{"id":91,"date":"2026-06-14T12:21:39","date_gmt":"2026-06-14T12:21:39","guid":{"rendered":"https:\/\/shattered.io\/at\/2026\/06\/14\/akira-vs-qilin-vs-lockbit-ransomware-vergleich\/"},"modified":"2026-06-14T12:21:39","modified_gmt":"2026-06-14T12:21:39","slug":"akira-vs-qilin-vs-lockbit-ransomware-vergleich","status":"publish","type":"post","link":"https:\/\/shattered.io\/at\/akira-vs-qilin-vs-lockbit-ransomware-vergleich\/","title":{"rendered":"Akira vs. Qilin vs. LockBit: 244 Mio. $ [2026]"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Drei Namen dominieren die Ransomware-Lage in der DACH-Region: Akira, Qilin und LockBit. Das FBI beziffert allein die Einnahmen von Akira auf \u00fcber 244 Millionen US-Dollar seit M\u00e4rz 2023. Qilin stellt nach Daten von PI Solutions in jeder Woche des Jahres 2026 mehr neue Opfer auf seine Leak-Seite als jede andere Erpressergruppe. Und LockBit, totgesagt nach den Polizeischl\u00e4gen von 2024, ist mit der Version 5.0 zur\u00fcck. Dieser Vergleich stellt die drei gef\u00e4hrlichsten Ransomware-Operationen Seite an Seite: Technik, Gesch\u00e4ftsmodell, reale Angriffe und die konkrete Gefahr f\u00fcr Unternehmen in \u00d6sterreich, Deutschland und der Schweiz.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wir vergleichen entlang harter Daten aus mehr als sechs unabh\u00e4ngigen Quellen, darunter das gemeinsame Advisory von FBI, CISA und Europol vom 13. November 2025, die Quartalsberichte von Arete sowie die Threat-Profile von Halcyon, FortiGuard Labs und Check Point. Am Ende steht ein klares Urteil, welche Gruppe 2026 das gr\u00f6\u00dfte Risiko darstellt, plus ein Migrationsleitfaden f\u00fcr die Abwehr.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"akira-vs-qilin-vs-lockbit-die-wichtigsten-unterschiede-auf-einen-blick\">Akira vs. Qilin vs. LockBit: Die wichtigsten Unterschiede auf einen Blick<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Alle drei Gruppen betreiben Ransomware-as-a-Service (RaaS). Sie entwickeln die Schadsoftware zentral und vermieten sie an Partner, sogenannte Affiliates, die die eigentlichen Einbr\u00fcche durchf\u00fchren. Alle drei setzen auf Double Extortion, also den doppelten Druck aus Verschl\u00fcsselung und Drohung mit Datenver\u00f6ffentlichung. Die Unterschiede liegen im Detail: in der Verschl\u00fcsselungstechnik, den bevorzugten Einfallstoren, der Reife des Partnerprogramms und der schieren Schlagzahl. Die folgende Tabelle fasst die zentralen Merkmale zusammen, soweit sie sich aus den Quellen von 2025 und 2026 belegen lassen.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Merkmal<\/th><th>Akira<\/th><th>Qilin (Agenda)<\/th><th>LockBit 5.0<\/th><\/tr><\/thead><tbody>\n<tr><td>Erstmals beobachtet<\/td><td>M\u00e4rz 2023<\/td><td>2022<\/td><td>2019 (LockBit), 5.0 ab Sept. 2025<\/td><\/tr>\n<tr><td>Mutma\u00dfliche Herkunft<\/td><td>Sehr wahrscheinlich Conti-Nachfolge<\/td><td>Russischsprachiger Raum<\/td><td>Russischsprachiger Raum<\/td><\/tr>\n<tr><td>Modell<\/td><td>RaaS, Affiliate-getrieben<\/td><td>RaaS, reifes Affiliate-Modell<\/td><td>RaaS, nach Takedown reaktiviert<\/td><\/tr>\n<tr><td>Programmiersprache<\/td><td>C++, sp\u00e4ter Rust (Megazord)<\/td><td>Anfangs Go, sp\u00e4ter Rust<\/td><td>Windows- und Linux-Builds<\/td><\/tr>\n<tr><td>Verschl\u00fcsselung<\/td><td>ChaCha20 (symmetrisch)<\/td><td>AES-256-CTR oder ChaCha20<\/td><td>Nicht offengelegt<\/td><\/tr>\n<tr><td>Schl\u00fcsselschutz<\/td><td>RSA<\/td><td>RSA-4096 OAEP<\/td><td>Nicht offengelegt<\/td><\/tr>\n<tr><td>Zielplattformen<\/td><td>Windows, Linux\/ESXi, Nutanix AHV<\/td><td>Windows, Linux, VMware ESXi<\/td><td>Windows, Linux<\/td><\/tr>\n<tr><td>Initialer Zugriff<\/td><td>Gestohlene Zugangsdaten, VPN ohne MFA, CVE-Exploits<\/td><td>Phishing, Zugangsdaten, Exploits<\/td><td>Affiliate-abh\u00e4ngig<\/td><\/tr>\n<tr><td>Double Extortion<\/td><td>Ja<\/td><td>Ja<\/td><td>Ja<\/td><\/tr>\n<tr><td>Affiliate-Anteil<\/td><td>Nicht offengelegt<\/td><td>Berichtet: 80 bis 85 %<\/td><td>Nicht offengelegt<\/td><\/tr>\n<tr><td>Dateiendung<\/td><td>.akira, .powerranges<\/td><td>variabel<\/td><td>16-Zeichen-Endung pro Opfer<\/td><\/tr>\n<tr><td>Kumulierte Opfer<\/td><td>ca. 1.520 (Ransomware.live)<\/td><td>\u00fcber 500 allein 2026 (MoxFive)<\/td><td>nach Takedown im Wiederaufbau<\/td><\/tr>\n<tr><td>Bekanntestes Opfer<\/td><td>kritische Infrastruktur, Industrie<\/td><td>Synnovis (NHS), Die Linke<\/td><td>fr\u00fchere Gro\u00dfangriffe vor 2024<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Schon diese \u00dcbersicht zeigt das Muster: Akira ist der erfahrene Dauerl\u00e4ufer mit den h\u00f6chsten dokumentierten Einnahmen, Qilin der aggressivste Volumen-Player mit dem gro\u00dfz\u00fcgigsten Partnerprogramm, und LockBit die wiederauferstandene Marke, deren Comeback die Branche aufmerksam beobachtet. Die n\u00e4chsten Abschnitte zerlegen jede Dimension einzeln.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"wer-steckt-hinter-den-drei-gruppen-herkunft-und-conti-verbindung\">Wer steckt hinter den drei Gruppen? Herkunft und Conti-Verbindung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Abstammung sagt viel \u00fcber die F\u00e4higkeiten einer Ransomware-Gruppe aus. Das kanadische Cyber Centre stuft Akira in seinem Threat Outlook 2025 bis 2027 als sehr wahrscheinlich mit der aufgel\u00f6sten Conti-Gruppe verbunden ein. Conti war bis 2022 eine der professionellsten und brutalsten Erpresseroperationen \u00fcberhaupt. Diese Erbschaft erkl\u00e4rt, warum Akira schon kurz nach dem Auftauchen im M\u00e4rz 2023 mit dem Werkzeugkasten und der Disziplin eines reifen Akteurs operierte, nicht wie ein Newcomer. Akira hat nach Einsch\u00e4tzung der Beh\u00f6rde vor allem Industrie und Telekommunikation global getroffen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Qilin, intern und in \u00e4lteren Berichten auch Agenda genannt, existiert seit 2022 und hat sich zu einem der reifsten Affiliate-Programme im Untergrund entwickelt. Halcyon beschreibt die Gruppe als RaaS-Operation mit einem ausgereiften Partnermodell und Double-Extortion-Taktik, die Windows-, Linux- und VMware-ESXi-Umgebungen gezielt angreift. Der entscheidende Wachstumsschub kam Mitte 2025: Nach dem Niedergang konkurrierender Marken wanderten deren Affiliates massenhaft zu Qilin ab. Barracuda datiert den Moment, in dem Qilin zur aktivsten Bedrohung wurde, auf den Juni 2025.