{"id":156,"date":"2026-06-15T20:17:18","date_gmt":"2026-06-15T20:17:18","guid":{"rendered":"https:\/\/shattered.io\/de\/2026\/06\/15\/enisa-ransomware-bedrohungslage-2026\/"},"modified":"2026-06-16T08:05:09","modified_gmt":"2026-06-16T08:05:09","slug":"enisa-ransomware-bedrohungslage-2026","status":"publish","type":"post","link":"https:\/\/shattered.io\/de\/2026\/06\/15\/enisa-ransomware-bedrohungslage-2026\/","title":{"rendered":"Ransomware: 81 % aller EU-Cyberangriffe [2026]"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Die europ\u00e4ische Cybersicherheitsbeh\u00f6rde ENISA hat f\u00fcr ihren <em>Threat Landscape 2025<\/em> insgesamt 4.875 Sicherheitsvorf\u00e4lle ausgewertet, die zwischen dem 1. Juli 2024 und dem 30. Juni 2025 \u00f6ffentlich wurden. Das Ergebnis ist eindeutig: <strong>Ransomware verursacht 81,1 Prozent aller Cybercrime-Vorf\u00e4lle<\/strong> gegen Organisationen in der EU. F\u00fcr Deutschland, \u00d6sterreich und die Schweiz ist das keine abstrakte Statistik. Der Bitkom beziffert den j\u00e4hrlichen Schaden f\u00fcr die deutsche Wirtschaft auf 289,2 Milliarden Euro, und das BSI registrierte im selben Zeitraum 119 neue Sicherheitsl\u00fccken pro Tag, so viele wie nie zuvor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Analyse ordnet die aktuellen Zahlen ein, verkn\u00fcpft sie mit einem konkreten Fall aus dem Herzen der deutschen Industrie (der SAP-NetWeaver-L\u00fccke CVE-2025-31324 mit dem H\u00f6chstwert CVSS 10.0) und zeigt, warum 2026 das Jahr wird, in dem Ransomware und Schwachstellen-Ausnutzung endg\u00fcltig zur Vorstandsfrage werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"enisa-threat-landscape-2025-4-875-vorfaelle-ein-klarer-spitzenreiter\">ENISA Threat Landscape 2025: 4.875 Vorf\u00e4lle, ein klarer Spitzenreiter<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der <em>ENISA Threat Landscape 2025<\/em> ist der ma\u00dfgebliche Jahresbericht der EU-Agentur f\u00fcr Cybersicherheit. Die Datenbasis umfasst 4.875 dokumentierte Vorf\u00e4lle aus zw\u00f6lf Monaten. Methodisch trennt ENISA zwei Perspektiven, die in der \u00f6ffentlichen Debatte oft vermischt werden: die <strong>H\u00e4ufigkeit<\/strong> von Vorf\u00e4llen und ihre <strong>Wirkung<\/strong>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nach H\u00e4ufigkeit dominiert Hacktivismus. Rund 80 Prozent aller erfassten Vorf\u00e4lle gehen auf hacktivistische Aktivit\u00e4ten zur\u00fcck, fast immer in Form niederschwelliger DDoS-Angriffe gegen \u00f6ffentliche Verwaltungen und politische Ziele. Diese Angriffe sind laut, sichtbar und politisch motiviert, richten aber selten dauerhaften Schaden an. Genau hier setzt die zweite Perspektive an: Misst man nicht die Zahl, sondern die <strong>Schwere<\/strong> der Vorf\u00e4lle, kippt das Bild. Dann steht Ransomware an der Spitze, gefolgt von Datenabfluss und Erpressung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">ENISA-Exekutivdirektor Juhan Lepassaar verweist in der Kommunikation zum Bericht auf genau diese Doppelstruktur: Ein hohes Aufkommen an DDoS-L\u00e4rm d\u00fcrfe nicht dar\u00fcber hinwegt\u00e4uschen, dass die wirtschaftlich gef\u00e4hrlichsten Angriffe von finanziell motivierten Ransomware-Gruppen ausgehen. F\u00fcr Sicherheitsverantwortliche in der DACH-Region hei\u00dft das, Priorit\u00e4ten an der Wirkung auszurichten, nicht an den Schlagzeilen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"ransomware-bleibt-die-teuerste-bedrohung-811-prozent\">Ransomware bleibt die teuerste Bedrohung (81,1 Prozent)<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Der zentrale Befund: <strong>Ransomware macht 81,1 Prozent aller Cybercrime-Vorf\u00e4lle gegen EU-Organisationen aus<\/strong>, Datenpannen folgen mit 15,2 Prozent. Diese beiden Kategorien \u00fcberlappen zunehmend, denn moderne Ransomware-Banden setzen fast durchg\u00e4ngig auf doppelte Erpressung. Sie verschl\u00fcsseln nicht nur die Systeme, sie stehlen vorher die Daten und drohen mit