LONDON (IT BOLTWISE) – Fast die Hälfte der Unternehmen erkennt Ransomware erst, nachdem Angreifer bereits Daten exfiltriert haben. Laut einer Umfrage unter über 1.800 Sicherheitsverantwortlichen steigt die Quote der späten Erkennung von 31% auf 49% im Vergleich zum Vorjahr. Gleichzeitig halten Angreifer im Schnitt rund 2,5 Wochen unentdeckt durch, während bei Betroffenen vielfach trotz hoher Schäden Lösegeld gezahlt wird. Der Bericht ordnet das Risiko zudem ein: KI hilft bei der Abwehr, erzeugt aber auch Fehlalarme – und neue Einfallstore entstehen über SaaS-Integrationen und Browser-Erweiterungen.
Ransomware bleibt 2026 für IT-Entscheider vor allem deshalb ein strategisches Problem, weil „Erkennung“ immer häufiger zu spät kommt. Der neue ExtraHop Global Threat Landscape Report 2026 zeichnet ein klares Bild: 49% der befragten Organisationen bemerkten die Erpressung erst, nachdem sensible Daten bereits aus ihrem Netzwerk abgeflossen waren. Damit steigt der Anteil späte Detektion im Vergleich zum Vorjahr von 31% deutlich an. Für Security-Teams bedeutet das nicht nur zusätzliche Incident-Kosten, sondern auch einen verschärften Verhandlungshebel der Angreifer, weil der Schaden bereits eingetreten ist.
Technisch lässt sich die Beobachtung gut an dem Prozess erklären, den moderne Ransomware-Kampagnen häufig verfolgen. Angreifer dringen in der Regel zunächst über einen initialen Einstieg ein, etablieren Persistenz und bewegen sich dann lateral, bevor sie Daten gezielt identifizieren und exfiltrieren. Besonders kritisch ist die beobachtete Verweildauer: Im Schnitt bleiben Täter rund 2,5 Wochen in kompromittierten Umgebungen. In dieser Phase können sie wertvolle Datensätze markieren, Berechtigungen ausnutzen und Backups oder Monitoring-Logik umgehen. Genau dort entstehen die „blinden Flecken“, die Verschlüsselung allein nicht verhindert.
Der Bericht nennt auch harte Zahlen zur Wirkung auf Betroffene. Trotz spürbarer Gegenmaßnahmen zahlen 83% der Unternehmen das geforderte Lösegeld. Gleichzeitig sinkt die durchschnittliche Summe angeblich auf 2,8 Millionen Euro, nachdem im Vorjahr 3,6 Millionen Euro gezahlt wurden. Ein möglicher Grund: Angreifer passen ihre Kosten-Nutzen-Rechnung an, etwa durch stärkere Datenfokussierung oder durch schnellere Exfiltrationsroutinen. Als besonders aktive Erpressergruppen werden LockBit und RansomHub hervorgehoben. Das ordnet das Geschehen auch in einen wettbewerblichen Markt für Tooling und Access-as-a-Service ein, bei dem Timing und Datentiefe über die Höhe der Forderungen entscheiden.
Ein zweischneidiger Faktor ist dabei die Künstliche Intelligenz, die in der Praxis immer häufiger in Monitoring- und SOC-Workflows landet. Rund 55% der Sicherheitsverantwortlichen sehen KI als größte Bedrohung für ihre Organisation. Auf den ersten Blick klingt das paradox, denn KI wird gleichzeitig für Abwehrzwecke eingesetzt. Der Haken liegt in der Fehlerquote: Etwa 30% der KI-generierten Warnungen sollen falsch positiv sein, und in 45% der Fälle ist manuelles Eingreifen nötig. Diese Kombination belastet Abläufe, erhöht das Risiko, Alarme zu „normalisieren“, und verschlechtert die Reaktionszeit. Vergleichbare Erfahrungen kennen viele Teams aus dem klassischen Wechselspiel von Signatur-Erkennung und verhaltensbasierter Detektion.
