Im M\u00e4rz 2026 verschwanden bei der Partei Die Linke Teile der IT-Infrastruktur vom Netz. Hinter dem Angriff steht eine Gruppe, die Sicherheitsforscher seit Monaten an die Spitze der globalen Ransomware-Statistik setzen: Qilin. Die russischsprachige Bande arbeitet als Ransomware-as-a-Service-Plattform, hat 2025 laut mehreren Trackern \u00fcber 1.000 Opfer beansprucht und allein in den ersten zwei Januarwochen 2026 mehr als 55 neue Gesch\u00e4digte auf ihrer Leak-Seite ver\u00f6ffentlicht. Mit den Attacken auf Die Linke und den Modehersteller Marc Cain ist Qilin Ransomware endg\u00fcltig in Deutschland angekommen.<\/p>\n\n\n\n
Dieser Beitrag ordnet ein, wer hinter Qilin steckt, wie das Erpressungsmodell funktioniert, welche deutschen Ziele betroffen sind und was die Welle f\u00fcr Unternehmen, Versicherer und Beh\u00f6rden im DACH-Raum bedeutet. Die Analyse st\u00fctzt sich auf Daten von Check Point, MoxFive, CybelAngel, BlackFog, Ransomware.live sowie auf die Wirtschaftsschutz-Zahlen des Branchenverbands Bitkom.<\/p>\n\n\n\n
Im M\u00e4rz 2026 reklamierte die Qilin-Gruppe einen Cyberangriff auf Die Linke f\u00fcr sich. Die Partei best\u00e4tigte einen IT-Sicherheitsvorfall und nahm Teile ihrer Systeme vorsorglich offline. Nach Parteiangaben blieb die zentrale Mitgliederdatenbank unber\u00fchrt, ein vollst\u00e4ndiger Datenabfluss wurde nicht best\u00e4tigt. Qilin ver\u00f6ffentlichte auf seiner Tor-basierten Leak-Seite Screenshots angeblich gestohlener Dokumente und drohte mit der Offenlegung, falls kein L\u00f6segeld flie\u00dft.<\/p>\n\n\n\n
Der Fall reiht sich in ein Muster politisch sichtbarer Ziele ein. Bereits im Juni 2024 traf ein Cyberangriff die CDU kurz vor der Europawahl. Parteien sind attraktive Opfer, weil sie sensible Personendaten verwalten, oft mit d\u00fcnner IT-Mannschaft arbeiten und unter hohem \u00f6ffentlichem Druck stehen. Genau diese Mischung aus Datenwert und Reputationsrisiko nutzt das doppelte Erpressungsmodell von Qilin aus: Selbst wenn die Verschl\u00fcsselung abgewehrt wird, bleibt die Drohung mit der Ver\u00f6ffentlichung als Hebel bestehen.<\/p>\n\n\n\n
Anders als bei einem klassischen Datenleck, das oft unbemerkt bleibt, inszeniert Qilin den Vorfall \u00f6ffentlich. Der Countdown auf der Leak-Seite, die Screenshots und die direkte Ansprache der Verhandlungsf\u00fchrer geh\u00f6ren zur Taktik. Wer verstehen will, wie aus einem technischen Einbruch ein wirtschaftlicher und politischer Schaden wird, findet im Fall Die Linke eine Blaupause f\u00fcr die gesamte Bedrohungslage 2026.<\/p>\n\n\n\n
Qilin wurde erstmals im Juli 2022 beobachtet und firmierte anfangs unter dem Namen Agenda. Sicherheitsforscher ordnen die Gruppe dem russischsprachigen Cyberkriminellen-Milieu zu. CybelAngel beschreibt, dass Qilin “unter einem Ransomware-as-a-Service-Modell operiert” und “offenbar mit Russland verbunden” ist. Der Name Qilin verweist auf ein Fabelwesen aus der chinesischen Mythologie, was bei der Zuordnung zun\u00e4chst f\u00fcr Verwirrung sorgte, an der russischsprachigen Ausrichtung der Betreiber aber nichts \u00e4ndert.<\/p>\n\n\n\n
Der eigentliche Aufstieg kam 2025. Check Point h\u00e4lt fest, dass Qilin “2025 einen weiteren Anstieg erlebte, weil popul\u00e4re RaaS-Gruppen zerschlagen wurden, insbesondere RansomHub”. Als Strafverfolger und interne Streitigkeiten andere Plattformen schw\u00e4chten, wechselten erfahrene Affiliates zu Qilin. Das Resultat: Im November 2024 entfielen laut dem Check-Point-Bericht “State of Cyber Security” rund 5 Prozent aller auf Leak-Seiten gelisteten Opfer auf Qilin. Bis 2025 z\u00e4hlte die Gruppe je nach Datenquelle \u00fcber 1.000 Gesch\u00e4digte, mit einem Monatshoch von etwa 100 neuen Opfern im Juni 2025.<\/p>\n\n\n\n
