Ransomware im 1. Quartal 2026: Warum Double Extortion jetzt ein Compliance-Problem ist – und nicht mehr nur ein Sicherheitsrisiko
Wichtige Erkenntnisse
- Datenexfiltration statt Verschlüsselung. Ransomware-Gruppen setzen inzwischen vor allem auf gestohlene Daten zur Erpressung und nutzen Compliance-Lücken wie DSGVO-Verstöße aus, anstatt Systeme zu verschlüsseln.
- Anhaltend hohe Aktivitäten. Die Bedrohung durch Ransomware blieb im ersten Quartal 2026 auf hohem Niveau: 119 Gruppen griffen 3.300 Industrieunternehmen an, ein Anstieg um 49 % gegenüber dem Vorjahr.
- Kaskadierende Risiken in der Lieferkette. Einzelne Vorfälle wie der Indigo-Group-Breach betrafen über 27.000 Organisationen, verstärkt durch eine mittlere Offenlegungsverzögerung von 73 Tagen, die regulatorische Fristen verletzt.
- Compliance-orientierte Reaktion erforderlich. Notfallpläne müssen Datendiebstahl als regulatorisches Ereignis behandeln und vorab Benachrichtigungen, Echtzeit-Audit-Trails und geregelte Datenbewegungen vorsehen.
Stellen Sie sich ein Fertigungsunternehmen vor, das stark in Endpoint Detection investiert, regelmäßige Backups erstellt und vierteljährliche Tabletop-Übungen durchführt. Der Notfallplan deckt Verschlüsselungs-basierte Ransomware detailliert ab. Dann kommt der Anruf: Eine Ransomware-Gruppe hat 18 Monate an Konstruktionsunterlagen, Kundenverträgen und Mitarbeiterdaten exfiltriert. Die Angreifer haben keine einzige Datei verschlüsselt. Stattdessen drohen sie, die Daten zu veröffentlichen, falls das Unternehmen nicht zahlt – und nutzen dabei die eigenen DSGVO-Benachrichtigungsversäumnisse als Druckmittel in der Verhandlung.
Das ist das neue Ransomware-Playbook. Verschlüsselung ist optional. Daten sind die Waffe. Und Compliance-Lücken sind die Angriffspunkte.
Das Ransomware-Playbook hat sich verändert – die meisten Abwehrmaßnahmen nicht
Der GuidePoint Q1 2026 Ransomware- und Cyberbedrohungsbericht bestätigt, dass die Ransomware-Aktivität im ersten Quartal 2026 durchgehend hoch blieb – mit veränderten Angreifer-Dynamiken und einem wachsenden Fokus auf neue Branchen. Für das Risikomanagement bestätigt dies, dass die Muster aus 2025 – gezielte Erpressung, Lieferkettenangriffe und Branchen-Diversifizierung – weiterhin bestehen und nicht abnehmen.
Der CrowdStrike Global Threat Report 2026 liefert die Geschwindigkeitsperspektive: Die durchschnittliche eCrime-Breakout-Zeit liegt nun bei 29 Minuten, der schnellste Wert betrug 27 Sekunden, und 82 % der Erkennungen in 2025 waren malwarefrei. Ransomware-Gruppen benötigen keine Malware mehr, um ihre Ziele zu erreichen. Sie brauchen Zugangsdaten, Geduld und das Wissen, welche Daten am meisten schaden.
5 Wichtige Erkenntnisse
1. Ransomware ist jetzt ein struktureller Betriebszustand, kein vorübergehender Ausschlag.
Der GuidePoint Q1 2026 Bericht bestätigt, dass die Ransomware-Aktivität im ersten Quartal 2026 konstant hoch blieb – mit veränderten Angreifer-Dynamiken und wachsendem Fokus auf neue Branchen. Die Muster aus 2025 – gezielte Erpressung, Lieferkettenangriffe, Branchen-Diversifizierung – setzen sich fort. Unternehmen, die Ransomware als periodische Bedrohung statt als Grundrisiko betrachten, bauen Abwehrmaßnahmen gegen das Problem des Vorjahres.
2. 119 Ransomware-Gruppen griffen 2025 3.300 Industrieunternehmen an – ein Anstieg um 49 %.
