Cyberangriffe auf deutsche Unternehmen: aktuelles Lagebild (Stand Oktober 2026)
Wie viele Unternehmen in Deutschland gerade von Erpressergruppen öffentlich vorgeführt werden — nach Woche, Branche und Gruppe. Täglich aktualisiert, ohne Namen der Opfer, mit Einordnung und Meldefristen.
- veröffentlichte Fälle in den letzten 30 Tagen
- 19 veröffentlichte Fälle in den letzten 30 Tagen
- Fälle im September 2026
- 20 Fälle im September 2026
- Fälle 2026 bis heute (+36 % ggü. Vorjahr)
- 193 Fälle 2026 bis heute (+36 % ggü. Vorjahr)
- aktive Tätergruppen in 12 Monaten
- 45 aktive Tätergruppen in 12 Monaten
In 30 Sekunden
Stand 19. Oktober 2026 · Datenbasis: RansomLook (CIRCL), CC BY 4.0
- 19 Fälle in 30 Tagen: So viele Organisationen mit erkennbarem Sitz in Deutschland haben Erpressergruppen zuletzt auf ihren Leak-Seiten veröffentlicht — im Schnitt der letzten zwölf Monate 4,6 pro Woche.
- 2026 liegt über dem Vorjahr: 193 Fälle bis heute gegenüber 142 im gleichen Zeitraum 2025 (+36 %). Ein Teil davon liegt an ausführlicheren Quelldaten, siehe Methodik.
- Industrie & Produktion vorn: 25 % der Fälle mit bestimmbarer Branche (zwölf Monate). Die drei aktivsten Gruppen stehen für 44 % aller Fälle.
- Das ist das Hellfeld: Wer zahlt oder still verhandelt, erscheint auf keiner Leak-Seite. Das BKA zählte für 2025 insgesamt 1.041 angezeigte Ransomware-Angriffe.
- Wenn es Sie trifft: 72 Stunden für die Datenpannen-Meldung nach DSGVO, für NIS2-Einrichtungen zusätzlich 24 Stunden für die Erstmeldung an das BSI. Zeitstrahl und Sofortmaßnahmen
Mehr oder weniger als zuvor?
-
Letzte 30 Tage
19
−34 % ggü. die 30 Tage davor (29)
-
September 2026
20
−37 % ggü. August 2026 (32)
-
2026 bis heute
193
+36 % ggü. gleicher Zeitraum 2025 (142)
-
Letzte 12 Monate
239
+44 % ggü. die 12 Monate davor (166)
Verlauf je Woche
52 Kalenderwochen bis heute. Zuletzt abgeschlossen: KW 42 mit 4 Fällen.
Ausschläge einzelner Wochen haben oft einen schlichten Grund: Gruppen veröffentlichen gesammelt, oder eine Leak-Seite war wochenlang offline und kommt mit einem Schwung zurück. Aussagekräftig ist die Linie, nicht die einzelne Säule. Die jüngsten Wochen können noch leicht steigen, wenn Fälle nachträglich erfasst werden.