Ver\u00f6ffentlichung. Wer das Backup sauber eingespielt hat, zahlt trotzdem, weil sonst Kundendaten, Vertr\u00e4ge und Konstruktionspl\u00e4ne im Leak-Portal landen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Diese Professionalisierung hat einen Namen: Ransomware-as-a-Service. Spezialisierte Entwickler stellen die Schadsoftware und die Verhandlungsinfrastruktur bereit, sogenannte Affiliates f\u00fchren die Angriffe aus und teilen die Beute. In Deutschland sind die Folgen konkret: Gruppen wie Akira und Qilin haben 2025 und 2026 zahlreiche deutsche Mittelst\u00e4ndler, Kliniken und Beh\u00f6rden getroffen. Die Erpressungs\u00f6konomie ist damit kein Randph\u00e4nomen mehr, sondern ein eingespieltes Gesch\u00e4ftsmodell mit klarer Arbeitsteilung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hinzu kommt das Vorfeld des eigentlichen Angriffs. ENISA benennt Infostealer als best\u00e4ndige und weit verbreitete Vorstufe. Diese Schadprogramme greifen Zugangsdaten direkt aus dem Browser ab und liefern den Ransomware-Banden fertige Schl\u00fcssel ins Unternehmensnetz. Der Infostealer Lumma galt Anfang 2025 als die meistverbreitete Variante dieser Kategorie. Wer die Kette versteht, sieht: Der Verschl\u00fcsselungstrojaner ist nur das letzte Glied einer langen Vorbereitung.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"die-eu-bedrohungslandschaft-2025-in-zahlen\">Die EU-Bedrohungslandschaft 2025 in Zahlen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die folgende Tabelle fasst die zentralen Kennzahlen des ENISA-Berichts zusammen. Alle Werte beziehen sich auf den Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Kennzahl<\/th><th>Wert<\/th><th>Bedeutung<\/th><\/tr><\/thead><tbody>\n<tr><td>Ausgewertete Vorf\u00e4lle<\/td><td>4.875<\/td><td>Gesamtbasis des ENISA-Berichts<\/td><\/tr>\n<tr><td>Ransomware-Anteil (Cybercrime)<\/td><td>81,1 %<\/td><td>Wirkungsst\u00e4rkste Bedrohung<\/td><\/tr>\n<tr><td>Datenpannen-Anteil (Cybercrime)<\/td><td>15,2 %<\/td><td>Oft Teil der doppelten Erpressung<\/td><\/tr>\n<tr><td>Hacktivismus-Anteil (alle Vorf\u00e4lle)<\/td><td>rund 80 %<\/td><td>Meist DDoS, hohe Frequenz<\/td><\/tr>\n<tr><td>Phishing als Erstzugang<\/td><td>rund 60 %<\/td><td>Wichtigster Einstiegsvektor<\/td><\/tr>\n<tr><td>Schwachstellen-Ausnutzung als Erstzugang<\/td><td>21,3 %<\/td><td>Zweitwichtigster Einstiegsvektor<\/td><\/tr>\n<\/tbody><\/table><figcaption>Quelle: ENISA Threat Landscape 2025, Berichtszeitraum Juli 2024 bis Juni 2025.<\/figcaption><\/figure>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"wie-angreifer-hereinkommen-phishing-und-offene-schwachstellen\">Wie Angreifer hereinkommen: Phishing und offene Schwachstellen<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Zwei Einstiegswege dominieren. Phishing steht laut ENISA hinter rund 60 Prozent der erfassten Erstzug\u00e4nge. Die zweite gro\u00dfe T\u00fcr ist die Ausnutzung bekannter Schwachstellen: 21,3 Prozent der Erstzug\u00e4nge laufen \u00fcber ungepatchte Systeme. Diese Zahl wiegt schwer, weil sie vermeidbar ist. Anders als beim Faktor Mensch beim Phishing gibt es f\u00fcr eine ver\u00f6ffentlichte Sicherheitsl\u00fccke einen Patch, der das Tor schlie\u00dft.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Das BSI unterstreicht die Dringlichkeit mit einer eigenen Zahl. Im Lagebericht 2025 registrierte die Beh\u00f6rde durchschnittlich 119 neue Sicherheitsl\u00fccken pro Tag, ein Anstieg von 24 Prozent gegen\u00fcber dem Vorjahr und der h\u00f6chste je gemessene Wert. Jede dieser L\u00fccken ist ein potenzieller Erstzugang. Die Geschwindigkeit, mit der Angreifer ver\u00f6ffentlichte Schwachstellen ausnutzen, hat sich dabei dramatisch verk\u00fcrzt. Zwischen Bekanntwerden und erster Massenausnutzung liegen heute oft nur noch Tage.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Besonders im Visier stehen sogenannte Edge-Systeme und unternehmenskritische Software, die direkt aus dem Internet erreichbar ist: VPN-Gateways, Firewalls, Mailserver und ERP-Systeme. Genau in diese Kategorie f\u00e4llt der wohl wichtigste deutsche Fall der vergangenen zw\u00f6lf Monate.