Dragos dokumentierte die Ausweitung in einem fragmentierten Affiliate-Ökosystem, in dem dieselben Akteure zwischen Marken wechseln, aber identische Methoden beibehalten. Die Fertigungsbranche stellte mehr als zwei Drittel aller beobachteten Opfer – ein Beleg für die starke Abhängigkeit des Sektors von integrierten IT-OT-Systemen, bei denen ein einziger Zugangsdatenverlust gleichzeitig Konstruktionsunterlagen, Produktionskonfigurationen und Remote-Zugänge kompromittieren kann.
3. Datenexfiltration ist jetzt der Haupthebel zur Erpressung, nicht Verschlüsselung.
Gruppen wie Black Shrantac und Secpo nutzen gestohlene Daten – nicht gesperrte Systeme – um Opfer unter Druck zu setzen und Compliance-Lücken als Verhandlungsmasse einzusetzen. Backups stellen den Betrieb wieder her, beheben aber keinen Datendiebstahl. Werden regulierte Daten exfiltriert, greifen Meldepflichten nach DSGVO, HIPAA und nationalen Datenschutzgesetzen – unabhängig von der Wiederherstellungsgeschwindigkeit.
4. 73 Tage mittlere Offenlegungsverzögerung – Sie erfahren von Drittanbieter-Breaches Monate zu spät.
Der Black Kite Third-Party-Breach-Report 2026 zeigt: Unternehmen, die auf Lieferantenbenachrichtigungen angewiesen sind, arbeiten mit veralteten Informationen. Mit dem 72-Stunden-Meldefenster der DSGVO bedeutet eine 73-tägige Verzögerung, dass Sie bereits gegen Vorschriften verstoßen, bevor Sie vom Vorfall erfahren.
5. Der Indigo-Group-Breach betraf über 27.000 Organisationen durch einen einzigen Angriff.
Der Angriff der Secpo-Gruppe im April 2026 auf einen französischen Infrastrukturbetreiber zeigt, wie ein Vorfall tausende nachgelagerte Unternehmen betrifft – jedes mit eigenen Melde- und Compliance-Pflichten. Lieferkettenkonzentration wirkt als Multiplikator für Ransomware-Schäden.
Sie vertrauen auf die Sicherheit Ihres Unternehmens. Aber können Sie es nachweisen?
Jetzt lesen
Black Shrantac: Living off the Land in industriellen Umgebungen
Eine Analyse vom 15. April 2026 identifiziert Black Shrantac als seit Ende 2025 aktive Ransomware-Gruppe mit Fokus auf industrielle und OT-nahe Netzwerke. Die Taktik der Gruppe verdeutlicht den Wandel von malwarebasierten Angriffen hin zu identitätsgetriebenen Einbrüchen.
Black Shrantac nutzt legitime Admin-Tools – die Living-off-the-Land-(LOTL)-Technik – nachdem sie kritische Perimeter-Schwachstellen ausnutzen, um über VPNs und Firewalls initialen Zugang zu erhalten. Einmal im Netzwerk, tarnen sie sich als normale Nutzer und entziehen sich so signaturbasierten Erkennungsmethoden. Danach folgt die doppelte Erpressung: Datendiebstahl plus Verschlüsselung, wobei die gestohlenen Daten das zentrale Druckmittel sind.
Der Dragos OT/ICS Cybersecurity Report 2026 liefert den Kontext: Dragos beobachtete 119 Ransomware-Gruppen, die 2025 Industrieunternehmen angriffen – ein Anstieg von 49 % gegenüber 80 im Jahr 2024. Insgesamt waren 3.300 Industrieunternehmen betroffen. Die Fertigungsbranche machte mehr als zwei Drittel der Opfer aus.
Dragos dokumentierte zudem ein fragmentiertes Affiliate-Ökosystem, in dem Akteure häufig zwischen Ransomware-as-a-Service-Programmen wechseln und dieselben Einbruchsmethoden unabhängig vom Markennamen verwenden. Devman, Akira, BlackSuit und INC Ransom stehen für die fortlaufende Zerstreuung von Akteuren aus dem Conti-Ökosystem – sie treten unter neuen Namen auf, behalten aber die bekannten Methoden bei. Black Shrantac ist ein Beispiel: Neuer Name, bekannte Techniken, wachsende Zielgruppe.