Alle Wochenwerte als Tabelle
| Kalenderwoche | ab | Fälle |
|---|---|---|
| KW 43/2026 (läuft) | 19.10.2026 | 0 |
| KW 42/2026 | 12.10.2026 | 4 |
| KW 41/2026 | 05.10.2026 | 6 |
| KW 40/2026 | 28.09.2026 | 7 |
| KW 39/2026 | 21.09.2026 | 2 |
| KW 38/2026 | 14.09.2026 | 5 |
| KW 37/2026 | 07.09.2026 | 5 |
| KW 36/2026 | 31.08.2026 | 4 |
| KW 35/2026 | 24.08.2026 | 13 |
| KW 34/2026 | 17.08.2026 | 7 |
| KW 33/2026 | 10.08.2026 | 5 |
| KW 32/2026 | 03.08.2026 | 4 |
| KW 31/2026 | 27.07.2026 | 9 |
| KW 30/2026 | 20.07.2026 | 9 |
| KW 29/2026 | 13.07.2026 | 2 |
| KW 28/2026 | 06.07.2026 | 18 |
| KW 27/2026 | 29.06.2026 | 4 |
| KW 26/2026 | 22.06.2026 | 6 |
| KW 25/2026 | 15.06.2026 | 10 |
| KW 24/2026 | 08.06.2026 | 3 |
| KW 23/2026 | 01.06.2026 | 5 |
| KW 22/2026 | 25.05.2026 | 3 |
| KW 21/2026 | 18.05.2026 | 5 |
| KW 20/2026 | 11.05.2026 | 2 |
| KW 19/2026 | 04.05.2026 | 8 |
| KW 18/2026 | 27.04.2026 | 4 |
| KW 17/2026 | 20.04.2026 | 4 |
| KW 16/2026 | 13.04.2026 | 6 |
| KW 15/2026 | 06.04.2026 | 2 |
| KW 14/2026 | 30.03.2026 | 3 |
| KW 13/2026 | 23.03.2026 | 5 |
| KW 12/2026 | 16.03.2026 | 3 |
| KW 11/2026 | 09.03.2026 | 2 |
| KW 10/2026 | 02.03.2026 | 5 |
| KW 09/2026 | 23.02.2026 | 2 |
| KW 08/2026 | 16.02.2026 | 3 |
| KW 07/2026 | 09.02.2026 | 0 |
| KW 06/2026 | 02.02.2026 | 1 |
| KW 05/2026 | 26.01.2026 | 2 |
| KW 04/2026 | 19.01.2026 | 2 |
| KW 03/2026 | 12.01.2026 | 0 |
| KW 02/2026 | 05.01.2026 | 3 |
| KW 01/2026 | 29.12.2025 | 5 |
| KW 52/2025 | 22.12.2025 | 5 |
| KW 51/2025 | 15.12.2025 | 11 |
| KW 50/2025 | 08.12.2025 | 2 |
| KW 49/2025 | 01.12.2025 | 4 |
| KW 48/2025 | 24.11.2025 | 2 |
| KW 47/2025 | 17.11.2025 | 4 |
| KW 46/2025 | 10.11.2025 | 2 |
| KW 45/2025 | 03.11.2025 | 3 |
| KW 44/2025 | 27.10.2025 | 6 |
Verlauf je Monat
Die letzten 24 Monate und der laufende — so lassen sich Monate mit dem Vorjahr vergleichen.
Alle Monatswerte als Tabelle
| Monat | Fälle |
|---|---|
| Oktober 2026 (läuft) | 11 |
| September 2026 | 20 |
| August 2026 | 32 |
| Juli 2026 | 38 |
| Juni 2026 | 27 |
| Mai 2026 | 19 |
| April 2026 | 18 |
| März 2026 | 15 |
| Februar 2026 | 6 |
| Januar 2026 | 7 |
| Dezember 2025 | 27 |
| November 2025 | 11 |
| Oktober 2025 | 13 |
| September 2025 | 17 |
| August 2025 | 20 |
| Juli 2025 | 8 |
| Juni 2025 | 7 |
| Mai 2025 | 17 |
| April 2025 | 20 |
| März 2025 | 22 |
| Februar 2025 | 15 |
| Januar 2025 | 11 |
| Dezember 2024 | 11 |
| November 2024 | 10 |
| Oktober 2024 | 8 |
Betroffene Branchen
Letzte 12 Monate. Der Strich zeigt den Wert der 12 Monate davor.
