Black Kites 2026-Ransomware-Bericht zeigt ein schnelleres, fragmentierteres Bedrohungs-Ökosystem

Black Kites 2026-Ransomware-Bericht beschreibt einen Ransomware-Markt, der nicht mehr durch eine dominierende Gruppe, eine Schlagzeile machende Zerschlagung oder eine Angriffsmethode definiert ist. Zwischen dem 1. April 2025 und dem 31. März 2026 identifizierte das Unternehmen 7.551 öffentlich bekannt gegebene Opfer, im Vergleich zu 6.046 im vorherigen Berichtszeitraum. Wichtiger als die Gesamtsteigerung ist jedoch, wie das Wachstum erfolgte. Die Aktivität beschleunigte sich im zweiten Halbjahr stark, neue Ransomware-Gruppen erschienen in rascher Folge und vertrauenswürdige Software-Plattformen wurden zunehmend zu Einfallstoren für Organisationen, die möglicherweise ihre eigenen internen Umgebungen gesichert hatten.

Ransomware-Wachstum hat seine Form geändert

Black Kite hat Ransomware-Meldungen seit 2022 verfolgt, als der erste Berichtszeitraum etwa 2.700 Opfer aufwies. Diese Zahl stieg später auf 4.893, dann auf 6.046 und jetzt auf 7.551, aber die jährliche Steigerung gibt nicht vollständig wieder, wie stark die Aktivität im letzten Zeitraum anstieg.

Die ersten sechs Monate produzierten 2.904 Opfer, im Vergleich zu 4.647 von Oktober 2025 bis März 2026. März endete mit 861 öffentlich bekannt gegebenen Opfern, der höchste monatliche Gesamtwert, den Black Kite in vier Jahren aufgezeichnet hat. Der Schwung setzte sich auch über den Berichtszeitraum hinaus fort, mit weiteren 2.230 Opfern, die zwischen April und Juni 2026 beobachtet wurden.

Im Gegensatz zu früheren Ransomware-Zyklen wurde der Anstieg nicht durch eine dominierende Gruppe oder ein einzelnes wichtiges Ereignis getrieben. Er spiegelte vielmehr die Expansion mehrerer Betreiber auf einmal, etablierte Gruppen, die ihre Affiliate-Netzwerke skalieren, und neue Teilnehmer, die günstigere Wege zur Teilnahme finden.

Ein überfüllter Markt hat immer noch mächtige Führer

Ransomware wird nicht mehr von einer kleinen Anzahl erkennbarer Gruppen kontrolliert, die als eng organisierte kriminelle Gruppen operieren. Es funktioniert zunehmend als Dienstleistungswirtschaft. Kernbetreiber entwickeln die Malware, unterhalten Leak-Sites, handhaben Zahlungen und stellen Infrastruktur bereit, während Affiliates Wege in Unternehmensnetzwerke finden und die Angriffe ausführen. Dieses Modell ermöglicht es Gruppen, sich schnell auszudehnen, ohne dass jeder Teilnehmer fortgeschrittene technische Fähigkeiten benötigt.

Black Kite identifizierte 127 aktive Ransomware-Gruppen während des Berichtszeitraums, darunter 61, die zum ersten Mal auftraten. Einige waren völlig neue Operationen, während andere möglicherweise Re-Brands oder Abspaltungen waren, die nach dem Verschwinden etablierter Organisationen gebildet wurden. Das Ergebnis ist ein flüssigerer Markt, in dem Akteure zwischen Marken wechseln, Tools wiederverwenden oder neue Leak-Sites starten können, ohne ihre Operationen von Grund auf neu aufbauen zu müssen.

Trotz dieser Fragmentierung generierten einige Gruppen immer noch einen großen Teil der Aktivität. Qilin war das prominenteste Beispiel, mit 1.358 Opfern während des Jahres, fast doppelt so vielen wie sein nächster Wettbewerber. Die Gruppe operiert durch eine Ransomware-as-a-Service-Struktur, die Affiliates Zugang zu Angriffstools gibt, während zentrale Funktionen wie Verhandlungen, Zahlungen und Opfer-Meldungen zentralisiert werden.

