Eine neue Ransomware-Rangliste für Q2 2026

Ransomware hat sich nicht verlangsamt, sie hat nur ihre Protagonisten neu gemischt. Ein neuer Bericht des Threat-Intelligence-Unternehmens Brandefense identifiziert die fünf dominierenden Ransomware-Gruppen im zweiten Quartal 2026: Qilin, TheGentlemen, Akira, DragonForce und LockBit5. Die Analyse, basierend auf Brandefenses eigener Cyber Threat Intelligence (CTI)-Erfassung, gibt Sicherheitsteams und normalen Nutzern einen Überblick, welche Gruppen derzeit am aktivsten sind – und damit, welche Organisationen und Einzelpersonen die Konsequenzen am ehesten zu spüren bekommen.

Auch wenn die Namen auf dieser Liste jedem vertraut vorkommen, der in den letzten Jahren die Ransomware-Nachrichten verfolgt hat, sagt ihre Hartnäckigkeit etwas Wichtiges aus: Abschaltungen und der Druck von Strafverfolgungsbehörden beseitigen diese Operationen selten vollständig. Stattdessen werden Marken neu aufgebaut, Affiliates migrieren zu neuen Plattformen und das Ransomware-as-a-Service-Modell (RaaS) produziert unaufhörlich neue Kampagnen unter alten oder umbenannten Namen – LockBit5 ist ein klares Beispiel für ein Franchise, das trotz früherer Störversuche immer wieder auftaucht.

Die fünf Gruppen hinter den Zahlen

Jede der fünf von Brandefense verfolgten Gruppen operiert mit ihrem eigenen Affiliate-Netzwerk, eigenen Zielpräferenzen und einem eigenen Verhandlungsstil, doch alle teilen das breitere Playbook, das moderne Ransomware definiert: Zugang verschaffen, Daten exfiltrieren, Systeme verschlüsseln und Opfer unter Druck setzen, bevor Informationen durchsickern oder der Betrieb zum Erliegen kommt.

An dieser Stelle lassen sich die Auswirkungen auf die Privatsphäre nicht mehr ignorieren. Ransomware dreht sich heute nur noch selten ausschließlich um gesperrte Dateien. Gruppen setzen zunehmend auf Datendiebstahl als Druckmittel, und einige sind noch weiter in Richtung sogenannter Triple Extortion gegangen, indem sie zusätzliche Drucktaktiken anwenden, etwa die direkte Kontaktaufnahme mit Kunden oder Partnern des Opfers. Wenn Sie genauer erfahren möchten, wie diese Eskalation in der Praxis funktioniert, schlüsselt unsere frühere Berichterstattung über Triple-Extortion-Ransomware genau auf, wie Angreifer gestohlene Daten jenseits einer simplen Lösegeldforderung als Waffe einsetzen.

Nicht jede Gruppe folgt jedoch derselben Formel. Einige Kampagnen sind zu reinen Verschlüsselungsansätzen ohne jegliche Datendiebstahl-Komponente zurückgekehrt – eine Variation, die wir in unserem Bericht über Jadepuffers Rückkehr zur reinen Verschlüsselungs-Ransomware ohne Datendiebstahl behandelt haben. Die Vielfalt unter den fünf führenden Gruppen in Brandefenses Q2-2026-Ergebnissen spiegelt genau diese Realität wider: Es gibt keine einheitliche Ransomware-Vorlage mehr, sondern nur ein gemeinsames Toolkit, das verschiedene Akteure unterschiedlich kombinieren.

Warum Privatsphäre das eigentliche Schlachtfeld ist

Der gemeinsame Nenner bei nahezu allen erstklassigen Ransomware-Operationen ist derzeit der Initial Access. Angreifer müssen nur selten neuartige Exploits schreiben, wenn gestohlene Zugangsdaten den Job erledigen. Jüngste Branchenanalysen deuten darauf hin, dass kompromittierte Logins Software-Schwachstellen als bevorzugten Einstiegspunkt für Ransomware überholt haben – eine Verschiebung, die wir in unserer Berichterstattung über die Erkenntnisse von Sophos zu kompromittierten Logins detailliert beschrieben haben. Parallel zu diesem Trend hat sich Infostealer-Malware zu einer stillen, aber entscheidenden Lieferkette für Angreifer entwickelt, die massenhaft Anmeldeinformationen sammelt, die später genau bei den Einbrüchen auftauchen, die diese Ransomware-Gruppen durchführen. Unser Beitrag über Infostealer-Logs, die Phishing als Hauptursache für Datenschutzverletzungen überholt haben, erklärt, wie diese Pipeline funktioniert.