- Sonstige / nicht zugeordnet 112 (davor 122)
- Industrie & Produktion 32 (davor 15)
- Bau & Immobilien 20 (davor 5)
- Dienstleistungen & Beratung 16 (davor 5)
- Handel 15 (davor 5)
- IT & Technologie 12 (davor 5)
- Gesundheitswesen 7 (davor 0)
- Finanzen & Versicherungen 5 (davor 1)
- Transport & Logistik 5 (davor 3)
- Landwirtschaft & Lebensmittel 4 (davor 1)
- Medien & Kultur 3 (davor 0)
- Öffentliche Verwaltung 3 (davor 0)
- Energie & Versorgung 2 (davor 1)
- Gastgewerbe & Tourismus 2 (davor 0)
- Bildung & Forschung 1 (davor 3)
Branche per Stichwortregel aus Titel und Beschreibung des Eintrags auf eine feste deutsche Liste abgebildet. „Sonstige / nicht zugeordnet": Der Eintrag gibt keine Branche her, oft fehlt jede Beschreibung (112 von 239 Fällen). Wir raten nicht.
Aktivste Gruppen
Die zehn Gruppen mit den meisten Fällen mit Deutschland-Bezug in 12 Monaten.
- 1. SafePay 63
4 in den letzten 30 Tagen · in Deutschland erstmals November 2024
- 2. The Gentlemen 26
2 in den letzten 30 Tagen · in Deutschland erstmals September 2025
- 3. Akira 16
in den letzten 30 Tagen ruhig · in Deutschland erstmals Februar 2025
- 4. Qilin 13
1 in den letzten 30 Tagen · in Deutschland erstmals März 2025
- 5. INC Ransom 12
2 in den letzten 30 Tagen · in Deutschland erstmals September 2024
- 6. ZaWoo 11
in den letzten 30 Tagen ruhig · in Deutschland erstmals August 2026
- 7. DragonForce 10
in den letzten 30 Tagen ruhig · in Deutschland erstmals April 2025
- 8. LockBit 5.0 9
in den letzten 30 Tagen ruhig · in Deutschland erstmals Dezember 2025
- 9. Aurora 6
in den letzten 30 Tagen ruhig · in Deutschland erstmals Juni 2026
- 10. Cloak 6
1 in den letzten 30 Tagen · in Deutschland erstmals März 2024
Gruppen benennen sich um, spalten sich ab oder verschwinden nach Ermittlungserfolgen. Ein Name steht für eine Leak-Seite, nicht zwingend für dieselben Personen.
Was die Behörden zählen
Leak-Seiten zeigen nur einen Ausschnitt. Polizei und BSI zählen anders — angezeigte Fälle, gemeldete Vorfälle, eigene Auswertungen. Die Zahlen sind deshalb nicht addierbar, aber sie zeigen die Größenordnung.
-
1.041
angezeigte Ransomware-Angriffe in Deutschland 2025
„1.041 Ransomware-Angriffe wurden im Jahr 2025 angezeigt – das entspricht einem Anstieg um zehn Prozent gegenüber 2024."
-
334.000
registrierte Cybercrime-Fälle 2025 (rund)
„2025 wurden dabei rund 334.000 Cybercrimefälle registriert."
-
78
Leak-Geschädigte aus Deutschland im 1. Quartal 2025 — Allzeithoch der BSI-Zählung
„Seit Q3 2024 stieg diese Zahl im deutschen Kontext kontinuierlich auf ein neues Allzeithoch von 78 (Q1 2025)."
-
rund 3 %
Anteil Deutschlands an allen weltweit auf Leak-Seiten genannten Geschädigten
„wurden 222 von insgesamt 6.910 mutmaßlich Geschädigten (rund 3 %) auf Leak‑Seiten Deutschland zugeordnet."
Öffentlich bestätigte Vorfälle
Nur Fälle, die das betroffene Haus selbst oder ein seriöses Medium berichtet hat — jeweils mit Quelle. Keine Namen von Leak-Seiten.
-
· Kommune · Öffentliche Verwaltung · Sachsen-Anhalt
Stadt Tangerhütte
Hackerangriff auf das digitale Rathaus; Bürgerdienste liefen wochenlang nur analog. Ein beteiligter Entwickler sieht Hinweise auf KI-gestützte Angreifer.