Andere Marken folgten unterschiedlichen Pfaden. RansomHub, das in dem vorherigen Zeitraum eine der führenden Operationen war, hörte im Januar 2026 auf, Opfer zu melden. LockBit kehrte nach seiner vorherigen Unterbrechung zurück, aber seine 186 gemeldeten Opfer repräsentierten eine begrenzte Erholung und nicht eine Rückkehr zu seinem früheren Einfluss.

Diese Verschiebungen zeigen, warum Ransomware-Marken nicht wie konventionelle Unternehmen betrachtet werden sollten. Eine Gruppe kann verschwinden, während ihre Affiliates, Techniken und Infrastruktur unter anderen Namen weiterbestehen. Betreiber können ihre Operationen nach polizeilichen Maßnahmen, internen Streitigkeiten oder sinkendem Vertrauen einstellen, nur um vertraute Taktiken Wochen später durch eine neue Leak-Site wieder auftauchen zu lassen.

Der Markt ist daher sowohl überfüllter als auch konzentrierter geworden. Neue Teilnehmer können schnell auftauchen, aber die Skalierung hängt immer noch von zuverlässigen Access-Brokern, erfahrenen Affiliates, Zahlungsinfrastruktur und einem Ruf für die Bereitstellung von Malware ab, die wie versprochen funktioniert.

Das Zielprofil verschiebt sich

Ransomware-Angriffe beginnen typischerweise mit dem Zugriff und nicht mit der Verschlüsselung. Angreifer können ein unpatchtes internetfähiges System ausnutzen, Anmeldeinformationen von Mitarbeitern stehlen, Remote-Access-Software missbrauchen oder einen Help-Desk täuschen, um ein Konto zurückzusetzen. Sobald sie im Inneren sind, versuchen sie, sich durch die Organisation zu bewegen, wertvolle Systeme zu identifizieren, sensible Daten zu kopieren und genug operativen oder reputationsbezogenen Druck zu erzeugen, um Zahlungen zu fordern.

Die Vereinigten Staaten blieben das am häufigsten angegriffene Land in Black Kites Datenbank, mit fast der Hälfte der beobachteten Opfer. Ransomware-Aktivitäten breiteten sich jedoch in mehreren anderen Märkten schneller aus. Deutschland, Frankreich, Spanien und Italien verzeichneten alle erhebliche Zunahmen, während eine Reihe von asiatischen Ländern auch ein starkes Wachstum von kleineren Startpunkten aus erlebten.

Diese breitere geografische Streuung spiegelt einen Markt wider, in dem Affiliates zunehmend jedes zugängliche Unternehmen anstatt einer engen Gruppe von Ländern verfolgen. Sprachbarrieren und regionales Wissen machten internationale Expansion früher schwieriger. Automatisierte Übersetzung, weit verbreitete Aufklärungstools und gemeinsame kriminelle Infrastruktur haben einige dieser Reibungen verringert.

Die Fertigungsindustrie blieb die am häufigsten angegriffene Branche, mit 1.660 gemeldeten Opfern. Hersteller sind attraktiv, weil selbst eine kurze Unterbrechung die Produktion unterbrechen, Bestellungen verzögern und Lieferanten und Kunden beeinträchtigen kann. Viele betreiben auch eine Mischung aus modernen Geschäftssystemen und älterer operativer Technologie, was Umgebungen schafft, die schwierig zu patchen oder vorübergehend offline zu schalten sind.

Professionelle, wissenschaftliche und technische Dienstleistungen belegten den zweiten Platz. Diese Unternehmen verfügen oft über sensible Informationen, die mehreren Kunden gehören, was bedeutet, dass ein Einbruch Druck weit über das ursprüngliche Opfer hinaus erzeugen kann. Rechtsanwaltskanzleien, Ingenieurbüros, Beratungsunternehmen und Technologieanbieter können auch Anmeldeinformationen oder Zugriff auf andere Unternehmen haben.

Bauwesen rückte auf den dritten Platz, was die Abhängigkeit des Sektors von verteilten Projektteams, Auftragnehmern, Cloud-Anwendungen und Zahlungssystemen widerspiegelt. Gesundheitswesen blieb stark angegriffen, da eine Dienstunterbrechung schnell zu einem operativen und öffentlichen Sicherheitsproblem werden kann.

