„Ransomware-Angriffe nehmen zu.“ Darin sind sich die meisten Cybersecurity-Exptern einig. Gleichzeitig stellen sie fast, dass die Lösegeldzahlungen tendenziell zurückgehen.

Aber warum ist das so?

Logischerweise müssten die Lösegeldsummen steigen.  Doch es scheint, als seien Unternehmen immer weniger bereit zu zahlen. Und genau darin liegt der Kern des Problems: Ransomware-Betreiber sind gerade auf diese Zahlungen angewiesen, um sich die Taschen zu füllen. Tatsächlich ist Ransomware schon seit einiger Zeit eine derart erfolgreiche Bedrohung, dass sie eine Art Goldrausch ausgelöst und das Geschäftsmodell „Ransomware-as-a-Service“ (RaaS) hervorgebracht hat.

Um auf die anfängliche Beobachtung zurückzukommen: Was treibt diesen Abwärtstrend bei den Lösegeldzahlungen an, und würde dies, falls er anhält, bedeuten, dass Ransomware als große Bedrohung bald der Vergangenheit angehört?

Kernpunkte dieses Artikels:

  • Während Ransomware-Angriffe zunehmen, sinken die Lösegeldzahlungen tendenziell.
  • Dank KI sind die Abwehrmaßnahmen robuster geworden. Doch es gibt Anzeichen dafür, dass auch Kriminelle KI-gestützte Technologien und Prozesse zu ihrem Vorteil nutzen.
  • Ransomware bleibt ein profitables Geschäft, während die Opfer die Kosten für Vorfälle und behördliche Bußgelder tragen müssen.
  • Nicht die Abwehrmaßnahmen und auch nicht die Weiterentwicklung der Ransomware, sondern tief verwurzelte systemische Schwachstellen ermöglichen die anhaltende Verbreitung von Angriffen.

Vergangenheit, Gegenwart und Zukunft von Ransomware

Die Anfänge von Ransomware reichen bis in die 80er Jahre zurück, als der erste AIDS-Trojaner (auch bekannt als PC-Cyborg-Virus) Opfer über Disketten infizierte. Sein bemerkenswertes Merkmal war, dass er Dateien auf der Festplatte versteckte (indem er lediglich deren Namen verschlüsselte) und später eine Meldung anzeigte, in der behauptet wurde, man müsse eine Gebühr zahlen, um ein „Reparatur-Tool“ zu erhalten.

Dies ist zu einem gängigen Muster bei Ransomware-Angriffen geworden. Bei diesen verlangen die Betreiber oft exorbitante Zahlungen, um ganze Systeme zu entschlüsseln. In einem Fall wurde ein Fortune-50-Unternehmen aufgefordert, 75 Millionen US-Dollar an die Ransomware-Gruppe „Dark Angels“ zu zahlen. Zum Vergleich: Die durchschnittliche Zahlung liegt in 2025 bei etwa 139.875 US-Dollar.

Ob die Angreifer ihr Versprechen nach der Zahlung jedoch einhalten, ist eine ganz andere Frage. Zwar lautet der übliche Rat der Strafverfolgungsbehörden, nicht zu zahlen. Doch wenn Betriebsstörungen Verluste in Millionenhöhe pro Tag verursachen, zögern manche nicht lange. Und dennoch gibt es immer weniger Unternehmen, die bereit sind zu zahlen².

Dieser Trend hat zu einer anhaltenden Spaltung (mehr dazu weiter unten) innerhalb der Ransomware-Szene beigetragen und eine Weiterentwicklung der Taktiken erzwungen. Wenn Verschlüsselung wirkungslos ist, könnte die Ausübung von Druck durch Datenlecks Unternehmen vielleicht etwas stärker motivieren – bis hin dazu, dass Angreifer Daten-Erpressung der Verschlüsselung vorziehen.

Cyber-Lösegeld-Krieg

Doch der Bruch in der modernen Ransomware ist nicht rein strategischer Natur. Wie im ESET Threat Report für das zweite Halbjahr 2025 dargelegt, haben Strafverfolgungsbehörden und Sicherheitsforscher große Fortschritte dabei erzielt, Ransomware-Operationen zu stören, deren Infrastruktur zu zerschlagen, kostenlose Entschlüsselungsprogramme bereitzustellen und die Täter festzunehmen.

