftrag. Legen Sie einen Meldeprozess fest und benennen Sie, wer meldet und wer erreichbar ist. Ein eigener Eintrag gilt der Registrierung beim BSI nach § 33 BSIG. Wer seit Dezember 2025 betroffen ist, hatte bis zum 6. März 2026 Zeit und ist laut Kalender jetzt im Verzug. Registriert wird über Mein Unternehmenskonto und das BSI-Portal.

Ob Ihr Betrieb überhaupt als wichtige oder besonders wichtige Einrichtung gilt, klärt der Kalender nicht. Er zeigt Termine, die Einordnung nach Sektor und Größe bleibt bei Ihnen.

9. Für die Diskussion über den Dienstleister-VPN

Der VPN-Zugang für externe Dienstleister läuft noch mit Benutzername und Kennwort. Der Umbau kostet ein Wochenende, und niemand will es opfern.

Wie eine Aufsicht so etwas bewertet, zeigt der CNIL-Bescheid gegen Free S.A.S., den frag.hugo dokumentiert. Die französische CNIL verhängte im Januar 2026 gegen den französischen Anbieter 15 Millionen Euro. Bei einem Angriff im Oktober 2024 hatte ein Täter Zugriff auf Daten zu 24 Millionen Abonnementverträgen, teils mit IBAN. Laut Begründung hatte Free „keinen ausreichend robusten VPN-Zugang“. Dazu fehlte eine wirksame Erkennung auffälliger Aktivitäten, und die Betroffenen wurden unvollständig benachrichtigt.

Gegen den Bescheid läuft ein Rechtsmittel. Den Betrag auf einen Mittelständler zu übertragen, wäre unseriös. Die Begründung lässt sich dagegen fast wörtlich ins Änderungsticket kopieren.

Welche Zahl was zählt

Ransomware-Zahlen aus diesem Artikel, ihre Quelle und was darin fehlt (Stand 21. Oktober 2026)

Zahl	Wer zählt	Zeitraum	Was darin fehlt
241 Fälle mit Sitz in Deutschland	Cyber-Lagebild, Leak-Seiten über RansomLook	12 Monate bis 21.10.2026	Betriebe, die sich mit den Tätern geeinigt haben; Einträge ohne erkennbares deutsches Merkmal
222 von 6.910 Leak-Geschädigten	BSI, Lage der IT-Sicherheit 2025	laut Lagebericht 2025	wie RansomLook nur Opfer, die auf Leak-Seiten stehen
524 Ransomware-Fälle unter 3.603 Pannenmeldungen	BayLDA, 15. Tätigkeitsbericht	2025	Behörden und Kommunen in Bayern, Vorfälle ohne Datenpanne nach Art. 33 DSGVO
45 % betroffen, ein Fünftel davon hat gezahlt	Bitkom-Befragung, zitiert im Lagebild	12 Monate vor September 2026	alles, was über eine Selbstauskunft hinausgeht

Drei Folien für die Geschäftsführung

Wer aus dieser Liste eine Vorlage für die Geschäftsführung baut, kommt mit drei Folien aus.

Auf die erste gehört die Lage mit Fußnote. 241 Fälle in zwölf Monaten, dazu der Hinweis, dass zahlende Opfer fehlen und ausführlichere Quelldaten einen Teil des Anstiegs erklären. Die 524 Meldungen aus Bayern daneben zeigen, wie viel unter der Oberfläche liegt.

Die zweite zeigt Ihren eigenen Stand. Ob mindestens eine Sicherung getrennt vom laufenden System liegt, gehört ebenso darauf wie die Antwort, ob die Verwaltungsoberflächen der Hosts vom Büronetz aus erreichbar sind. Dazu kommt die Zahl der Microsoft-365-Konten ohne zweiten Faktor.

Die dritte nennt, wer im Ernstfall zwischen schnellem Wiederanlauf und Beweissicherung entscheidet und wer beim BSI meldet, falls Ihr Betrieb unter NIS2 fällt.

Ist der Termin schon morgen, bauen Sie nur die zweite Folie und nehmen die Brandenburger Arztpraxis als Beispiel. Für die Entscheidung über ein getrenntes Backup-Ziel reicht das meistens. Für den Software-Einkauf oder die Website hat frag.hugo einen eigenen Werkzeugkatalog zum Datenschutz.