MDR: Bundesweit erster KI-Angriff auf Kommune in Deutschland
-
· Kommune · Öffentliche Verwaltung · Bayern
Stadt Eichstätt
Krimineller Cyberangriff legt die IT der Stadtverwaltung lahm; das Rathaus blieb vorerst geschlossen.
ZEIT ONLINE / dpa: Kommunen: Cyberangriff legt Eichstätter Stadtverwaltung lahm
-
· Klinikverbund · Gesundheitswesen · Hessen
Kreiskliniken Kassel
Krimineller Cyberangriff auf die Standorte Hofgeismar und Wolfhagen; laut Betriebsleitung früh erkannt, Notfallpläne griffen.
HNA: Kreiskliniken Kassel von kriminellem Cyber-Angriff getroffen
-
· Unternehmen (DAX-Konzern) · Gesundheitswesen · Hessen
Fresenius Medical Care
Der Dialysekonzern aus Bad Homburg bestätigt einen Hackerangriff und hat nach eigenen Angaben sofort Gegenmaßnahmen eingeleitet.
Handelsblatt / dpa: Cyberattacke: Hacker attackieren Dialysekonzern Fresenius Medical Care
-
· Landesverwaltung · Öffentliche Verwaltung · Berlin
Berliner Landesverwaltung
Nach dem Angriff auf Teile des Berliner Landesnetzes plant der Senat eine Anlaufstelle für womöglich betroffene Bürger und Unternehmen.
rbb24: Senat plant nach Hackerangriff Anlaufstelle für Bürger und Firmen
-
· Kommunaler Versorger · Energie & Versorgung · Bayern
Stadtwerke Landsberg am Lech
Hackerangriff auf den Versorger; zentrale IT-Systeme wurden verschlüsselt, ein Krisenstab wurde eingerichtet.
Energie & Management: Krisenstab nach Cyberangriff auf Landsbergs Versorger eingerichtet
-
· Kommunaler Versorger · Energie & Versorgung · Nordrhein-Westfalen
Gemeinschaftsstadtwerke Kamen-Bönen-Bergkamen (GSW)
Nach einem Cyberangriff waren laut GSW Kundendaten kurzzeitig im Darknet verfügbar.
Was das für Sie heißt
Die Uhr läuft ab dem Moment, in dem Sie es merken
Die Fristen beginnen mit der Kenntnis vom Vorfall, nicht mit dem Ende der Aufräumarbeiten. Wer erst am dritten Tag nach dem Meldeweg sucht, ist meist schon zu spät.
- Stunde 0
Kenntnis
Sie bemerken den Vorfall. Zeitpunkt notieren — ab hier zählen alle Fristen.
- 24 Stunden
Frühe Erstmeldung an das BSI
Nur NIS2-Einrichtungen: Erstmeldung zu einem erheblichen Sicherheitsvorfall.
§ 32 Abs. 1 Nr. 1 BSIG
- 72 Stunden
Meldung an Aufsicht und BSI
Datenpanne an die Datenschutz-Aufsichtsbehörde (alle Unternehmen); NIS2-Einrichtungen zusätzlich Meldung mit erster Bewertung an das BSI.
Art. 33 DSGVO · § 32 Abs. 1 Nr. 2 BSIG
- 1 Monat
Abschlussmeldung
NIS2-Einrichtungen: spätestens einen Monat nach der 72-Stunden-Meldung.
§ 32 Abs. 1 Nr. 4 BSIG
Normtexte: Art. 33 DSGVO · § 32 BSIG (seit 06.12.2025 (NIS2UmsuCG, BGBl. 2025 I Nr. 301)). Die DSGVO-Meldung entfällt, wenn voraussichtlich kein Risiko für die Betroffenen besteht — diese Einschätzung muss dokumentiert werden. Dies ist eine allgemeine Übersicht, keine Rechtsberatung im Einzelfall.
Sechs Dinge in der ersten Stunde
-
Netz trennen, nicht ausschalten
Betroffene Rechner vom Netzwerk nehmen, aber laufen lassen. Der Arbeitsspeicher enthält oft Spuren, die nach einem Neustart weg sind.
