Rekordtief bei Lösegeldzahlungen treibt Erpressungstaktiken ins Physische

Rekordtief bei Lösegeldzahlungen treibt Erpressungstaktiken ins Physische

Ransomware-Gruppen haben es zunehmend schwerer, zur Kasse gebeten zu werden. Neue Berichte zeigen, dass der Anteil der Opfer, die bereit sind, ein Lösegeld zu zahlen, auf den niedrigsten Stand seit Beginn der Aufzeichnungen gefallen ist – ein Trend, der die Art und Weise verändert, wie kriminelle Gruppen ihre Ziele unter Druck setzen. Statt sich zurückzuziehen, sind einige der größten verbleibenden Zahlungen nun an eine einzelne Gruppe gebunden, die aggressiv den Rechtssektor ins Visier nimmt, und andere Akteure scheinen die sinkenden Zahlungsraten zu kompensieren, indem sie von digitaler Nötigung zu Drohungen eskalieren, die in die physische Welt übergreifen.

Dieser Wandel ist für alle relevant, die für den Schutz der Daten einer Organisation verantwortlich sind, denn er bedeutet, dass die alte Rechenformel der Ransomware-Abwehr (Backups, Patching, Endpoint-Schutz) nicht mehr die ganze Geschichte ist. Erpressung wird zunehmend zu einem menschlichen Problem – ebenso sehr wie zu einem technischen.

Warum die Lösegeldzahlungsraten Rekordtiefs erreichen

Jahrelang konnten Ransomware-Gruppen mit einem vorhersehbaren Prozentsatz an Opfern rechnen, die zahlten, um ihre Daten zurückzubekommen oder Leaks zu verhindern. Diese Rechnung bricht auf. Die Zahlungsraten sind nun auf einen Rekordtiefstand gefallen, so die neuesten Berichte, was darauf hindeutet, dass Organisationen zunehmend bereit sind, den operativen Schmerz eines Angriffs zu absorbieren, anstatt die Kriminellen dahinter zu finanzieren.

Dies deckt sich mit breiteren Verschiebungen in der Ransomware-Landschaft. Wie in vpn.socials Blick darauf, wie sich das Ransomware-Ökosystem fragmentiert, thematisiert wird, splittet sich der kriminelle Untergrund selbst in Dutzende kleinere, weniger koordinierte Gruppen auf. Fragmentierung macht es für einzelne Akteure schwerer, den Ruf und die Verhandlungsmacht aufzubauen, die Opfer einst dazu ermutigten, schnell zu zahlen. Gleichzeitig zeigen hochkarätige Vergleiche wie der 23andMe-Zahlung über 18 Mio. USD, dass Organisationen zunehmend Geld in rechtliche und regulatorische Lösungen lenken, anstatt Angreifer direkt zu belohnen.

Interessanterweise können die Zahlungen, die tatsächlich durchgehen, selbst dann enorm sein, wenn weniger Opfer zahlen. Ein separater vpn.social-Bericht über Ransomware-Zahlungen im Q2 2026 ergab, dass die durchschnittliche Zahlung in einem einzigen Quartal um 176 % auf 1,88 Mio. USD sprang, selbst während der Gesamtprozentsatz der zahlenden Opfer zurückging. Weniger Leute zahlen, aber diejenigen, die zahlen, zahlen deutlich mehr – oft weil die Angreifer in diesen Fällen ungewöhnlich intensiven Druck ausüben.

Wie Erpressung physisch wird: Drohungen jenseits des Netzwerks

Da weniger Opfer bereit sind, allein zur Vermeidung eines Datenlecks zu zahlen, scheinen einige Erpressungsgruppen den Einsatz über das Netzwerk hinaus zu erhöhen. Statt sich ausschließlich auf verschlüsselte Dateien oder die Drohung der Veröffentlichung gestohlener Daten zu verlassen, greifen diese Gruppen Berichten zufolge zu direkteren Formen der Einschüchterung, die sich an die Menschen richten, die mit einer Zielorganisation verbunden sind – nicht nur an deren Systeme.

