Ransomware in Europa 2026: Was die neuen Zahlen für die Schweiz bedeuten

Ein neuer, ausschliesslich auf Europa fokussierter Cyber-Risk-Report liefert eine beachtliche Datengrundlage: 2'066 öffentlich bekannt gewordene Ransomware-Vorfälle in 31 Ländern über 16 Monate (Quelle: 2026 Europe Cyber Risk Report, Black Kite). Die Kernaussage ist unbequem: Ransomware beschleunigt sich, sie konzentriert sich, und sie erreicht Organisationen zunehmend über deren Lieferanten. Dieser Artikel ordnet die Zahlen ein und übersetzt sie in die Perspektive Schweizer Unternehmen.

Eine Beschleunigung, kein gradueller Anstieg

Der eigentliche Befund steckt nicht in der Gesamtzahl, sondern in deren zeitlicher Form. Der Report teilt den Erhebungszeitraum in drei Perioden: 648 Vorfälle in der ersten Hälfte 2025, 734 in der zweiten Hälfte, und bereits 684 allein in den ersten vier Monaten 2026. Weil diese letzte Periode nur vier statt sechs Monate umfasst, ist der monatliche Durchschnitt die ehrlichere Kennzahl, und der springt: von 108 Vorfällen pro Monat (H1 2025) über 122 (H2 2025) auf 171 (Januar bis April 2026).

Im direkten Vorjahresvergleich, also Januar bis April 2026 gegen Januar bis April 2025, liegt der Anstieg bei 55,1 %. Der Report beschreibt die Kurve treffend als «recent step up rather than a gradual climb», eine sprunghafte Verschiebung, kein langsames Anschwellen.

Diese Form ist für die Verteidigung relevanter als jede einzelne Zahl. Eine Bedrohung, die sich verdoppelt, verlangt eine andere Reaktion als eine, die sprunghaft kippt. Die Erfahrung aus dem Schweizer Markt deckt sich mit dem Bild: Auch das Bundesamt für Cybersicherheit (BACS/NCSC) meldet für 2025 einen weiterhin hohen, zunehmend gezielten und komplexen Bedrohungsstand.

Geografie: Die Bedrohung konzentriert sich, statt sich zu verteilen

Man könnte annehmen, dass mehr Vorfälle auch eine breitere Streuung bedeuten. Das Gegenteil ist der Fall. Fünf Länder, Deutschland, das Vereinigte Königreich, Frankreich, Italien und Spanien, vereinen 68,5 % aller Vorfälle des Gesamtzeitraums auf sich. Im Frühjahr 2026 stieg dieser Anteil sogar auf 71,2 % (gegenüber 68,7 % im gleichen Zeitfenster 2025). Rund drei Viertel der zusätzlichen Vorfälle 2026 entfielen auf eben diese «Big Five». Spitzenreiter ist Deutschland mit 370 Vorfällen (17,9 %).

Für die Schweiz ist die regionale Lesart entscheidend. Der Report gruppiert Deutschland, Österreich und die Schweiz zur DACH-Region, die mit 511 Vorfällen eine der aktivsten Europas ist. Die dort auffälligste Gruppe ist SafePay, ein Spezialist, der 56,7 % seiner Aktivität auf Deutschland richtet. Wer im DACH-Raum sitzt, sitzt also nicht am Rand des Geschehens, sondern in dessen Zentrum.

Die Schweiz im Detail: 80 Vorfälle und der Fall Radix

Die 80 Schweizer Vorfälle aus dem Report erfassen nur öffentlich bekannt gewordene Fälle. Das BACS zeichnet ein ergänzendes Bild aus den eigenen Meldungen: Über das ganze Jahr 2025 gingen 104 freiwillige Ransomware-Meldungen ein (gegenüber 92 im Jahr 2024). In der zweiten Jahreshälfte 2025 wurden unter der neuen Meldepflicht für kritische Infrastrukturen 57 Ransomware-Vorfälle registriert, rund 9 % aller meldepflichtigen Vorfälle. Die in der Schweiz dominierende Gruppe war Akira, deren Aktivität sich in der zweiten Jahreshälfte weiter verschärfte, unter anderem durch ausgenutzte SonicWall-Schwachstellen (CVE-2024-40766), für die der Hersteller-Patch nicht konsequent eingespielt worden war.

Der einprägsamste Schweizer Fall 2025 zeigt das Lieferanten-Muster im Kleinen: Die Stiftung Radix, die Dienstleistungen für mehrere Bundesstellen erbringt, wurde von der Gruppe Sarcoma getroffen. Rund 1,3 TB gestohlene Daten wurden am 29. Juni 2025 auf der Leak-Site veröffentlicht, darunter Daten der Bundesverwaltung, obwohl die Angreifer nie direkten Zugriff auf Bundessysteme hatten. Der Schaden lief über einen Dienstleister. Diesem Mechanismus widmen wir einen eigenen Beitrag: Supply-Chain-Ransomware unter NIS2, DORA und revDSG.

