950 Ransomware-Angriffe, 80 % auf KMU: Lehren für den Mittelstand

Der BSI-Lagebericht 2025 (Berichtszeitraum Juli 2024 bis Juni 2025) nennt 950 angezeigte Ransomware-Vorfälle in Deutschland. 80 Prozent der Angriffe richteten sich gegen kleine und mittlere Unternehmen. Wer daraus liest, Ransomware sei ein Problem der Konzerne und der kritischen Infrastruktur, liest die Zahlen falsch herum.

Zwei Einordnungen vorab: Erstens sind 950 die angezeigten Fälle – das Dunkelfeld ist erheblich, die tatsächliche Zahl liegt darüber. Zweitens ist die 80-Prozent-Quote kein Zufall. Angreifer wählen nicht nach Bekanntheit aus, sondern nach Erreichbarkeit. Ein Unternehmen mit 120 Mitarbeitern, einem exponierten VPN-Gateway und Backups auf demselben Storage ist ein besseres Ziel als ein Konzern mit eigenem Security Operations Center.

Die Lage in Zahlen

Aus dem BSI-Lagebericht und der Bitkom-Studie Wirtschaftsschutz 2025 (vorgestellt am 18. September 2025) ergibt sich ein konsistentes Bild:

950 angezeigte Ransomware-Vorfälle, 80 % davon gegen KMU (BSI). In den meisten Fällen gingen die Angriffe laut BSI mit Datenabflüssen einher – Ransomware ist längst auch ein Datenschutz- und Erpressungsproblem, nicht nur ein Verfügbarkeitsproblem.
Durchschnittlich 119 neue Schwachstellen pro Tag, ein Plus von 24 % gegenüber dem Vorjahr (BSI).
289,2 Mrd. Euro Gesamtschaden durch Diebstahl, Spionage und Sabotage in zwölf Monaten (rund +8 %), davon rund 202,4 Mrd. Euro – etwa 70 % – durch Cyberangriffe (Bitkom).
87 % der Unternehmen waren von Diebstahl, Spionage oder Sabotage betroffen; 34 % verzeichneten binnen zwölf Monaten Schäden durch Ransomware (Bitkom).
Jeweils 46 % der betroffenen Unternehmen führten Angriffe auf Russland bzw. China zurück (Bitkom).

Die unbequemste Zahl: 56 Prozent

Die für den Mittelstand wichtigste Aussage des Lageberichts ist keine Angriffszahl, sondern eine Selbstdiagnose: KMU erfüllen laut BSI im Schnitt nur rund 56 Prozent der Basisanforderungen des BSI-CyberRisikoChecks – und schätzen ihre eigene Lage dabei häufig zu optimistisch ein.

Das ist kein Anlass für Alarmismus, sondern für eine ehrliche Bestandsaufnahme. Die Differenz zwischen gefühlter und tatsächlicher Sicherheitslage ist genau der Raum, in dem Angreifer arbeiten. Die richtige Frage lautet nicht „Sind wir sicher?“, sondern: „Welche unserer Basismaßnahmen würden einer Überprüfung standhalten – und welche nicht?“

Fallstudie Fortinet: wenn das Sicherheitsgerät selbst zum Einfallstor wird

Wie wenig „wir haben eine Firewall“ heute bedeutet, zeigt ein Fall vom Jahresanfang: CVE-2026-24858, eine Authentication-Bypass-Schwachstelle im FortiCloud-SSO-Mechanismus, betraf FortiOS, FortiAnalyzer, FortiManager und FortiProxy je nach Produkt in Versionsständen zwischen 7.0 und 7.6 (Details im Advisory FG-IR-26-060). Sie wurde aktiv ausgenutzt – auch gegen vollständig gepatchte Geräte. Angreifer legten lokale Admin-Konten an und exfiltrierten Gerätekonfigurationen. Fortinet veröffentlichte das Advisory FG-IR-26-060 am 27. Januar 2026 und setzte FortiCloud SSO am 26. Januar vorübergehend global aus; reaktiviert wurde es zunächst nur für gepatchte Geräte. Sekundärquellen nennen einen CVSS-Wert von 9,4 und die Aufnahme in den CISA-KEV-Katalog.

Drei Lehren daraus, unabhängig vom Hersteller:

Management-Interfaces von Firewalls und Security-Appliances gehören niemals ins Internet. Verwaltung nur über getrennte Managementnetze oder VPN.
Patchen allein reicht nicht. Hier waren auch gepatchte Geräte betroffen – erkannt wurde der Angriff über auffällige Konten und Konfigurationszugriffe, also über Monitoring.
Cloud-Komfortfunktionen wie zentrales SSO vergrößern die Angriffsfläche und gehören bewusst aktiviert oder deaktiviert, nicht per Default belassen.

Drei Kontrollen, die über den Ausgang entscheiden

Aus den Vorfällen, die gut und schlecht ausgehen, lässt sich ein Muster ableiten. Drei Kontrollen machen den Unterschied:

1. Gehärteter und überwachter Perimeter

Firewalls, VPN-Gateways und Loadbalancer sind die meistattackierten Systeme im Unternehmen – und oft die am schlechtesten überwachten. Sie brauchen konsequente Härtung, zeitnahes Patching und eine Überwachung, die neue Admin-Konten oder Konfigurationsänderungen meldet. Netzwerk- und Security-Engineering ist hier kein Projekt, sondern Daueraufgabe.

2. Erkennung rund um die Uhr

Ransomware-Angriffe eskalieren häufig nachts und am Wochenende, wenn niemand auf Alarme reagiert. Zwischen Erstzugriff und Verschlüsselung liegt ein Zeitfenster – wer es nutzt, begrenzt den Schaden; wer es verschläft, verliert die Umgebung. Ohne 24/7-Monitoring bleibt dieses Fenster ungenutzt.

3. Getestete, unveränderliche Backups

Angreifer suchen und zerstören Backups gezielt, bevor sie verschlüsseln. Entscheidend sind deshalb unveränderliche (immutable) Backup-Kopien, getrennte Zugangswege – und regelmäßig geübte Wiederherstellungen. Ein Backup, dessen Restore nie getestet wurde, ist eine Hoffnung, kein Konzept.

Fazit

Die Zahlen von BSI und Bitkom beschreiben keine abstrakte Bedrohungslage, sondern den Alltag mittelständischer IT. Die gute Nachricht: Die entscheidenden Kontrollen sind bekannt, etabliert und für Unternehmen zwischen 50 und 500 Mitarbeitern erreichbar. Die 56-Prozent-Lücke schließt sich nicht durch neue Produkte, sondern durch konsequente Umsetzung der Grundlagen.

Wie sector7 unterstützt

Als inhabergeführtes Haus mit Engineering-Praxis auf Cisco, Juniper, Fortinet, Palo Alto Networks, F5 und HPE härten und betreiben wir genau die Perimeter-Systeme, um die es in Fällen wie CVE-2026-24858 geht. Unser NOC überwacht Kundenumgebungen rund um die Uhr, unsere Veeam-Praxis kümmert sich um unveränderliche Backups samt getesteten Restores – auf Wunsch als Managed Service zu festen monatlichen Preisen.