Das ist für den Datenschutz von Bedeutung, weil es Ransomware grundlegend als ein Problem von Zugangsdaten und Datenschutz neu definiert – und nicht nur als eines der Endpoint-Sicherheit. Jedes wiederverwendete Passwort, jedes Session-Token, das auf einem infizierten Gerät offen liegt, wird zu einem potenziellen Einfallstor, das Gruppen wie Qilin, Akira oder DragonForce ausnutzen können. Die Opfer beschränken sich auch nicht auf große Unternehmen; wenn Ransomware-Gruppen Daten vor der Verschlüsselung exfiltrieren, geraten personenbezogene Daten von Mitarbeitern, Kunden und Patienten oft in die Druckmittel, unabhängig davon, ob das Lösegeld gezahlt wird.

Was das für Sie bedeutet

Die meisten Leser werden kein Unternehmensnetzwerk direkt gegen LockBit5 oder TheGentlemen verteidigen, aber die nachgelagerten Auswirkungen treffen jeden. Wenn ein Unternehmen, mit dem Sie Geschäfte machen, von einer dieser Gruppen getroffen wird, könnten Ihre persönlichen Daten – von Zugangsdaten bis zu Finanzdetails – offengelegt oder im Rahmen des Erpressungsprozesses durchgestochen werden. Einige Opfer, wie in vergangenen Vorfällen bei Stadler Rails Weigerung, eine Lösegeldforderung zu zahlen, entscheiden sich gegen eine Zahlung, was dazu führt, dass gestohlene Daten unabhängig vom Ergebnis veröffentlicht werden können.

Die praktische Schlussfolgerung ist, dass die Ransomware-Abwehr zunehmend mit grundlegender Zugangsdaten-Hygiene beginnt – sowohl für Organisationen als auch für Einzelpersonen. Einzigartige, starke Passwörter, Multi-Faktor-Authentifizierung und Wachsamkeit gegenüber Infostealer-Malware (die häufig über Raubkopien oder bösartige Downloads verbreitet wird) verringern die Wahrscheinlichkeit, zu einem Einstiegspunkt für diese Gruppen zu werden.

Umsetzbare Handlungsempfehlungen

  • Betrachten Sie jedes Konto, das dienstübergreifend wiederverwendet wird, als Schwachstelle; Ransomware-Crews kaufen oder sammeln zunehmend Zugangsdaten, anstatt sich hineinzuhacken.
  • Aktivieren Sie Multi-Faktor-Authentifizierung überall dort, wo sie angeboten wird, da kompromittierte Logins nach wie vor der führende Einstiegspunkt für diese Angriffe sind.
  • Achten Sie auf Benachrichtigungen über Datenschutzverletzungen von jeder Organisation, mit der Sie interagieren, und nehmen Sie diese ernst – angesichts der Tatsache, wie oft gestohlene Daten Teil einer Ransomware-Verhandlung werden.
  • Bleiben Sie darüber informiert, welche Ransomware-Gruppen derzeit aktiv sind, denn die Kenntnis der Landschaft hilft Organisationen und Einzelpersonen gleichermaßen, Risiken zu antizipieren, anstatt erst im Nachhinein zu reagieren.

Die Ransomware-Landschaft in Q2 2026, wie von Brandefense kartiert, bestätigt, dass diese Bedrohung nicht verschwindet – sie entwickelt sich weiter. Um ihr einen Schritt voraus zu bleiben, muss man die Arbeitsweise dieser Gruppen im Blick haben, nicht nur ihre Namen.