Der Q2-2026-Report von Check Point Research zeigt ein Paradox: Die kriminelle Szene wird unübersichtlicher, während immer weniger Opfer zahlen. Ein geleaktes Backend offenbart erstmals, wie wenig es braucht, um eine Top-Ransomware-Operation aufzubauen.
Die Ransomware-Ökonomie wuchs im zweiten Quartal 2026 und konsolidierte sich zugleich. Laut dem aktuellen „Q2 2026 The State of Ransomware Report“ von Check Point Research verzeichneten Datenleck-Websites zwischen April und Juni 2.139 neue Opfer – ein Volumen, das gegenüber dem ersten Quartal nahezu unverändert blieb, aber ein Drittel über dem Vorjahreswert lag. Ein geleaktes internes Chatprotokoll der Gruppe The Gentlemen lieferte jedoch etwas Selteneres als reine Opferzahlen: einen seltenen Einblick, wie eine der drei größten Ransomware-Operationen der Welt aufgebaut, betrieben – und binnen weniger Tage nach einer Kompromittierung wieder hochgezogen wird.
Die zehn größten Ransomware-Gruppen dominierten zwar das Feld weiterhin, ihr Marktanteil sinkt aber. Sie waren im zweiten Quartal für 57,6 % aller Opfer verantwortlich – ein deutlicher Rückgang gegenüber 71 % im ersten Quartal –, während die Zahl aktiver Gruppen auf einen Rekordwert von 93 kletterte, gegenüber 71 zuvor. Die Check-Point-Forscher sprechen von einer Dekonzentration statt Fragmentierung: Dasselbe Angriffsvolumen verteilt sich auf mehr Namen, was großenteils daran liegt, dass Partner nach dem Rückzug von RansomHub 2025 neue Plattformen fanden.
Qilin behauptete zum vierten Quartal in Folge die Spitzenposition mit 279 Opfern, verzeichnete jedoch einen Rückgang von 17 % im Quartalsvergleich. Die eigentliche Geschichte spielte sich auf Platz zwei ab: The Gentlemen meldete 269 Opfer, ein Plus von 62 %, und überholte Qilin im Juni sogar (116 gegenüber 72 Opfern). Am Quartalsende trennten die Gruppe nur zehn Opfer von der globalen Spitze.
Einblick in eine Top-Operation
Was dieses Quartal besonders macht, ist nicht die Entwicklung, sondern die Transparenz. Zwei Untersuchungen von Check Point Research – eine forensische Rekonstruktion einer Gentlemen-Attacke sowie eine Analyse von Chatprotokollen, die am 4. Mai nach der Kompromittierung eines Hosting-Anbieters durchsickerten – legten die internen Strukturen der Gruppe offen. Ein Kernteam von rund neun Operatoren, angeführt von einem Administrator mit dem Namen „Zeta88“ beziehungsweise „Hastalamuerte“, betreibt die Plattform, während eine breitere Basis unabhängiger Partner den Großteil der eigentlichen Eindringversuche im Rahmen einer 90/10-Aufteilung übernimmt – dem großzügigsten Anteil, der derzeit auf dem kriminellen Markt beworben wird.
Eine bemerkenswerte Entwicklung: Zeta88 soll das gruppeneigene Verwaltungspanel „GLOCKER“ innerhalb von etwa drei Tagen mithilfe von KI-Coding-Assistenten, darunter DeepSeek und Qwen, gebaut haben – mit dem selbstkritischen Hinweis, dass man den von der KI erzeugten Code weiterhin verstehen und korrigieren müsse. Nachdem das Backend öffentlich geworden war, bestätigte die Gruppe dies binnen weniger Tage in einem kriminellen Forum, kündigte Locker-Upgrades zur Umgehung von Endpoint-Detection-Systemen an und blieb bis in den Juni hinein aktiv. Laut den Forschern ist nicht der Leak selbst die wichtigste Erkenntnis, sondern diese Widerstandsfähigkeit: Die Hürden für den Aufstieg in die Ransomware-Topliga sind so weit gesunken, dass ein einzelner erfahrener Akteur dorthin gelangen kann.
Weniger Zahler, größere Summen bei den verbleibenden
Die Zahlungsraten sanken im sechsten Jahr in Folge auf rund 23 % in der von Coveware erfassten Fallzahl, gegenüber 85 % im Jahr 2019. Getestete Backups vereiteln zunehmend reine Verschlüsselungsangriffe, weshalb Akteure verstärkt auf Datendiebstahl-Erpressung setzen. Sinkende Zahlungsraten bedeuten jedoch nicht sinkende Erlöse: Chainalysis erfasste 2025 On-Chain-Ransomware-Zahlungen von über 820 Millionen US-Dollar. Der Zahlermarkt spaltet sich zudem: Die Durchschnittszahlung stieg um 15 % auf 680.081 US-Dollar, während der Median um 7 % auf 300.750 US-Dollar fiel – ein Muster, bei dem stark getroffene Großunternehmen weiterhin hohe Summen zahlen, während kleinere Opfer zunehmend verweigern oder Beträge herunterhandeln.