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">LockBit ist der Veteran unter den dreien. Seit 2019 aktiv, war die Gruppe jahrelang die mit Abstand produktivste RaaS-Operation, bis eine internationale Polizeiaktion 2024 die Infrastruktur lahmlegte. Totgesagt war die Marke damit nicht. Arete berichtet, dass LockBit 5.0 erstmals Anfang September 2025 angek\u00fcndigt und im Januar 2026 erneut beobachtet wurde. Die R\u00fcckkehr zeigt, dass selbst massiver Strafverfolgungsdruck eine etablierte Ransomware-Marke nicht zwangsl\u00e4ufig ausl\u00f6scht.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"die-kartellisierung-der-szene-2026\">Die Kartellisierung der Szene 2026<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ein wichtiger Kontext f\u00fcr 2026: Sicherheitsforscher beobachten eine Ann\u00e4herung der drei Gruppen. Eine Analyse von SecureBlink aus dem M\u00e4rz 2026 beschreibt eine Kartellisierung des \u00d6kosystems, bei der sich Infrastruktur und Affiliates zwischen Qilin, LockBit und Akira \u00fcberschneiden. Affiliates arbeiten heute oft f\u00fcr mehrere Marken gleichzeitig. Das verwischt die Grenzen und erkl\u00e4rt, warum sich Taktiken und Werkzeuge der Gruppen immer \u00e4hnlicher werden. Wer eine Gruppe versteht, versteht damit zu gro\u00dfen Teilen auch die anderen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"verschluesselungstechnik-im-vergleich-chacha20-aes-256-und-rsa\">Verschl\u00fcsselungstechnik im Vergleich: ChaCha20, AES-256 und RSA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Im Kern arbeiten alle modernen Ransomware-Familien mit hybrider Verschl\u00fcsselung. Ein schneller symmetrischer Algorithmus verschl\u00fcsselt die eigentlichen Dateien, ein asymmetrisches Verfahren sch\u00fctzt den symmetrischen Schl\u00fcssel. Ohne den privaten Schl\u00fcssel der Angreifer bleibt die Entschl\u00fcsselung mathematisch aussichtslos. Wer die Grundlagen vertiefen will, findet sie in unserer Einf\u00fchrung zu <a href=\"\/at\/2026\/06\/10\/sha-256\/\">SHA-256 und kryptografischen Verfahren<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Akira setzt laut dem FBI- und CISA-Advisory vom November 2025 auf ein hybrides Schema aus ChaCha20 f\u00fcr die symmetrische Dateiverschl\u00fcsselung und RSA zum Schutz der ChaCha20-Schl\u00fcssel. Die Beh\u00f6rden dokumentieren zudem einen Rust-basierten Encryptor namens Megazord und die F\u00e4higkeit, je nach Dateityp und Gr\u00f6\u00dfe vollst\u00e4ndig oder nur teilweise zu verschl\u00fcsseln. Teilverschl\u00fcsselung beschleunigt den Angriff dramatisch, weil bei gro\u00dfen Dateien nur Fragmente bearbeitet werden, das Ergebnis f\u00fcr das Opfer aber genauso unbrauchbar ist. Fr\u00fchere Akira-Versionen waren in C++ geschrieben und nutzten die Endungen .akira und .powerranges.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Qilin gilt technisch als \u00e4hnlich modern. Technische Analysen ordnen der Variante Qilin.B AES-256-CTR oder ChaCha20 f\u00fcr die Dateiverschl\u00fcsselung zu, kombiniert mit RSA-4096 im OAEP-Modus zum Schl\u00fcsselschutz. Die Payloads waren anfangs in Go geschrieben und wurden sp\u00e4ter in Rust neu entwickelt, was die plattform\u00fcbergreifende Reichweite verbessert. Die Wahl von Rust ist kein Zufall: Die Sprache erzeugt schwer analysierbare Bin\u00e4rdateien und l\u00e4uft nativ auf Windows wie Linux.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Zu LockBit 5.0 sind die \u00f6ffentlich belegten technischen Details d\u00fcnner. Arete best\u00e4tigt Windows- und Linux-Builds, zus\u00e4tzliche Anti-Analyse-Funktionen sowie eindeutige 16-Zeichen-Endungen, die an verschl\u00fcsselte Dateien angeh\u00e4ngt werden. Den konkreten Verschl\u00fcsselungsalgorithmus nennen die vorliegenden Quellen f\u00fcr die Version 5.0 nicht. Wir verzichten bewusst darauf, hier eine Zahl zu erfinden. Wie hybride Verschl\u00fcsselung in der Praxis funktioniert, erkl\u00e4ren wir am Beispiel des Web-Verkehrs in unserem Beitrag zu <a href=\"\/at\/2026\/06\/10\/https-und-tls\/\">HTTPS und TLS<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"initiale-zugriffswege-wie-die-angreifer-ins-netzwerk-kommen\">Initiale Zugriffswege: Wie die Angreifer ins Netzwerk kommen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Verschl\u00fcsselung ist nur der letzte Akt. Entscheidend f\u00fcr die Abwehr ist der erste Schritt: Wie verschaffen sich die Gruppen Zugang? Hier liegt der gr\u00f6\u00dfte Hebel f\u00fcr Verteidiger, weil ein verhinderter Erstzugriff den gesamten Angriff stoppt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Akira ist hier am besten dokumentiert. Das Advisory nennt gestohlene Zugangsdaten als Haupteinfallstor, oft erbeutet \u00fcber Spear-Phishing oder Brute-Force-Angriffe. Die Gruppe kauft Zug\u00e4nge zus\u00e4tzlich bei Initial Access Brokern ein und nimmt besonders gern VPN-Zug\u00e4nge ohne Multi-Faktor-Authentifizierung ins Visier. Dokumentiert ist die Ausnutzung von Schwachstellen in Cisco-Produkten sowie der SonicWall-L\u00fccke CVE-2024-40766. FortiGuard Labs listet zus\u00e4tzlich Infektionsvektoren \u00fcber Cisco ASA\/FTD, SonicWall SonicOS, VMware ESXi und Veeam Backup &amp; Replication. Nach dem Einbruch nutzt Akira legitime Fernwartungstools wie LogMeIn und AnyDesk f\u00fcr die Persistenz.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Qilin folgt einem \u00e4hnlichen Muster aus Phishing, gestohlenen Zugangsdaten und der Ausnutzung exponierter Dienste, auch wenn die vorliegenden Quellen die Aufschl\u00fcsselung weniger granular belegen als bei Akira. Bei LockBit h\u00e4ngt der Erstzugriff stark vom jeweiligen Affiliate ab, was f\u00fcr RaaS-Modelle typisch ist: Der Entwickler liefert die Waffe, der Partner sucht sich das Ziel und den Weg hinein.