Der Bericht zeigt auch, dass Angreifer größeres Gewicht auf mittelständische Unternehmen legen. Unternehmen mit einem Umsatz zwischen 10 Millionen und 100 Millionen Dollar machten einen großen Teil der beobachteten Aktivität aus. Diese Unternehmen verfügen möglicherweise über wertvolle Daten und haben die Fähigkeit, zu zahlen, aber oft fehlen ihnen die spezialisierten Sicherheitsteams und geschichteten Verteidigungen, die den größten Unternehmen zur Verfügung stehen.

Dies bedeutet nicht, dass große Konzerne ignoriert werden. Stattdessen scheinen Ransomware-Operatoren die potenziellen Auszahlungen gegen die Kosten und Schwierigkeiten eines Angriffs abzuwägen. Ein kleiner Hersteller, ein regionaler Auftragnehmer oder ein professionelles Dienstleistungsunternehmen kann einen schnelleren Weg zur Unterbrechung bieten als ein multinationaler Konzern mit umfassenden Überwachungs- und Reaktionsressourcen.

Vertrauenswürdige Plattformen wurden Teil der Angriffsfläche

Einige der folgenschwersten Vorfälle des Jahres begannen nicht innerhalb des Kernnetzwerks des Opfers. Sie bewegten sich durch Software-as-a-Service-Integrationen, OAuth-Tokens, Enterprise-Resource-Planning-Anwendungen, Support-Plattformen und andere Systeme, die mit sensiblen Geschäftsdaten verbunden sind.

Der Bericht hebt Salesforce-(CRM )-Kampagnen als Beispiele hervor, wie delegiertes Vertrauen zu einem Angriffspfad werden kann. Kompromittierte OAuth-Tokens in Verbindung mit verbundenen Anwendungen sollen Angreifern Zugriff auf Kunden-Salesforce-Umgebungen verschafft haben. Integrationen mit Kunden-Service- und Kunden-Erfolg-Plattformen schufen zusätzliche Wege zu Daten.

In diesen Fällen kann eine Organisation ihre internen Kontrollen stark halten und dennoch durch eine Lieferantenbeziehung, die sie nicht vollständig versteht oder überwacht, exponiert sein. Ein Token, das Monate zuvor ausgestellt wurde, eine Anwendung, die übermäßige Berechtigungen erhalten hat, oder ein schlecht gesicherter Support-Account kann einem Angreifer Zugriff verschaffen, ohne dass eine traditionelle Malware-Infektion erforderlich ist.

Oracle E-Business Suite veranschaulicht die Massen-Exploitation-Version desselben Problems. Black Kite beschreibt eine Kampagne, die Datendiebstahl aus Oracle EBS-Umgebungen und mögliche Ausnutzung von CVE-2025-61882 vor der Verfügbarkeit eines Patches umfasst.

Nachberichtsaktivitäten in Bezug auf PeopleSoft unterstreichen die breitere Lektion. Eine exponierte Plattform kann einen großen Pool von Opfern im Nachhinein schaffen und so die Identitätskontrollen, Berechtigungen oder Verwundbarkeit eines Lieferanten in die Ransomware-Exposition jedes Kunden einbeziehen.

Die Warnsignale waren oft sichtbar

Black Kites Analyse vor der Meldung ergab, dass viele Opfer vor ihrem Auftauchen auf Ransomware-Leak-Sites extern beobachtbare Schwächen aufwiesen. Sicherheitsfehkonfigurationen waren in mehr als zwei Dritteln der analysierten Population vorhanden, während exponierte Remote-Access-Dienste, Software-Schwachstellen, betrügerische Domains und gestohlene Anmeldeinformationen ebenfalls häufig auftraten.

Mehr als 60 % wiesen mindestens eines von drei ransomware-relevanten Ergebnissen auf: eine bekannte Software-Schwachstelle, Anmeldeinformations-Exposition oder Stealer-Logs. Fast ein Zehntel wies alle drei auf.

Diese Signale beweisen nicht, welche Schwachstelle eine bestimmte Invasion verursachte. Eine Organisation mit exponierten Anmeldeinformationen kann letztendlich durch eine andere Schwachstelle kompromittiert werden. Dennoch zeigen die Ergebnisse, dass viele zukünftige Opfer bereits vor einem Angriff als attraktive Ziele sichtbar waren.