Secpo und Indigo Group: Wenn ein Breach 27.000 Organisationen trifft
Am 14. April 2026 reklamierte die Secpo-Ransomware-Gruppe einen Angriff auf die französische Indigo Group, einen Betreiber für Park- und urbane Mobilitätsinfrastruktur. Die Angreifer erklärten, fast 900.000 Dateien mit sensiblen Informationen über mehr als 27.000 Personen und über 27.000 Organisationen erbeutet zu haben.
Das Ausmaß der Folgeschäden zeigt, warum Ransomware heute ein Compliance-Problem ist. Die Indigo Group ist in mehreren europäischen Ländern aktiv. Jede betroffene Person löst potenziell die 72-Stunden-Meldepflicht der DSGVO aus. Jede betroffene Organisation muss eine eigene Folgenabschätzung und Benachrichtigung durchführen. Die Meldepflichten breiten sich kaskadenartig vom Ausgangspunkt aus.
Der Black Kite Third-Party-Breach-Report 2026 quantifiziert diesen Effekt: 136 verifizierte Third-Party-Breaches in 2025 führten zu 719 namentlich genannten Opfern und etwa 26.000 weiteren betroffenen Unternehmen, die nie genannt wurden. Die mittlere Verzögerung bis zur öffentlichen Bekanntgabe lag bei 73 Tagen.
Für die 27.000 Organisationen, deren Daten beim Indigo-Breach offengelegt wurden, begann die DSGVO-Uhr mit dem Vorfall – nicht mit der öffentlichen Bekanntmachung durch Secpo. Der Thales Data Threat Report 2026 fand heraus, dass nur 33 % der Unternehmen genau wissen, wo ihre Daten gespeichert sind. Wer nicht weiß, dass Indigo Group eigene Daten verarbeitet hat, kann das eigene Risiko nicht einschätzen – geschweige denn die Aufsichtsbehörden rechtzeitig informieren.
Datenexfiltration als regulatorischer Hebel: Das neue Erpressungsmodell
Der Wechsel von Verschlüsselung zu Datenexfiltration verändert die Compliance-Bewertung für Betroffene grundlegend. Bei Verschlüsselung liegt der Hauptschaden in der Betriebsunterbrechung. Backups stellen den Betrieb wieder her. Business-Continuity-Pläne greifen. Das Ereignis ist primär ein Sicherheitsvorfall.
Bei Datenexfiltration steht der regulatorische Schaden im Vordergrund. Das Unternehmen muss nun zwingend Meldungen nach DSGVO, HIPAA, nationalen Datenschutzgesetzen, SEC-Offenlegungspflichten oder branchenspezifischen Vorgaben abgeben – unabhängig davon, ob Systeme wiederhergestellt werden. Die Daten sind dauerhaft kompromittiert. Und der Angreifer weiß das.
Dragos dokumentierte diese Entwicklung explizit: Ein wachsender Trend 2025 war der Einsatz falscher ICS-Behauptungen in Ransomware-Erpressungen, bei denen Angreifer ihren Zugriff auf industrielle Systeme übertrieben, um den Druck zu erhöhen. Auch wenn diese Behauptungen technisch falsch waren, schufen sie Unsicherheit bei den Opfern, erschwerten Management-Entscheidungen und sorgten für mediale Aufmerksamkeit – ein Beleg dafür, dass Ransomware heute ebenso psychologisch und juristisch wie technisch funktioniert.
Der DTEX/Ponemon Insider Threat Report 2026 fand heraus, dass die durchschnittlichen jährlichen Kosten für Insider-Bedrohungen 19,5 Millionen US-Dollar erreichten. Unüberwachtes Filesharing, persönliche Webmail und Schatten-KI sind die drei Hauptursachen für fahrlässigen Datenabfluss. Wenn Ransomware-Gruppen Daten exfiltrieren, stellen sie oft fest, dass diese bereits über solche Kanäle abflossen – der Breach macht das Leck nur sichtbar und sanktionierbar.
Lieferkettenkonzentration schafft systemische Risiken
Der Indigo-Breach und die Angriffe von Black Shrantac auf industrielle Umgebungen zeigen eine strukturelle Schwachstelle, die Compliance-Frameworks bisher nicht ausreichend adressieren: das Risiko durch Lieferkettenkonzentration.