-
Notfallkontakt anrufen
IT-Dienstleister oder Incident-Response-Team informieren. Die Cybercrime-Stelle Ihrer Landespolizei (ZAC) nimmt Anzeigen rund um die Uhr auf.
-
Uhr starten und dokumentieren
Wann wurde der Vorfall bemerkt, von wem, was ist betroffen? Ab diesem Zeitpunkt laufen die Meldefristen. Jede Maßnahme mit Uhrzeit notieren.
-
Meldepflichten prüfen
Personenbezogene Daten betroffen? Dann Datenschutzbeauftragten einbinden — die 72-Stunden-Frist nach Art. 33 DSGVO gilt auch am Wochenende. NIS2-Einrichtungen melden zusätzlich an das BSI.
-
Nicht vorschnell zahlen
Eine Zahlung garantiert weder Entschlüsselung noch Löschung der Daten. Erst Backups und Wiederherstellung prüfen, dann mit Fachleuten und Ermittlern entscheiden.
-
Zugänge sperren und ändern
Administrator- und Cloud-Konten zurücksetzen, Mehr-Faktor-Anmeldung erzwingen. Viele Angriffe beginnen mit einem einzigen gestohlenen Passwort.
Ob Ihr Unternehmen unter NIS2 fällt, klärt der NIS2-Schnellcheck in drei Minuten. Gegen den häufigsten Einstieg — die Phishing-Mail — hilft Training: Hugo Learn mit Schulung und Phishing-Simulation.
Die Lage im September 2026
Einordnung der frag.hugo-Redaktion, erstellt am 19. Oktober 2026 — jede Zahl aus dem Lagebild oder mit Quelle belegt.
Im September 2026 haben Erpressergruppen mindestens 20 Unternehmen und Einrichtungen aus Deutschland auf ihren Leak-Seiten genannt – weniger als im August, etwas mehr als im September 2025.
Unsere Zählung kommt für September auf 20 Fälle nach 32 im August. Das sind 37 % weniger als im Vormonat. Im September 2025 waren es 17 Fälle. Einzelne Monate schwanken stark, weil Gruppen ihre Opfer oft gebündelt veröffentlichen. Aussagekräftiger ist die Jahressumme: 193 Fälle bis zum 19. Oktober 2026 gegenüber 142 im gleichen Zeitraum 2025. Ein Teil dieses Anstiegs dürfte daran liegen, dass die Einträge heute ausführlicher beschrieben sind und wir deutsche Fälle dadurch leichter erkennen. Alle Werte sind Untergrenzen.
Die Fälle im September verteilen sich auf viele Branchen, darunter IT-Dienstleister, Bau, Industrie und Beratung; bei vielen Einträgen lässt sich keine Branche bestimmen. Über zwölf Monate ist die Industrie mit 32 Fällen die am häufigsten erkennbare Branche. Öffentlich bestätigt wurden im September zwei große Fälle: Der Dialysekonzern Fresenius Medical Care meldete einen Hackerangriff, in Berlin waren Teile der Landesverwaltung betroffen. Bei den Tätern verteilt sich das Geschehen auf viele Namen, in zwölf Monaten waren es 45 Gruppen. Am häufigsten tauchte im September Lamashtu auf, eine Gruppe, die erst seit Mai 2026 in unserer Zählung erscheint.
Leak-Seiten zeigen nur einen Ausschnitt. Wer zahlt, taucht dort meist nicht auf; das BSI bezeichnet solche Zählungen ausdrücklich als Hellfeld. Das BKA verzeichnete für 2025 insgesamt 1.041 angezeigte Ransomware-Angriffe. In einer Anfang September veröffentlichten Bitkom-Befragung gaben 45 % der Unternehmen an, in den vergangenen zwölf Monaten von Ransomware betroffen gewesen zu sein. Von den Betroffenen haben 20 % schon einmal Lösegeld gezahlt.