Der Ransomware-Susceptibility-Index des Berichts versucht, diese Exposition direkt zu messen. Black Kite fand heraus, dass Unternehmen in der höchsten Risikoklasse wesentlich wahrscheinlicher ein bekanntes Ransomware-Vorfall erlebten als Organisationen in der niedrigsten Klasse.

Die praktische Lektion ist, dass Ransomware-Risiken nicht gleichmäßig verteilt sind. Angreifer konzentrieren sich oft auf Organisationen, bei denen mehrere Schwachstellen überlappen, insbesondere wenn unpatchte Systeme, exponierte Anmeldeinformationen und permissive Identitätskontrollen mehrere mögliche Einfallstore schaffen.

Niedrigere Zahlungsraten ändern Erpressungstaktiken

Der Ransomware-Markt expandierte, während das Zahlungsverhalten weniger zuverlässig wurde. Black Kite misst Ransomware-Zahlungen nicht direkt, aber es vergleicht mehrere externe Incident-Response-Datensätze, die darauf hindeuten, dass weniger Opfer zahlen.

Ein Datensatz berichtete über eine Zahlungsrate von 26 % im zweiten Quartal 2025. Ein anderer platzierte die Rate bei 23 % im folgenden Quartal, während Daten-Exfiltrations-Vorfälle eine Rate von 19 % produzierten. Diese Zahlen stammen aus unterschiedlichen Populationen und sollten nicht als ein kontinuierliches marktweites Maß gelesen werden, aber sie deuten in die gleiche Richtung.

Die Beträge, die von Organisationen gezahlt werden, die zahlen, können dennoch erheblich sein. Ein Datensatz, der im Bericht zitiert wird, fand einen Medianwert von 1 Million Dollar unter den befragten Organisationen, die für die Datenwiederherstellung gezahlt haben.

Niedrigere Umrechnungsraten machen Ransomware nicht unbedingt weniger profitabel. Sie können Betreiber dazu veranlassen, mehr Opfer zu verfolgen, die Kosten jedes Angriffs zu senken oder mehr Druck auszuüben. Verschlüsselung wird jetzt häufig mit Datendiebstahl, öffentlicher Bekanntgabe, Nachahmung, direktem Kontakt mit Kunden und Drohungen in Bezug auf Aufsichtsbehörden oder Geschäftspartner kombiniert.

Wenn weniger Opfer zahlen, um nur ihre verschlüsselten Systeme wiederherzustellen, haben Angreifer einen Anreiz, Konsequenzen zu schaffen, die auch nach der Wiederherstellung von Backups bestehen bleiben.

Wiederherstellung bedeutet nicht, dass die Exposition verschwunden ist

Die post-incidentellen Ergebnisse des Berichts sind unter den besorgniserregendsten. Einige oberflächliche Sicherheitsmaßnahmen verbesserten sich nachdem Opfer Angriffe gemeldet hatten. Durchschnittliche Cyber-Ratings stiegen, während durchschnittliche Botnet-Aktivität sank.

Ransomware-spezifische Indikatoren bewegten sich jedoch oft in die entgegengesetzte Richtung. Stealer-Log-Exposition war bei vielen Opfern wesentlich höher, während Ransomware-Susceptibility und Software-Schwachstellen-Exposition ebenfalls bei vielen Opfern zunahmen.

Das Muster deutet darauf hin, dass Organisationen möglicherweise die sichtbarsten Hygieneprobleme beheben, aber die Bedingungen, die sie für Angreifer attraktiv machen, zurücklassen. Ein Unternehmen könnte die Schwachstelle schließen, die den ursprünglichen Einbruch verursacht hat, aber versäumen, gestohlene Anmeldeinformationen zu widerrufen, Lieferantenzugriff zu überprüfen, inaktive Konten zu entfernen oder andere exponierte Systeme zu untersuchen.

Black Kites aktuelle Analyse unterstreicht diese Besorgnis. Viele ehemalige Opfer zeigten weiterhin falsch konfigurierte E-Mail-Sicherheitsaufzeichnungen, kritische unpatchte Schwachstellen, bekannte ausgenutzte Schwachstellen und Mitarbeiter-Anmeldeinformationen, die in Stealer-Logs zirkulierten.