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die gemeinsame Lehre f\u00fcr die DACH-Region: Perimeter-Systeme sind das Schlachtfeld. VPN-Gateways, ESXi-Hosts, SonicWall- und Cisco-Appliances sowie Veeam-Backups geh\u00f6ren zu den am h\u00e4ufigsten attackierten Komponenten, und genau diese Systeme sind in deutschsprachigen Unternehmen weit verbreitet. Wer hier Multi-Faktor-Authentifizierung erzwingt und Patches zeitnah einspielt, entzieht allen drei Gruppen ihre liebste T\u00fcr. Erg\u00e4nzend lohnt ein Blick auf unseren Leitfaden zur Abwehr von <a href=\"\/at\/2026\/06\/10\/phishing-angriffe\/\">Phishing-Angriffen<\/a>, dem h\u00e4ufigsten Ausl\u00f6ser der Angriffskette.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"double-extortion-das-geschaeftsmodell-der-erpressung\">Double Extortion: Das Gesch\u00e4ftsmodell der Erpressung<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Reine Verschl\u00fcsselung reicht den Gruppen l\u00e4ngst nicht mehr. Alle drei praktizieren Double Extortion: Sie stehlen vor der Verschl\u00fcsselung gro\u00dfe Datenmengen und drohen mit deren Ver\u00f6ffentlichung, falls das Opfer nicht zahlt. Dieser doppelte Druck hebelt die klassische Verteidigung durch Backups aus. Selbst wer seine Systeme sauber wiederherstellen kann, steht weiter unter der Drohung, dass Kundendaten, Vertr\u00e4ge oder Gesch\u00e4ftsgeheimnisse im Netz landen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die Exfiltration nutzt Akira laut FortiGuard Labs einen klassischen Mix aus legitimen und kriminellen Werkzeugen: Cobalt Strike f\u00fcr Command-and-Control, Mimikatz zum Auslesen von Zugangsdaten, NetExec f\u00fcr laterale Bewegung, Rclone und FileZilla f\u00fcr den Datentransfer, dazu WinRAR und PowerShell. Dieser Living-off-the-Land-Ansatz, also das Zweckentfremden bordeigener Systemwerkzeuge, macht die Erkennung schwer, weil viele dieser Tools auch legitim im Einsatz sind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Qilins Leak-Seite ist 2026 die produktivste der Szene. Nach Daten von PI Solutions postet die Gruppe in jeder beliebigen Woche mehr neue Opfer als jede andere Operation weltweit. Das Gesch\u00e4ftsmodell skaliert \u00fcber die Masse der Affiliates, die mit dem gro\u00dfz\u00fcgigen Anteil von berichteten 80 bis 85 Prozent gelockt werden. Wer einmal Opfer wurde und die Ver\u00f6ffentlichung von Daten erlebt hat, wei\u00df: Die eigentliche Erpressung beginnt oft erst nach der Wiederherstellung der Systeme. Wie Datenlecks entstehen und welche Folgen sie haben, vertieft unser Beitrag zu <a href=\"\/at\/2026\/06\/10\/datenlecks\/\">Datenlecks<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"opferzahlen-und-marktanteile-2025-bis-2026\">Opferzahlen und Marktanteile 2025 bis 2026<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wie misst man die Gef\u00e4hrlichkeit einer Ransomware-Gruppe? Ein belastbarer Indikator ist die Zahl der \u00f6ffentlich gelisteten Opfer. Diese Werte stammen aus Leak-Seiten-Tracking und Incident-Response-Telemetrie. Sie untersch\u00e4tzen die Realit\u00e4t, weil zahlende Opfer oft nie \u00f6ffentlich werden, liefern aber den besten verf\u00fcgbaren Vergleichsma\u00dfstab. Die folgende Tabelle b\u00fcndelt Kennzahlen aus mehreren unabh\u00e4ngigen Quellen.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Kennzahl<\/th><th>Wert<\/th><th>Quelle<\/th><\/tr><\/thead><tbody>\n<tr><td>Akira: kumulierte Opfer (Tracker)<\/td><td>ca. 1.520<\/td><td>Ransomware.live, Juni 2026<\/td><\/tr>\n<tr><td>Akira: Opfer im M\u00e4rz 2026<\/td><td>84 in einem Monat<\/td><td>CybelAngel<\/td><\/tr>\n<tr><td>Akira: Anteil an allen Angriffen Jan. 2026<\/td><td>17 %<\/td><td>Arete<\/td><\/tr>\n<tr><td>Akira: kumulierte Einnahmen<\/td><td>\u00fcber 244 Mio. USD<\/td><td>FBI \/ CISA, Nov. 2025<\/td><\/tr>\n<tr><td>Qilin: Opfer allein 2026<\/td><td>\u00fcber 500<\/td><td>MoxFive<\/td><\/tr>\n<tr><td>Qilin: L\u00e4nder mit Opfern (Mitte 2025)<\/td><td>\u00fcber 60<\/td><td>Halcyon<\/td><\/tr>\n<tr><td>Qilin: Status pro Woche 2026<\/td><td>aktivste Leak-Seite<\/td><td>PI Solutions<\/td><\/tr>\n<tr><td>Top-3-Gruppen: Anteil Dez. 2025<\/td><td>57 %<\/td><td>Arete<\/td><\/tr>\n<tr><td>Top-3-Gruppen: Anteil Jan. 2026<\/td><td>34 %<\/td><td>Arete<\/td><\/tr>\n<tr><td>Ransomware global: Anstieg Q1 2026<\/td><td>+126 % gg\u00fc. Q1 2025<\/td><td>Total Assure<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Zwei Trends stechen heraus. Erstens: Akira bleibt nach Arete auch im Januar 2026 die aktivste einzelne Gruppe, doch ihr Anteil sank auf 17 Prozent, nach deutlich h\u00f6heren Werten Ende 2025. Zweitens: Die Szene fragmentiert. Der Anteil der drei gr\u00f6\u00dften Gruppen fiel von 57 Prozent im Dezember 2025 auf 34 Prozent im Januar 2026. Die Bedrohung verschwindet damit nicht, sie verteilt sich auf mehr Akteure. Gleichzeitig meldet Total Assure f\u00fcr das erste Quartal 2026 einen Anstieg der Ransomware-Aktivit\u00e4t um 126 Prozent gegen\u00fcber dem Vorjahresquartal. Mehr Gruppen, mehr Angriffe, kleinere Marktanteile pro Marke: Das ist die paradoxe Lage 2026.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Qilin sticht beim reinen Volumen hervor. Mit \u00fcber 500 gelisteten Opfern allein 2026 und der durchg\u00e4ngig produktivsten Leak-Seite ist die Gruppe der quantitative Spitzenreiter. Akira f\u00fchrt dagegen bei den dokumentierten Einnahmen und der Konstanz \u00fcber drei Jahre. Beide Perspektiven sind f\u00fcr eine Risikobewertung relevant.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"loesegeldforderungen-und-affiliate-modell-im-vergleich\">L\u00f6segeldforderungen und Affiliate-Modell im Vergleich<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die wirtschaftliche Seite entscheidet, wie attraktiv eine RaaS-Marke f\u00fcr ihre Partner ist und wie hart sie ihre Opfer presst. Die folgende Tabelle vergleicht die finanziellen Eckdaten, soweit belegbar. Betr\u00e4ge, die in den Quellen nicht eindeutig belegt sind, kennzeichnen wir ausdr\u00fccklich als nicht offengelegt.