Konkrete Beispiele machen die Verzögerung besonders greifbar. Der Angriff auf Tata Electronics wird als Fall mit deutlicher Exfiltrationswirkung geschildert: Die Erpressergruppe World Leaks veröffentlichte Mitte Juni über 200.000 Dateien mit rund 630 Gigabyte Umfang. Der Fokus lag dabei laut Angaben auf brisanten Geschäftsgeheimnissen, unter anderem Konstruktionspläne für die Fertigung sowie technische Zeichnungen, die strategische Projekte untermauern. Tata Electronics bestätigte den Vorfall und ordnete ihn so ein, dass Prozesse zwar nicht beeinträchtigt gewesen seien, die Daten aber kompromittiert wurden. Genau dieses Muster passt zu der im Bericht beschriebenen Logik: erst die Daten, dann die Verhandlung.
Auch die Breite des Risikos über Lieferketten hinweg sticht heraus. Berichten zufolge lassen sich 59% aller Cyberangriffe auf Schwachstellen in Zulieferernetzwerken zurückführen. Das ist aus historischer Sicht eine Fortsetzung eines Trends, der bereits mit der zunehmenden Nutzung von Cloud-Diensten und Drittanbieter-Identitäten Fahrt aufgenommen hat. Ein aktuelles Beispiel liefern Vorfälle im Umfeld von SaaS-Integrationen: Beim Passwort-Manager LastPass wurde am 23. Juni ein Angriff auf eine Salesforce-Umgebung gemeldet. Dabei soll der Einbruch über einen Zulieferer erfolgt sein, bei dem OAuth-Tokens gestohlen wurden. Für das Unternehmen ist das ein Reminder, dass „Identitätsdaten“ oft der schnellste Weg sind, um aus einem Teilzugriff ein Vollereignis zu machen.
Weitere Fälle zeigen, wie unterschiedlich die Einstiegspunkte sein können. Bajaj Auto meldete am 23. Juni einen Ransomware-Angriff, der interne Systeme sowie die einer Tochtergesellschaft lahmlegte; das Unternehmen informierte dabei die indische CERT-In und konnte die Schäden offenbar begrenzen. Im britischen Gesundheitsumfeld berichtete der Barts Health NHS von einem Angriff der Clop-Bande, der eine Zero-Day-Lücke in Oracle EBS (CVE-2025-61882) ausnutzte, wobei Details zu gestohlenen Rechnungen und Mitarbeiterdaten erst später bekannt wurden. Solche Verzögerungen sind für die Governance besonders relevant: Selbst wenn Betriebsprozesse kurzfristig stabil bleiben, können Datenschutz- und Meldepflichten zeitversetzt greifen.
Für die künftige Strategie leitet der Bericht konkrete Konsequenzen ab: Teams sollten stärker den Datenabfluss überwachen, statt sich ausschließlich auf die Verhinderung von Verschlüsselung zu fokussieren. Sicherheitsexperten empfehlen hierfür unter anderem DNS-Firewalls und automatisierte Reaktionssysteme, um „lautlose Exfiltration“ früher zu erkennen. Ergänzend steigt laut Beobachtungen auch das Risiko über Browser-Erweiterungen und SaaS-Verbindungen: Eine Kampagne nutzte angeblich eine manipulierte Microsoft-Edge-Erweiterung, um über Social Engineering in Microsoft Teams zu gelangen. Organisatorisch heißt das: Detektionsregeln müssen in Richtung Zugriffsmuster, DNS-Anomalien, Upload-Volumen und ungewöhnliche OAuth-Nutzung verschoben werden. In Kombination mit Compliance-Anforderungen wie der Einhaltung von Meldewegen bei Datenschutzvorfällen (DSGVO) wird daraus ein echtes Programm für Security Operations, nicht nur ein Tool-Upgrade.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Ransomware 2026: Fast die Hälfte erkennt Angriffe erst nach Datenraub" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Ransomware 2026: Fast die Hälfte erkennt Angriffe erst nach Datenraub" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Ransomware 2026: Fast die Hälfte erkennt Angriffe erst nach Datenraub« bei Google Deutschland suchen, bei Bing oder Google News!