Kaspersky-Bericht 2026: Ransomware gegen KMU bedroht große Unternehmen

Ransomware-Banden ändern ihre Vorgehensweise, und kleine Unternehmen zahlen doppelt dafür. Der neu veröffentlichte State of Ransomware 2026-Bericht von Kaspersky zeigt, dass Angreifer zunehmend ganz auf Verschlüsselung verzichten und stattdessen auf erpresserische Datenexfiltration setzen – gestohlene Daten werden zum Hauptdruckmittel statt gesperrter Systeme. Für kleinere Firmen mit begrenztem Sicherheitsbudget ist diese Verschiebung nicht nur wegen des eigenen Betriebs bedeutsam: Sie macht sie zu Einfallstoren für Angriffe auf größere Partnerunternehmen, womit das Lieferkettenrisiko durch Ransomware bei kleinen Betrieben zu einem wachsenden Problem für Unternehmen jeder Größe wird.

Was verschlüsselungslose Erpressung für kleine Unternehmen bedeutet

Traditionelle Ransomware-Angriffe folgten einem vorhersehbaren Muster. Kriminelle drangen in ein Netzwerk ein, verschlüsselten Dateien und verlangten Lösegeld für den Entschlüsselungscode. Dieses Modell setzte voraus, dass die Angreifer das Opfer von den eigenen Systemen aussperrten, was oft zu einer sofortigen Erkennung und Reaktion führte.

Der Kaspersky-Bericht beschreibt einen leiseren und in mancher Hinsicht gefährlicheren Ansatz. Anstatt Daten zu verschlüsseln, kopieren Angreifer still und heimlich vertrauliche Dateien, Kundendaten, Finanzdokumente, Verträge und interne Kommunikation und drohen dann, diese Informationen zu veröffentlichen oder zu verkaufen, wenn das Opfer nicht zahlt. Es gibt keinen abgestürzten Server oder eingefrorenen Arbeitsplatzrechner, der das IT-Personal alarmieren würde. Der Einbruch kann wochenlang unbemerkt bleiben, sodass die Kriminellen Zeit haben, das Diebesgut zu analysieren und zu entscheiden, wie es sich am besten zu Geld machen lässt.

Für kleine Unternehmen ist dies eine besonders unangenehme Bedrohung. Viele haben keine dedizierten Sicherheitsteams, die in der Lage wären, eine langsame, heimliche Datenausschleusung zu erkennen, und das Ausbleiben eines offensichtlichen Systemausfalls bedeutet, dass der Angriff weit fortgeschritten sein kann, bevor jemand etwas Ungewöhnliches bemerkt.

Warum KMU das schwächste Glied in unternehmerischen Lieferketten sind

Die für die gesamte Geschäftswelt bedeutsamste Erkenntnis des Kaspersky-Berichts ist, dass kleine Unternehmen nicht nur isolierte Opfer sind. Sie sind häufig das schwächste Glied, das Kriminelle mit viel größeren Zielen verbindet. Ein kleiner Zulieferer, Auftragnehmer oder Dienstleister hält oft Zugangsdaten, Netzwerkzugänge oder sensible Daten größerer Geschäftspartner in Händen, verfügt aber nur selten über die gleichen mehrschichtigen Abwehrmaßnahmen wie diese Partner.

Angreifer verstehen dieses Ungleichgewicht. Anstatt ein gut geschütztes Unternehmen direkt anzugreifen, ist es oft einfacher, zunächst einen kleineren Zulieferer zu kompromittieren und diesen dann als Sprungbrett oder die gestohlenen Daten als Hebel zu nutzen, um zur größeren Organisation in der Lieferkette zu gelangen. Genau diese Dynamik spielt sich bereits bei aktiven Ransomware-Operationen ab. Gruppen wie Qilin und The Gentlemen eskalieren ihre Angriffe gezielt gegen kleine und mittlere Unternehmen und nutzen diese als Sprungbrett und nicht als Endziel.

