Ransomware-Ökosystem zersplittert: 93 aktive Gruppen im Q2 2026

Ein Ransomware-Ökosystem im freien Fall, nicht im Kollaps

Ein neuer Bericht von Check Point Research zeigt, dass sich das Ransomware-Ökosystem eher aufspaltet als schrumpft – und dass diese Fragmentierung die Bedrohung schwerer vorhersehbar macht, nicht leichter zu ignorieren. Die Forschung verfolgte im zweiten Quartal 2026 eine Rekordzahl von 93 aktiven Ransomware-Gruppen – die höchste jemals verzeichnete Zahl. Dieses Wachstum hat den Marktanteil der zehn größten Gruppen auf 57,6 Prozent sinken lassen – ein Zeichen dafür, dass dominante, zentralisierte Syndikate nicht mehr so viel von der kriminellen Wirtschaft kontrollieren wie einst.

Unter den profilierten Gruppen hob Check Point den rasanten Aufstieg eines Syndikats namens „The Gentlemen" hervor, das laut Forschern stark auf KI-Tools setzt, um seine Backend-Infrastruktur zu beschleunigen. Statt Angriffswerkzeuge und Verhandlungsplattformen über Monate von Grund auf zu entwickeln, scheint die Gruppe KI-gestützte Entwicklung zu nutzen, um in einem Bruchteil der Zeit, die ältere Ransomware-Crews benötigten, funktionsfähige Operationen aufzubauen.

Warum mehr Gruppen mehr Risiko bedeuten, nicht weniger

Es könnte den Anschein haben, dass ein fragmentiertes Ransomware-Ökosystem ohne einen einzigen dominanten Akteur eine sicherere Umgebung für potenzielle Opfer wäre. Die Daten von Check Point deuten auf das Gegenteil hin. Als eine Handvoll großer Syndikate den Großteil des Marktes kontrollierte, konnten Verteidiger ihre Ressourcen darauf konzentrieren, eine bekannte Menge an Taktiken, Infrastruktur und Verhandlungsmustern zu verfolgen. Mit 93 verschiedenen aktiven Gruppen, jede mit eigener Werkzeugausstattung, Targeting-Präferenzen und Erpressungsstil, ist die kollektive Angriffsfläche für Unternehmen und Einzelpersonen weitaus vielfältiger und schwerer zu profilieren geworden.

Diese Dezentralisierung senkt auch die Eintrittsbarriere für neue kriminelle Operationen. Affiliate-Modelle, geleakter Quellcode und nun auch KI-gestützte Entwicklung bedeuten, dass kleinere oder neuere Gruppen glaubwürdige Ransomware-Kampagnen starten können, ohne die jahrelangen technischen Investitionen, die früher erforderlich waren. Das ist ein Teil dessen, was es einer Gruppe wie The Gentlemen ermöglicht hat, so schnell in den Rankings aufzusteigen.

Steigende Lösegeldforderungen trotz sinkender Zahlungsbereitschaft

Die Ökonomie der Ransomware verschiebt sich ebenso wie ihre Struktur. Check Point fand heraus, dass die durchschnittlichen Lösegeldzahlungen auf über 680.000 US-Dollar gestiegen sind, während der Anteil der Opfer, die bereit sind zu zahlen, auf etwa 23 Prozent gesunken ist – ein Sechsjahrestief. Mit anderen Worten: Weniger Organisationen zahlen, aber diejenigen, die zahlen, zahlen deutlich mehr.

Dieser Druck treibt Ransomware-Betreiber zu dem, was die Forschung als „Exfiltration-first"-Taktiken beschreibt: sensible Daten stehlen, bevor überhaupt Verschlüsselung eingesetzt wird, und dann damit drohen, sie unabhängig davon, ob ein Lösegeld gezahlt wird, zu leaken oder zu verkaufen. Dieser Ansatz gibt Angreifern Hebelwirkung, selbst wenn ein Opfer die Zahlung verweigert oder starke Backup-Systeme hat, da der Schaden durch exponierte Daten, Kundendatensätze, Zugangsdaten oder geistiges Eigentum ebenso kostspielig sein kann wie Ausfallzeiten. Gestohlene Zugangsdaten aus diesen Kampagnen tauchen später oft in Combolists und Dark-Web-Marktplätzen wieder auf – die Art von Exposition, die im Microsoft-42-Combolist-Leak dokumentiert ist, wo zuvor gestohlene Anmeldedaten offen online zirkulierten.