2026 setzte sich der Trend fort. MoxFive beziffert die von Qilin beanspruchten Opfer f\u00fcr 2026 auf \u00fcber 500. BlackFog f\u00fchrte die Gruppe im M\u00e4rz 2026 mit acht \u00f6ffentlich dokumentierten Attacken als aktivste Ransomware-Operation des Monats. Damit hat sich Qilin von einem Nachz\u00fcgler zu einem der dominierenden Akteure im RaaS-\u00d6kosystem entwickelt.<\/p>\n\n\n\n
Qilin verkauft keine Software an Endkunden, sondern vermietet eine komplette Erpressungsinfrastruktur an Partner, sogenannte Affiliates. Check Point formuliert es so: “Qilin Ransomware, auch bekannt als Agenda Ransomware, ist eine popul\u00e4re RaaS-Operation, die ihre Technologie an Affiliates verkauft.” Die Kernbande pflegt die Schadsoftware, betreibt die Leak-Seite, stellt Verhandlungswerkzeuge bereit und kassiert eine Provision. Die Affiliates \u00fcbernehmen den eigentlichen Einbruch.<\/p>\n\n\n\n
Die Aufteilung ist gro\u00dfz\u00fcgig f\u00fcr die T\u00e4ter im Feld. Laut CybelAngel “lockt Qilin Affiliates mit 80 bis 85 Prozent L\u00f6segeldanteil”. Die Kernbetreiber behalten also nur 15 bis 20 Prozent. Diese Quote liegt \u00fcber dem Marktdurchschnitt und erkl\u00e4rt, warum erfahrene Eindringlinge nach der Zerschlagung anderer Plattformen gezielt zu Qilin abwanderten. Wer pro erfolgreichem Angriff mehr verdient, bringt seine Werkzeuge und seine Zug\u00e4nge mit.<\/p>\n\n\n\n
Qilin setzt durchg\u00e4ngig auf doppelte Erpressung. Die Daten werden zun\u00e4chst exfiltriert, dann verschl\u00fcsselt. Zahlt das Opfer nicht, droht die Ver\u00f6ffentlichung auf der Tor-Leak-Seite. Die Schadsoftware ist in Go und Rust geschrieben, was Angriffe auf Windows- und Linux-Umgebungen sowie auf VMware-ESXi-Hypervisoren erlaubt. Dieser plattform\u00fcbergreifende Ansatz macht Qilin besonders gef\u00e4hrlich f\u00fcr moderne Rechenzentren, in denen virtualisierte Server das R\u00fcckgrat bilden.<\/p>\n\n\n\n
Am 24. April 2026 reklamierte Qilin \u00f6ffentlich einen Angriff auf den deutschen Modehersteller Marc Cain. Die Gruppe drohte mit der Ver\u00f6ffentlichung von Daten, falls keine Verhandlungen aufgenommen w\u00fcrden. Marc Cain mit Sitz in Bodelshausen in Baden-W\u00fcrttemberg steht exemplarisch f\u00fcr das bevorzugte Beuteschema von Qilin: mittelst\u00e4ndische Unternehmen mit wertvollem geistigem Eigentum, internationaler Lieferkette und begrenzten Sicherheitsbudgets.<\/p>\n\n\n\n
Beide deutschen F\u00e4lle, Die Linke und Marc Cain, fielen in ein Quartal, in dem Sicherheitsforscher eine Verlagerung des Qilin-Fokus nach Mitteleuropa beobachteten. Der deutsche Mittelstand gilt als lukratives Ziel, weil viele Betriebe Marktf\u00fchrer in ihrer Nische sind, gleichzeitig aber selten \u00fcber ein eigenes Security Operations Center verf\u00fcgen. Ein erpresster Hidden Champion zahlt eher, als wochenlangen Produktionsausfall zu riskieren.<\/p>\n\n\n\n
International hatte Qilin bereits 2024 gezeigt, wie hoch die Forderungen ausfallen k\u00f6nnen. Beim Angriff auf den britischen Labordienstleister Synnovis, der Londoner Krankenh\u00e4user versorgt, verlangte die Gruppe 50 Millionen US-Dollar, um rund 400 GB an Gesundheitsdaten nicht zu ver\u00f6ffentlichen. Der Vorfall f\u00fchrte zu abgesagten Operationen und verschobenen Bluttests und zeigte, dass Ransomware l\u00e4ngst Menschenleben gef\u00e4hrden kann.<\/p>\n\n\n\n
Die folgende Tabelle fasst die belegten Kennzahlen zur Qilin-Aktivit\u00e4t zusammen. Die Werte stammen aus Trackern wie Ransomware.live, Berichten von Check Point, MoxFive, OSIbeyond und BlackFog. Wo Quellen abweichen, ist die konservativere Zahl genannt.<\/p>\n\n\n\n