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"der-fall-sap-netweaver-cvss-10-0-trifft-deutschlands-industrie\">Der Fall SAP NetWeaver: CVSS 10.0 trifft Deutschlands Industrie<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">SAP ist Deutschlands gr\u00f6\u00dfter Softwarekonzern mit Sitz in Walldorf und das digitale R\u00fcckgrat eines Gro\u00dfteils der deutschen Industrie. Genau deshalb war die Schwachstelle <strong>CVE-2025-31324<\/strong> so brisant. Sie betrifft den Metadata Uploader des SAP NetWeaver Visual Composer und erhielt mit <strong>CVSS 10.0<\/strong> die h\u00f6chstm\u00f6gliche Risikobewertung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Die technische Ursache ist eine fehlende Berechtigungspr\u00fcfung am Endpunkt <code>\/developmentserver\/metadatauploader<\/code>. Ein nicht authentifizierter Angreifer, also jemand ganz ohne SAP-Zugang, kann eine pr\u00e4parierte POST-Anfrage senden und beliebige ausf\u00fchrbare Dateien hochladen. In der Praxis luden Angreifer JSP-Webshells wie <code>helper.jsp<\/code> und <code>cache.jsp<\/code> hoch und erlangten damit dauerhafte Fernsteuerung \u00fcber den Anwendungsserver, mit den Rechten des SAP-Serverprozesses. Das Ergebnis ist eine vollst\u00e4ndige Remote Code Execution auf einem System, das Finanzbuchungen, Produktionsauftr\u00e4ge und Personaldaten verwaltet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">SAP ver\u00f6ffentlichte am 24. April 2025 au\u00dferplanm\u00e4\u00dfig einen Notfall-Patch \u00fcber die Security Note 3594142 f\u00fcr die betroffenen Versionen NetWeaver AS Java 7.50, 7.51 und 7.52. Die US-Beh\u00f6rde CISA nahm die L\u00fccke am 15. Mai 2025 in ihren Known-Exploited-Vulnerabilities-Katalog auf. Am selben Tag landete dort auch die verwandte Schwachstelle CVE-2025-42999, die ein Restrisiko schlie\u00dft, das nach dem ersten Patch bestehen blieb. Wer also nur CVE-2025-31324 gepatcht hatte, war nicht zwingend sicher.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Merkmal<\/th><th>Detail<\/th><\/tr><\/thead><tbody>\n<tr><td>CVE-Kennung<\/td><td>CVE-2025-31324<\/td><\/tr>\n<tr><td>CVSS-Bewertung<\/td><td>10.0 (kritisch)<\/td><\/tr>\n<tr><td>Betroffenes Produkt<\/td><td>SAP NetWeaver Visual Composer (Metadata Uploader)<\/td><\/tr>\n<tr><td>Angriffsart<\/td><td>Nicht authentifizierter Datei-Upload, Remote Code Execution<\/td><\/tr>\n<tr><td>Patch verf\u00fcgbar seit<\/td><td>24. April 2025 (Security Note 3594142)<\/td><\/tr>\n<tr><td>CISA-KEV-Aufnahme<\/td><td>15. Mai 2025<\/td><\/tr>\n<tr><td>Verwandte L\u00fccke<\/td><td>CVE-2025-42999 (Restrisiko)<\/td><\/tr>\n<tr><td>Best\u00e4tigte Ausnutzung seit<\/td><td>mindestens 27. M\u00e4rz 2025<\/td><\/tr>\n<\/tbody><\/table><figcaption>Quelle: SAP Security Note 3594142, CISA KEV, Rapid7-Analyse.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Das Incident-Response-Team von Rapid7 best\u00e4tigte aktive Ausnutzung in mehreren Kundenumgebungen, die bis mindestens zum 27. M\u00e4rz 2025 zur\u00fcckreicht, also rund vier Wochen vor dem Patch. Nahezu alle betroffenen Opfer waren laut Rapid7 Fertigungsunternehmen. Das Sicherheitsunternehmen ReliaQuest hatte die L\u00fccke urspr\u00fcnglich entdeckt und beschrieb sie als unautorisierten Datei-Upload mit anschlie\u00dfender Schadcode-Ausf\u00fchrung. Auch Palo Alto Networks ordnete den Fall klar ein: Der CVSS-Wert von 10.0 unterstreiche die Schwere, da nicht authentifizierte Angreifer \u00fcber den Metadata-Uploader-Endpunkt die volle Kontrolle erlangen k\u00f6nnten. Eine Zuordnung zu einer bestimmten T\u00e4tergruppe gab es laut Rapid7 zun\u00e4chst nicht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"warum-gerade-die-fertigung-im-visier-steht\">Warum gerade die Fertigung im Visier steht<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Dass nahezu alle bekannten SAP-Opfer