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Wirtschaftsmerkmal<\/th><th>Akira<\/th><th>Qilin<\/th><th>LockBit 5.0<\/th><\/tr><\/thead><tbody>\n<tr><td>L\u00f6segeldforderung (Spanne)<\/td><td>200.000 bis \u00fcber 4 Mio. USD<\/td><td>nicht einheitlich offengelegt<\/td><td>nicht offengelegt<\/td><\/tr>\n<tr><td>Kumulierte Einnahmen<\/td><td>\u00fcber 244 Mio. USD<\/td><td>nicht offengelegt<\/td><td>nicht offengelegt<\/td><\/tr>\n<tr><td>Affiliate-Anteil<\/td><td>nicht offengelegt<\/td><td>berichtet 80 bis 85 %<\/td><td>nicht offengelegt<\/td><\/tr>\n<tr><td>Zahlungsdruck<\/td><td>Verschl\u00fcsselung + Leak<\/td><td>Verschl\u00fcsselung + Leak<\/td><td>Verschl\u00fcsselung + Leak<\/td><\/tr>\n<tr><td>Verhandlung<\/td><td>individuelle Opferportale<\/td><td>individuelle Opferportale<\/td><td>individuelle Opferportale<\/td><\/tr>\n<tr><td>Krypto-Abwicklung<\/td><td>\u00fcberwiegend Bitcoin<\/td><td>\u00fcberwiegend Bitcoin<\/td><td>\u00fcberwiegend Bitcoin<\/td><\/tr>\n<\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Die dokumentierten Akira-Forderungen reichen laut AttackIQ von 200.000 US-Dollar bis \u00fcber vier Millionen US-Dollar pro Opfer. Wichtig: Das sind Forderungen, nicht durchschnittliche Zahlungen. Die vorliegenden Quellen liefern keinen belastbaren globalen Durchschnitt der tats\u00e4chlich gezahlten Betr\u00e4ge, und wir erfinden hier keine Zahl. Die \u00fcber 244 Millionen US-Dollar an kumulierten Einnahmen, die das FBI Akira zuschreibt, zeigen aber die Dimension des Gesch\u00e4fts.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Qilins St\u00e4rke liegt im Partnermodell. Der berichtete Affiliate-Anteil von 80 bis 85 Prozent geh\u00f6rt zu den gro\u00dfz\u00fcgigsten der Szene und erkl\u00e4rt den Zustrom an Partnern Mitte 2025. Diese Zahl stammt aus einem einzelnen Branchenbericht von 2026 und ist als Sch\u00e4tzung zu verstehen, nicht als universell best\u00e4tigter Fakt. Die Abwicklung l\u00e4uft bei allen drei Gruppen weiterhin \u00fcberwiegend \u00fcber Bitcoin, dessen Sicherheit auf demselben SHA-256-Verfahren beruht, das wir an anderer Stelle ausf\u00fchrlich erkl\u00e4ren.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"reale-angriffe-2025-bis-2026-fuenf-faelle-im-detail\">Reale Angriffe 2025 bis 2026: F\u00fcnf F\u00e4lle im Detail<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Statistiken werden konkret, wenn man die Opfer betrachtet. Die folgenden f\u00fcnf F\u00e4lle stammen s\u00e4mtlich aus belegten Berichten von 2024 bis 2026.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Synnovis (Qilin, Juni 2024):<\/strong> Der Angriff auf den britischen Pathologie-Dienstleister Synnovis, einen Partner des NHS, gilt als Qilins bekanntester Coup. Tausende Operationen und Bluttests in Londoner Kliniken mussten verschoben werden. Der Fall zeigte, wie ein Ransomware-Angriff auf einen Dienstleister eine gesamte Gesundheitsversorgungskette lahmlegt.<\/li>\n<li><strong>SK Inc. (Qilin, April 2025):<\/strong> Der Angriff auf das s\u00fcdkoreanische Gro\u00dfunternehmen unterstreicht Qilins globale Reichweite \u00fcber mehr als 60 L\u00e4nder hinweg.<\/li>\n<li><strong>Die Linke (Qilin, 2026):<\/strong> Die deutsche Partei wurde laut CybelAngel-Berichterstattung Ziel von Qilin. Der Fall ist der greifbarste DACH-nahe Bezug in den aktuellen Quellen und zeigt, dass auch politische Organisationen im deutschsprachigen Raum nicht au\u00dfen vor sind.<\/li>\n<li><strong>Akira gegen kritische Infrastruktur (2025):<\/strong> Das Advisory vom November 2025 hebt hervor, dass Akira verst\u00e4rkt kritische Infrastruktur ins Visier nimmt, unter anderem \u00fcber die SonicWall-L\u00fccke CVE-2024-40766 und Cisco-Schwachstellen.<\/li>\n<li><strong>Akira-Welle im M\u00e4rz 2026:<\/strong> CybelAngel dokumentiert 84 Akira-Opfer in einem einzigen Monat, bei einer F\u00e4higkeit, ein Netzwerk in unter einer Stunde zu verschl\u00fcsseln. Diese Geschwindigkeit l\u00e4sst Verteidigern kaum Reaktionszeit.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Der rote Faden: Keine Branche ist sicher. Gesundheitswesen, Industrie, Telekommunikation und politische Organisationen tauchen gleicherma\u00dfen auf. FortiGuard Labs beschreibt Akira ausdr\u00fccklich als global agierende RaaS-Operation, die Branchen wahllos angreift. Genau diese Wahllosigkeit macht die Gruppen f\u00fcr die DACH-Region so gef\u00e4hrlich, denn sie selektieren nach Verwundbarkeit, nicht nach Land oder Sektor.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"dach-und-oesterreich-im-visier-wie-gross-ist-die-gefahr\">DACH und \u00d6sterreich im Visier: Wie gro\u00df ist die Gefahr?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eine ehrliche Einordnung: Die ausgewerteten Quellen von 2025 und 2026 benennen keinen best\u00e4tigten \u00f6sterreichischen Einzelfall f\u00fcr Akira, Qilin oder LockBit. Den klarsten DACH-Bezug liefert der Angriff auf Die Linke in Deutschland. Wir behaupten daher keine konkreten Austria-Opfer, die sich nicht belegen lassen. Das w\u00e4re unseri\u00f6s.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die strukturelle Gefahr ist trotzdem real und hoch. Die bevorzugten Einfallstore aller drei Gruppen, also VPN-Gateways, ESXi-Hosts, SonicWall- und Cisco-Appliances sowie Veeam-Backups, sind in \u00f6sterreichischen, deutschen und Schweizer Unternehmen fl\u00e4chendeckend im Einsatz. Eine Gruppe, die nach Verwundbarkeit statt nach Geografie ausw\u00e4hlt, trifft die DACH-Region zwangsl\u00e4ufig. Wie sich die Bedrohungslage regional darstellt, zeigen unsere Auswertungen zu <a href=\"\/at\/2026\/06\/12\/cyberangriffe-dach-2026\/\">Cyberangriffen in der DACH-Region 2026<\/a> und zur <a href=\"\/at\/2026\/06\/12\/cyberkriminalitaet-oesterreich-2026\/\">Cyberkriminalit\u00e4t in \u00d6sterreich<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hinzu kommt der regulatorische Druck. Mit der EU-Richtlinie NIS2, in \u00d6sterreich \u00fcber das NISG umgesetzt, m\u00fcssen tausende Unternehmen ihre Abwehr nachweislich verbessern und Vorf\u00e4lle melden. Ransomware ist damit nicht mehr nur ein IT-Problem, sondern