Eine immer größere Kluft zwischen Durchschnitts- und Median-Lösegeldzahlungen

Ein neuer Bericht über Lösegeldzahlungstrends für Q2 2026 zeigt einen auffallenden Widerspruch in den Zahlen. Laut Daten von Coveware by Veeam stieg die durchschnittliche Lösegeldzahlung im Vergleich zum Vorquartal um 176 % auf 1.880.612 USD. Gleichzeitig halbierte sich die Medianzahlung, die widerspiegelt, was ein typisches Opfer tatsächlich zahlt, auf 150.000 USD.

Diese Divergenz ist bedeutender als jede der beiden Zahlen für sich allein. Wenn der Durchschnitt stark ansteigt, während der Median fällt, deutet dies meist darauf hin, dass eine kleine Anzahl extremer Ausreißer das Gesamtbild verzerrt. Dem Bericht zufolge ist genau das passiert: Eine Handvoll ungewöhnlich hoher, „klobiger“ Zahlungen im Zusammenhang mit Erpressungsfällen, bei denen Daten gestohlen wurden, trieb den Durchschnitt weit nach oben, obwohl die meisten Opfer erheblich weniger zahlten als in den Vorquartalen.

Für alle, die die Trends bei Lösegeldzahlungen verfolgen, ist dieses Muster eine Mahnung, dass Schlagzeilen-Durchschnittswerte irreführend sein können. Die typische Organisation, die in Q2 2026 von Ransomware getroffen wurde, handelte auf einen viel kleineren Betrag herunter, als der Aufsehen erregende Durchschnitt vermuten lässt. Eine kleine Teilmenge der Opfer – wahrscheinlich größere Unternehmen oder solche mit besonders schädlicher Datenexposition – zahlte jedoch dramatisch mehr.

Warum Datenexfiltration die größten Auszahlungen antreibt

Der Bericht weist auf Datenexfiltration als Haupttreiber der größten und disruptivsten Zahlungen des Quartals hin. Anstatt sich allein auf die Verschlüsselung von Dateien und die Forderung eines Lösegelds für den Entschlüsselungsschlüssel zu verlassen, stehlen viele Ransomware-Betreiber zunächst sensible Daten, bevor sie die Verschlüsselung einsetzen, und drohen dann damit, diese Informationen zu veröffentlichen oder zu verkaufen, falls das Opfer sich weigert zu zahlen.

Dieses Doppel-Droh-Modell – Verschlüsseln und Exfiltrieren – gibt den Angreifern mehr Druckmittel. Selbst wenn ein Opfer über solide Backups verfügt und verschlüsselte Systeme ohne Zahlung wiederherstellen kann, erzeugt die Drohung einer öffentlichen Datenveröffentlichung einen separaten, oft dringlicheren Druckpunkt. Regulatorische Konsequenzen, Benachrichtigungspflichten gegenüber Kunden und Reputationsschäden fließen in die Kalkulation des Opfers ein, sobald gestohlene Daten im Raum stehen – und genau das scheint der Grund zu sein, warum bestimmte Zahlungen in Q2 2026 in siebenstellige Höhen schossen.

Dies fügt sich in ein breiteres Muster ein, das andere aktuelle Analysen dokumentiert haben. Wie in Ransomware 2026: Mehr Gangs, mehr Opfer, keine Verlangsamung berichtet, ist das Ransomware-Ökosystem fragmentierter geworden: Eine wachsende Zahl kleinerer Akteure konkurriert um Opfer, statt dass eine Handvoll dominanter Banden das Feld kontrolliert. Diese Fragmentierung, zusammen mit einem separaten Bericht, der zeigt, dass Opfer verdoppeln sich und Erpressung steigt im 2. Quartal 2026, deutet darauf hin, dass Angreifer ein breiteres Netz auswerfen, während sie ihre aggressivsten, auf Datendiebstahl basierenden Taktiken für Ziele reservieren, bei denen sich die Auszahlung maximieren lässt.

Was das für Sie bedeutet

Wenn Sie ein Unternehmen leiten, die IT einer Organisation verwalten oder einfach verstehen möchten, wie sich die Trends bei Lösegeldzahlungen auf Ihr eigenes Risiko auswirken, stechen aus den Q2-2026-Daten einige Punkte hervor.

Erstens: Der Rückgang der Medianzahlung auf 150.000 USD legt nahe, dass für die meisten Organisationen die Lösegeldforderungen (und was Opfer letztlich zahlen) eher niedriger als höher ausfallen. Das ist ein leicht ermutigendes Zeichen und spiegelt wahrscheinlich verbesserte Backup-Praktiken, schnellere Incident-Response und eine wachsende Bereitschaft der Opfer wider, die Zahlung zu verweigern, wenn die Verschlüsselung allein die Bedrohung darstellt.

Zweitens: Der Anstieg der durchschnittlichen Zahlung ist eine Warnung davor, was geschieht, wenn Datenexfiltration im Spiel ist. Können die Angreifer nachweisen, dass sie sensible Kundendaten, Finanzinformationen oder geistiges Eigentum gestohlen haben, steigt der Druck zu zahlen erheblich – unabhängig davon, ob verschlüsselte Systeme aus dem Backup wiederhergestellt werden können. Das bedeutet, dass die Datenschutzstrategie sich nicht mehr allein auf die Wiederherstellung konzentrieren darf. Unbefugte Datenzugriffe zu verhindern und auf ungewöhnliche abgehende Datenübertragungen zu achten, ist genauso wichtig wie die Pflege sauberer Backups.

Drittens: Für den Einzelnen ist dieser Trend eine Erinnerung daran, dass ein Ransomware-Angriff auf ein Unternehmen, mit dem Sie Geschäfte machen – ein Krankenhaus, ein Händler, ein Dienstleister – ein Datenschutzrisiko birgt, selbst wenn Sie nie direkt mit den Angreifern interagieren. Wenn exfiltrierte Daten zum Druckmittel werden, werden auch Ihre persönlichen Informationen, die bei dieser Organisation gespeichert sind, zur Geisel.

Konkrete Handlungsempfehlungen

Organisationen sollten der Erkennung von Datenexfiltrationsversuchen Vorrang einräumen, nicht nur der Ransomware-Verschlüsselung, da sich daraus zunehmend die größte Erpressungsmacht ergibt. Die Überprüfung von Datenzugriffskontrollen, die Segmentierung sensibler Informationen und die Überwachung auf große oder ungewöhnliche Datenübertragungen können die Anfälligkeit für jene klobigen, hochpreisigen Zahlungen verringern, die den Durchschnitt in Q2 2026 nach oben treiben.

Für Einzelpersonen lautet die Empfehlung, wachsam gegenüber Benachrichtigungen über Datenschutzverletzungen von Unternehmen zu sein, mit denen Sie interagieren, da eine durch Exfiltration getriebene Erpressung bedeutet, dass Ihre Daten auch dann offengelegt werden könnten, wenn ein Ransomware-Angriff allein wegen der Verschlüsselung keine Schlagzeilen macht. Die Trends bei Lösegeldzahlungen im Auge zu behalten, ist nicht nur ein IT-Thema – es wird zunehmend zu einem persönlichen Datenschutzthema, das es zu beobachten gilt.