Wie sich Datendiebstahl vom traditionellen Ransomware-Risiko unterscheidet

Die praktischen Auswirkungen der verschlüsselungslosen Erpressung unterscheiden sich in mehreren wichtigen Punkten von klassischer Ransomware. Erstens geht es bei der Wiederherstellung nicht mehr nur um das Einspielen von Backups. Wenn Ihre Daten bereits kopiert wurden, macht ein sauberes Backup die Bloßstellung nicht rückgängig – die Informationen sind nach wie vor in der Wildnis und können weiterhin geleakt oder verkauft werden, unabhängig davon, ob der Betrieb wiederhergestellt ist.

Zweitens verschieben sich die Druckmittel. Statt einer Countdown-Uhr für die Dateientschlüsselung sehen sich Opfer der Gefahr öffentlicher Enthüllung, regulatorischer Strafen und Reputationsschäden durch geleakte Kunden- oder Partnerdaten gegenüber. Drittens – und das ist für das Lieferkettenrisiko am relevantesten – können gestohlene Daten eines kleinen Unternehmens Zugangsdaten, gemeinsame Laufwerke oder Kommunikation enthalten, die genau aufzeigen, wie man eine größere Partnerorganisation erreicht. Das kleine Unternehmen wird damit nicht nur zum Opfer, sondern faktisch zur Landkarte für den nächsten Angriff.

Praktische Schritte: VPNs, Segmentierung und Datenminimierung für KMU

Kleine Unternehmen brauchen kein Budget auf Unternehmensniveau, um dieses Risiko wirksam zu reduzieren. Ein paar praktische Maßnahmen bringen viel. Die Nutzung eines seriösen VPNs für Fernzugriffe und sichere externe Verbindungen trägt dazu bei, dass Zugangsdaten und Datenverkehr nicht abgefangen werden können, insbesondere für Teams, die sich regelmäßig in Partner-Systeme einloggen oder sensible Dateien aus der Ferne austauschen.

Netzwerksegmentierung ist ebenso wichtig. Systeme, die sensible Partnerdaten verarbeiten, getrennt vom allgemeinen Büronetz zu halten, begrenzt, wie weit ein Angreifer nach einem Eindringen vordringen kann. Auch Datenminimierung zählt: Unternehmen sollten regelmäßig prüfen, welche sensiblen Informationen sie tatsächlich vorhalten müssen, vor allem Daten größerer Kunden, und nicht mehr Benötigtes löschen oder archivieren. Je weniger zu stehlen ist, desto weniger Druckmittel hat ein Angreifer.

Was das für Sie bedeutet

Wenn Sie ein kleines Unternehmen führen oder dort arbeiten, ist die Kernbotschaft des Kaspersky-Berichts nicht, dass Sie ein größeres Ziel als große Konzerne sind, sondern dass Sie ein bequemeres sein könnten. Angreifer setzen darauf, dass kleinere Organisationen weniger Überwachung, geringere Ressourcen und langsamere Erkennungszeiten haben. Wenn Ihr Unternehmen Daten oder Systemzugriffe im Auftrag größerer Partner verwaltet, wird diese Beziehung selbst zum Teil Ihres Bedrohungsmodells. Sicherheit nur als interne Angelegenheit zu betrachten, reicht nicht mehr aus.

Abschließende Gedanken

Die im State of Ransomware 2026-Bericht von Kaspersky dokumentierte Verschiebung hin zur verschlüsselungslosen Erpressung erinnert daran, dass Lieferkettenangriffe mit Ransomware auf kleine Unternehmen kein Nischenproblem mehr sind – sie sind ein direkter Pfad in die Netzwerke weit größerer Unternehmen. Die Stärkung elementarer Abwehrmaßnahmen, die Sicherung des Fernzugriffs, die Segmentierung sensibler Systeme und die Minimierung gespeicherter Daten können diese Gefährdung deutlich verringern. Einen genaueren Blick darauf, wie sich diese Angriffe in der Praxis entfalten, lesen Sie hier: Wie die Ransomware-Banden Qilin und The Gentlemen ihre Angriffe auf kleine Unternehmen eskalieren und was das über die aktuellen Taktiken der Kriminellen verrät.