Unsere Einschätzung: Der Rückgang im September ist kein Grund zur Entwarnung. Für ein mittelständisches Unternehmen zählt vor allem Vorbereitung. Erstens Backups, die vom Netz getrennt liegen und deren Rücksicherung geprobt ist. Zweitens Fernzugänge und Admin-Konten mit Mehrfaktor-Anmeldung. Drittens ein Meldeplan: Nach Art. 33 DSGVO ist eine Datenpanne möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden. Wer unter NIS2 fällt, muss einen erheblichen Sicherheitsvorfall nach § 32 BSIG spätestens nach 24 Stunden beim BSI erstmelden. Wer Zuständigkeiten und Kontakte vorher festlegt, verliert im Ernstfall keine Zeit.
Quellen
- Bitkom: Jedes fünfte Ransomware-Opfer hat schon einmal Lösegeld gezahlt
- Bundesregierung: Bundeslagebild Cybercrime 2025
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025 – Leak-Geschädigte
- Handelsblatt: Hacker attackieren Dialysekonzern Fresenius Medical Care
- rbb24: Senat plant nach Hackerangriff Anlaufstelle für Bürger und Firmen
- Gesetze im Internet: § 32 BSIG
Methodik und Grenzen der Daten
Was die Zahlen zeigen — und was nicht.
Woher die Zahlen kommen
Erpressergruppen betreiben Leak-Seiten, auf denen sie Opfer nennen, die nicht zahlen wollen. Das Open-Source-Projekt RansomLook des CIRCL (Computer Incident Response Center Luxembourg) erfasst diese Seiten automatisiert und stellt die Einträge unter der Lizenz CC BY 4.0 bereit. Wir rufen sie einmal täglich ab und zählen sie nach dem Tag, an dem RansomLook den Eintrag gefunden hat.
Wie wir Deutschland erkennen. RansomLook nennt kein Land. Ein Eintrag zählt bei uns nur, wenn er ein klares
Merkmal trägt: eine .de-Adresse im Titel, eine Sitzangabe wie „headquartered in …, Germany", eine deutsche Postanschrift,
die Selbstbeschreibung als deutsches Unternehmen oder eine deutsche Rechtsform (GmbH, GmbH & Co. KG, e. V. …).
Einträge mit Hinweis auf Österreich, die Schweiz, Liechtenstein oder Luxemburg, ausländische Gesellschaften und reine
Deutschland-Ableger ausländischer Konzerne zählen nicht. Im Zweifel zählt ein Fall nicht.
Gemessene Treffsicherheit. Am 19.10.2026 haben wir 79 zufällig gezogene Treffer (Oktober 2025 bis Oktober 2026) von Hand geprüft: 74 betrafen eindeutig eine Organisation in Deutschland, 1 war ein Fehltreffer (ein österreichisches Unternehmen), bei 4 ließ sich der Sitz nicht feststellen. Das sind 99 % der entscheidbaren Fälle, mindestens 94 %. Umgekehrt fanden wir unter 62 nicht gezählten Einträgen mit Deutschland-Hinweis mindestens 15 deutsche Organisationen. Die Zahlen sind deshalb eine Untergrenze.
Je Fall veröffentlichen wir nur drei Merkmale: Datum, Gruppe, Branche. Die Branche ordnen wir per Stichwort auf eine feste Liste zu; was sich nicht eindeutig zuordnen lässt, steht offen unter „nicht zugeordnet". Bundesland und Unternehmensgröße raten wir nicht.
Datenbestand: 482 Fälle mit Deutschland-Bezug unter 23.548 Einträgen weltweit seit 01.01.2024, zuletzt abgerufen am 19. Oktober 2026.
Was die Zahlen nicht zeigen
- Die Dunkelziffer. Wer zahlt oder still verhandelt, wird nicht veröffentlicht. Das BSI nennt solche Zählungen ausdrücklich eine „Hellfeldstatistik".