eine Compliance-Pflicht. Was NIS2 konkret f\u00fcr \u00f6sterreichische Betriebe bedeutet, erl\u00e4utern wir im Detail in unserem Beitrag zu <a href=\"\/at\/2026\/06\/11\/nis2-oesterreich-nisg-2026\/\">NIS2 und dem NISG<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"was-sicherheitsforscher-und-behoerden-sagen\">Was Sicherheitsforscher und Beh\u00f6rden sagen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Statt erfundener Promi-Zitate lassen wir die Institutionen sprechen, die diese Gruppen tats\u00e4chlich verfolgen. Ihre Einsch\u00e4tzungen wiegen schwerer als jede Meinung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das gemeinsame Advisory von FBI und CISA, mitgetragen von HHS, Europol, OFAC und dem niederl\u00e4ndischen NCSC, beschreibt Akiras Taktiken als sich st\u00e4ndig weiterentwickelnd. Die Beh\u00f6rden betonen die Verschiebung von reinen Windows-Zielen hin zu Linux- und ESXi-Umgebungen und zuletzt sogar Nutanix-AHV-Disk-Dateien. Diese Verbreiterung des Angriffsspektrums ist ein klares Warnsignal f\u00fcr virtualisierte Rechenzentren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">FortiGuard Labs charakterisiert Akira als reife, affiliate-getriebene Enterprise-Bedrohung mit einem breiten Werkzeugkasten und konsequenter Double-Extortion-Strategie. Halcyon ordnet Qilin als eine der weltweit aktivsten Bedrohungen Mitte 2025 ein. Arete liefert die n\u00fcchternste Beobachtung des Jahres: Trotz Takedown konnte sich die LockBit-Marke mit Version 5.0 neu formieren, erg\u00e4nzt um Anti-Analyse-Funktionen. Strafverfolgung schw\u00e4cht eine Marke, l\u00f6scht sie aber nicht zwangsl\u00e4ufig aus.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die \u00fcbergreifende Botschaft der Fachwelt: Die Professionalisierung schreitet voran, die Werkzeuge konvergieren, und der Anstieg von 126 Prozent im ersten Quartal 2026 laut Total Assure zeigt, dass das Gesch\u00e4ftsmodell trotz aller Polizeiaktionen floriert. Wer sich auf eine einzige Gruppe konzentriert, \u00fcbersieht das eigentliche Problem: ein ganzes \u00d6kosystem.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"migrationsleitfaden-von-reaktiver-zu-proaktiver-abwehr\">Migrationsleitfaden: Von reaktiver zu proaktiver Abwehr<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Viele Organisationen sichern sich noch immer reaktiv ab: Backups, Virenschutz, Notfallplan f\u00fcr den Schadensfall. Gegen Gruppen, die ein Netzwerk in unter einer Stunde verschl\u00fcsseln und vorher Daten stehlen, reicht das nicht. Dieser Leitfaden skizziert den Umstieg auf eine proaktive Verteidigung in f\u00fcnf Phasen.<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n<li><strong>Perimeter h\u00e4rten:<\/strong> Multi-Faktor-Authentifizierung f\u00fcr jeden Fernzugang erzwingen, besonders auf VPN-Gateways. Akira nimmt gezielt VPNs ohne MFA ins Visier. Das ist der wirksamste Einzelhebel.<\/li>\n<li><strong>Schwachstellen schlie\u00dfen:<\/strong> Bekannte ausgenutzte L\u00fccken priorisiert patchen, allen voran SonicWall CVE-2024-40766 sowie Schwachstellen in Cisco-, VMware-ESXi- und Veeam-Systemen. Diese Vektoren listet FortiGuard explizit.<\/li>\n<li><strong>Erkennung statt nur Schutz:<\/strong> Endpoint-Detection einsetzen, die auch legitime, zweckentfremdete Werkzeuge wie Cobalt Strike, Mimikatz und Rclone erkennt. Die Gruppen leben von Living-off-the-Land-Techniken.<\/li>\n<li><strong>Backups isolieren:<\/strong> Unver\u00e4nderliche, offline gehaltene Backups einrichten, die selbst bei kompromittiertem Veeam-Server \u00fcberleben. Backups, die im Netz h\u00e4ngen, sind das erste Ziel.<\/li>\n<li><strong>Exfiltration verhindern:<\/strong> Ausgehenden Datenverkehr \u00fcberwachen und ungew\u00f6hnliche \u00dcbertragungen via Rclone oder FileZilla blockieren. Wer die Datenabfl\u00fcsse stoppt, entwaffnet die zweite Stufe der Double Extortion.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Der Umstieg ist kein Einmalprojekt, sondern ein fortlaufender Prozess. Entscheidend ist die Reihenfolge: Erst das Einfallstor schlie\u00dfen, dann die laterale Bewegung erschweren, zuletzt den Datenabfluss kappen. Wer alle f\u00fcnf Phasen umsetzt, verwandelt das eigene Netzwerk vom leichten Ziel in einen teuren, riskanten Angriff, den Affiliates lieber meiden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"staerken-und-schwaechen-der-drei-gruppen-aus-verteidigersicht\">St\u00e4rken und Schw\u00e4chen der drei Gruppen aus Verteidigersicht<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Eine Pro-und-Contra-Betrachtung aus Sicht der Angreifer hilft, das eigene Risiko realistisch einzuordnen. Was eine Gruppe stark macht, ist gleichzeitig der Ansatzpunkt f\u00fcr die Abwehr.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Akira, St\u00e4rken:<\/strong> Conti-Erbe, dreij\u00e4hrige Konstanz, \u00fcber 244 Mio. USD Einnahmen, extreme Verschl\u00fcsselungsgeschwindigkeit, breite Plattformabdeckung bis Nutanix AHV.<\/li>\n<li><strong>Akira, Schw\u00e4chen f\u00fcr Verteidiger nutzbar:<\/strong> Stark abh\u00e4ngig von bekannten CVEs und VPN ohne MFA. Wer diese T\u00fcren schlie\u00dft, nimmt der Gruppe ihren liebsten Weg.<\/li>\n<li><strong>Qilin, St\u00e4rken:<\/strong> H\u00f6chstes Opfervolumen 2026, gro\u00dfz\u00fcgiges Affiliate-Modell, moderne Rust-Payloads, breite ESXi-Abdeckung.<\/li>\n<li><strong>Qilin, Schw\u00e4chen:<\/strong> Stark affiliate-abh\u00e4ngig, dadurch uneinheitliche Vorgehensweise, die sich mit guter Erkennung oft an einem Glied der Kette stoppen l\u00e4sst.<\/li>\n<li><strong>LockBit 5.0, St\u00e4rken:<\/strong> Etablierte Marke, Anti-Analyse-Funktionen, Windows- und Linux-Builds.<\/li>\n<li><strong>LockBit 5.0, Schw\u00e4chen:<\/strong> Durch den Takedown 2024 angeschlagenes Vertrauen unter Affiliates, im Wiederaufbau, \u00f6ffentlich d\u00fcnn dokumentiert.