Dass sich das Blatt zugunsten der Unternehmen wendet, spiegelt auch einen internen Konflikt innerhalb der Ransomware-Szene wider³: Banden bekämpfen sich zunehmend gegenseitig, anstatt nur miteinander zu konkurrieren. Das hat Auswirkungen auf wichtige Akteure wie beispielsweise RansomHub, einen bekannten RaaS-Anbieter. Das Ergebnis ist eine zunehmend zersplitterte Landschaft, in der Kriminelle die Fähigkeiten der anderen untergraben und verdrängen.

Es wäre auch angebracht, die Technologien zu erwähnen, die aktiv gegen Ransomware vorgehen. Sei es durch automatischen Ransomware-Schutz oder clevere XDR- oder MDR-Maßnahmen – Erkennung und Reaktion haben mit maschinellem Lernen und schneller menschlicher Reaktion den Spieß gegen die Angreifer umgedreht. Im Fall von ESET MDR auf knapp sechs Minuten. Zum Vergleich: Die durchschnittliche Zeit, die benötigt wird, um eine Sicherheitsverletzung zu identifizieren und einzudämmen, liegt bei 241 Tagen⁴. Das bedeutet, dass Angreifer sich (in bestimmten Fällen) nicht darauf verlassen können, die Oberhand zu behalten, es sei denn, sie ergreifen drastische Maßnahmen.

Etwas Drastisches

Mittlerweile dürfte Sie bereits mit unserem superintelligenten Herrscher, der künstlichen Intelligenz, vertraut sein. Diese kann zwar viel Gutes bewirken, zum Beispiel bei der Beschleunigung von Erkennungsmodulen, aber sie kann auch viel Schaden anrichten. Im Jahr 2025 entdeckte ESET „PromptLock“, eine Proof-of-Concept-Ransomware, die GenAI zur Durchführung von Angriffen nutzt.

Der Begriff „intelligent“ bezieht sich darauf, wie die Malware ein lokal zugängliches KI-Sprachmodell nutzt, um in Echtzeit bösartige Skripte zu generieren. Während der Infektion entscheidet die KI autonom – basierend auf vordefinierten Eingabeaufforderungen –, welche Dateien durchsucht, kopiert oder verschlüsselt werden sollen. Im Gegensatz dazu erfordern fortgeschrittene Angriffe wie dieser normalerweise echte Angreifer, die sie über Command-and-Control-Server ausführen.

Das ist eine drastische Entwicklung. KI hat Phishing-Angriffe bereits deutlich wirkungsvoller gemacht. Ob sie hier denselben Effekt haben wird, bleibt abzuwarten.

Was macht Ransomware weiterhin relevant?

Ransomware bleibt nicht deshalb relevant, weil sie ausgeklügelt ist (was durch KI noch verschlimmert werden könnte), sondern weil sie systemische Schwachstellen zuverlässig ausnutzt.

1. Menschen: Menschliches Versagen ist nach wie vor der Einstiegspunkt für einen Großteil der Sicherheitsverletzungen. Phishing, bösartige Anhänge und der Diebstahl von Zugangsdaten sind durchweg wirksame Taktiken.

2. Schwachstellen in Organisationen: Sicherheitslücken, mangelnde Sicherheitsüberwachung und ein Mangel an qualifiziertem Sicherheitspersonal … all dies trägt zu Schwachstellen bei, die letztendlich die Erfolgschancen selbst eines unerfahrenen Ransomware-Angreifers drastisch erhöhen.

Über all das wurde bereits ausführlich in verschiedenen ESET-Blogs berichtet. Kurz gesagt: Es handelt sich um ein systemisches Problem. Tatsächlich ist Ransomware zu einem Wettstreit zwischen zwei finanziellen Ökosystemen geworden – einem, das von Störungen profitiert, und einem, das deren Kosten trägt. Und unabhängig davon, wer „gewinnt“, wirken sich die Verluste nach unten aus.

Systemische Merkmale, die Ransomware ermöglichen

Gehen wir etwas näher auf diese systemischen Probleme ein. Die Forscher Tara Wheeler und Ciaran Martin beschrieben, dass Ransomware im Kern eine„Fehlausrichtung wirtschaftlicher und politischer Anreize“ ist,„die es Kriminellen ermöglicht, erfolgreich und ungestraft zu agieren“.