Der Black Kite Report fand heraus: Unter den 50 wichtigsten geteilten Anbietern hatten 70 % eine CISA-KEV-gelistete Schwachstelle, 84 % kritische CVSS-8+-Schwachstellen, 62 % Unternehmenszugangsdaten in Stealer-Logs und 80 % Phishing-Exponierung. Das sind keine Ausreißer, sondern beschreiben den Sicherheitsstandard der Anbieter, die die globale Lieferkette stützen.
Dragos dokumentierte das gleiche Muster in industriellen Umgebungen: 2025 kompromittierten Ransomware-Affiliates weiterhin Ingenieurbüros, OT-Managed-Service-Provider, ICS-Hersteller und Systemintegratoren – Unternehmen, die Konstruktionsunterlagen, Konfigurations-Backups, Remote-Zugangsdaten und privilegierte Wege zu mehreren Industrieanlagen besitzen. Die Ausnutzung von Schwachstellen in Cleo MFT, CrushFTP und Oracle E-Business Suite durch Cl0p zeigte, wie eine einzige Lücke in weit verbreiteter File-Transfer- oder ERP-Software operative Dokumente hunderter Industrieunternehmen kompromittieren kann – selbst wenn keine OT-Netzwerke direkt betroffen sind.
Der CrowdStrike-Report 2026 unterstreicht die Lieferkettendimension: eCrime-Akteure nutzen systematisch Zero-Days in internet-exponierten Unternehmenssystemen wie MFT, ITSM und ERP – diese werden zu Compliance-Brennpunkten, die Vendor-Risk-Management-Programme gezielt adressieren müssen.
Wie Kiteworks den Compliance-Schadenradius von Ransomware reduziert
Das Kiteworks Private Data Network adressiert die Compliance-Herausforderung bei Ransomware an der Wurzel: Es steuert den Austausch sensibler Daten so, dass bei einem Breach der Schadenradius begrenzt bleibt, Beweise sofort verfügbar sind und Meldepflichten innerhalb der gesetzlichen Fristen erfüllt werden können.
Die Plattform wird als gehärtete virtuelle Appliance mit integrierten Sicherheitskontrollen – Netzwerk-Firewall, WAF, Intrusion Detection – bereitgestellt, die keine Konfiguration durch den Kunden erfordern. Anders als bei Produktivitätsplattformen, bei denen Sicherheit von der richtigen Einrichtung abhängt, liefert Kiteworks Sicherheit als Produktfunktion und reduziert so die durch Fehlkonfiguration angreifbare Oberfläche, die Ransomware-Gruppen mit LOTL-Techniken und Zugangsdatenmissbrauch ausnutzen.
Jeder Austausch sensibler Daten – E-Mail, Filesharing, SFTP, Managed File Transfer, APIs, Web-Formulare – wird in einem einheitlichen Audit-Trail protokolliert und in Echtzeit an SIEM-Systeme übermittelt. Im Ernstfall liefert der Audit-Trail sofort Antworten auf die Fragen der Aufsichtsbehörden: Welche Daten wurden wann, von wem und über welchen Kanal abgerufen? Diese Beweisstruktur macht den Unterschied zwischen einer 72-Stunden-DSGVO-Meldung auf Faktenbasis und einer auf Vermutungen.
Speziell für Drittparteirisiken liefert die Chain-of-Custody-Dokumentation von Kiteworks nachweisbare Belege, welche Daten mit welchen Partnern, unter welchen Richtlinien und mit welchen Schutzmaßnahmen geteilt wurden. Wird ein Anbieter wie Indigo Group kompromittiert, können Unternehmen mit Kiteworks ihre eigene Exponierung sofort bewerten – statt 73 Tage auf eine Offenlegung zu warten, in der sie womöglich gar nicht genannt werden.
Was Unternehmen tun sollten, um Ransomware als Compliance-Risiko zu behandeln
Erstens sollten Sie Ihren Incident-Response-Plan gezielt für reine Datenexfiltrations-Szenarien aktualisieren. Die meisten Ransomware-Pläne fokussieren auf Verschlüsselung und Systemwiederherstellung. Verschlüsselt der Angreifer nichts, sondern stiehlt nur Daten und droht mit Veröffentlichung, ist das Vorgehen grundlegend anders: Es handelt sich um ein regulatorisches, nicht um ein operatives Ereignis.