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die gemeinsame Schw\u00e4che aller drei: Sie sind auf vermeidbare Fehler der Opfer angewiesen. Fehlende MFA, ungepatchte Perimeter-Systeme und ungesch\u00fctzte Backups. Keine der Gruppen verf\u00fcgt \u00fcber magische Zero-Day-Arsenale f\u00fcr den Masseneinsatz. Sie nutzen das, was offen steht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"use-case-empfehlungen-welche-abwehr-fuer-welche-organisation\">Use-Case-Empfehlungen: Welche Abwehr f\u00fcr welche Organisation<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Nicht jede Organisation hat dasselbe Risikoprofil. Die folgenden f\u00fcnf Empfehlungen ordnen die Schwerpunkte nach Unternehmenstyp.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>KMU mit VPN-Fernzugang:<\/strong> H\u00f6chste Priorit\u00e4t auf MFA f\u00fcr alle Remote-Zug\u00e4nge und sofortiges Patchen von SonicWall- und Cisco-Appliances. Dies ist Akiras Hauptweg und f\u00fcr kleine Teams der wirksamste, g\u00fcnstigste Schutz.<\/li>\n<li><strong>Gesundheitswesen und Dienstleister:<\/strong> Der Synnovis-Fall zeigt das Lieferketten-Risiko. Drittanbieter-Zug\u00e4nge segmentieren und Notfallpl\u00e4ne f\u00fcr den Ausfall von Dienstleistern testen.<\/li>\n<li><strong>Industrie und kritische Infrastruktur:<\/strong> ESXi- und Nutanix-Umgebungen h\u00e4rten, da Akira gezielt Virtualisierung angreift. Unter NIS2 ohnehin verpflichtend.<\/li>\n<li><strong>Gro\u00dfe Konzerne:<\/strong> Vollst\u00e4ndige EDR-Abdeckung gegen Living-off-the-Land-Tools wie Cobalt Strike und Mimikatz, plus \u00dcberwachung ausgehender Daten gegen Exfiltration.<\/li>\n<li><strong>Politische und \u00f6ffentliche Organisationen:<\/strong> Der Angriff auf Die Linke belegt das Risiko. Phishing-Awareness und geh\u00e4rtete Identit\u00e4ten sind hier zentral.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">\u00dcber alle F\u00e4lle hinweg gilt: Multi-Faktor-Authentifizierung, zeitnahes Patchen und isolierte Backups bilden das Fundament. Ohne dieses Fundament hilft kein einzelnes Spezialwerkzeug.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"erkennung-und-abwehr-welche-signale-auf-einen-angriff-hindeuten\">Erkennung und Abwehr: Welche Signale auf einen Angriff hindeuten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Bevor die Verschl\u00fcsselung zuschl\u00e4gt, hinterlassen alle drei Gruppen verr\u00e4terische Spuren. Wer diese Fr\u00fchwarnsignale kennt, gewinnt entscheidende Stunden. Auff\u00e4llig sind etwa pl\u00f6tzlich installierte Fernwartungstools wie AnyDesk oder LogMeIn auf Servern, auf denen sie nichts zu suchen haben. Akira nutzt genau diese Werkzeuge f\u00fcr die Persistenz, und ihr Auftauchen au\u00dferhalb der regul\u00e4ren IT-Prozesse ist ein klares Alarmsignal.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ein zweites Warnsignal sind ungew\u00f6hnliche Anmeldungen \u00fcber VPN-Zug\u00e4nge, besonders au\u00dferhalb der Gesch\u00e4ftszeiten oder aus untypischen Regionen. Da Akira gestohlene Zugangsdaten und VPN ohne MFA bevorzugt, fallen solche Anmeldungen mit aktivierter Multi-Faktor-Authentifizierung sofort auf. Ein drittes Signal ist verd\u00e4chtiger ausgehender Datenverkehr: Gro\u00dfe \u00dcbertragungen via Rclone oder zu unbekannten Cloud-Speichern deuten auf die Exfiltrationsphase hin, die der Verschl\u00fcsselung vorausgeht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Viertens lohnt die \u00dcberwachung von Prozessen, die Schattenkopien l\u00f6schen oder Backups manipulieren. Genau das tun Ransomware-Familien kurz vor der Verschl\u00fcsselung, um die Wiederherstellung zu verhindern. Wer auf diese vier Signale, fremde Fernwartungstools, anomale VPN-Logins, ungew\u00f6hnliche Datenabfl\u00fcsse und Backup-Manipulation, automatisiert reagiert, kann einen Angriff stoppen, bevor er sein zerst\u00f6rerisches Finale erreicht. Diese Erkennung ist die Br\u00fccke zwischen der reaktiven Vergangenheit und der proaktiven Abwehr, die alle Beh\u00f6rden inzwischen fordern.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"anatomie-eines-angriffs-die-kill-chain-schritt-fuer-schritt\">Anatomie eines Angriffs: Die Kill-Chain Schritt f\u00fcr Schritt<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Um die Unterschiede zwischen Akira, Qilin und LockBit wirklich zu verstehen, hilft ein Blick auf den typischen Ablauf. Die drei Gruppen folgen einer erstaunlich \u00e4hnlichen Angriffskette, was die These der Kartellisierung st\u00fctzt. Jede Phase bietet einen eigenen Ansatzpunkt f\u00fcr die Verteidigung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">In der ersten Phase, dem Erstzugriff, kommen die Angreifer \u00fcber gestohlene Zugangsdaten, einen ungepatchten VPN-Zugang oder eine ausgenutzte Schwachstelle wie SonicWall CVE-2024-40766 ins Netzwerk. Bei Akira ist dieser Schritt am besten dokumentiert: Das FBI nennt VPN ohne MFA als Hauptweg. Wird hier Multi-Faktor-Authentifizierung erzwungen, scheitert ein gro\u00dfer Teil aller Angriffe bereits an dieser T\u00fcr, lange bevor eine einzige Datei verschl\u00fcsselt wird.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">In der zweiten Phase, der Verankerung und Ausbreitung, installieren die Angreifer Fernwartungstools wie AnyDesk oder LogMeIn f\u00fcr die Persistenz, lesen mit Mimikatz Zugangsdaten aus und bewegen sich mit NetExec lateral durch das Netz. Cobalt Strike dient als Command-and-Control-Zentrale. Weil all diese Werkzeuge teilweise legitim sind, bleibt diese Phase ohne spezialisierte Endpoint-Erkennung oft unsichtbar. Genau hier entscheidet sich, ob ein Einbruch ein isolierter Vorfall bleibt oder das gesamte Netzwerk erfasst.