Der Hauptgrund dafür ist, dass die nach unten gerichtete Kaskade letztendlich die Last auf die Opfer selbst abwälzt. Sie müssen ihre Systeme wieder entsperren, sensible Daten schützen und den Betrieb wieder aufnehmen. Dies wird durch die Durchsetzung von Vorschriften noch verstärkt, bei der Bußgelder dazu dienen, die Bestrafung zu verschärfen, anstatt Anreize für anhaltende Widerstandsfähigkeit zu schaffen.

Tony Anscombes Vlog über Verbote von Ransomware-Zahlungen geht ausführlich darauf ein, warum auch dies keine Lösung ist:

Das soll nicht heißen, dass es keine Durchsetzung von Cybersicherheitsstandards geben sollte. Ob durch Anforderungen an Cyberversicherungen oder DORA-ähnliche Vorgaben: Unternehmen müssen mit den aktuellen Anforderungen an die Widerstandsfähigkeit Schritt halten. Ob sie dies selbst (mit internen Abteilungen) oder über einen MSP/MDR tun, spielt keine Rolle, da die systemischen Probleme bestehen bleiben werden, denn:

  • Kriminelle sind … Kriminelle. Gerade im Cyberspace ist die Zuordnung schwierig, insbesondere bei böswilligen Aktivitätsvektoren aus dem Ausland. Internationale polizeiliche Maßnahmen könnten funktionieren, aber abgesehen von Großoperationen sind sie angesichts der riesigen Landschaft an Cyberbedrohungen nicht weitreichend genug, um etwas zu bewirken.
  • Viele Softwareprodukte werden nach wie vor nicht unter Berücksichtigung von „Security by Design“ entwickelt. Erst seit Kurzem haben die Regulierungsbehörden begonnen, Unstimmigkeiten bei den Praktiken zur Offenlegung von Sicherheitslücken anzugehen. Zwar sollte nicht jede Sicherheitslücke öffentlich gemacht werden. Jedoch erhöht eine verantwortungsvolle Offenlegung oft die Wahrscheinlichkeit, dass Korrekturen entwickelt und bereitgestellt werden. Das gleiche Problem gilt für die Offenlegung von Vorfällen. Eine verzögerte Meldung kann das Risiko weiterer Schäden für Kunden erheblich erhöhen.
  • 39 Prozent der cyberversicherten Unternehmen zahlten im Jahr 2023 trotz der Unterstützung durch einen Versicherer immer noch das Lösegeld. Schlimmer noch ist, dass Versicherungsauszahlungen Ransomware-Operationen indirekt finanzieren. Angreifer lernen, dass Opfer wahrscheinlich schnell zahlen und können ihre Forderungen entsprechend anpassen.
  • Im Bereich der kritischen Infrastruktur liegt die Verantwortung größtenteils bei privaten Unternehmen. Obwohl sich diese Sektoren oft mit staatlichen Funktionen überschneiden und erhöhte Sicherheit erfordern, sind Regierungen in der Regel nicht rechenschaftspflichtig, wenn ein Hafen, ein Bahnbetreiber oder ein Energieversorger kompromittiert wird. Kleinere Organisationen – insbesondere solche, die auf Altsysteme angewiesen sind – sind besonders anfällig, da ihnen oft die Ressourcen fehlen, die für eine hohe Sicherheit erforderlich sind.

Die wirtschaftliche Zwickmühle der Ransomware

Organisationen befinden sich in einem permanenten Zustand teilweiser Anpassung – nie vollständig sicher, nie vollständig widerstandsfähig, doch ständig die Kosten tragend.

Daraus entsteht eine Art Ransomware-Limbo: ein Zustand, in dem sich die Abwehrmaßnahmen schrittweise verbessern, die Vorschriften ungleichmäßig verschärft werden und Angreifer weiterhin die Lücken dazwischen ausnutzen. Fortschritte gibt es zwar, doch sie reichen nicht aus, um diesen Kreislauf zu durchbrechen. Solange die zugrunde liegenden Anreize bestehen bleiben, hält sich der Kreislauf selbst aufrecht.

ESET_Ransomware_banner

Weitere Quellen:
1) Verizon. (2026). 2026 Data Breach Investigations Report (S. 42). Verizon.
2) Die Zahlungen sind geringer, doch die Schätzungen variieren je nach Datensatz (Verizon, 2026, S. 42; IBM, 2025, S. 7).
3) ESET Research. (2025). ESET Threat Report H1 2025 ( S. 20–22). ESET.
4) IBM Security & Ponemon Institute. (2025). „Cost of a Data Breach Report 2025“ (S. 12). IBM.