KI-beschleunigte Infrastruktur verändert die Zeitachse

Was The Gentlemen in der Analyse von Check Point auszeichnet, ist nicht nur Wachstum, sondern Geschwindigkeit. KI-gestützte Werkzeuge scheinen den Entwicklungszyklus für Ransomware-Backend-Infrastruktur – die Server, Verhandlungsportale und Datenleak-Sites, die eine Erpressungsoperation unterstützen – zu komprimieren. Arbeiten, die früher erfahrene Entwickler Wochen oder Monate kosteten, können Berichten zufolge nun viel schneller prototypisiert und bereitgestellt werden, sodass neuere Gruppen fast unmittelbar nach ihrer Gründung mit etablierten Akteuren konkurrieren können.

Dies spiegelt ein breiteres Muster wider, das Forscher in der gesamten Cyberkriminalität festgestellt haben: Bedrohungsakteure übernehmen Mainstream-Produktivitäts- und Automatisierungstools, um Operationen zu skalieren, die früher größere Teams erforderten. Ähnliche Effizienzgewinne zeigten sich auch in anderen Kampagnen, darunter Malware-Operationen wie die im MSI-Installer-Malware, die Krypto-Händler angreift beschriebene, die auf einfache, aber effektive technische Abkürzungen setzte, um monatelang unter dem Radar zu bleiben.

Was das für Sie bedeutet

Für die meisten Einzelpersonen können Ransomware-Schlagzeilen fern wirken – etwas, das Krankenhäusern, Stadtregierungen oder großen Konzernen passiert. Aber die Exfiltration-first-Verschiebung bedeutet, dass personenbezogene Daten, die von jeder Organisation gesammelt werden, mit der Sie interagieren – Ihr Arbeitgeber, Gesundheitsdienstleister, Ihre Bank oder ein Online-Dienst – zunehmend ein Ziel sind, selbst wenn diese Organisation nie im traditionellen Sinne mit dateiverschlüsselnder Malware angegriffen wird. Ein wachsendes Ransomware-Ökosystem mit 93 aktiven Gruppen bedeutet auch, dass die Wahrscheinlichkeit, dass ein Anbieter oder Dienst, den Sie nutzen, in einem bestimmten Jahr angegriffen wird, steigt, nicht sinkt.

Für Unternehmen und IT-Teams signalisiert die sinkende Zahlungsbereitschaft in Kombination mit steigenden Lösegeldforderungen, dass Angreifer weniger, aber größere Zahlungen erwarten. Das macht robuste Offline-Backups, strenge Zugriffskontrollen und frühzeitige Erkennung von Datencxfiltration wichtiger denn je, da Verschlüsselung oft nicht mehr der primäre Hebel ist, den Angreifer nutzen, um Zahlungen zu erzwingen.

Umsetzbare Erkenntnisse

• Gehen Sie davon aus, dass jeder Dienst, der Ihre persönlichen Daten verarbeitet, Ziel von Exfiltration-first-Ransomware sein könnte, nicht nur von traditionellen Verschlüsselungsangriffen.
• Verwenden Sie eindeutige, starke Passwörter und einen Passwortmanager, damit ein einzelner geleakter Zugangsdatensatz nicht mehrere Konten gefährdet.
• Aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, insbesondere bei Finanz-, E-Mail- und Gesundheitsportalen.
• Wenn Sie ein Unternehmen führen oder beraten, priorisieren Sie Offline-Backups und Data-Loss-Prevention-Überwachung gegenüber der Planung von Lösegeldverhandlungen.
• Überprüfen Sie Ihre E-Mail und Konten regelmäßig gegen bekannte Leak-Datenbanken, da gestohlene Zugangsdaten aus Ransomware-Vorfällen oft in Combolists wieder auftauchen.

Der Aufstieg von „The Gentlemen" und die breitere Fragmentierung, die Check Point Research in diesem Quartal dokumentierte, zeigen, dass sich das Ransomware-Ökosystem schneller entwickelt, als viele Verteidigungen gebaut wurden, um damit umzugehen. Informiert zu bleiben, wie diese Gruppen operieren, und grundlegende Vorsichtsmaßnahmen ernst zu nehmen, bleibt der praktischste Weg, einer Bedrohungslandschaft voraus zu sein, die immer voller wird.