aus der Fertigung stammen, ist f\u00fcr Deutschland alarmierend. Maschinenbau, Automobilindustrie und industrielle Fertigung bilden den Kern der deutschen Volkswirtschaft. In vielen dieser Betriebe ist SAP eng mit der Produktionssteuerung verzahnt, von der Materialwirtschaft \u00fcber die Instandhaltung bis zu Manufacturing-Execution-Systemen. Ein kompromittierter SAP-Server bleibt deshalb selten ein reines IT-Problem. Er kann Produktionslinien zum Stillstand bringen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Hinzu kommt ein strukturelles Problem: Viele deutsche Unternehmen betreiben weiterhin \u00e4ltere NetWeaver-AS-Java-Stacks parallel zu modernen S\/4HANA-Landschaften, oft mit begrenzter SAP-Sicherheitsexpertise im Haus. Notfall-Patches au\u00dferhalb des regul\u00e4ren Wartungszyklus sind in solchen Umgebungen schwer umzusetzen, weil jede \u00c4nderung am Kernsystem getestet werden muss. Genau diese Tr\u00e4gheit ist es, die Angreifer ausnutzen. Die L\u00fccke zwischen Patch-Verf\u00fcgbarkeit und Patch-Einspielung ist das eigentliche Einfallstor.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Datenschutz versch\u00e4rft die Lage zus\u00e4tzlich. SAP-Systeme speichern Personaldaten, Gehaltsabrechnungen und Kundendaten. Ein erfolgreicher Angriff bedeutet damit nicht nur Produktionsausfall, sondern auch ein meldepflichtiges Datenschutzvorkommnis nach DSGVO und BDSG, mit allen aufsichtsrechtlichen Folgen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"deutschland-in-zahlen-289-milliarden-euro-schaden\">Deutschland in Zahlen: 289 Milliarden Euro Schaden<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die wirtschaftliche Dimension l\u00e4sst sich beziffern. Der Digitalverband Bitkom errechnete in seiner Studie <em>Wirtschaftsschutz 2025<\/em> einen j\u00e4hrlichen Gesamtschaden von 289,2 Milliarden Euro f\u00fcr die deutsche Wirtschaft durch Diebstahl, Spionage und Sabotage. <strong>87 Prozent der deutschen Unternehmen waren betroffen.<\/strong> Im Vorjahr lag der Schaden noch bei 266,6 Milliarden Euro und die Betroffenheitsquote bei 81 Prozent. Beide Werte steigen also weiter, und zwar deutlich.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Quelle<\/th><th>Kennzahl<\/th><th>Wert<\/th><th>Zeitraum<\/th><\/tr><\/thead><tbody>\n<tr><td>Bitkom Wirtschaftsschutz<\/td><td>Jahresschaden deutsche Wirtschaft<\/td><td>289,2 Mrd. Euro<\/td><td>2025<\/td><\/tr>\n<tr><td>Bitkom Wirtschaftsschutz<\/td><td>Betroffene Unternehmen<\/td><td>87 %<\/td><td>2025<\/td><\/tr>\n<tr><td>Bitkom Wirtschaftsschutz<\/td><td>Jahresschaden (Vorjahr)<\/td><td>266,6 Mrd. Euro<\/td><td>2024<\/td><\/tr>\n<tr><td>BSI Lagebericht<\/td><td>Neue Sicherheitsl\u00fccken pro Tag<\/td><td>119<\/td><td>2024\/2025<\/td><\/tr>\n<tr><td>ENISA Threat Landscape<\/td><td>Ransomware-Anteil Cybercrime<\/td><td>81,1 %<\/td><td>2024\/2025<\/td><\/tr>\n<tr><td>Check Point Research<\/td><td>Angriffe je Organisation pro Woche (global)<\/td><td>2.027<\/td><td>2025<\/td><\/tr>\n<\/tbody><\/table><figcaption>Quellen: Bitkom Wirtschaftsschutz 2025, BSI Lagebericht 2025, ENISA Threat Landscape 2025, Check Point Research.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Das BSI fasst die Gesamtlage in einem Satz zusammen, der seit Jahren als offizielle Bewertung gilt. <strong>Pr\u00e4sidentin Claudia Plattner<\/strong> und ihre Beh\u00f6rde charakterisieren die Situation unver\u00e4ndert so:<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p>Die Lage der IT-Sicherheit in Deutschland ist angespannt.