Zweitens sollten Sie Ihre regulatorischen Meldepflichten bereits vor einem Breach kartieren. Für jede Jurisdiktion, in der Ihr Unternehmen personenbezogene Daten verarbeitet, dokumentieren Sie Meldefristen, zuständige Behörden, erforderliche Informationen und interne Workflows zur Informationsbeschaffung. Die 73-tägige Offenlegungsverzögerung im Black Kite Report zeigt: Sie können sich nicht auf Lieferantenmeldungen verlassen.
Drittens sollten Sie Datenklassifizierung und Governance für den Datenaustausch implementieren, die Echtzeit-Audit-Trails erzeugen. Der Thales-Report fand heraus, dass nur 33 % der Unternehmen den Speicherort ihrer Daten genau kennen. Können Sie nicht nachweisen, welche Daten eine Ransomware-Gruppe abgerufen hat, basiert Ihre Meldung auf dem Worst Case – und Ihr regulatorisches Risiko ist maximal.
Viertens sollten Sie Ihr Lieferkettenrisiko anhand operativer Daten und nicht mit Fragebögen bewerten. Der Black Kite Report zeigt: Hohe Compliance-Scores gehen bei mehr als der Hälfte der überwachten Unternehmen mit schwachen Grundlagen einher. Statische Fragebögen und Lieferantenaussagen erkennen die Risiken nicht, die Ransomware-Gruppen ausnutzen. Überwachen Sie Live-Bedrohungssignale – Zugangsdatenlecks, Schwachstellen, Phishing-Indikatoren – bei Ihren wichtigsten Lieferanten.
Fünftens sollten Sie den Austausch sensibler Daten von allgemeiner Zusammenarbeit und Speicherung trennen. Ransomware-Gruppen suchen bei Zugang nach den wertvollsten Daten in allen erreichbaren Systemen. Wenn sensible Daten – Legal Holds, Finanzdaten, Kundeninformationen, Konstruktionsunterlagen – auf denselben Plattformen wie die alltägliche Zusammenarbeit liegen, wird jeder Ransomware-Vorfall zum potenziellen Meldeereignis. Eine dedizierte, geregelte Plattform für den Datenaustausch reduziert das Risiko, dass exfiltrierte Daten regulatorische Pflichten auslösen.
Ransomware ist kein Sicherheitsvorfall mehr, der Compliance-Auswirkungen hat. Es ist ein Compliance-Vorfall, der Sicherheitslücken als Einfallstor nutzt. Unternehmen, die entsprechend handeln – mit Echtzeit-Audit-Trails, klaren Meldeprozessen und geregeltem Datenaustausch – überstehen einen Breach ohne regulatorische Folgen, die das Lösegeld übersteigen.
Erfahren Sie mehr über den Schutz Ihrer sensiblen Daten vor Ransomware und vereinbaren Sie eine individuelle Demo.
Häufig gestellte Fragen
Nein. Backups adressieren Betriebsunterbrechungen durch Verschlüsselung, mindern aber nicht das regulatorische Risiko durch Datenexfiltration. Wenn eine Ransomware-Gruppe personenbezogene Daten stiehlt, werden Meldepflichten nach DSGVO, HIPAA oder nationalen Datenschutzgesetzen ausgelöst – unabhängig von der Wiederherstellungsgeschwindigkeit. Datenexfiltration ist jetzt der Haupthebel zur Erpressung – Compliance-Vorbereitung ist ebenso wichtig wie Backup-Infrastruktur.
Black Shrantac zielt gezielt auf industrielle und OT-nahe Netzwerke ab, nutzt legitime Admin-Tools und Schwachstellen an der Peripherie. Hersteller sollten VPN- und Firewall-Schwachstellen priorisiert patchen, OT- von IT-Netzen trennen und geregelten Datenaustausch für Konstruktionsunterlagen und Lieferantenkommunikation implementieren. Der Dragos-Report 2026 dokumentierte 119 Ransomware-Gruppen, die 2025 3.300 Industrieunternehmen betrafen.