Sektoren: Wo Ransomware in Europa zuschlägt

Die Branchenverteilung bestätigt einen Trend, den wir seit Jahren beobachten. Das verarbeitende Gewerbe (Manufacturing) ist mit 576 Vorfällen (27,9 %) der mit Abstand meistbetroffene Sektor, gefolgt von professionellen, wissenschaftlichen und technischen Dienstleistungen mit 368 Vorfällen (17,8 %). Zusammen machen diese beiden Sektoren 45,7 % aller Vorfälle aus. Bemerkenswert ist, dass sich die 576 Manufacturing-Vorfälle über 78 Subindustrien verteilen, ohne dass eine einzige über 7,1 % läge. Es gibt keine sichere Nische.

Der gefährlichste Befund versteckt sich auf Subindustrie-Ebene: Computer Systems Design and Related Services, also IT-Dienstleister, ist mit 5,4 % aller Vorfälle die meistangegriffene Subindustrie Europas, Tendenz steigend (von 27,5 % auf 38,4 % innerhalb der professionellen Dienstleistungen zwischen H1 2025 und Frühjahr 2026). Das ist mehr als eine Statistik: Ein IT-Dienstleister sitzt per Definition in den Abläufen seiner Kunden. Wer ihn trifft, trifft potenziell jeden, den er bedient.

Eine unabhängige Quelle stützt die Richtung, wenn auch mit anderer Methodik: Die ENISA Threat Landscape 2025 (4'875 verifizierte EU-Vorfälle, Juli 2024 bis Juni 2025) nennt Ransomware die wirkungsvollste Bedrohung und führt das verarbeitende Gewerbe bei den Ransomware-Forderungen mit 14,9 % an. Die öffentliche Verwaltung ist bei ENISA mit 38,2 % der meistangegriffene Sektor über alle Vorfallstypen, was den hohen Anteil staatsnaher Spionage und hacktivistischer DDoS-Wellen widerspiegelt. Die Prozentwerte aus dem Report und von ENISA sind nicht direkt vergleichbar (unterschiedliche Zeitfenster und Zählweisen), die Rangfolge deckt sich aber.

Die aktivsten Gruppen: Generalisten und Spezialisten

Der Report unterscheidet zwei Profile. Qilin ist der Generalist: 372 Vorfälle in 26 von 31 Ländern, ohne in einem einzelnen Markt über 18,5 % hinauszugehen, breit gestreute Beute. Akira folgt mit 159 Vorfällen. SafePay dagegen ist der Spezialist, 80 europäische Vorfälle, davon 56,7 % in Deutschland.

Die Grössenordnung bestätigt der breitere Markt. Der Microsoft Digital Defense Report 2025 hält fest, dass mindestens 52 % aller Angriffe mit bekanntem Motiv finanziell durch Erpressung oder Ransomware getrieben sind, gegenüber nur 4 % Spionage, und dass Angreifer in 80 % der untersuchten Vorfälle Daten stehlen wollten. Begleitende Branchendaten zählen für 2025 ein Rekordniveau von 124 aktiven, benannten Ransomware- und Erpressungsgruppen (plus 46 % gegenüber 2024), wobei allein Qilin global auf rund 1'044 Opfer kam.

Zahlen die Opfer noch? Der zweite Trend

Parallel zur steigenden Frequenz verschiebt sich die Ökonomie. Der Verizon Data Breach Investigations Report 2025 findet Ransomware in 44 % aller untersuchten Datenschutzverletzungen (plus 37 % gegenüber dem Vorjahr) und besonders bei kleinen und mittleren Unternehmen (88 % der KMU-Breaches gegenüber 39 % bei Grossunternehmen). Gleichzeitig zahlen immer weniger Opfer: 64 % der betroffenen Organisationen leisteten kein Lösegeld (gegenüber 50 % zwei Jahre zuvor), und der Median der gezahlten Summe fiel auf rund 115'000 US-Dollar. Sophos bestätigt die Richtung mit sinkenden Lösegeldforderungen (Median minus 56 % auf 1,20 Mio. USD) und tieferen Wiederherstellungskosten (minus 44 % auf 1,53 Mio. USD).

Die Botschaft ist nicht «Ransomware lässt nach». Sie ist: Backups und Zahlungsverweigerung wirken, aber Datendiebstahl ist zur eigentlichen Druckwährung geworden. Wer Exfiltration nicht erkennt, verliert den Hebel, egal wie gut die Backups sind.

Was die Zahlen für die Verteidigung bedeuten

Drei Beobachtungen aus dem Report übersetzen sich direkt in Architektur-Entscheidungen. Erstens: Wenn Angreifer in 80 % der Fälle Daten stehlen und EDR vor der Detonation abschalten (wie wir in unserer Analyse zu EDR-Killern gezeigt haben), braucht es eine Beobachtungsschicht, die unabhängig vom Endpunkt funktioniert. Zweitens: Wenn Akira über ungepatchte SonicWall-Geräte einsteigt, ist die exponierte, nicht aktualisierte Angriffsfläche das eigentliche Problem. Drittens: Wenn der Erstzugang zunehmend über kompromittierte Identitäten und Lieferanten läuft, muss Verhalten, nicht nur Signatur, beobachtet werden.

Häufige Fragen