<\/p><cite>Claudia Plattner, Pr\u00e4sidentin des Bundesamts f\u00fcr Sicherheit in der Informationstechnik (BSI)<\/cite><\/blockquote>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"hacktivismus-und-ddos-laerm-mit-politischer-botschaft\">Hacktivismus und DDoS: L\u00e4rm mit politischer Botschaft<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">W\u00e4hrend Ransomware die teuerste Bedrohung bleibt, pr\u00e4gt eine andere Kategorie das Tagesgeschehen: Hacktivismus. Rund 80 Prozent aller von ENISA erfassten Vorf\u00e4lle entfallen auf diese Gruppe, fast immer \u00fcber DDoS-Angriffe gegen Beh\u00f6rden und politische Institutionen. In der DACH-Region tritt vor allem das prorussische Kollektiv NoName057(16) in Erscheinung, das deutsche Webseiten in wiederkehrenden Wellen lahmlegt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der Schaden ist meist begrenzt und kurzlebig, eine \u00fcberlastete Webseite ist nach Stunden wieder erreichbar. Die strategische Funktion liegt woanders. Diese Angriffe binden Personal, erzeugen mediale Aufmerksamkeit und senden eine politische Botschaft. Sie sind das digitale \u00c4quivalent einer Demonstration, nicht eines Einbruchs. F\u00fcr Sicherheitsteams besteht die Gefahr darin, dass der sichtbare DDoS-L\u00e4rm die Aufmerksamkeit von den leisen, gef\u00e4hrlichen Ransomware-Vorbereitungen ablenkt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"marktauswirkungen-cyberversicherung-mdr-und-patch-druck\">Marktauswirkungen: Cyberversicherung, MDR und Patch-Druck<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Zahlen verschieben einen ganzen Markt. Cyberversicherer in der DACH-Region haben ihre Pr\u00e4mien in den vergangenen zwei Jahren deutlich angezogen und kn\u00fcpfen den Versicherungsschutz inzwischen an konkrete technische Auflagen: Multi-Faktor-Authentifizierung, getestete Backups, ein dokumentierter Patch-Prozess. Ohne diese Nachweise gibt es entweder keinen Vertrag oder im Schadensfall keine Leistung.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Parallel w\u00e4chst der Markt f\u00fcr Managed Detection and Response. Gerade Mittelst\u00e4ndler ohne eigenes Security Operations Center lagern die \u00dcberwachung an externe Dienstleister aus. Der SAP-Fall zeigt, warum: Die aktive Ausnutzung lief schon Wochen vor dem Patch, sichtbar nur f\u00fcr Teams, die Webshell-Aktivit\u00e4t und ungew\u00f6hnliche SAP-Java-Prozesse rund um die Uhr beobachten. Wer erst nach dem Patch-Day reagiert, kommt bei kritischen L\u00fccken systematisch zu sp\u00e4t.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Der dritte Effekt ist regulatorischer Natur. Mit der NIS2-Richtlinie und dem Cyber Resilience Act steigt der Meldedruck. Mehr Vorf\u00e4lle werden \u00f6ffentlich, weil sie gemeldet werden m\u00fcssen. Das ver\u00e4ndert die Statistik der kommenden Jahre: Ein Teil des erwarteten Anstiegs ist kein realer Zuwachs an Angriffen, sondern bessere Sichtbarkeit dank Meldepflicht.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"historischer-kontext-von-wannacry-zur-erpressungsindustrie\">Historischer Kontext: Von WannaCry zur Erpressungsindustrie<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die heutige Bedrohungslage ist das Ergebnis einer fast zehnj\u00e4hrigen Entwicklung. 2017 zeigte WannaCry, wie eine einzelne Schwachstelle global Schaden anrichten kann, damals noch als ungezielte Welle. Es folgte die Phase der gezielten Big-Game-Hunting-Angriffe, in der Banden bewusst gro\u00dfe Organisationen mit hoher Zahlungsf\u00e4higkeit ausw\u00e4hlten. Die n\u00e4chste Stufe war die doppelte Erpressung, die das Backup als alleinige Schutzma\u00dfnahme entwertete.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Heute steht am Ende dieser Entwicklung eine arbeitsteilige Industrie. Infostealer liefern Zugangsdaten, Initial Access Broker verkaufen den Erstzugang, Ransomware-as-a-Service-Plattformen stellen die Werkzeuge, Affiliates f\u00fchren aus, spezialisierte Verhandler treiben die L\u00f6segelder ein. Der ENISA-Befund von 81,1 Prozent Ransomware-Anteil ist die statistische Folge dieser Reife. Was als technisches Kuriosum begann, ist heute ein durch\u00f6konomisiertes kriminelles Gesch\u00e4ftsmodell.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"wettbewerbsvergleich-enisa-bsi-bitkom-und-check-point\">Wettbewerbsvergleich: ENISA, BSI, Bitkom und Check Point<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Vier gro\u00dfe Datenquellen pr\u00e4gen die Diskussion in der DACH-Region, und sie messen Unterschiedliches. Wer die Lage bewerten will, muss die Perspektiven trennen.