Der Black Kite Report 2026 fand eine mittlere Offenlegungsverzögerung von 73 Tagen, viele nachgelagerte Opfer wurden nie genannt. Führen Sie eigene Aufzeichnungen darüber, welche Daten Sie mit welchem Lieferanten, über welche Kanäle und unter welchen Schutzmaßnahmen geteilt haben. Das Kiteworks Private Data Network bietet Chain-of-Custody-Dokumentation für alle sensiblen Datentransfers und ermöglicht eine unabhängige Risikobewertung – ohne auf Lieferantenmeldungen angewiesen zu sein.
Erweitern Sie Übungen um reine Datenexfiltrationsszenarien, bei denen der Angreifer keine Systeme verschlüsselt, sondern mit Veröffentlichung droht. Testen Sie regulatorische Meldeprozesse, Beweissicherung und Audit-Log-Abruf unter Zeitdruck. Der GuidePoint Q1 2026 Bericht bestätigt: Doppelte Erpressung mit Datenfokus ist das anhaltende Modell – Tabletop-Übungen, die nur Backup-Wiederherstellung testen, üben das falsche Szenario.
Geregelter Datenaustausch erzeugt Echtzeit-Audit-Trails jeder sensiblen Datenbewegung – wer hatte wann, über welchen Kanal und unter welcher Richtlinie Zugriff. Wird bei einem Ransomware-Angriff Daten exfiltriert, ermöglicht diese Beweislage eine genaue Bestimmung des Breach-Umfangs und eine fundierte Benachrichtigung statt Worst-Case-Annahmen. Der Thales Data Threat Report 2026 fand heraus, dass nur 33 % der Unternehmen wissen, wo ihre Daten gespeichert sind – Datenklassifizierung und Audit-Infrastruktur entscheiden über eine beherrschbare oder eine regulatorische Krise.
Weitere Ressourcen
- Blogbeitrag So schützen Sie Studiendaten in internationalen Forschungsprojekten
- Blogbeitrag Der CLOUD Act und der britische Datenschutz: Warum der Gerichtsstand entscheidend ist
- Blogbeitrag Zero Trust Data Protection: Strategien für mehr Sicherheit
- Blogbeitrag Datenschutz durch Technikgestaltung: So integrieren Sie DSGVO-Kontrollen in Ihr Managed File Transfer-Programm
- Blogbeitrag So verhindern Sie Datenpannen mit sicherem Filesharing über Ländergrenzen hinweg
Häufig gestellte Fragen
Verschlüsselung ist für Angreifer nur noch optional. Gruppen wie Black Shrantac und Secpo nutzen gestohlene Daten – nicht gesperrte Systeme – um Opfer unter Druck zu setzen und Compliance-Lücken nach DSGVO, HIPAA und nationalen Datenschutzgesetzen als Verhandlungsmasse einzusetzen. Backups stellen den Betrieb wieder her, beheben aber keinen Datendiebstahl oder ausgelöste Meldepflichten.
Dragos dokumentierte 119 Ransomware-Gruppen, die 2025 3.300 Industrieunternehmen angriffen – ein Anstieg um 49 % gegenüber dem Vorjahr. Die Fertigungsbranche stellte mehr als zwei Drittel der Opfer, wobei Angreifer integrierte IT-OT-Systeme und Lieferkettenwege ausnutzten.
Mit dem 72-Stunden-Meldefenster der DSGVO bedeutet eine Verzögerung von 73 Tagen, dass Unternehmen oft schon gegen Vorschriften verstoßen, bevor sie von einem Lieferanten-Breach erfahren. Der Indigo-Group-Vorfall allein betraf Daten von über 27.000 Organisationen und löste kaskadierende Meldepflichten aus, auf die man sich nicht auf Lieferantenmeldungen verlassen kann.
Pläne müssen explizit reine Datenexfiltrations-Szenarien abdecken, bei denen keine Verschlüsselung erfolgt. Dazu gehören die Vorab-Kartierung regulatorischer Meldeprozesse, die Implementierung von Echtzeit-Audit-Trails für Datenaustausch und die Bewertung von Lieferkettenkonzentrationsrisiken anhand von Live-Bedrohungssignalen statt statischer Fragebögen.