Die Reaktion auf Vorfälle ist oft um die Wiederherstellung von Betriebsabläufen und die Eindämmung des bestätigten Einbruchs organisiert. Der Bericht argumentiert, dass dies nicht genug ist. Wiederherstellung sollte eine erneute Bewertung der gesamten extern sichtbaren Angriffsfläche der Organisation umfassen, nicht nur des Systems, das mit dem ursprünglichen Vorfall in Verbindung steht.

KI senkt die Kosten für die Teilnahme

Der Bericht argumentiert nicht, dass künstliche Intelligenz den Anstieg von Ransomware verursacht hat. Stattdessen beschreibt es KI als einen Force-Multiplier, der bestehende Arbeitsabläufe schneller und billiger macht.

Aufklärung kann schneller zusammengefasst, Phishing- und Voice-Phishing-Skripte können lokalisiert, gestohlene Aufzeichnungen können in überzeugendere Erzählungen organisiert und Verhandlungsnachrichten können von kleineren Teams produziert werden. Niedrigere Angreifer können auch KI-gestützte Tools verwenden, um Skripte zu debuggen, Malware zu modifizieren und repetitive Aufgaben zu automatisieren.

Der deutlichste Einfluss ist derzeit in der menschlichen Ebene zu sehen. Voice-Cloning, multilinguale Lockvögel, Deepfake-Audio, Help-Desk-Manipulation und Echtzeit-Persona-Anpassung können soziale Ingenieurskunst skalierbarer machen. KI kann einem Angreifer helfen, in einer Sprache, die er nicht spricht, glaubwürdiger zu klingen oder benutzerdefinierte Nachrichten für hunderte von Mitarbeitern zu produzieren, ohne jede einzelne manuell schreiben zu müssen.

Black Kite weist auf erste Anzeichen hin, dass KI in die technische Ausführung und die Erpressungs-Marke eintritt. Das kurzfristige Risiko ist nicht unbedingt vollautomatisierte Ransomware. Es sind semi-automatisierte kriminelle Operationen, in denen kleinere Teams Arbeiten ausführen können, die früher mehr Zeit, Fachwissen und Koordination erforderten.

KI entfernt nicht die Notwendigkeit von Zugriff oder geschickten Betreibern. Sie reduziert die Reibung zwischen den Phasen eines Angriffs und gibt mehr Teilnehmern die Fähigkeit, sich wie organisierte Ransomware-Unternehmen zu verhalten.

Zukünftige Auswirkungen

Die zentrale Botschaft ist, dass Ransomware von einem Markt, der von einigen wenigen erkennbaren Marken angeführt wird, in ein breiteres und operationalisierteres Ökosystem übergeht. Verteidiger müssen immer noch Schwachstellen patchen und Endpunkte sichern, aber die Daten deuten auf eine weiterreichende Verantwortung hin, die die kontinuierliche Überprüfung von Lieferantenzugriff, Software-as-a-Service-Integrationen, Identitätskontrollen, E-Mail-Infrastruktur, exponierten Anmeldeinformationen und post-incidentellen Bedingungen umfasst.

Organisationen sollten auch ihre Wiederherstellungsmaßnahmen überdenken. Die Wiederherstellung von Systemen kann den unmittelbaren Vorfall schließen, aber sie beweist nicht, dass gestohlene Anmeldeinformationen ungültig gemacht, übermäßige Lieferantenzugriffe entfernt oder andere exponierte Vermögenswerte angegangen wurden.

Der 2026-Ransomware-Bericht zeigt letztendlich, warum Opferzahlen allein nicht mehr ausreichen. Die Bedrohung wächst durch eine Kombination aus anhaltendem Volumen, hochleistungsfähigen Ransomware-as-a-Service-Betreibern, expandierender Mittelstands-Zielgruppen, Lieferanten-Hebelwirkung und geringeren Betriebskosten. Die Schließung eines Vorfalls kann den normalen Betrieb wiederherstellen, aber die Wahrscheinlichkeit eines weiteren Vorfalls verringern erfordert, dass die Exposition als anhaltender Zustand und nicht als Fall behandelt wird, der endet, wenn der Wiederherstellungsprozess abgeschlossen ist.