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>ENISA<\/strong> liefert die EU-weite Vorfallsanalyse mit Fokus auf Bedrohungstypen und Einstiegsvektoren. St\u00e4rke: methodische Vergleichbarkeit \u00fcber die Jahre. Grenze: keine Euro-Schadenssch\u00e4tzung.<\/li>\n<li><strong>BSI<\/strong> bewertet die nationale Lage Deutschlands und z\u00e4hlt technische Indikatoren wie neue Schwachstellen pro Tag. St\u00e4rke: N\u00e4he zu deutschen Betreibern kritischer Infrastrukturen. Grenze: nationaler Ausschnitt.<\/li>\n<li><strong>Bitkom<\/strong> erhebt den wirtschaftlichen Schaden per Unternehmensbefragung. St\u00e4rke: konkrete Euro-Zahlen. Grenze: Selbstauskunft statt forensischer Messung.<\/li>\n<li><strong>Check Point<\/strong> misst Angriffsvolumina aus dem eigenen Sensornetz, etwa 2.027 Angriffe je Organisation pro Woche im globalen Schnitt. St\u00e4rke: Echtzeit-Telemetrie. Grenze: Herstellerperspektive.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Die Quellen widersprechen sich nicht, sie erg\u00e4nzen sich. ENISA erkl\u00e4rt das Was, das BSI das Wo, Bitkom das Wie teuer, Check Point das Wie oft. Erst zusammen ergeben sie ein belastbares Bild der Bedrohungslage 2026.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"fuenf-prognosen-fuer-die-dach-bedrohungslage-2026-und-2027\">F\u00fcnf Prognosen f\u00fcr die DACH-Bedrohungslage 2026 und 2027<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Aus den vorliegenden Daten lassen sich f\u00fcnf belastbare Entwicklungslinien ableiten.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Ransomware bleibt Spitzenreiter.<\/strong> Der Anteil von \u00fcber 80 Prozent d\u00fcrfte sich halten, weil das RaaS-Modell wirtschaftlich funktioniert. Die doppelte Erpressung wird zum Standard, nicht zur Ausnahme.<\/li>\n<li><strong>Schwachstellen-Ausnutzung legt zu.<\/strong> Mit 119 neuen L\u00fccken pro Tag und schrumpfenden Patch-Fenstern werden Edge- und Unternehmenssoftware (SAP, VPN, Firewalls) noch st\u00e4rker zum Erstzugang. Die Zeit zwischen Ver\u00f6ffentlichung und Massenausnutzung sinkt weiter auf wenige Tage.<\/li>\n<li><strong>KI versch\u00e4rft Phishing.<\/strong> Generative KI senkt die H\u00fcrde f\u00fcr \u00fcberzeugende, fehlerfreie Phishing-Mails in fl\u00fcssigem Deutsch. Der 60-Prozent-Anteil von Phishing am Erstzugang d\u00fcrfte dadurch eher steigen als fallen.<\/li>\n<li><strong>Die Fertigung bleibt Hauptziel.<\/strong> Solange OT und IT in der deutschen Industrie verschmelzen, vergr\u00f6\u00dfert jeder kompromittierte ERP-Server den Schadensradius bis in die Produktion.<\/li>\n<li><strong>Meldepflichten erh\u00f6hen die sichtbaren Fallzahlen.<\/strong> NIS2 und Cyber Resilience Act sorgen daf\u00fcr, dass mehr Vorf\u00e4lle \u00f6ffentlich werden. Ein Teil des statistischen Anstiegs 2026\/2027 ist bessere Sichtbarkeit, kein reiner Mengenzuwachs.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"was-unternehmen-jetzt-tun-sollten\">Was Unternehmen jetzt tun sollten<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Die Empfehlungen der beteiligten Beh\u00f6rden und Sicherheitsfirmen lassen sich auf einen klaren Ma\u00dfnahmenkatalog verdichten. Im Kern geht es darum, die beiden dominanten Einstiegswege (Phishing und Schwachstellen) systematisch zu schlie\u00dfen.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Internet-exponierte kritische Software priorisiert patchen, kritische L\u00fccken wie CVE-2025-31324 als Notfall behandeln, nicht im regul\u00e4ren Wartungsfenster.<\/li>\n<li>Verwaltungs- und Entwickler-Endpunkte (etwa <code>\/developmentserver\/metadatauploader<\/code>) per Firewall oder Web Dispatcher aus dem Internet nehmen.<\/li>\n<li>Multi-Faktor-Authentifizierung fl\u00e4chendeckend ausrollen, um gestohlene Zugangsdaten aus Infostealern zu entwerten.