- Den Tatzeitpunkt. Zwischen Angriff und Veröffentlichung liegen oft Wochen.
- Gesicherte Fakten. Die Einträge sind Behauptungen der Täter. Manche sind übertrieben oder recyceln alte Daten.
- Jeden deutschen Fall. Einträge, die nur aus einem Firmennamen ohne deutsches Merkmal bestehen, erkennt keine Regel. Konzerne mit deutschem Standort, aber ausländischem Hauptsitz zählen wir bewusst nicht.
- Saubere Vorjahresvergleiche. RansomLook beschreibt die Einträge heute ausführlicher als früher (2024: 30 %, 2025: 47 %, 2026: 57 % mit Beschreibung). Neuere Fälle erkennen wir deshalb leichter; ein Teil des Anstiegs gegenüber dem Vorjahr geht darauf zurück.
„Geschädigte, die gezahlt haben und nicht veröffentlicht wurden, werden nicht berücksichtigt. … Die Leak-Geschädigten-Statistik ist gleichwohl als Hellfeldstatistik zu betrachten." — BSI, Lagebericht 2025
Daten herunterladen und zitieren
Frei verwendbar unter CC BY 4.0 — für Artikel, Präsentationen, Studien und Schulungen.
- Fälle je Kalenderwoche wochen.csv · 52 Wochen
- Fälle je Monat monate.csv · 25 Monate
- Fälle je Branche (12 Monate) branchen.csv · 15 Branchen
- Aktivste Gruppen (12 Monate) gruppen.csv · 12 Gruppen
So zitieren Sie das Lagebild
Quelle: frag.hugo Cyber-Lagebild Deutschland, Stand 19.10.2026, https://www.fraghugo.de/tools/cyber-lagebild/ (Datenbasis: RansomLook (CIRCL), CC BY 4.0)Die CSV-Dateien enthalten nur verdichtete Zahlen, keine Einzelfälle. Unsere Auswertung steht unter CC BY 4.0; die Rohdaten stammen von RansomLook (CIRCL), ebenfalls unter CC BY 4.0 — bitte beide nennen.
Die Wochengrafik auf der eigenen Seite
Aktualisiert sich täglich von selbst. Ohne Cookies, ohne Tracking.
<iframe
src="https://www.fraghugo.de/tools/cyber-lagebild/widget/"
title="Cyberangriffe auf deutsche Unternehmen je Woche — frag.hugo Cyber-Lagebild"
style="display:block;width:100%;max-width:760px;height:430px;border:0"
loading="lazy"></iframe>Häufige Fragen
In den letzten 30 Tagen (Stand 19.10.2026) haben Erpressergruppen 19 Fälle mit Bezug zu Deutschland auf ihren Leak-Seiten veröffentlicht, im September 2026 waren es 20. Das sind nur die öffentlich gemachten Fälle: Wer zahlt oder wessen Daten nicht veröffentlicht werden, taucht in keiner Leak-Statistik auf. Das BKA zählte für 2025 insgesamt 1.041 angezeigte Ransomware-Angriffe.
Unter den Fällen der letzten zwölf Monate, deren Branche sich bestimmen ließ, liegt „Industrie & Produktion" vorn: 32 von 127 (25 %). Bei 112 Fällen gibt der Eintrag keine Branche her. Deutschland hat viele mittelständische Industriebetriebe, und die Täter suchen gezielt nach Firmen, die einen Stillstand nicht lange aushalten.
Sind personenbezogene Daten betroffen, muss der Verantwortliche die Datenpanne nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde melden. Einrichtungen, die unter das NIS2-Umsetzungsgesetz fallen, melden einen erheblichen Sicherheitsvorfall nach § 32 BSIG zusätzlich an das BSI: frühe Erstmeldung binnen 24 Stunden, Meldung binnen 72 Stunden, Abschlussmeldung spätestens einen Monat nach der Meldung.