Erfolgreiche Strafverfolger zielen auf gemeinsame Infrastruktur
Statt einzelner Gruppen nahmen die Behörden im zweiten Quartal verstärkt gemeinsam genutzte Infrastruktur der Ransomware-Lieferkette ins Visier. Eine international koordinierte Operation des US Secret Service und der IRS-CI, gemeinsam mit Europol und Eurojust, dem Bundeskriminalamt und dem Landeskriminalamt Nordrhein-Westfalen zerschlug die Kryptowährungs-Waschplattform AudiA6, die seit 2021 rund 336 Millionen Euro für Ransomware-Akteure gewaschen hatte. Das US-Finanzministerium sanktionierte separat vier große iranische Krypto-Börsen wegen Verbindungen zu Ransomware Hackern, die mutmaßlich Verbindungen zu iranischen Revolutionsgarden haben. Microsofts Digital Crimes Unit legte einen Dienst zur betrügerischen Code-Signierung lahm, der Zertifikate an Qilin, Akira, INC und Rhysida ausgestellt hatte, während Europols Operation Endgame 326 Server beschlagnahmte und 27 Millionen gestohlene Zugangsdaten aus Infostealer-Infrastruktur sicherstellte.
Geografie und Zielbranchen verschieben sich
Der US-Anteil an den Opfern sank im Quartalsvergleich von 50 % auf 42 %, vor allem weil mehrere der am stärksten wachsenden Gruppen – darunter The Gentlemen und der Neuling KryBit – die USA deutlich seltener ins Visier nehmen als der Branchendurchschnitt. Geschäftsdienstleistungen blieben mit 33 % der Opfer die am häufigsten angegriffene Branche, gefolgt von Konsumgütern und -dienstleistungen (16 %) sowie der industriellen Fertigung (12 %).
Die Check-Point-Forscher kommen zu dem Schluss, dass sich das Zeitfenster zwischen Schwachstellen-Offenlegung und Ausnutzung auf Stunden statt Wochen verkürzt hat – eine Entwicklung, die sie direkt auf KI-beschleunigte Exploit-Entwicklung zurückführen, dieselbe Beschleunigung, die auch beim Eigenbau des Gentlemen-Toolings sichtbar wurde.
Vier Technologien zum Schutz vor Ransomware
Check Point stellt Unternehmen vier verschiedene Technologien zum Schutz vor Ransomware zur Verfügung: Workspace Security schützt Benutzer, Hybrid Mesh Network Security blockt Angriffsversuche ab, Exposure Management zeigt Schwachstellen auf und AI Security kümmert sich um die Absicherung von KI-Tools.
Exposure Management beantwortet die schwierigere Frage, welche Schwachstellen Ransomware-Gruppen tatsächlich ausnutzen können, und nicht nur, welche überhaupt existieren. Der „2026 Exposure Gap Report“ von Check Point ergab, dass Schwachstellen inzwischen 42,6 Prozent der kritischen Sicherheitslücken ausmachen. Das ist mehr als doppelt so viel wie im Vorjahr. Außerdem können sie realistisch gesehen in weniger als einer Stunde behoben werden. Unternehmen aus dem Versorgungssektor, die die Plattform nutzen, beheben 30 Prozent ihrer Schwachstellen innerhalb dieses Zeitfensters.
AI Security befasst sich mit denselben Tools, deren Einsatz Ransomware-Gruppen gerade erlernen. ThreatCloud AI sorgt dafür, dass der Schutz mit derselben Geschwindigkeit voranschreitet wie die KI-gestützte Ausnutzung von Schwachstellen. AI Agent Security regelt die Agentenberechtigungen und ermöglicht es einem Administrator, wie Zeta88, Tools innerhalb weniger Tage zu entwickeln. AI Red Teaming testet die KI-Anwendungen eines Unternehmens vor der Bereitstellung. Workforce AI Security verhindert, dass Anmeldedaten und Informationen über die KI-Tools, die Mitarbeiter nutzen, nach außen gelangen.
Dr. Jakob Jung ist Chefredakteur Security Storage und Channel Germany. Er ist seit mehr als 20 Jahren im IT-Journalismus tätig. Zu seinen beruflichen Stationen gehören Computer Reseller News, Heise Resale, Informationweek, Techtarget (Storage und Datacenter) sowie ChannelBiz. Darüber hinaus ist er für zahlreiche IT-Publikationen freiberuflich tätig, darunter Computerwoche, Channelpartner, IT-Business, Storage-Insider und ZDnet. Seine Themenschwerpunkte sind Channel, Storage, Security, Datacenter, ERP und CRM.
Kontakt – Contact via Mail: jakob.jung@security-storage-und-channel-germany.de