<\/li>\n<li>Backups offline und getestet vorhalten, im Wissen, dass sie gegen doppelte Erpressung allein nicht sch\u00fctzen.<\/li>\n<li>Kontinuierliche \u00dcberwachung (intern oder per MDR) einrichten, um Ausnutzung vor dem offiziellen Patch zu erkennen.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr SAP-Betreiber lohnt eine gezielte Suche nach Kompromittierungsspuren. Die folgende Pr\u00fcfung sucht nach den Webshell-Pfaden, die im Zusammenhang mit CVE-2025-31324 beobachtet wurden.<\/p>\n\n\n\n<pre class=\"wp-block-code\"><code># Verdaechtige JSP-Webshells auf SAP-NetWeaver-Java-Stacks suchen\nfind \/usr\/sap -type f \\( -name \"helper.jsp\" -o -name \"cache.jsp\" \\) 2>\/dev\/null\n\n# Zugriffe auf den verwundbaren Endpunkt in den Webserver-Logs pruefen\ngrep -i \"metadatauploader\" \/usr\/sap\/*\/*\/work\/*.log 2>\/dev\/null\n\n# Externe Erreichbarkeit des Endpunkts testen (sollte NICHT oeffentlich sein)\ncurl -s -o \/dev\/null -w \"%{http_code}\\n\" \\\n  https:\/\/SAP-HOST\/developmentserver\/metadatauploader<\/code><\/pre>\n\n\n\n<p class=\"wp-block-paragraph\">Findet die Suche Treffer oder ist der Endpunkt \u00f6ffentlich erreichbar, geh\u00f6rt der Vorfall in die H\u00e4nde eines Incident-Response-Teams und, bei Personenbezug, zur Meldung an die zust\u00e4ndige Datenschutzaufsicht.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"verwandte-beitraege\">Verwandte Beitr\u00e4ge<\/h3>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"\/de\/akira-ransomware-deutschland-2026\/\">Akira Ransomware: 1.400 Opfer, 244 Mio $<\/a><\/li>\n<li><a href=\"\/de\/qilin-ransomware-deutschland-2026\/\">Qilin Ransomware: 500+ Opfer, Die Linke gehackt<\/a><\/li>\n<li><a href=\"\/de\/bsi-lagebericht-2025-bedrohungslage\/\">BSI Lagebericht: 280.000 Schadprogramme pro Tag<\/a><\/li>\n<li><a href=\"\/de\/cyberschaeden-deutschland-289-milliarden-2026\/\">Cybersch\u00e4den Deutschland: 289 Mrd Euro Rekord<\/a><\/li>\n<li><a href=\"\/de\/noname057-ddos-deutschland-2026\/\">NoName057(16): 14 DDoS-Wellen gegen Deutschland<\/a><\/li>\n<li><a href=\"\/de\/security\/\">Mehr Beitr\u00e4ge zur IT-Sicherheit<\/a><\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\" id=\"haeufig-gestellte-fragen\">H\u00e4ufig gestellte Fragen<\/h2>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-ist-der-enisa-threat-landscape-2025\">Was ist der ENISA Threat Landscape 2025?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Der ENISA Threat Landscape 2025 ist der j\u00e4hrliche Bedrohungsbericht der EU-Agentur f\u00fcr Cybersicherheit. F\u00fcr die Ausgabe 2025 wertete ENISA 4.875 Sicherheitsvorf\u00e4lle aus dem Zeitraum 1. Juli 2024 bis 30. Juni 2025 aus und benennt Ransomware als wirkungsst\u00e4rkste Bedrohung mit 81,1 Prozent Anteil an den Cybercrime-Vorf\u00e4llen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"warum-ist-ransomware-laut-enisa-die-groesste-gefahr\">Warum ist Ransomware laut ENISA die gr\u00f6\u00dfte Gefahr?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Nach H\u00e4ufigkeit dominiert zwar Hacktivismus mit rund 80 Prozent der Vorf\u00e4lle, doch gemessen an der wirtschaftlichen Wirkung steht Ransomware vorn. Sie verschl\u00fcsselt Systeme, stiehlt Daten und erzwingt \u00fcber doppelte Erpressung hohe L\u00f6segelder. Der Bitkom beziffert den j\u00e4hrlichen Gesamtschaden f\u00fcr die deutsche Wirtschaft auf 289,2 Milliarden Euro.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-macht-cve-2025-31324-in-sap-netweaver-so-gefaehrlich\">Was macht CVE-2025-31324 in SAP NetWeaver so gef\u00e4hrlich?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die L\u00fccke erhielt mit CVSS 10.0 die h\u00f6chstm\u00f6gliche Bewertung. \u00dcber eine fehlende Berechtigungspr\u00fcfung am Metadata Uploader k\u00f6nnen nicht authentifizierte Angreifer ohne SAP-Zugang Schadcode hochladen und ausf\u00fchren. Da SAP das Kernsystem vieler deutscher Industriebetriebe ist, drohen Datendiebstahl, Manipulation von Buchungen und Produktionsausf\u00e4lle.