Dies ist eine bedeutsame Eskalation. Eine Ransomware-Verhandlung war früher im Kern eine technische und finanzielle Entscheidung: Backup wiederherstellen, Lösegeld zahlen oder den Datenverlust akzeptieren. Wenn Drohungen in die physische Sphäre übergehen, verlagert sich die Entscheidungsfindung auf die Sicherheits- und Rechtsabteilungen einer Organisation und möglicherweise auf Strafverfolgungsbehörden – auf eine Weise, für die Firewalls und VPNs nie konzipiert wurden. Es ist eine Erinnerung daran, dass sich kriminelle Gruppen im Cyberbereich an das anpassen, was finanziell funktioniert, und wenn digitaler Druck keine Zahlungen mehr erzeugt, sind einige bereit, nach anderen Druckpunkten zu suchen.

Überproportionale Exposition des Rechtssektors gegenüber gezielten Zahlungen

Während die Zahlungsraten insgesamt sinken, zeigt der Bericht, dass ein unverhältnismäßiger Anteil der weiterhin stattfindenden großen Zahlungen auf eine Gruppe zurückgeht, die sich gezielt auf den Rechtssektor konzentriert. Anwaltskanzleien sind aus gutem Grund attraktive Ziele: Sie halten sensible Mandanteninformationen, privilegierte Kommunikation und Fallmaterialien, deren Offenlegung beruflich und rechtlich verheerend sein kann. Diese Kombination aus hohen Einsätzen und zeitkritischen Verpflichtungen kann Rechtsorganisationen eher dazu bringen zu zahlen, selbst wenn der breitere Trend in die entgegengesetzte Richtung geht.

Diese Konzentration verdeutlicht auch, wie sich Ransomware von opportunistischen Streuschuss-Angriffen hin zu gezielterer Auswahl von Branchen bewegt hat, in denen die Kosten für ein Nein besonders hoch sind.

Was das für Sie bedeutet

Für die meisten Einzelpersonen wird sich dieser Trend nicht in eine direkte Bedrohung übersetzen, aber er unterstreicht, wie viel ausgefeilter und zielgerichteter Ransomware-Operationen geworden sind. Wenn Sie in einer Kanzlei, einem Gesundheitsdienstleister oder einer Organisation arbeiten, die sensible Kunden- oder Patientendaten hält, hat sich die Risikorechnung geändert. Es geht nicht mehr nur darum, ob Ihre Dateien verschlüsselt werden; es geht darum, wer im Rahmen eines Erpressungsversuchs bedroht, kontaktiert oder eingeschüchtert werden könnte.

Risikoreduzierung in einer hybriden Cyber-Physischen Bedrohungsumgebung

Technische Verteidigung ist weiterhin wichtig, reicht aber allein nicht mehr aus. Organisationen sollten getestete Offline-Backups pflegen, Multi-Faktor-Authentifizierung durchsetzen und Software gepatcht halten. Ebenso wichtig ist jetzt ein klarer Incident-Response-Plan, der Bedrohungen für Mitarbeiter, Führungskräfte oder Mandanten berücksichtigt – nicht nur für Server. Wie vpn.social bereits berichtet hat, zeigten Doppel-Erpressungstaktiken bereits, dass Backups nicht ausreichen, um Sicherheit zu garantieren, sobald Daten gestohlen wurden; die Entstehung physischer Einschüchterungstaktiken erweitert diese Lektion noch weiter. Mitarbeiter sollten geschult werden, verdächtige Kontakte zu erkennen und zu melden, und Rechts- und Sicherheitsteams sollten im Voraus koordinieren, wie mit Drohungen umzugehen ist, die über einen Lösegeldschein hinausgehen.

Wichtigste Erkenntnisse

• Die Lösegeldzahlungsraten sind auf einen Rekordtiefstand gefallen, was den finanziellen Anreiz für opportunistische Angriffe verringert.
• Einige Gruppen kompensieren dies durch Eskalation zu physischen Drohungen – eine Taktik, die VPNs und Endpoint-Tools allein nicht adressieren können.
• Der Rechtssektor bleibt überproportional großen, gezielten Zahlungen ausgesetzt.
• Starke Backups und Netzwerksicherheit bleiben essenziell, aber Organisationen benötigen auch Incident-Response-Pläne, die Nötigung gegenüber Menschen berücksichtigen – nicht nur Daten.

Da sich die Ransomware-Ökonomie verschiebt, ist es einer der praktischsten Schritte, den jede Organisation zur Vorbereitung unternehmen kann, informiert zu bleiben, wie sich Erpressungstaktiken entwickeln.