BlackFog Q2-Bericht: Nicht offengelegte Ransomware-Angriffe um 40 % gestiegen

Eine wachsende Kluft zwischen Ransomware-Angriffen und öffentlicher Offenlegung

Das auf Ransomware-Prävention spezialisierte Unternehmen BlackFog hat seinen Q2-Bericht zur weltweiten Ransomware-Aktivität veröffentlicht, und die Schlagzeilen-Zahl ist auffällig: Nicht offengelegte Ransomware-Angriffe stiegen im Jahresvergleich um 40 %. Mit anderen Worten, ein wachsender Anteil von Ransomware-Vorfällen ereignet sich, ohne dass die Öffentlichkeit, Aufsichtsbehörden oder gar betroffene Kunden jemals über offizielle Kanäle davon erfahren.

Dieser Unterschied ist wichtig. Ransomware-Angriffe, die Schlagzeilen machen, sind meist solche, bei denen die Angreifer sich öffentlich dazu bekennen, gestohlene Daten veröffentlichen oder ein Unternehmen zur Offenlegung zwingen, weil Kunden, Partner oder Medien die Störung bemerken. Nicht offengelegte Angriffe sind anders. Dies sind Vorfälle, die betroffene Unternehmen entweder stillschweigend beilegen, bezahlen oder anderweitig handhaben, ohne dass ein öffentlicher Bericht ausgelöst wird – selbst wenn dabei Daten eingesehen, verschlüsselt oder entwendet wurden.

Die Daten von BlackFog deuten darauf hin, dass diese leisere Kategorie von Angriffen nun schneller wächst als die sichtbareren, öffentlich gemeldeten. Für eine Branche, die seit Jahren versucht, die Transparenz bei Datenschutzverletzungen zu verbessern, ist das eine bemerkenswerte Verschiebung – mit realen Konsequenzen für jeden, dessen persönliche Daten möglicherweise auf den Systemen eines Unternehmens gespeichert sind.

Warum "nicht offengelegt" nicht "eingedämmt" bedeutet

Es liegt nahe anzunehmen, dass ein Angriff, der nie in den Nachrichten auftaucht, geringfügig oder erfolgreich eingedämmt worden sein muss. Die Erkenntnisse von BlackFog widersprechen dieser Annahme. Ein Ransomware-Vorfall kann eine erhebliche Datenexfiltration beinhalten – das bedeutet, Angreifer kopieren sensible Dateien vor oder statt Systeme zu verschlüsseln –, ohne dass die Organisation dies jemals offiziell einräumt.

Es gibt mehrere Gründe, warum ein Unternehmen eine öffentliche Offenlegung vermeiden könnte: Unsicherheit, ob eine Verletzung die gesetzlichen Meldeschwellen erreicht, der Wunsch, Reputationsschäden zu vermeiden, oder schlicht eine stille Verhandlung und Zahlung, die die Situation bereinigt, bevor Aufsichtsbehörden involviert werden. Keiner dieser Gründe lässt das zugrunde liegende Datenschutzrisiko verschwinden. Wenn bei einem nicht offengelegten Angriff Kundendaten, Mitarbeiterdaten oder Gesundheits- und Finanzinformationen offengelegt wurden, sind die Menschen, deren Daten entwendet wurden, den gleichen Folgerisiken ausgesetzt – Identitätsdiebstahl, Betrug, gezieltes Phishing –, unabhängig davon, ob jemals eine Pressemitteilung herausgegeben wurde.

Hier überschneidet sich die Ransomware-Diskussion zunehmend mit der Diskussion über Schwachstellen-Management. Viele Ransomware-Akteure verschaffen sich ihren ersten Zugang über ungepatchte oder aktiv ausgenutzte Software-Schwachstellen. Behörden wie CISA warnen weiterhin vor Sicherheitslücken, die Angreifer aktiv nutzen, um erweiterte Systemzugriffe zu erlangen, darunter Schwachstellen wie CVE-2026-31431, eine in freier Wildbahn ausgenutzte Linux-Root-Zugriffslücke. Wenn Unternehmen bekannte, aktiv ausgenutzte Schwachstellen nicht zügig patchen, schaffen sie genau jene Einfallstore, die zu den von BlackFog verfolgten Ransomware-Vorfällen führen – offengelegt oder nicht.