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wann-sollten-sap-betreiber-patchen\">Wann sollten SAP-Betreiber patchen?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Sofort. SAP ver\u00f6ffentlichte den Notfall-Patch \u00fcber Security Note 3594142 bereits am 24. April 2025, und die aktive Ausnutzung lief nachweislich schon seit Ende M\u00e4rz 2025. Wer betroffene NetWeaver-Versionen 7.50, 7.51 oder 7.52 betreibt, sollte zus\u00e4tzlich die verwandte L\u00fccke CVE-2025-42999 schlie\u00dfen.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"wie-hoch-ist-der-cyberschaden-fuer-die-deutsche-wirtschaft\">Wie hoch ist der Cyberschaden f\u00fcr die deutsche Wirtschaft?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Laut Bitkom-Studie Wirtschaftsschutz 2025 entstehen der deutschen Wirtschaft j\u00e4hrlich 289,2 Milliarden Euro Schaden durch Diebstahl, Spionage und Sabotage. 87 Prozent der Unternehmen waren betroffen. Im Vorjahr lag der Schaden bei 266,6 Milliarden Euro bei einer Betroffenheitsquote von 81 Prozent.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"was-ist-der-wichtigste-schutz-gegen-ransomware\">Was ist der wichtigste Schutz gegen Ransomware?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Es gibt keinen Einzelschutz. Wirksam ist eine Kombination: schnelles Patchen internet-exponierter Software, fl\u00e4chendeckende Multi-Faktor-Authentifizierung gegen gestohlene Zugangsdaten, offline getestete Backups und kontinuierliche \u00dcberwachung. Da Phishing rund 60 Prozent der Erstzug\u00e4nge ausmacht, geh\u00f6ren Mitarbeiterschulungen ebenfalls dazu.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\" id=\"welche-quellen-liegen-dieser-analyse-zugrunde\">Welche Quellen liegen dieser Analyse zugrunde?<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Die Zahlen stammen aus dem <a href=\"https:\/\/www.enisa.europa.eu\/publications\/enisa-threat-landscape-2025\" target=\"_blank\" rel=\"noopener\">ENISA Threat Landscape 2025<\/a>, dem <a href=\"https:\/\/www.bsi.bund.de\/DE\/Service-Navi\/Publikationen\/Lagebericht\/lagebericht_node.html\" target=\"_blank\" rel=\"noopener\">BSI-Lagebericht<\/a>, der <a href=\"https:\/\/www.bitkom.org\/Presse\" target=\"_blank\" rel=\"noopener\">Bitkom-Studie Wirtschaftsschutz<\/a> sowie aus den Analysen zur Schwachstelle <a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2025-31324\" target=\"_blank\" rel=\"noopener\">CVE-2025-31324<\/a> und den <a href=\"https:\/\/support.sap.com\/en\/my-support\/knowledge-base\/security-notes-news.html\" target=\"_blank\" rel=\"noopener\">SAP Security Notes<\/a>. Aktuelle Einordnungen liefert zudem <a href=\"https:\/\/www.heise.de\/security\/\" target=\"_blank\" rel=\"noopener\">Heise Security<\/a>.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Die europ\u00e4ische Cybersicherheitsbeh\u00f6rde ENISA hat f\u00fcr ihren Threat Landscape 2025 insgesamt 4.875 Sicherheitsvorf\u00e4lle ausgewertet, die zwischen dem 1. Juli 2024 und dem 30. Juni 2025 \u00f6ffentlich wurden. Das Ergebnis ist\u2026<\/p>\n","protected":false},"author":4,"featured_media":157,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-156","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security"],"_links":{"self":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/156","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/comments?post=156"}],"version-history":[{"count":1,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/156\/revisions"}],"predecessor-version":[{"id":158,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/posts\/156\/revisions\/158"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media\/157"}],"wp:attachment":[{"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/media?parent=156"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/categories?post=156"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/shattered.io\/de\/wp-json\/wp\/v2\/tags?post=156"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}