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">In der dritten Phase, der Exfiltration, ziehen die Angreifer mit Rclone und FileZilla gro\u00dfe Datenmengen ab, oft in WinRAR-Archive gepackt. Erst danach folgt in der vierten Phase die eigentliche Verschl\u00fcsselung, bei Akira mit ChaCha20 und in unter einer Stunde. Wer den ausgehenden Datenverkehr \u00fcberwacht und ungew\u00f6hnliche \u00dcbertragungen blockiert, kann den Angriff selbst in dieser sp\u00e4ten Phase noch entwaffnen, indem er der Double Extortion ihre zweite Stufe nimmt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"loesegeld-zahlen-oder-nicht-was-die-faktenlage-nahelegt\">L\u00f6segeld zahlen oder nicht? Was die Faktenlage nahelegt<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Frage nach der Zahlung stellt sich jedem Opfer. Sie ist heikel, und seri\u00f6se Quellen liefern keine einfache Antwort. Klar ist die wirtschaftliche Logik der T\u00e4ter: Solange Zahlungen flie\u00dfen, lohnt sich das Gesch\u00e4ft. Die \u00fcber 244 Millionen US-Dollar, die das FBI Akira zuschreibt, sind der direkte Beweis, dass gen\u00fcgend Opfer zahlen, um das Modell am Leben zu halten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Gegen eine Zahlung sprechen mehrere Argumente. Erstens gibt es keine Garantie, dass der Entschl\u00fcsselungsschl\u00fcssel funktioniert. Der Dienstleister SOS Ransomware dokumentierte 2025 einen Fall, in dem selbst der von Akira gelieferte Decryptor versagte und eine ma\u00dfgeschneiderte L\u00f6sung n\u00f6tig wurde. Zweitens beseitigt eine Zahlung nicht die Drohung der Double Extortion, da die gestohlenen Daten bereits in fremder Hand sind. Drittens kann eine Zahlung an sanktionierte Gruppen rechtliche Konsequenzen haben, was das OFAC im Advisory ausdr\u00fccklich adressiert.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die belastbarste Schlussfolgerung aus der Datenlage: Pr\u00e4vention schl\u00e4gt jede nachtr\u00e4gliche Entscheidung. Wer in MFA, Patches und isolierte Backups investiert, muss die Zahlungsfrage im Idealfall nie beantworten. Genau deshalb verlagern Beh\u00f6rden wie das \u00f6sterreichische CERT.at und das deutsche BSI ihren Fokus konsequent auf die Abwehr vor dem Vorfall, nicht auf das Krisenmanagement danach.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"ausblick-wie-sich-die-bedrohung-2026-weiterentwickelt\">Ausblick: Wie sich die Bedrohung 2026 weiterentwickelt<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Mehrere Quellen zeichnen ein konsistentes Bild der Entwicklung. Erstens setzt sich die Fragmentierung fort. Der R\u00fcckgang des Top-3-Anteils von 57 auf 34 Prozent zwischen Dezember 2025 und Januar 2026 zeigt, dass neue und kleinere Gruppen Marktanteile gewinnen. F\u00fcr Verteidiger bedeutet das: Sich auf einen einzigen Namen zu fixieren, greift zu kurz. Die Taktiken sind \u00fcbergreifend, die Marken austauschbar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Zweitens verschiebt sich der technische Fokus weiter in Richtung Virtualisierung. Die Aufnahme von Nutanix AHV in Akiras Zielspektrum, dokumentiert vom FBI, signalisiert, dass die Gruppen \u00fcber reine ESXi-Angriffe hinausdenken. Rechenzentren mit hoher Konsolidierung sind besonders attraktiv, weil ein einziger kompromittierter Hypervisor dutzende virtuelle Maschinen auf einen Schlag verschl\u00fcsselt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Drittens w\u00e4chst der Druck durch Regulierung und Strafverfolgung gleichzeitig mit dem Angriffsvolumen. Der LockBit-Takedown von 2024 hat die Marke geschw\u00e4cht, ihre R\u00fcckkehr mit Version 5.0 zeigt aber die Grenzen reiner Strafverfolgung. Parallel zwingt NIS2 in \u00d6sterreich und der gesamten EU tausende Unternehmen zu nachweisbarer H\u00e4rtung. Die Kombination aus steigender Bedrohung und steigender Pflicht macht 2026 zum Jahr, in dem proaktive Ransomware-Abwehr von der K\u00fcr zur Pflicht wird. Wer die Grundlagen der digitalen Verteidigung auffrischen m\u00f6chte, findet einen Einstieg in unserem \u00dcberblick zur <a href=\"\/at\/category\/security\/\">Cybersicherheit<\/a>.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"das-urteil-welche-ransomware-gruppe-ist-2026-die-groesste-bedrohung\">Das Urteil: Welche Ransomware-Gruppe ist 2026 die gr\u00f6\u00dfte Bedrohung?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Daten erlauben ein differenziertes Urteil statt eines einfachen Siegers. Misst man nach Volumen, f\u00fchrt <strong>Qilin<\/strong>: \u00fcber 500 Opfer allein 2026 und die durchg\u00e4ngig produktivste Leak-Seite der Szene. Misst man nach finanzieller Schlagkraft und Konstanz, f\u00fchrt <strong>Akira<\/strong>: \u00fcber 244 Millionen US-Dollar Einnahmen, drei Jahre ununterbrochene Aktivit\u00e4t und eine Verschl\u00fcsselungsgeschwindigkeit von unter einer Stunde pro Netzwerk. <strong>LockBit 5.0<\/strong> ist die Wildcard: gef\u00e4hrlich durch Erfahrung und Markenwert, aber nach dem Takedown noch im Wiederaufbau und \u00f6ffentlich am d\u00fcnnsten belegt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr die DACH-Region lautet das praktische Urteil: <strong>Akira ist die unmittelbarste Gefahr<\/strong>, weil die Gruppe genau jene Perimeter-Systeme attackiert, die in deutschsprachigen Unternehmen Standard sind, und das mit hoher Frequenz und Geschwindigkeit. <strong>Qilin ist die wahrscheinlichste Gefahr<\/strong> schlicht aufgrund des Volumens. Beide zusammen, plus ein wiedererstarktes LockBit, bilden ein Bedrohungstrio, gegen das nur eine proaktive, mehrschichtige Abwehr besteht.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die gute Nachricht aus allen Quellen: Die Einfallstore sind bekannt und schlie\u00dfbar. MFA, Patches und isolierte Backups entwaffnen alle drei Gruppen an ihrer gr\u00f6\u00dften Schw\u00e4che, der Abh\u00e4ngigkeit von vermeidbaren Fehlern. Die Abwehr ist keine Frage exotischer Technik, sondern konsequenter Hygiene.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"related-coverage\">Related Coverage<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"\/at\/2026\/06\/14\/akira-ransomware-244-mio-dach-2026\/\">Akira Ransomware: 244 Mio. $, DACH im Visier [2026]<\/a><\/li>\n<li><a href=\"\/at\/2026\/06\/14\/qilin-ransomware-die-linke-2026\/\">Qilin Ransomware: 131 Opfer, Die Linke gehackt [2026]<\/a><\/li>\n<li><a href=\"\/at\/2026\/06\/12\/cyberangriffe-dach-2026\/\">Cyberangriffe DACH 2026: 289 Mrd. \u20ac Schaden<\/a><\/li>\n<li><a href=\"\/at\/2026\/06\/12\/cyberkriminalitaet-oesterreich-2026\/\">Cyberkriminalit\u00e4t \u00d6sterreich: 62.328 F\u00e4lle<\/a><\/li>\n<li><a href=\"\/at\/2026\/06\/11\/nis2-oesterreich-nisg-2026\/\">NIS2 \u00d6sterreich: 5.000 Betroffene, EU-Verfahren<\/a><\/li>\n<li><a href=\"\/at\/2026\/06\/10\/phishing-angriffe\/\">Phishing-Angriffe erkennen und richtig reagieren<\/a><\/li>\n<li><a href=\"\/at\/category\/security\/\">Mehr zum Thema Cybersicherheit<\/a><\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"haeufige-fragen-zu-akira-qilin-und-lockbit\">H\u00e4ufige Fragen zu Akira, Qilin und LockBit<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"welche-ransomware-gruppe-ist-2026-die-aktivste\">Welche Ransomware-Gruppe ist 2026 die aktivste?