Die Rohdaten stammen von RansomLook, einem Open-Source-Projekt des CIRCL (Computer Incident Response Center Luxembourg), das die Leak-Seiten von Erpressergruppen automatisiert erfasst und unter CC BY 4.0 bereitstellt. RansomLook nennt kein Land. Ob ein Fall Deutschland betrifft, bestimmen wir mit festen, offengelegten Regeln (deutsche Domain, Sitzangabe, deutsche Rechtsform). Eine Handprüfung von 79 Treffern ergab 74 richtige Treffer, 1 Fehltreffer und 4 nicht entscheidbare Fälle; die Zahlen sind eher zu niedrig als zu hoch. Wir veröffentlichen nur Datum, Gruppe und Branche, keine Namen.
Weil die Namen von den Tätern stammen. Eine Leak-Seite ist ein Druckmittel, und jede weitere Veröffentlichung verstärkt den Druck auf die Opfer. Namen nennen wir nur, wenn das Unternehmen selbst oder ein seriöses Medium den Angriff berichtet hat, und dann immer mit Link auf diese Quelle.
Ja. Die Auswertungen auf dieser Seite und die CSV-Dateien stehen unter der Lizenz CC BY 4.0. Bitte nennen Sie als Quelle „frag.hugo Cyber-Lagebild" mit Link auf diese Seite und die Datenbasis „RansomLook (CIRCL), CC BY 4.0" — so verlangt es deren Lizenz.
Weitere kostenlose Werkzeuge
Alle ohne Anmeldung, alle ohne Kosten.
- Subprozessor-Monitor Wir prüfen die Unterauftragsverarbeiter-Listen der großen Anbieter täglich und zeigen jede Änderung mit Datum. Öffnen
- DSGVO-Bußgeldrechner Schätzt den Bußgeldkorridor für Ihr Unternehmen — nach demselben Modell, mit dem deutsche Aufsichtsbehörden rechnen. Öffnen
- Bußgeld-Datenbank Verhängte Bußgelder nach Behörde, Branche, Verstoß und Höhe filtern — jeder Fall mit Quelle. Öffnen
- E-Mail-Sicherheitscheck Prüft in wenigen Sekunden, ob Fremde in Ihrem Namen E-Mails verschicken können. Öffnen
- KI-Risikoklassen-Check Ordnet Ihren KI-Einsatz in die vier Risikoklassen der EU-KI-Verordnung ein und nennt die Pflichten mit Frist. Öffnen
- Shop-Check Prüft einen Online-Shop auf Gewährleistungslabel, Umweltaussagen, GPSR-Angaben und die Kennzeichnung von KI-Chatbots. Öffnen
- Schatten-KI-Check Acht Fragen zeigen, wie gut Sie im Blick haben, welche KI-Dienste mit Ihren Firmenkonten verbunden sind. Öffnen
- CRA-Hersteller-Check Klärt in elf Fragen, ob der Cyber Resilience Act für Sie gilt, in welcher Rolle und in welche Produktklasse Ihr Produkt fällt. Öffnen
- DSGVO-Prüfstand für Software ChatGPT, Notion, DeepL & Co. an zehn Kriterien geprüft — jede Aussage mit Quelle, Zitat und Abrufdatum, alle 90 Tage nachgeprüft. Öffnen
- Aufsichtsbehörden im Vergleich Die Jahresberichte aller 18 deutschen Datenschutzbehörden nebeneinander: Beschwerden, Datenpannen, Bußgelder und Prüfschwerpunkte. Öffnen
- Fristenkalender Alle Fristen aus DSGVO, NIS2, KI-Verordnung, CRA, DORA, Data Act und Co. auf einem Zeitstrahl — monatlich geprüft, jede mit Primärquelle. Öffnen
Werkzeuge zeigen Lücken. Schließen muss sie jemand.
Wir übernehmen Datenschutz und Informationssicherheit als externer Dienstleister — TÜV-zertifiziert, mit festem Ansprechpartner, ab 79 € im Monat.