Das Ausmaß des unentdeckten Problems

Ein Grund, warum nicht offengelegte Angriffe häufiger werden, könnte schlicht im schieren Umfang ausnutzbarer Schwachstellen in moderner Software liegen. Forscher, die KI-gestützte Analysetools einsetzen, haben kürzlich demonstriert, wie groß diese Angriffsfläche sein kann. Anthropics Project Glasswing etwa zeigte, dass sein Claude-Mythos-Modell in der Lage war, mehr als 10.000 Schwachstellen mit hohem oder kritischem Schweregrad in großer Software-Infrastruktur zu identifizieren. Wenn es so viele potenzielle Einstiegspunkte gibt, wird es viel leichter zu verstehen, warum Ransomware-Gruppen immer wieder neue Ziele finden – und warum so viele dieser Zugriffe nie an die Öffentlichkeit gelangen.

Der Bericht von BlackFog untermauert ein Muster, vor dem Datenschutz- und Sicherheitsforscher seit Jahren warnen: Die öffentlich bekannte Liste von Ransomware-Aktivitäten ist wahrscheinlich nur ein Teilbild. Jedem sichtbaren Angriff, über den in den Nachrichten berichtet wird, stehen vermutlich Gegenstücke gegenüber, die im Stillen beigelegt wurden – sei es durch Backup-Wiederherstellung, ausgehandelte Vergleiche oder Incident-Response-Teams, die abseits der Öffentlichkeit arbeiten.

Was das für Sie bedeutet

Für Verbraucher ist der Anstieg nicht offengelegter Ransomware-Angriffe eine Erinnerung daran, dass Benachrichtigungen über Datenschutzverletzungen kein vollständiges Frühwarnsystem sind. Sie erhalten möglicherweise nie eine offizielle Mitteilung, dass Ihre Daten von einem Vorfall betroffen waren – selbst wenn es so war. Das bedeutet nicht, dass Ihre Informationen automatisch sicher sind; es bedeutet, dass die üblichen Signale, auf die Menschen sich verlassen – wie E-Mails über Datenschutzverletzungen oder Nachrichtenberichte –, weniger verlässliche Indikatoren für das tatsächliche Risiko werden.

Für Unternehmen und IT-Teams ist der Bericht ein starkes Argument dafür, die Lücke zwischen bekannten Schwachstellen und Patch-Zeitplänen zu schließen, da verzögertes Patchen häufig der Einstiegspunkt für jene stillen Zugriffe ist, die nie Schlagzeilen machen. Es ist zudem ein Grund, speziell in die Überwachung auf Datenexfiltration zu investieren, und nicht nur in die Verhinderung von Ransomware-Verschlüsselung, da Angreifer zunehmend Daten stehlen, selbst wenn sie keine Systeme sperren.

Ransomware, von der Sie vielleicht nie hören werden, einen Schritt voraus sein

BlackFogs Q2-Ergebnisse machen deutlich, dass Ransomware-Statistiken das wahre Ausmaß des Problems wahrscheinlich untertreiben, da so viele Angriffe nicht offengelegt werden. Statt auf eine Schlagzeile oder einen Benachrichtigungsbrief zu warten, ist es sinnvoll, routinemäßige Datenschutz-Hygiene als dauerhafte Gewohnheit zu betreiben und nicht nur als Reaktion auf Nachrichtenereignisse.

Einige praktische Schritte, die sich jetzt lohnen: Nutzen Sie einzigartige, starke Passwörter mit einem Passwort-Manager, damit eine Sicherheitsverletzung bei einem Unternehmen nicht Ihre anderen Konten gefährdet; aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird; überwachen Sie regelmäßig Finanz- und Kreditkonten auf ungewöhnliche Aktivitäten; und ziehen Sie eine Kreditsperre in Betracht, wenn Sie vermuten, dass Ihre Informationen in irgendeinem Vorfall – offengelegt oder nicht – kompromittiert wurden. Für Unternehmen kann die Priorisierung des Patch-Managements für aktiv ausgenutzte Schwachstellen sowie die Investition in Tools, die Datenexfiltration erkennen und nicht nur Verschlüsselung, dazu beitragen, die Lücke zu schließen, die nicht offengelegte Ransomware-Angriffe derzeit ausnutzen.