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nach Volumen ist Qilin die aktivste Gruppe. PI Solutions zufolge postet Qilin in jeder Woche des Jahres 2026 mehr neue Opfer als jede andere Operation, mit \u00fcber 500 gelisteten Opfern allein 2026. Akira bleibt nach Arete jedoch die aktivste einzelne Gruppe im Januar 2026, allerdings mit einem gesunkenen Anteil von 17 Prozent.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wie-viel-geld-hat-akira-mit-ransomware-verdient\">Wie viel Geld hat Akira mit Ransomware verdient?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Laut dem FBI-gest\u00fctzten Advisory vom November 2025 hat Akira seit dem ersten Auftauchen im M\u00e4rz 2023 \u00fcber 244 Millionen US-Dollar an L\u00f6segeldern eingenommen. Die einzelnen Forderungen reichen nach AttackIQ von 200.000 bis \u00fcber vier Millionen US-Dollar.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"welche-verschluesselung-nutzen-die-gruppen\">Welche Verschl\u00fcsselung nutzen die Gruppen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Akira kombiniert ChaCha20 f\u00fcr die Dateiverschl\u00fcsselung mit RSA zum Schl\u00fcsselschutz. Qilin.B nutzt AES-256-CTR oder ChaCha20 mit RSA-4096 im OAEP-Modus. F\u00fcr LockBit 5.0 ist der konkrete Algorithmus \u00f6ffentlich nicht eindeutig belegt.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"gab-es-angriffe-auf-unternehmen-in-oesterreich-oder-der-dach-region\">Gab es Angriffe auf Unternehmen in \u00d6sterreich oder der DACH-Region?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die aktuellen Quellen belegen keinen best\u00e4tigten \u00f6sterreichischen Einzelfall f\u00fcr diese drei Gruppen. Der klarste DACH-Bezug ist der Qilin-Angriff auf die deutsche Partei Die Linke. Die strukturelle Gefahr bleibt hoch, da die bevorzugten Einfallstore in DACH-Unternehmen weit verbreitet sind.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"ist-lockbit-nach-dem-takedown-von-2024-noch-gefaehrlich\">Ist LockBit nach dem Takedown von 2024 noch gef\u00e4hrlich?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Ja. Arete berichtet, dass LockBit mit Version 5.0 zur\u00fcckkehrte, erstmals angek\u00fcndigt im September 2025 und im Januar 2026 erneut beobachtet. Die neue Variante bietet Windows- und Linux-Builds sowie Anti-Analyse-Funktionen. Strafverfolgung hat die Marke geschw\u00e4cht, aber nicht ausgel\u00f6scht.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wie-schuetzt-man-sich-am-wirksamsten\">Wie sch\u00fctzt man sich am wirksamsten?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die drei wichtigsten Ma\u00dfnahmen sind Multi-Faktor-Authentifizierung f\u00fcr alle Fernzug\u00e4nge, zeitnahes Patchen bekannter Schwachstellen (besonders an VPN-, SonicWall-, Cisco-, ESXi- und Veeam-Systemen) sowie unver\u00e4nderliche, offline gehaltene Backups. Diese drei Bausteine entziehen allen drei Gruppen ihre liebsten Einfallstore.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-bedeutet-double-extortion\">Was bedeutet Double Extortion?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Double Extortion bedeutet, dass Angreifer Daten zuerst stehlen und dann verschl\u00fcsseln. Selbst wer seine Systeme aus Backups wiederherstellt, steht weiter unter der Drohung, dass die gestohlenen Daten ver\u00f6ffentlicht werden. Alle drei Gruppen, Akira, Qilin und LockBit, praktizieren diese Taktik.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"quellen-und-weiterfuehrende-informationen\">Quellen und weiterf\u00fchrende Informationen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Dieser Vergleich st\u00fctzt sich auf \u00f6ffentlich zug\u00e4ngliche Quellen von 2025 und 2026. Vertiefende Informationen bieten das <a href=\"https:\/\/www.ic3.gov\/CSA\/2025\/251113.pdf\" target=\"_blank\" rel=\"noopener nofollow\">gemeinsame Ransomware-Advisory von FBI und CISA<\/a>, das <a href=\"https:\/\/www.halcyon.ai\/threat-group\/qilin\" target=\"_blank\" rel=\"noopener nofollow\">Qilin-Threat-Profil von Halcyon<\/a>, der <a href=\"https:\/\/www.ransomware.live\/group\/akira\" target=\"_blank\" rel=\"noopener nofollow\">Opfer-Tracker von Ransomware.live<\/a>, das \u00f6sterreichische <a href=\"https:\/\/www.cert.at\/\" target=\"_blank\" rel=\"noopener nofollow\">CERT.at<\/a> sowie das <a href=\"https:\/\/www.bsi.bund.de\/EN\/Home\/home_node.html\" target=\"_blank\" rel=\"noopener nofollow\">deutsche BSI<\/a>. Aktuelle Lageberichte ver\u00f6ffentlicht zudem <a href=\"https:\/\/www.europol.europa.eu\/\" target=\"_blank\" rel=\"noopener nofollow\">Europol<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Drei Namen dominieren die Ransomware-Lage in der DACH-Region: Akira, Qilin und LockBit. Das FBI beziffert allein die Einnahmen von Akira auf \u00fcber 244 Millionen US-Dollar seit M\u00e4rz 2023. Qilin stellt\u2026<\/p>\n","protected":false},"author":7,"featured_media":92,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-91","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/posts\/91","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/comments?post=91"}],"version-history":[{"count":0,"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/posts\/91\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/media\/92"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/media?parent=91"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/categories?post=91"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/at\/wp-json\/wp\/v2\/tags?post=91"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}